IMMCHN 隐私政策与数据处理声明（Privacy Policy / Data Processing Notice
本隐私政策与数据处理声明（以下简称“本政策”）载明 IMMCHN 及其在必要范围内的关联实体（以下统称“IMMCHN”“我们”）在您访问、浏览、注册、使用我们的网站、平台、会员体系及相关功能与服务（统称“服务”）过程中，就个人数据（Personal Data）的收集、使用、存储、披露、转移与保护之基本规则、目的范围、法律依据、保留期限及您的相关权利与救济路径。除非本政策另有明确约定，本政策适用于我们作为数据控制者（Data Controller）所开展的个人数据处理活动。
为避免歧义，本政策所称：
(a) “个人数据/个人信息”指与已识别或可识别自然人相关的任何信息；
(b) “处理/处理活动”指对个人数据进行的任何操作或一系列操作（包括但不限于收集、记录、组织、结构化、存储、改编或变更、检索、查阅、使用、披露、传输、对齐或组合、限制、删除或销毁）；
(c) “主管机关”指与移民、签证、居留或入籍事项相关的政府部门、移民主管机构、使领馆或其授权机构；
(d) “服务提供商/处理者（Processor）”指我们为实现服务目的而委托处理有限个人数据的第三方主体（例如通信、托管、安全、存储、客服、合规筛查等供应商），其通常在合同约束下仅按我们的指示处理数据。
本政策与我们的《使用条款（Terms of Use）》及我们不时发布的其他政策、说明或补充文件一并构成“相关文件”，并可通过引用纳入适用范围。若本政策与相关文件在个人数据处理事项上存在冲突或不一致，以本政策为准（除非适用法律另有强制性规定）。
1. 数据控制者信息与联系方式
数据控制者：IMMCHN
隐私联络邮箱：privacy#immchn.com （#替换成@）
数据保护负责人/联络人：dpo#immchn.com
我们可能在合理范围内要求您提供必要信息以核验身份与保障数据安全，并可能记录与您请求相关的处理过程以满足合规、审计与争议处理需要。
2. 我们处理的个人数据类别（非穷尽列举）
在遵循数据最小化、目的限制与比例原则的前提下，我们可能处理下列类别的个人数据（以您实际提交、授权或服务运行中生成者为准）：
2.1 账户与联系数据
包括但不限于姓名/称谓、电子邮箱、电话、国家/地区、居住地、账户识别信息、验证状态与必要的账户安全要素。
2.2 服务请求与咨询相关数据
包括但不限于您提交的移民意向信息、目标国家/地区或项目偏好、教育与工作概况、家庭情况概述、语言情况、以及与资格评估或流程管理相关的其他背景信息；在您自愿提供或为实现特定服务目的所必需时，可能包括资金与资产情况的概述性信息。
2.3 文件与材料数据（如适用）
包括但不限于您上传、提交或授权我们处理的文件与证明材料，以及与其相关的元数据（例如提交时间、格式、处理记录与版本信息等）。
2.4 交互与沟通数据
包括但不限于您与我们之间的沟通内容与记录（如邮件、站内消息、客服/工单记录）、服务进度信息、任务清单与提醒记录、处理备注与交付记录等。
2.5 技术、设备与安全数据
包括但不限于 IP 地址、浏览器与设备信息、操作系统信息、访问日志、异常活动记录、风险控制与安全审计日志、以及用于故障排查与服务连续性保障的诊断信息。
2.6 合规与风险管理相关数据（如适用）
在适用法律、监管要求或合理风控需要下，我们可能处理与身份核验（KYC）、反欺诈、制裁与限制名单筛查、反洗钱或风险分级相关的必要信息。此类处理通常以合规目的为边界，并实施更严格的访问控制与记录管理。
3. 数据来源
个人数据可能来源于：
(a) 您直接提供（注册、表单提交、上传文件、沟通互动等）；
(b) 您使用服务过程中自动生成或由系统记录（日志、设备信息、安全记录等）；
(c) 在法律允许范围内，来自第三方服务提供商、公开来源或合规筛查渠道的核验结果或辅助信息（通常用于安全与合规目的）。
4. 处理目的（Purpose Specification）
我们开展个人数据处理活动通常出于以下目的（可并行适用）：
(a) 账户建立与管理：注册、验证、权限管理、登录与安全控制；
(b) 服务交付与运营支持：移民咨询、资格评估、材料清单与流程提示、进度管理、客户支持与事务协调；
(c) 事务性沟通与通知：发送验证信息、服务通知、进度提醒、资料补充要求、服务变更或系统通知；
(d) 合规、审计与风险控制：防欺诈、防滥用、信息核验、制裁/合规筛查、安全审计、争议处理、法律义务履行；
(e) 维护与改进：系统运行、故障排查、性能优化、内部统计分析与服务质量改进（在不不当侵害您的权利与自由的前提下）。
5. 法律依据（Lawful Basis）
在适用 GDPR 的范围内，我们将基于以下一项或多项法律依据处理个人数据（视具体场景适用）：
(a) 履行合同或合同前措施：为向您提供注册、会员与咨询/申请支持服务所必需；
(b) 法律义务：为遵守适用法律法规、监管要求、法院命令或执法请求所必需；
(c) 合法利益：为保障服务安全与连续性、防欺诈、改进服务、维护合法权益等所必需，并在实施前进行利益衡量；
(d) 同意：在我们明确以同意为处理依据的特定场景（例如非必要订阅信息）适用，且您可在法律允许范围内撤回同意（撤回不影响撤回前处理的合法性）。
如涉及适用法律所定义的特殊类别个人数据（如健康信息等）且确需处理，我们将仅在法律允许范围内采取相应的附加法律依据与更严格保护措施。
6. 披露与共享（Disclosure & Sharing）
我们以“内部授权、目的必要、受约束处理、合规例外”的原则进行数据共享或披露。除非本政策或适用法律另有规定，个人数据可能在以下情形被共享：
6.1 IMMCHN 内部
仅限为实现上述目的所必需的内部授权人员访问与处理，并通过权限分级、最小授权、操作审计与保密义务进行约束。
6.2 主管机关（目标国家/地区移民相关机构）
当您选择推进目标国家/地区的移民、签证、居留或入籍申请时，我们可能在实现申请目的所必需范围内向主管机关（或其授权机构）提交或协助提交必要信息与材料。该等机构通常将依据其适用法律与程序独立处理相关数据，且可能作为独立数据控制者开展处理活动。
6.3 服务提供商（处理者）
为支持服务运营与交付，我们可能委托第三方服务提供商处理有限个人数据，包括但不限于：
(a) 第三方邮件服务提供商：用于发送验证邮件、事务性通知、服务提醒与必要沟通；
(b) 网站托管、云存储、备份、日志与监控、安全防护、客服/工单系统等供应商；
(c) 在合规与风控需要下的核验与筛查服务供应商（如适用）。
我们通常通过合同安排要求该等服务提供商仅按我们的指示处理数据、采取合理安全措施、并在服务终止后按约定删除或返还数据（在法律允许范围内）。
6.4 法律要求、权利保护与安全例外
在法律法规、法院命令、监管/执法机关要求，或为保护我们及用户的权利、财产与安全、调查疑似违法或违约行为所必需时，我们可能在法律允许范围内披露必要信息，并遵循最小披露与限制性披露原则。
7. 跨境传输（International Transfers）
鉴于服务架构、服务提供商部署位置、您所在地或主管机关所在司法辖区等因素，个人数据可能发生跨境访问或传输。若适用 GDPR 且涉及向欧洲经济区（EEA）以外传输，我们将在法律要求的范围内采用适当的传输机制与保护措施（例如标准合同条款或其他合法机制），并将传输范围限制于实现目的所必需的最低程度。
8. 数据保留（Retention）
我们仅在实现本政策所述目的所必需期间保留个人数据，或在满足法律义务、合规审计、争议处理与安全风控需要期间保留。保留期限将综合考虑：服务关系存续状态、数据性质、风险特征、适用法律要求与时效规则等因素。
保留期限届满后，我们将依据适用法律与可行方式对数据进行删除、匿名化或去标识化处理；如因法律留存义务或技术限制暂无法删除，我们将采取访问限制、隔离与最小化处理措施。
（可选补充：你也可以在此处加入“账户存续 + X 年 / 服务结束 + X 年”的内部规则，使政策更“落地”。）
9. 安全措施（Security）
我们采取合理的技术与组织措施以保护个人数据免受未经授权访问、披露、篡改或丢失，包括但不限于访问控制、权限分级、加密传输、操作审计、日志留存、备份与恢复、漏洞管理与安全监测等。
尽管我们持续改进安全能力，互联网环境仍无法保证绝对零风险；如发生可能影响个人权益的数据安全事件，我们将依据适用法律开展评估、处置，并在满足法定条件时履行通知义务。
10. Cookies 与类似技术（如适用）
我们可能使用 Cookies 或类似技术用于支持基础功能、保障安全、防滥用、以及进行统计分析与性能优化。您可通过浏览器或设备设置管理 Cookies；拒绝或限制 Cookies 可能影响部分功能可用性。若我们提供单独的 Cookie 政策或偏好管理机制，则以该机制与政策为准。
11. 您的权利（Data Subject Rights）
在适用法律（包括 GDPR）的范围内，您可能享有包括但不限于：访问、更正、删除、限制处理、反对处理、数据可携带等权利；在基于同意的处理场景下，您亦可撤回同意（撤回不影响撤回前处理的合法性）。
我们将在法律规定或合理期限内响应您的请求。为防止未授权披露与保护账户安全，我们可能要求合理的身份核验，并可在法律允许范围内记录请求处理过程。某些权利在特定情况下可能受到法律限制（例如为履行法律义务、公共利益、安全、防欺诈或为建立、行使或抗辩法律主张所必需）。
12. 未成年人
服务通常面向具备完全民事行为能力的用户。若我们合理认为存在未成年人在未经合法授权的情况下提交个人数据，我们可能在法律允许范围内采取删除、限制处理或其他必要措施。
13. 第三方网站与服务
服务中可能包含第三方网站、插件或外部资源链接。第三方对个人数据的处理不受本政策约束，建议您查阅其隐私政策。我们不对第三方的内容、安全性或处理行为承担责任。
14. 政策更新（Updates）
我们可基于法律变更、监管要求、技术调整或业务需要不时更新本政策。更新后的政策自发布之日起生效，或在我们明确指定的生效日生效。我们将以合理方式提示重大变更。您在更新后继续使用服务的，视为您接受更新后的政策（在适用法律要求的范围内）。
15. 监管机构与投诉（爱尔兰）
如适用 GDPR 且您认为我们的处理行为影响您的数据保护权利，您有权向爱尔兰数据保护委员会 Data Protection Commission（DPC） 提出投诉。我们亦建议您优先通过本政策第 1 节所列渠道联系我们，以便我们先行核实并在合理期限内处理与回复。
16. 适用法律
在适用范围内，本政策受爱尔兰法律以及相关数据保护法律框架解释与适用。