隐私政策

Samui Tourist Information Ltd. Partnership（以下简称“Koh Sanuk”、“我们”或“我们的”）尊重您的隐私，并高度重视您的个人数据保护。我们收集客户、合作伙伴和访客的个人数据，以便提供旅游、游艇包船和接送服务，并让您及时了解这些服务的信息，从而切实帮助您规划行程。

本隐私政策（以下简称“本政策”）阐明了我们收集哪些数据、收集的原因、我们如何使用和共享这些数据、保留多长时间，以及您拥有的选择和权利。本政策适用于您访问任何 Koh Sanuk 网站、通过电子邮件、电话或即时消息与我们联系，或预订我们提供的任何服务的情形。

我们定期审查本政策，以确保其与我们的业务运营、所使用的技术以及适用于我们的法规保持同步——主要包括泰国《佛历2562年（2019年）个人数据保护法》（“PDPA”）以及（如适用）欧盟《通用数据保护条例》（“GDPR”）。我们可能会不时更新本政策；您当前阅读的即为最新版本。重大变更在生效时将在页面顶部予以突出显示。

就本政策而言：

“个人数据”是指能够识别您身份或可合理用于识别您身份的信息（例如您的姓名、联系方式或设备标识符），以及我们与您关联的任何其他信息。

“敏感数据”是指根据 PDPA 规定需要加强保护的个人数据：种族或族裔、政治观点、宗教或哲学信仰、性取向或性行为、犯罪记录、健康和残疾信息、工会成员身份、基因数据和生物识别数据。在这些类别中，我们常规收集的唯一敏感项是您的国籍，这是泰国法律对旅行社记录的要求，也是某些接送服务提供商对乘客名单的要求。

1. 我们如何收集您的数据

   我们通过两个主要渠道收集个人数据：

   1. 您直接提供给我们的数据——当您填写咨询或预订表单、通过电子邮件或聊天工具给我们写信、致电我们、亲临我们的办公室、注册账户或在社交媒体上与我们互动时。
   2. 我们从第三方接收的数据——例如，当您支付预订费用时来自我们的支付处理商（Omise）的数据；当他们确认预订时来自我们的服务合作伙伴（船家、运输提供商）的数据；当您浏览网站时来自我们的托管和分析服务提供商的数据；以及与我们有法律关系并合法与我们共享数据的任何个人或组织。
2. 我们收集哪些数据

   以下类别涵盖了我们可能通过上述渠道收集的所有内容：

   1. 身份信息——称谓、名、姓、国籍、居住国以及您在行程期间入住的酒店地址（以便我们的司机找到您）。
   2. 联系信息——电话号码、电子邮件地址以及您首选的即时通讯账号（WhatsApp、LINE、Telegram 等），以便我们确认和执行预订。
   3. 预订信息——您所请求的行程或服务、日期、随行人数、特殊要求（膳食、无障碍设施、儿童安全座椅）以及您发送给我们的任何自由文本备注。
   4. 支付信息——我们不在服务器上存储付款卡号、CVV 码或完整的卡片详情。卡片支付直接由 Omise（已通过 PCI-DSS 1 级认证）处理；我们仅接收令牌化的引用标识、卡号后四位、发卡国和授权结果。
   5. 技术信息——IP 地址及由此推导出的概略位置、浏览器类型和版本、操作系统、设备型号、引荐来源网址、访问的页面、停留时间、Cookie 标识符以及来自您用于访问网站的设备的类似信息。
   6. 账户信息——如果您创建了账户：用户名、电子邮件、安全哈希加密的密码（我们绝不以明文形式存储密码），以及您在账户中执行的重要操作日志（注册、登录、预订、导出）。
   7. 沟通记录——您发送给我们的消息内容、我们往来电子邮件的副本，以及任何投诉或反馈的记录。
3. 我们为何使用您的数据（法律依据）

   我们仅在有合法理由时才处理您的数据。根据 PDPA 和 GDPR，我们进行处理的相关依据包括：

   1. 履行合同——交付您预订的行程、包船或接送服务，就预订事宜与您沟通，开具收据和凭证，以及处理投诉或退款。
   2. 遵守法律义务——保留泰国税务、旅游和会计法律（泰国国家旅游局 TAT 许可制度、税收法典、反洗钱规则）所要求的记录，并回应监管机构的合法要求。
   3. 正当利益——改进我们的服务（分析汇总的使用情况、修复错误、测试新功能）、保护网站免受欺诈和滥用，以及维护一般业务记录。我们在这些利益与您的权利之间进行了平衡，并且不进行任何对您产生重大影响的自动决策。
   4. 同意——用于营销沟通（电子邮件新闻通讯、特别优惠、重定向广告）、非必要 Cookie 以及我们专门征求您意见的任何其他用途。您可以随时撤回同意，这不影响撤回前已进行的处理。
4. 我们与谁共享您的数据

   我们仅在运营服务或遵守法律所必需时才共享个人数据。我们绝不出售您的数据。接收方包括：

   1. 我们的团队——董事、员工以及我们办公室文件中列出的合作伙伴——严格基于“知悉必要”原则，以交付您的预订。
   2. 旅游运营商和服务提供商——实际运营我们所销售体验项目的船长、运输公司、餐厅、潜水教练和酒店。他们仅接收交付其负责部分所需的数据（通常为您的姓名、联系方式、接送地址和团队构成）。
   3. 支付处理商——Omise（处理所有在线卡片交易的持牌网关）以及相关的卡组织（Visa、Mastercard、JCB 等）。他们通过其安全表单直接从您那里接收付款详情；我们仅接收处理结果。
   4. 技术提供商——我们的托管、电子邮件、分析、反欺诈和客户支持提供商。他们根据合同代表我们处理数据，这些合同约束他们承担保密义务，并提供等同于 PDPA / GDPR 的保护措施。
   5. 专业顾问——当我们需要其建议且其承担保密义务时，我们的审计师、税务会计师和法律顾问。
   6. 监管机构——泰国税务、旅游、移民和执法机构，当我们被法律要求披露，或为了保护生命、财产或我们的合法权利而必须披露时。
   7. 您授权的任何人——例如，您要求我们与其协调的旅行社。
5. 国际传输

   Koh Sanuk 总部位于泰国，您的大部分数据都保留在这里。然而，我们的一些服务提供商（特别是托管、电子邮件发送、分析和支付处理）总部位于其他国家，或通过其他国家路由流量，包括欧洲经济区（EEA）、美国、新加坡和印度。当我们将数据传输到泰国或 EEA 境外时，我们依赖以下一项或多项保护措施：相关监管机构的充分性认定、标准合同条款（SCC），或您对特定传输的明确同意。

6. 我们保留您数据的时间

   我们保留您数据的时间不会超过必要期限。具体而言：

   1. 预订和客户记录——在预订结束后保留七（7）年，以遵守泰国会计和税务记录要求（《税收法典》第 83/13 条和第 93 条）。
   2. 营销列表数据——保留至您退订或以其他方式撤回同意（以较早者为准）。
   3. 技术 / Cookie 数据——以可识别形式保留最多 14 个月，然后进行汇总。
   4. 账户数据——在您的账户处于活跃状态期间保留，并在您注销账户后保留一（1）年，以防出现行程后的纠纷或退款索赔。
   5. 涉及未决法律诉讼的数据——保留至问题解决且适用的诉讼时效届满。

   在相关期限结束后，我们要么安全地删除数据，要么对其进行匿名化处理，使其无法再识别您的身份。

7. 我们如何保障您的数据安全

   我们使用行业标准的技术和组织措施来保护您的数据：对所有网络流量进行 TLS 加密、哈希加密密码（bcrypt）、对员工实施严格的访问控制、异地加密备份、对我们的托管基础设施进行定期安全审查，以及与每个处理商签订合同保护条款。我们不存储付款卡详情——这些信息直接发送给通过 PCI-DSS 认证的处理商。

   没有任何系统是完美的，如果我们获悉发生影响您权利的数据泄露事件，我们将根据 PDPA 和 GDPR 的规定，毫不延迟地通知您和相关监管机构。

8. Cookie

   我们在网站上使用 Cookie 和类似技术，用于三个目的：绝对必要的 Cookie（用于保持您的登录状态、存储您的购物车并记住您的语言和货币）、分析型 Cookie（帮助我们了解访客认为哪些页面有用）以及营销型 Cookie（支持广告和重定向投放）。默认情况下仅设置绝对必要的 Cookie；分析和营销 Cookie 仅在您在 Cookie 横幅中给出明确同意后才会加载。

   您可以随时通过网站页脚的链接更改您的 Cookie 偏好设置，也可以通过浏览器设置清除 Cookie。如果您禁用绝对必要的 Cookie，网站的部分功能（登录、预订、货币切换）将无法正常工作。

9. 您的权利

   根据 PDPA、GDPR 和大多数其他主要数据保护法，对于我们持有的关于您的个人数据，您享有以下权利。在大多数情况下，我们将在 30 天内免费对任何请求做出回应。

   1. 访问权——请求获取我们持有的关于您的个人数据的副本，格式为常用的机器可读格式。
   2. 更正权——要求我们更正任何不准确、过时或不完整的数据。
   3. 删除权（“被遗忘权”）——要求我们删除我们持有的关于您的数据。我们仅在法律要求我们保留特定记录（例如法定保留期内的税务记录）时才可以拒绝。
   4. 限制处理权——要求我们在验证更正或评估异议时暂停处理。
   5. 反对权——反对基于我们正当利益的处理（包括用于营销的用户画像分析），在此情况下我们将停止处理，除非我们有超越您权利的压倒性正当理由。
   6. 数据可携权——以结构化、常用的格式接收您提供给我们的个人数据，并在技术可行的情况下将其传输给另一个控制者。
   7. 撤回同意权——随时通过点击任何营销电子邮件中的退订链接、更改您的 Cookie 偏好设置或写信给我们来撤回同意。撤回不影响撤回前已进行的处理的合法性。
   8. 申诉权——向相关数据保护机构提出申诉：在泰国，为个人数据保护委员会（pdpc.or.th）；在欧盟，为您所在国家的监管机构（列表维护在 edpb.europa.eu）。

   要行使这些权利中的任何一项，请使用下方的联系方式写信给我们。在对请求采取行动之前，我们可能会要求您验证您的身份，以确保我们不会将您的数据泄露给其他人。

10. 儿童

    我们的服务面向成年人。我们不会故意收集任何 16 岁以下人员的个人数据。如果您是父母或监护人，并认为您的孩子在未经您同意的情况下向我们提供了个人数据，请与我们联系，我们将予以删除。

11. 本政策的变更

    如果我们对本政策做出重大变更，我们将在页面上发布明确通知，并在需要时直接与您联系。在变更后继续使用我们的服务即表示您接受更新后的政策。

12. 如何联系我们

    关于本政策的问题、行使您任何权利的请求，或对我们如何处理您的数据的疑虑，应发送至：

    Samui Tourist Information Ltd. Partnership
    135 Moo 3, Maret, Koh Samui, Surat Thani 84310, Thailand
    电子邮件：support@kohsanuk.com
    电话 / WhatsApp：+66 82 279 4936

    我们的目标是在两个工作日内确认收到每项隐私咨询，并在三十天内给您完整的答复。