隐私政策

普尔文隐私政策

最后更新：2023 年 9 月

一般信息

Prometric LLC 是一家美国特拉华州的有限责任公司，主要营业地点位于 1501 South Clinton Street, Baltimore, Maryland 21224 USA（以下简称“公司”、“我们”或“我们”）。 Prometric 可以充当数据控制者或数据处理者，具体取决于其与数据主体的关系。

本隐私政策（“政策”）是根据此处规定的原则起草和实施的，以描述我们在收集和处理有关考生、客户、承包商和合作伙伴的个人数据方面的做法。 Prometric 特别注重尊重隐私和个人数据，并致力于遵守本政策和适用法律。

特别是，公司致力于遵守公司运营所在地的所有数据保护法律，包括：

• 欧洲议会和理事会 2016 年 4 月 27 日关于保护自然人个人数据处理和此类数据自由流动的条例 (EU) 2016/679，并废除指令 95/46/EC （一般数据保护条例）（“GDPR”）；
• 经 2020 年加州隐私权法案 (“CPPA”) 修订的 2018 年加州消费者隐私法案 (“CCPA”)；
• 《中华人民共和国个人信息保护法》（“个人信息保护法”）；
• 公司经营所在地的其他相关数据保护法规。

“适用法律”是指相关国家的数据保护法或与数据保护有关的适用法规。

“个人数据”是指与已识别或可识别的自然人有关的任何信息。

“处理”是指对个人数据或个人数据集执行的任何操作或一组操作，无论是否通过自动方式，例如收集、记录、组织、结构化、存储、改编或更改、检索、咨询、使用、通过传输、传播或以其他方式提供的披露、排列或组合、限制、删除或销毁。

1. 我们收集哪些类型的个人数据？

Prometric 根据您与公司的关系和适用法律收集以下个人数据：

• 联系方式，包括姓名、地址、电话号码、特定国家/地区的身份证号码、电子邮件地址、登录名和密码信息
• 出生日期
• 性别
• 考生测试安排详细信息
• 考试评估详细信息，包括考生 ID 号、参加的考试和时间、与这些考试相关的分数、参加考试或考试的任何特定部分的次数
• 考试主办方要求考生提供社会安全号码（美国）
• 支付和金融机构信息
• 居住地和国籍
• 照片
• 签名
• 视频记录
• 录音（法律允许且仅在特定司法管辖区）
• 来自身份证明、验证或资格文件的信息
• 交易和关系信息，包括揭示候选测试模式、测试地点、测试结果以及有关如何使用 Prometric 网站和应用程序的信息的元素。

此外，Prometric 可能会在适用法律允许的情况下处理特殊类别的个人数据，其中可能包括：

• 生物识别（指纹图像和模板、面部图像和模板）
• 与考生申请考试便利相关的健康信息或医疗数据
• 适用法律允许的种族或族裔

2. 我们如何收集您的个人数据？

在大多数情况下，Prometric 直接从个人数据主体收集此类个人数据。

但是，在其他情况下，我们可能会从测试赞助商或第三方数据供应商处收到信息，以帮助我们更好地了解客户。当考生访问 Prometric 网站、注册或参加考试、使用我们的应用程序或联系我们时，我们还会出于客户服务目的收集交易信息。

Prometric 通过我们的移动应用程序收集的所有个人数据均根据本政策的条款进行保护和处理。我们还仅向那些选择接收我们发送的此类通知的人提供自动（“推送”）通知。任何个人无需向 Prometric 提供位置信息或启用推送通知即可使用我们的任何移动感知应用程序。

生物识别数据的收集

生物识别签到系统和 Prometric 的远程监考平台（称为 ProProctor）旨在提高考试过程的安全性和完整性，在确认考生身份的同时保护考生隐私。这些技术用于身份验证目的，检测和防止欺诈和失实陈述，维护考试过程的完整性，并提高考试中心和远程监考考试的安全性。

3. 我们为什么收集您的个人数据？

Prometric 代表我们的考试主办方收集您的个人数据，用于以下目的：

• 安排测试考试
• 验证身份
• 管理测试和付款
• 管理客户服务请求
• 检测和防止未经授权的候选人的欺诈和失实陈述
• 进行数据分析以保持测试过程的完整性
• 向考生和测试主办方报告测试结果
• 开展营销活动，遵守适用法律

对于供应商和其他第三方，Prometric 出于以下目的收集您的个人数据：

• 供应商管理和行政
• 发票处理
• 了解您的供应商尽职调查和其他法律要求

4. 处理您的个人数据的法律依据是什么？

个人数据通常根据以下法律依据收集和处理：

• 您同意收集和处理特殊类别的个人数据。
• 如果适用法律要求跨境数据传输，则需征得您的同意。
• 合同的履行，包括注册和安排测试、管理测试、预防欺诈和结果处理。
• 用于合法的商业目的，例如发票处理和财务账户管理、促进业务连续性的备份目的、考试中心管理、业务规划、合同管理、改进向客户提供的考试服务、向现有考试考生推荐相关服务和产品、网站管理、履行、分析、安全和欺诈预防、公司治理、灾难恢复规划、审计和报告
• 遵守任何法律或监管义务。

5. 个人资料的披露

出于与所提供服务相关的合法商业原因或适用法律允许或要求的其他情况，个人数据可能会与其他公司附属公司、政府机构或第三方共享。

公司可能会共享个人数据：

• 在我们集团内，例如子公司
• 与我们的附属公司和授权测试中心
• 与测试赞助商和服务提供商等业务合作伙伴合作，以促进请求并改进我们的服务
• 必要时或当局要求时与政府当局和公共当局联系

生物识别数据只能向第三方披露：

• 仅出于调查作弊、未经授权的考试或其他考生不当行为的目的而进行与涉嫌不当行为相关的调查。
• 与具有管辖权和/或权力的监管、法律或政府机构提出的合法请求有关。

我们根据适用法律的要求与第三方签订合同，以确保个人数据的处理符合本政策和任何其他适当的保密和安全措施。

6. 我们如何存储您的个人数据？

根据您与 Prometric 关系的性质和适用法律，我们将您的个人数据存储在安全的 Oracle 云基础设施中，服务器位于美国弗吉尼亚州阿什本。

Prometric 遵循全面的记录管理计划和相关保留计划，以保留、存储和销毁在其业务过程中创建的所有记录（包括包含个人数据的记录）。我们还部署了数据管理策略，根据区域数据服务器隔离数据。

根据适用法律，我们公司将在处理期间保留您的个人数据，保留期限以较短者为准：

• 自上次服务、测试或评估之日起五 (5) 年；或者
• 收集个人数据的目的到期；或者
• 收集个人数据的适用司法管辖区的法律。

Prometric 保留个人数据的时间不会超过上述目的所需的时间。然而，如果有必要遵守适用法律或有必要保护或行使其权利，Prometric 可能会保留更长时间的个人数据。

生物识别数据的存储

在基于计算机的考试中心收集的所有生物识别数据都会安全地传输并安全地存储在 Prometric 位于欧盟的安全数据中心内，并根据收集数据所在司法管辖区的适用法律进行保留。生物识别数据在 Microsoft Azure 中存储并受到保护三十 (30) 天。

7. 个人数据的传输

在某些情况下，第三方的使用可能涉及将个人数据传输到其他国家。我们的业务流程通常需要在公司及其附属实体之间进行国际个人数据传输。

如果个人数据在欧盟/欧洲经济区内处理，并且如果个人数据被披露给第三方或在根据适用法律未被视为提供足够保护水平的国家/地区，则公司将确保：

• 执行欧盟委员会可能批准的标准合同条款；
• 采用适当的组织、技术和法律保障措施来管理上述转让，并确保根据适用法律提供必要和充分的保护。
• 如有必要，将评估传输情况和第三国立法，并根据需要完成数据传输影响评估，以确定是否需要实施补充措施。

对于不在欧盟/欧洲经济区处理的个人数据，如果个人数据被披露给位于数据主体管辖范围之外的第三方，公司将确保采取必要的保障措施，通过实施适当的法律机制来保护个人数据，包括：相关的标准合同条款和/或获得数据主体的适当同意。这些机制可能会因国家/地区和相关适用法律的不同而有所不同。

8. 你有什么权利？

根据司法管辖区和适用法律，您可能拥有与您的个人数据相关的以下权利：

• 访问权
• 整改权
• 删除权
• 限制处理的权利
• 反对处理的权利
• 数据可移植性的权利

• 决定如何在死后使用您的个人数据的权利

此类权利的行使须遵守适用法律和监管机构相关指导的限制。

为了行使您的权利，数据主体可以按照“如何联系我们”部分所述联系公司。我们可能会要求提供身份证明以回应请求。如果我们无法满足您的要求（拒绝或限制），那么我们将以书面形式证明我们的决定是合理的。

加州隐私权

《加州民法典》第 1798 条允许加州居民要求与其建立业务关系的公司提供有关公司出于直接营销目的与第三方共享个人数据的某些信息。未经同意，Prometric 不会出于营销目的与第三方共享任何加州消费者个人数据。如果您是考生，Prometric 将向您的考试主办方提供您的个人数据，考试主办方可以根据其自己的隐私政策使用这些信息。

9. 我们如何保护您的个人数据？

Prometric 实施了各种安全措施，例如技术、物理和管理保障措施，以保护所有个人数据免受安全事件或未经授权的披露，更普遍的是防止个人数据泄露。这些安全措施被认为是行业中适当的安全标准，其中包括访问控制、密码、加密、严格的擦除时间限制、日志记录机制和定期安全评估。

如果个人数据泄露可能影响您的个人数据，Prometric 将遵循其事件响应计划，并立即采取适当的行动来减轻数据主体面临的风险。此类措施可能包括通知适当的监管机构和受影响的数据主体，同时提供适用法律（即 GDPR 或 PIPL）规定的事件和缓解措施的相关详细信息。

Prometric 的信息安全计划每年都会由多个第三方组织进行多次审核，以确保其达到或超过安全和数据隐私及保护的最高基准。此外，员工和承包商有义务及时报告任何已知或可疑的滥用、丢失或未经授权访问的情况。

10. 根据《中华人民共和国个人信息保护法》（“PIPL”）处理个人数据

当个人数据位于中华人民共和国 (PRC) 境内或当个人数据由我们位于中华人民共和国的其中一家公司处理时，本节适用。

根据《个人信息保护法》第十三条的规定，为以下目的收集个人信息：

• 基于个人同意；
• 为了履行合同、为了合法的商业利益；
• 履行法定职责和责任或法定义务；
• 处理公开数据；
• 以满足法律要求。

根据 PIPL 第 23 条规定的要求和第 4 条提到的内容，未经 (1) 您的明确同意（如适用），或 (2) 履行以下义务，我们不会将您的个人数据转移和共享给第三方：适用法律规定的法定职责。

根据本政策规定的目的，个人数据可能会被转移至您居住地以外的国家或地区进行处理。此时，公司将根据适用法律保护个人数据的安全，包括但不限于实施访问控制、密码、加密标准、严格的保留期限、记录机制和定期安全评估。

本公司在将您的个人数据传输至中华人民共和国境外之前，将按照个人信息保护法第三十九条的规定，向您充分告知数据跨境传输的情况，并征得您的同意，并告知您以下信息：出境接收方的姓名、联系方式信息、处理目的、处理方法、个人数据类型，并提醒您根据 PIPL 行使权利的方法和程序。我们将请求您明确且单独同意这样做。

根据需要，如果个人数据传输至中华人民共和国境外，公司将根据适用法律进行跨境数据传输风险评估。

根据PIPL，敏感个人数据被定义为一旦泄露或被非法使用，极易对自然人尊严造成损害，对人身或财产安全造成严重危害的个人数据，包括生物特征、宗教信仰、特定身份等信息。 、医疗健康、财务账户、个人位置追踪等，以及14岁以下未成年人的个人数据。

根据 PIPL 和第 2 节中详述的规定，敏感个人数据的处理须经个人单独同意，并且是为了特定的业务相关目的而进行。

未经父母或其他监护人单独同意，Prometric 不会收集 14 岁以下未成年人的个人数据。我们只会在法律允许的范围内，根据适用的法律和法规使用或披露有关儿童的个人数据，以寻求父母的同意或保护儿童。

如果发生个人数据泄露，Prometric 应当对侵犯数据主体个人数据权利的数据主体承担民事责任，但不影响数据控制者根据以下规定承担的行政、刑事或其他法律责任： PIPL。

11. 隐私政策的变更

公司可能需要更新其政策，以遵守新的或不同的隐私惯例。本政策的更新版本将通过适当的渠道提供，并将适用于其生效日期后收集的数据。

12. 如何联系我们

如果对本政策有任何疑问、意见或疑虑，或者为了行使与个人数据相关的适用法律允许的隐私权，请通过以下地址联系我们的数据保护官： joseph.srouji@contractor.prometric.com

您还可以通过单击以下链接提交与您的个人数据相关的请求，并填写表格中的所有必填字段：个人数据请求

您也可以通过邮件联系我们：

Prometric 隐私项目经理
Prometric LLC，1501 南克林顿街
美国马里兰州巴尔的摩 21224

在用完 Prometric 的内部投诉流程后，如果考生对解决方案不满意，他或她可以向大马里兰州商业改进局 (“BBB”)（一家位于美国的替代争议解决提供商）提出投诉。

BBB 网站：http: //www.bbb.org/greater-maryland/

BBB 电话：410-347-3990

BBB 传真：410-347-3936

数据主体还有权直接向相关司法管辖区的主管监管机构提出投诉，或者可以根据适用法律采取法律行动。