PavelAndreev.ORG平台的个人数据隐私政策

一、个人数据管理员信息

“Pavel Andreev”基金会是一家根据保加利亚共和国法律注册的非营利法人，登记于商业登记处及非营利法人登记册，统一社会信用代码/税号：206678629，注册地址：瓦尔纳市（Varna）9000，管理地址：“Primorski”区，“General Kolev”街113号，8楼，（以下称“基金会”和/或“管理员”），作为个人数据管理员，依据欧洲议会与理事会于2016年4月27日颁布的第(EU)2016/679号条例（关于个人数据处理及自由流通，废止95/46/EC指令，以下简称“条例”）以及《个人数据保护法》/“Personal Data Protection Act”（以下简称“PDPA”）管理个人数据。

电子网站：https://pavelandreev.org，由管理员拥有并管理，完全遵守《条例》和《个人数据保护法》（PDPA）的规定。

管理员联系方式：

全名：Pavel Andreev Andreev

电话：0889/560925

电子邮箱：[email protected]

二、个人数据

根据《条例》，个人数据是指与已识别或可识别的自然人相关的任何信息，该自然人可通过相关数据被识别。

三、宗旨

本政策旨在向您说明基金会作为管理员处理个人数据的原则和方式，包括将收集和处理的数据类型，以及被收集和处理个人数据的人的权利。本政策同时依据《条例》第13条和第14条的规定制定并公布，以履行基金会作为数据管理员的义务。

若您对个人数据、权利及隐私有任何疑问或需要更多信息，请通过第一部分所列联系方式与基金会联系。

四、处理原则

根据《基本人权宪章》第8条规定，个人数据保护是一项基本人权。本基金会认为，您个人信息的隐私性、保护和安全是优先事项，并承诺遵守个人数据保护的法律规定。本基金会不会将收集的个人数据出售给第三方，也不会在没有法律依据的情况下根据《条例》和PDPA向第三方处理或提供这些数据。基金会仅在存在合法依据的情况下，才会处理或向第三方提供个人数据，包括根据《条例》明确自由给予的同意，或《条例》和PDPA规定的其他处理依据。

在收集和处理个人数据时，基金会作为数据管理员，遵循《条例》第5条中规定的以下原则：

合法性、诚信与透明性；
为特定合法目的收集数据，且不得以与该目的不符的方式进一步处理；
数据限制、准确性及保持最新状态；
在完成目的所需的最短期间内识别数据主体；
数据应具备适当的安全级别，包括防止未经授权或非法处理。

本基金会严格遵循“最少必要原则”（need-to-know），仅处理为实现特定、合理且合法目的所必需的个人数据。

五、个人数据类型法律依据

5.1.本基金会的活动完全以慈善为导向。本基金会设立的宗旨及其整体运作基于组织各类活动/公益项目，例如：为健康状况严重的成人/儿童筹集资金；为生活条件艰难或社会弱势群体提供帮助；为遭受自然灾害影响的人士提供援助，以及总体上为需要经济支持的人士筹集资金。筹款活动包括但不限于：组织其他公益项目，如：支持体育领域的才华人才；援助难民及/或受冲突、疫情及/或其他事件影响的人员；为相关动物、维修和改造工程及其他慈善项目筹集资金。资金通过在线募捐活动募集，该活动展示需要帮助者的实际情况。基于上述活动，本基金会在合法和适当的范围内处理和保护在履行其职能过程中收集的个人数据，并依据收集数据的目的进行管理。

5.1.1.为本隐私政策的目的，并为避免任何术语上的疑义，下列术语具有以下含义：

“受益人/需要帮助者”——指为其组织相应慈善活动的个人（无论公益项目性质如何），即为其治疗筹集和捐赠资金的对象。

“发起人/组织者”——指根据其倡议组织并发布相应慈善活动的个人。组织者不必是受益人，其可以是受益人的父母/监护人，或为需要帮助者的第三方。组织者对向基金会提供用于发布的信息负责，并需确保受益人对此信息的同意。

“捐助者”——指为相应项目/活动提供资金的任何自然人或法人，包括在基金会网站注册或未注册账户的捐助者。

“用户”——指访问基金会网站的任何个人，以及在网站上创建账户的个人。

“项目/活动”——鉴于基金会组织的项目和活动范围广泛，上述术语可指：为受益人筹集资金，包括为维修工程、动物以及其他慈善和援助活动筹集资金的任何组织活动。

本基金会收集和处理的个人数据类型：

A) 针对网站用户（作为捐助者/用户）收集和处理的个人数据：

通过上述电子网站，基金会可能收集以下信息：（1）对于在电子平台创建账户的捐助者/用户：姓名、电话、电子邮箱地址；（2）对于未创建账户的捐助者/用户：姓名和电子邮箱地址。在以上两种情况下，本基金会可能根据捐助者选择的捐款方式收集其银行账户信息。若捐助者希望基金会出具与税收减免相关的捐赠证明，本基金会可要求提供用于确认捐赠的凭证，该程序在基金会《使用条款》中有规定。
通过与本基金会官方电子邮箱的联系：本基金会通常不会通过电子邮件收集或处理个人数据。尽管如此，本基金会仍可能收集联系者自愿提供的姓名、电子邮箱、电话号码及其他信息。
通过电话联系：本基金会可能收集联系者自愿提供的姓名、电话号码及其他信息。

B) 针对受益人身份收集和处理的个人数据：

通过上述电子网站，基金会收集和处理以下信息：全名、个人身份号码/出生证明号（若非保加利亚籍）、身份证/护照信息、地址、电子邮箱、电话号码，以及：（1）对于医疗项目：收集各类医疗信息，包括病历摘要、检查及结果文件、医疗诊断及其他可证明受益人健康状况的资料；如自愿提供并明确同意公开（包括在社交媒体上以提高公众关注度）的照片；已进行干预措施的结果证明及其他相关资料（在项目结束后并经明确同意）；银行信息及受益人/发起人自愿提供的其他信息（若两者非同一人）。（2）对于非医疗项目/活动：本基金会可能收集和处理以下信息：全名、个人身份号码/出生证明号（若非保加利亚籍）、身份证/护照信息、地址、电子邮箱、电话号码、受益人的社会及生活状况信息，包括生活条件和生活质量；照片（在自愿提供并明确同意公开的情况下，包括在社交媒体上以提高公众关注度）；证明组织项目/活动筹集资金实际需求的文件；成果证明，以及受益人/发起人自愿提供的其他任何信息（若两者非同一人）。
通过与本基金会官方电子邮箱的联系：本基金会通常不会通过电子邮件收集或处理个人数据。尽管如此，本基金会仍可能收集联系者自愿提供的姓名、电子邮箱、电话号码及其他信息。
通过电话联系：本基金会可能收集联系者自愿提供的姓名、电话号码及其他信息。

针对未成年人受益人身份的个人数据收集和处理：

本基金会收集和处理以下个人数据：全名、出生日期、个人身份号码/出生证明号（若非保加利亚籍）、地址、身份证信息（如适用），以及：（1）对于医疗项目：收集各类医疗信息，病历摘要、检查及结果文件、医疗诊断及/或其他可证明受益人健康状况的资料；受益人照片（在父母/监护人/发起人自愿提供并明确同意公开的情况下，包括在社交媒体上以提高公众关注度）；已进行干预措施的结果证明及/或其他资料（在活动结束后并经明确同意）；以及父母/监护人/发起人自愿提供的其他任何信息。2）对于非医疗项目/活动：本基金会可收集和处理以下信息：全名、出生日期、个人身份号码/出生证明号（若非保加利亚籍）、地址、身份证信息（如适用）、受益人的社会及生活状况信息，包括生活条件和生活质量；照片（在父母/监护人/发起人自愿提供并明确同意公开的情况下，包括在社交媒体上以提高公众关注度）；证明组织项目/活动筹集资金实际需求的文件；以及父母/监护人/发起人自愿提供的其他任何信息。

C) 针对网站用户身份为父母/监护人/发起人的个人数据收集和处理：

通过上述电子网站，基金会可能收集以下信息：全名、个人身份号码/出生证明号（若非保加利亚籍）、身份证/护照信息、地址、电子邮箱、电话号码。
通过与本基金会官方电子邮箱的联系：本基金会通常不会通过电子邮件收集或处理个人数据。尽管如此，本基金会仍可能收集联系者自愿提供的姓名、电子邮箱、电话号码及其他信息。
通过电话联系：本基金会可能收集联系者自愿提供的姓名、电话号码及其他信息。

在通过基金会官方电子邮箱和/或电话联系本基金会时，本基金会始终建议并引导个人通过电子网站而组织募捐活动。本基金会不进行通过电子邮件或电话收集和处理受益人个人数据的操作，尽量减少相关咨询，并将组织工作引导至网站。通过电子邮件和/或电话，本基金会主要提供有关已完成或正在进行的活动的信息，以及如何组织此类活动的技术支持。为实现信息最大化透明化，本基金会仅向联系的捐助者/用户/个人提供公开可获取的信息。若通过电子邮件和/或基金会社交媒体账户发送包含敏感个人数据的文件，则本基金会视为发送者已同意并已阅读本隐私政策及使用条款，但仍会记录该文件并引导发送者使用电子网站。

5.2.上述个人数据收集和处理的依据：

提供个人数据对于本基金会的活动是必要的，包括组织募捐活动、为需要帮助的人筹集资金，以及对收到的慈善活动申请进行真实性核查，以防止滥用。在这些情况下，个人数据的收集和处理基于合同依据和要求，否则本基金会无法提供相关服务。对于照片资料和/或其他无法以合同为依据的数据，本基金会将征求相关个人的明确、自愿和知情同意。

5.3.根据法律规定，本基金会在司法/仲裁/执行/保全程序中，和/或在主管机关要求下，可能需要披露第三方的个人数据，或在国家安全、执法或其他法律规定的情况下披露个人数据。在以上情况下，个人数据的处理属于本基金会履行法定义务。若为保护本基金会的合法权益而必须披露个人数据，本基金会亦可进行此类披露。正因如此，包括为防止资金滥用及在怀疑不当行为时向主管机关报告的可能性，本基金会会登记其捐助者、受益人及发起人信息。

本基金会声明其为《反洗钱法》（AML Act）主体，属于该法第4条第28款所列人员。因此，本基金会负有法定义务，可根据《反洗钱法》要求捐助者提供资金来源信息。若本基金会发现风险及/或可疑交易（捐赠）超过《反洗钱法》（AML Act）规定的法定限额，特别是该法第11条所述规定，本基金会可进行核查及/或向主管机关报告。被认定为“可疑”及/或“高风险”的捐赠包括：（1）单笔或多笔相关操作或交易，金额等于或超过1.5万欧元或等值其他货币；（2）任何涉嫌洗钱、资助恐怖主义及/或资金来源违法的情况，无论操作或交易金额大小、客户风险等级、其他适用核查措施条件或本法及其实施条例中规定的例外情况。本基金会保留在维护合法权益的前提下，对可疑情况进行核查的权利，包括收集《反洗钱法》要求的必要个人数据，并向主管机关报告。

本基金会的活动完全以慈善为目的，因此根据《反洗钱法》第11条第5款，本基金会行使其权利，包括及/或可进行以下操作：

通过收集尽可能完整的信息识别捐助者和受益人，以实现明确识别，包括对具有控制权的人员的识别，同时不显著妨碍组织的活动——若有必要，可使用综合核查的方法和手段；
对捐助者、受益人及合作的非营利法人进行核查，以确认是否存在负面公开信息或是否与《反恐融资法》第4b条所述人员相符。

5.4.若组织者/受益人明确书面同意（包括通过电子签署声明的同意）提供可证明其状况或筹款需求的照片资料，则该组织者/受益人同意该资料可用于在社交媒体及/或其他平台上发布，用于营销及/或其他目的。在以上情况下，收集和处理此类个人数据的依据为明确同意。若组织者与实际受益人不同，组织者需对所提供的受益人个人数据负责，该数据可能被发布。

5.5.本基金会遵守《条例》和PDPA关于告知数据主体的所有要求，并已根据本隐私政策通知相关人员，包括在发布和组织活动前，等待从其组织者/受益人处获得自愿且知情的同意。

5.6.根据本隐私政策第5.4条规定，鉴于所提供数据的性质，包括健康状况、诊断、社会及生活状况等，相关活动的发起人有义务删除受益人的个人数据。因此，发起人在组织活动时，应删除受益人的个人身份号码、身份证信息及地址。若未执行此操作，则本基金会有权在遵守法律规定的前提下，在发布信息前删除上述个人数据。对本基金会而言，遵守国家及超国家层面的所有法律法规至关重要，因此仅发布已获得自愿且知情同意的数据，以及为特定活动/项目目的所必需的数据。

5.7.鉴于本基金会希望组织并帮助处于严重/弱势状态的人士或动物，为其治疗/改善生活及社会状况筹集资金，本基金会有权发布由发起人自愿提供的照片，以及用于向第三方证明相关诊断/状况的资料，仅用于确保活动的透明度。在明确且自愿同意的前提下，本基金会可向捐助者发布有关资金使用的成果证明，以证明资金仅用于改善健康、社会及生活状况，或用于筹集资金进行环境改善、维修及/或其他相关目的。

六、个人数据收集和处理的目的

6.1.本基金会收集和处理为开展其活动及履行与发起人/受益人/用户/捐赠者的合同义务所必需的个人数据。为此，本基金会处理个人数据的目的包括：

通过本基金会网站上提供的表单与用户/捐赠者建立联系，该网站由本基金会维护和管理；和/或通过电子邮件、电话等方式直接建立联系。
组织慈善活动时，以为有需要的人筹集资金，包括核实提供的医疗文件，以确认其需求并防止第三方滥用；
为网站用户/捐赠者/受益人提供答复并采取相应措施，处理查询、投诉、申诉、申请等事务。

6.2.经组织者/受益人同意，或在法律允许的情况下，本基金会可使用其个人数据，包括电子邮件地址、姓名、自愿提供的照片，以及证明诊断/需求的文件（可能为医疗文件），用于向捐赠者提供信息，以及确保本基金会行为的透明度。此外，本基金会可在网站上专门标注的栏目中发布相应公益项目/活动的结束信息，包括因募集到足够资金或其他导致活动结束的事件。

6.3.捐赠者可接收包含公益项目相关信息的电子邮件——如募集资金情况、受益人的治疗情况、当前健康状况及其他在本基金会网站上公开发布的数据。本基金会明确区分，这些电子邮件不应被认定为“未经请求的商业信息”或其他类似信息，因为在完成捐赠的情况下，应视捐赠者有权关注并获取关于公益项目进展的相关信息。

6.4.本基金会会在实现收集目的所需的期限内保存个人数据，包括为遵守相关法规的要求而保存的数据。

6.5.上述个人数据的处理是为了执行本基金会的行政及其他运营流程，包括但不限于本基金会提供的各类服务，例如（但不限于）：为有需要的人快速、及时地组织公益活动；在第三方希望为特定目的进行捐赠时提供协助等。

6.6.为确保妥善且高质量的保存，包括证明公益活动的真实性，本基金会将捐赠者、发起人及受益人的个人数据存储在专门设立的登记册中。

七、安全措施

7.1.本基金会采取充分的技术和组织措施，保护所处理的个人数据，防止被盗用、滥用、未经授权访问、未经授权披露、未经授权销毁或其他任何非法处理或处置。此外，本基金会不在办公室或其他任何实体地址以纸质形式保存发起人、受益人及捐赠者的个人数据，因此采用更高级的加密和备份手段对数据进行保护。

7.2.本基金会的所有代表和员工，以及所有与本基金会签订合同的第三方，均有义务遵守保密原则，并严格按照《通用数据保护条例》（GDPR）及《个人数据保护法》（PDPA）执行个人数据保护相关法规。

7.3.在本基金会向第三方提供个人数据的情况下，本基金会采取包括合同在内的机制，确保这些数据按照适用法律进行处理和保护。

八、数据保存期限

8.1.本基金会遵循仅在实现收集目的所需且为履行相关义务所必需的期限内保存数据的原则，除非法律规定需更长的保存期限。

8.2.在遵守保加利亚共和国适用的会计、财务及税务法律法规，包括对文件归档的法定要求，并在法定保存期限届满后，本基金会将删除与以下事项相关的个人数据：

通过电子邮件和/或其他电子平台建立的联系中提出的查询、问题、申请、投诉等；
在执行行政及运营活动过程中产生的数据；
在公益活动组织前、期间及结束后的相关数据。

8.3.若个人未按照本基金会的要求正式发起公益活动，管理员将在收到其通过官方电子邮箱提出的查询后1个月内删除相关个人数据。若用户/发起人/受益人使用电子平台组织了公益活动，本基金会将在所有法定期限届满后删除相关个人数据，包括税务、会计及其他法律规定的期限，删除期限的起算时间以公益活动在本基金会网站上结束之日为准。

8.4.通过接受本政策，发起人/受益人理解并声明，一旦其请求删除向本基金会提供的个人数据，本基金会有义务删除相应的公益项目/活动，该项目/活动将无法继续筹款和/或公开传播。因此，在提出删除个人数据的请求时，发起人/受益人清楚地了解，该公益项目/活动将在个人数据删除期限内终止。此规定同样适用于发起人与受益人不同的情况，但发起人请求删除受益人的个人数据时亦适用。作为慈善组织，本基金会遵守法律义务，防止滥用捐赠者资金，因此在发现滥用、违法行为及/或其他法律违规情况时，能够识别发起人对本基金会而言至关重要。

九、与个人数据相关的权利

9.1.根据《通用数据保护条例》（GDPR）及《保加利亚个人数据保护法》（PDPA），数据主体在任何时候享有以下权利：

（1）有权访问其由本基金会处理的个人数据；

（2）有权要求更正不准确的数据、删除数据（包括在存在法律依据的情况下）、限制或阻止其个人数据的处理（在存在法律依据的情况下）；

（3）在符合条例条件的情况下，有权要求数据可携带性；

（4）在存在法律依据的情况下，有权随时反对其个人数据的处理；

（5）如认为其个人数据保护权利受到侵犯，有权向个人数据保护委员会（Commission for Personal Data Protection, CPDP）提出投诉。

9.2.本基金会可拒绝履行行使权利的请求，前提是《通用数据保护条例》（GDPR）及《保加利亚个人数据保护法》（PDPA）规定了相应理由，包括：请求无正当理由重复提出、对管理员造成过度负担和/或费用、请求明显不合理，或可能危及或侵犯其他用户的隐私及权利。

十、数据主体行使权利的程序

10.1.数据主体可通过提交行使相应权利的请求，依据本政策行使其权利。

10.2.行使数据主体权利的请求可通过以下方式提交：

A) 向本基金会提交：

通过电子邮件发送至以下地址：[email protected]
亲自前往管理员的行政部门；
通过邮寄方式发送至管理员地址：保加利亚瓦尔纳市”Primorski”区”General Kolev”大道113号8楼

10.3.向本基金会提交的与个人数据保护相关的权利行使请求，应包含以下信息：

个人身份信息——全名；
联系方式——地址、电话、电子邮件；
请求内容——请求的具体描述。

10.4.本基金会将在收到权利行使请求后一个月内，提供关于已采取措施的相关信息。

10.5.若有必要，该期限可延长两个月，延长期限将根据请求的复杂性及同一申请人的请求数量来确定。本基金会将在收到请求后一个月内，通知申请人任何延长期限，并说明延迟的原因。

10.6.本基金会无义务对请求作出回应，若无法识别数据主体。

10.7.本基金会可要求提供额外信息（例如个人身份证号码）以确认数据主体的身份，若对提出请求的自然人身份存在合理疑虑。

若请求通过电子方式提交，信息应尽可能以电子方式提供，除非数据主体提出其他方式的要求。

十一、生效与更新

本政策自2021年10月07日起生效。Pavel Andreev基金会可对本政策进行修改和更新，每次修改/更新均在其上述官方网站上发布，并可根据自身判断采取其他措施通知用户/捐赠者/受益人/发起人关于已修改或更新的政策。

最后修改日期：2024年04月05日