英国隐私告知书

本告知书以内容相同的土耳其文和英文发布。如您位于土耳其境外，英文版本对您具有权威效力（见第18节）。本中文版本为方便阅读而提供的译文，英文及土耳其文版本依上述规则具有优先效力。

数据控制者信息

• 数据控制者： Mobiza Teknoloji
• 品牌 / 服务： Planfly
• 数据保护联系： legal@planfly.app
• 客户支持： support@planfly.app
• 电话： +90 850 307 90 23
• 地址： Ovaakça Santral Mah. Ovaakça Fatih Sultan Mehmet Cad. No: 86, 16335 Osmangazi, Bursa, Türkiye
• 网站： planfly.app

1. 本告知书的目的及范围

本英国隐私告知书（以下简称“告知书”）说明运营 Planfly 在线预约平台的 Mobiza Teknoloji（“我们”）如何处理位于英国人士的个人数据。其提供英国《通用数据保护条例》（“UK GDPR”）第13条及第14条要求的信息，并以经《2025年数据（使用及访问）法》修订的 UK GDPR 及《2018年数据保护法》（“DPA 2018”），以及《2003年隐私与电子通信（欧共体指令）条例》（“PECR”）为依据。由于我们向英国商家及个人提供 Planfly，并在您同意时衡量营销页面使用情况，UK GDPR 适用于本告知书所述处理（UK GDPR 第3(2)条）。

本告知书涵盖我们作为控制者的处理，特别是在您：

• 访问 planfly.app 或其任何子域名时，
• 创建商家账户，或作为商家所有者、经理或获授权用户使用商家控制面板或 Planfly 移动应用时，
• 被商家邀请加入团队并使用自身 Planfly 用户账户时，
• 请求信息、演示或报价，或通过电子邮件、电话、支持表单或网站聊天助手联系我们时，
• 购买、续订或取消订阅或附加服务时，
• 接收我们的服务或营销消息时，
• 通过合作伙伴推荐链接注册或参与合作伙伴计划时（合作伙伴亦适用合作伙伴隐私告知书）。

**向商家预约：**如您通过商家预约页面或预约组件预约，或商家将您记录为客户，该商家是预约数据的控制者，我们仅代表商家处理该数据（第3.2节）。

**与其他文件的关系：**本告知书补充隐私政策，后者更详细说明处理并适用于所有 Planfly 用户。如您位于英国且本告知书与隐私政策存在差异，以本告知书为准。作为设立于土耳其的公司，我们亦受第6698号《土耳其个人数据保护法》（KVKK）规范，详情见 KVKK 隐私告知书；这不限制本告知书下的权利。位于欧洲经济区及瑞士的人士请阅读GDPR 隐私告知书，美国居民请阅读美国隐私告知书。

2. 控制者、英国代表及联系

本告知书所述处理的控制者为设立于土耳其的 Mobiza Teknoloji，联系方式载于开头。我们在英国无设立机构。

我们未委任数据保护官。个人数据处理问题、权利请求及投诉请发送至 legal@planfly.app；账户或服务问题亦可发送至 support@planfly.app。

3. 我们及商家的角色

3.1. 我们作为控制者的处理

对于网站、商家账户及控制面板用户、Planfly 移动应用账户、订阅和购买、发票、客户支持及聊天助手、信息安全、产品分析、自身营销通信、合作伙伴计划及遵守适用法律相关处理，我们确定目的和方式，因此为控制者。

3.2. 预约页面：商家是控制者

使用 Planfly 的美发店、美容中心、心理学家、营养师、诊所、物理治疗师及工作室等商家，是其通过预约页面、组件、控制面板或 Planfly 移动应用收集，或自行输入 Planfly 的客户（顾客、患者、会员、学生等）个人数据的控制者。商家为团队创建的工作人员资料（姓名、职称、照片、工作时间及所提供服务）亦如此。

就这些数据，我们作为 UK GDPR 第28条意义上的商家处理者：仅按商家有记录的指示，仅为提供 Planfly 服务，并依据双方数据处理协议处理。各商家预约页面链接至其自身隐私告知书，或 Planfly 根据商家信息代表其编制的告知书；该告知书说明商家如何使用数据及您如何行使权利。如您向我们发送预约数据相关请求，我们将及时转交商家并告知您。

3.3. 付款与购买

• **土耳其里拉购买：**以土耳其里拉支付的订阅及附加服务由 Mobiza Teknoloji 销售，付款由 iyzico Ödeme Hizmetleri A.Ş.（“iyzico”）处理。银行卡详情通过加密连接直接传输至 iyzico 基础设施，不存储于我们的系统；我们仅接收付款状态、交易参考编号、银行卡类型及经遮蔽的末四位等有限付款数据（隐私政策第4.6节）。iyzico 亦作为独立控制者处理某些数据，例如防止欺诈及履行自身法律义务。
• **土耳其里拉以外的货币订单（Paddle）：**订单流程由在线转售商 Paddle.com 进行。Paddle.com 是网站所有以土耳其里拉以外货币支付订单的名义商户（Merchant of Record）。Paddle 为这些订单提供付款及账单查询客户服务，并处理退货和退款。Paddle.com Market Limited（公司编号08172165，30 Old Bailey, London EC4M 7AU, United Kingdom）及 Paddle 买方条款列明的集团公司（“Paddle”）向我们购买订阅并转售给您；Paddle 收款、计算和缴纳增值税或销售税，并开具发票或收据。Paddle 依自身隐私告知书作为独立控制者处理付款数据。我们不接收银行卡详情；Paddle 仅发送提供服务所需订单数据：订单及订阅 ID、套餐、金额、货币、国家、税务状态、姓名、电子邮箱、付款状态及任何退款或拒付状态。
• **App Store 和 Google Play：**如您在 Planfly 移动应用购买订阅，Apple 或 Google 为销售者，作为独立控制者处理付款数据。为激活订阅，我们仅接收购买、续订、取消及退款状态相关交易信息。

4. 我们处理的个人数据及来源

4.1. 个人数据类别

依您与 Planfly 的互动，我们处理以下个人数据类别；详细清单见隐私政策第4节：

• **网站访客：**IP 地址、设备、浏览器及操作系统信息、访问时间及日志、来源页面及推广活动（UTM）信息、cookie 数据，以及经同意的 Google Analytics 4 衡量数据。
• **潜在客户及联系我们的人士：**名字、姓氏、电子邮箱、电话号码、商家名称及行业、消息内容、支持工单及聊天助手对话、附件及通信历史。
• **商家账户持有人及控制面板用户：**名字、姓氏、电子邮箱、电话号码、账户标识符、密码哈希及双因素认证设置、使用 Google 或 Apple 登录时的账户标识符、连接 Google Calendar 时的连接数据、商家信息（名称、行业、地址、联系方式、标志及封面图）、开票信息、订阅、订单、付款及发票记录、角色及权限、会话、设备及安全日志、移动应用推送通知设备令牌，以及控制面板使用数据。
• **拥有自身用户账户的团队成员：**名字、姓氏、电子邮箱、电话号码、角色及权限、登录及安全记录。
• **购买者：**从 Paddle 接收的订单数据、从 Apple 或 Google 接收的交易信息，以及从 iyzico 接收的有限付款数据（第3.3节）。
• **合作伙伴计划：**注册所用合作伙伴代码、遮蔽形式的商家名称、套餐及订阅状态。

4.2. 来源

我们从以下来源收集个人数据：

• 在您填写表单、使用账户、致信我们或使用聊天助手时，直接向您收集，
• 使用网站、控制面板或应用时，自动从设备及浏览器收集（经同意时亦通过分析 cookie），
• 邀请您加入团队的商家（姓名、电子邮箱及角色），
• 您选择使用 Google 或 Apple 登录时的 Google 或 Apple，以及连接 Google Calendar 时的 Google（隐私政策第16节），
• 购买相关的 Paddle、Apple、Google 及 iyzico，
• 您使用其推荐链接的合作伙伴（仅合作伙伴代码）。

5. 目的与法律依据

5.1. 我们的合法利益

基于合法利益时，我们的利益是：提供安全可靠服务并防止欺诈和滥用；了解使用情况以改进服务；回答咨询并告知商家客户；运营合作伙伴计划；遵守作为土耳其设立公司适用的法律；确立、行使或抗辩法律请求。我们仅使用所需数据，并与您的利益、基本权利及自由权衡。您可请求关于该权衡的信息，并可随时反对基于合法利益的处理（第11节）。

5.2. 同意

基于同意时，是否同意由您自愿决定，可随时撤回并向未来生效：分析通过页面“Cookie 偏好”链接；营销消息通过每条消息的退出链接或说明，或致信 legal@planfly.app。撤回不影响此前处理的合法性。

6. 是否必须提供数据？

您无向我们提供个人数据的法定义务。但表单标记为必填的数据，是订立及履行合同所必需：缺少时不能开设账户、提供服务或处理购买。土耳其里拉购买须提供开票信息，以开具土耳其税法要求的发票。分析 cookie 和营销消息同意完全可选，拒绝不影响 Planfly 使用。

7. 特殊类别数据及健康数据

我们不为自身目的处理健康等特殊类别数据，请勿在支持请求或聊天助手对话中包含。健康行业商家可通过初次信息问题、预约备注及客户备注处理健康数据。商家是控制者，并确定其依据 UK GDPR 第9条及 DPA 2018 附表1适用的条件，特别是第9(2)(h)条连同 DPA 2018 第10条及附表1第2款（健康或社会照护目的），受 UK GDPR 第9(3)条及 DPA 2018 第11条专业保密要求约束；明确同意适用第9(2)(a)条。土耳其境外商家预约表单的明确同意始终自愿，在线预约绝不以此为条件。我们仅作为商家处理者处理，并采用额外保障：客户卡片私人备注在数据库加密，仅向商家获授权用户显示；商家可选择保密消息，使提醒不显示服务名称。

8. 接收方

我们仅在上述目的必要范围内向以下接收方类别披露个人数据（亦见隐私政策第9节）：

• **作为我们处理者的服务商：**托管和数据库服务商、Cloudflare（内容分发网络、文件存储、DNS 和网络安全）、电子邮件发送商、Netgsm İletişim ve Bilgi Teknolojileri A.Ş. 及其他消息服务商、Google（Google Drive 加密备份及 Firebase Cloud Messaging 移动应用推送）及网站聊天助手的人工智能模型服务商；商家客户数据分包处理者见数据处理协议附件3，
• **登录服务商：**如您选择使用的 Google 和 Apple，
• **支付及购买合作方：**土耳其里拉购买的 iyzico 和银行、土耳其里拉以外的货币订单的 Paddle、移动应用购买的 Apple 和 Google；其就自身处理作为独立控制者，
• **分析服务商：**仅经同意且关闭广告功能的 Google（Google Analytics 4），
• **与您合作的商家：**如您为团队成员，商家获授权用户可在控制面板查看您的资料和活动，
• **专业顾问：**会计、电子发票、法律及审计服务商，
• **公共机关：**法律要求披露或为确立、行使或抗辩法律请求所需的有管辖权机构、法院及执行机关。

我们不出售您的个人数据，也不用其进行第三方广告。

9. 国际数据传输

我们设立于土耳其，英国未就土耳其制定充分性法规。您使用 Planfly 时直接发送的数据由我们在土耳其收集和处理。此种直接收集不属于 UK GDPR 下的受限传输；UK GDPR 仍适用于处理，我们以第14节措施保护数据。

向土耳其境外服务商继续传递个人数据时，我们依据：

• 英国对接收方国家的充分性法规（例如欧洲经济区国家），以及对获欧盟-美国数据隐私框架英国扩展认证的美国接收方，《2023年数据保护（充分性）（美利坚合众国）条例》，
• 无充分性法规涵盖时，依 DPA 2018 第119A条发布的《国际数据传输协议》（IDTA）或欧盟委员会标准合同条款《国际数据传输附录》（UK Addendum），必要时附加补充措施。

英国商家向我们传输客户数据，以纳入数据处理协议的标准合同条款连同英国附录为依据。作为独立控制者直接向您收集土耳其里拉以外的货币订单所需数据的 Paddle.com Market Limited 设立于英国。您可通过 legal@planfly.app 请求保障措施副本。

10. 保存

个人数据仅按处理目的必要时间保存。期限标准为：合同和账户持续时间；处理请求、投诉或支持事项所需时间；土耳其法律下发票、会计及商业记录保存期（通常最长10年）及第5651号法律流量日志期限；潜在法律请求的法定时效期间；须证明同意和退出的时间。账户数据在活跃时保存，删除后仅为这些目的及备份周期完成前保存，其后删除或匿名化。Google Analytics 数据最多14个月，cookie 最多12个月届满。各类别期限见隐私政策第12节。商家客户数据依商家指示及数据处理协议保存。

11. 您的权利

在 UK GDPR 及 DPA 2018 条件及例外限制下，您有权：

• 确认是否处理您的个人数据，并访问数据及处理信息（第15条），
• 更正不准确及补充不完整数据（第16条），
• 删除数据（第17条），
• 限制处理（第18条），
• 对基于同意或合同自动处理的您提供的数据，以结构化、常用及机器可读格式接收，并传至其他控制者（第20条），
• 基于特定情况随时反对合法利益处理，并随时无需理由反对直接营销（第21条），
• 随时撤回同意，不影响此前处理合法性（第7(3)条），
• 向我们及信息委员会投诉（第16节）。

**如何行使权利：**请发送至 legal@planfly.app，最好使用账户登记邮箱。亦可在账户设置查看、更正大量数据及删除账户。请求免费。我们及时且最迟在收到请求后一个月内回复，或如确认身份所需信息较晚收到，则自收到该信息起一个月内回复；考虑复杂性和数量，必要时可延长两个月，在首月内告知并说明原因。如我们处理您的大量信息，并合理需要您明确请求涉及的信息或处理活动，可要求您明确，在您作出答复前，处理请求的时限暂停计算。访问请求采用合理、适度的搜索。仅要求验证身份合理必要信息，不要求土耳其国民身份证号码、护照号码或手写签名信函。明显无依据或过度请求，可依 UK GDPR 收取合理费用或拒绝。我们将更正、删除或限制通知数据披露接收方，除非不可能或需不相称努力（第19条）。

如请求涉及代表商家处理的预约数据，请发送给商家；我们收到会转交并协助回复。

12. 自动化决策

我们不对您作出仅基于自动化处理的重大决定，即对您产生法律或类似重大影响的决定（UK GDPR 第22A至22D条）。商家可在控制面板查看根据客户预约历史代表商家计算的到场概率徽章；仅作提示，屏蔽客户由商家手动进行。速率限制及机器人检查等自动安全控制可暂时限制请求；如认为错误影响了您，请联系，我们团队人员将调查。

13. Cookie 及类似技术

依据 PECR 第6条，无须请求同意时，我们仅使用网站、控制面板及预约页面运作严格必需的 cookie 和类似技术。其他技术，特别是营销页面 Google Analytics 4，仅经事先同意使用；可在 cookie 告知中同意或拒绝，随时通过“Cookie 偏好”更改；对于 Google Analytics，我们不援用统计目的例外。Google Analytics 关闭广告功能及 Google signals；浏览器发送 Do Not Track 或 Global Privacy Control 信号时不运行。英国访问不设置合作伙伴推荐 cookie（代码仅保存在该次访问会话），不为聊天按钮旁信息消息在浏览器存储任何内容，也不保存预约页面无 cookie 访问统计。完整 cookie 清单及期限见 Cookie 政策。

当您打开土耳其里拉以外的货币订单的 Paddle 结账，Paddle 可依自身隐私告知书使用结账及支付安全所必需的 cookie 和类似技术。

14. 安全

我们采取适当技术和组织措施，包括所有连接加密传输（TLS）、商家数据隔离及基于角色的访问、密码哈希和可选双因素认证、数据库私人客户备注和第三方访问令牌加密、速率限制及滥用检测、日志记录和定期加密备份（隐私政策第13节）。发生个人数据泄露时，在 UK GDPR 要求的情况下通知信息委员会及受影响人士。

15. 儿童

Planfly 面向商家及其客户，不以儿童为对象。我们不明知而为自身目的收集儿童数据。商家接受儿童预约时，预期由父母或法定监护人预约，商家作为控制者负责处理（隐私政策第17节）。

16. 投诉

**向我们投诉：**依据 DPA 2018 第164A条，如您对个人数据处理方式有疑虑，有权向我们投诉。可通过 legal@planfly.app 电子提交。我们在30日内确认收到，采取适当措施及时回复，包括在适当范围内调查投诉事项，并及时告知结果。

**向信息委员会投诉：**您亦有权通过投诉页面向英国数据保护监管机构信息委员会（原信息专员办公室，“ICO”）投诉。监管机构通常希望您先向我们提出疑虑并给予回复机会。您亦有权向法院提起诉讼。

17. 本告知书的变更

法律、服务或服务商变化时，我们可更新本告知书。本版本最后更新于 十月 10, 2026。重大变更亦可通过电子邮件或控制面板通知商家用户。

18. 本告知书的语言

本告知书以内容相同的土耳其文和英文发布。对于位于土耳其境外的人士，英文版本具有权威效力。