隐私政策

适用范围

本政策适用于我们通过我们的网站 veratrace.xyz（主站）、veratrace.eu（欧洲站）和 veratrace.net（国际站）、我们的移动应用程序（VeraTrace Producteur、VeraTrace Client）、我们的联系表单、我们的物联网套件和 NFC 标签，以及与我们服务的任何其他互动所收集的所有个人数据。

本政策不涵盖我们可能链接到的第三方网站的隐私惯例。我们建议您阅读所访问的任何第三方网站的隐私政策。

数据控制者

您个人数据的数据控制者是：

我方数据保护官（DPO）可就有关您个人数据保护的任何问题接受咨询。您可随时与其联系，以行使您的权利或就数据处理提出任何疑问。

收集的数据

我们根据您的用户类型以及您与我们服务的互动情况，收集以下类别的数据：

数据类别

敏感数据

我们不会收集 GDPR 第 9 条所指的敏感数据（种族或民族出身、政治观点、宗教信仰、健康数据、性取向等），除非确有必要并获得您的明确同意。

未成年人

我们的服务并非面向 16 岁以下的未成年人。我们不会故意收集有关未成年人的个人数据。如果您是家长或监护人，并认为您的子女已向我们提供个人数据，请立即通过 [email protected] 与我们联系，以便我们予以删除。

数据来源

• •直接来自您（表单、手动录入）
• •自动采集（cookies、日志、物联网传感器）
• •通过第三方（合作伙伴 API、已连接的信息系统）
• •公开来源（用于核实的官方登记册）

处理目的

您的个人数据将用于以下目的处理，每项均有特定的法律依据：

处理的法律依据

根据GDPR，所有个人数据处理必须基于法律依据。以下是我们处理所依据的法律基础：

利益平衡

当我们援引合法利益时，我们已在我们的利益与您的权利和自由之间进行了平衡。此项分析已记录在案，可向我们的DPO申请获取。

数据保留期限

我们仅在为收集个人数据之目的所必需的期限内保留您的个人数据，并遵守法定义务：

归档

在活跃数据库保留期限届满后，部分数据可能被归档至访问受限的中间数据库，以履行我们的法定义务，或用于确立、行使或辩护司法权利。

删除

在保留及归档期限届满后，您的数据将被安全删除或以不可逆转的方式匿名化。

数据接收方

您的个人数据可能会在严格限于实现上述目的所必需的范围内，传达给以下接收方：

内部

仅限因履行职责需要而须访问您数据的 VeraTrace 团队成员方可访问：

• •技术团队（支持、开发）
• •商务团队（客户关系）
• •行政团队（账单、会计）
• •管理层（监督）

访问权限按照最小权限原则进行控制，并记录于我们的审计日志中。

分包商及服务提供商

我们委托技术服务提供商负责我们服务的运营。所有提供商均受严格的合同义务约束（GDPR 第 28 条）：

此清单定期更新。最近一次修订：2026 年 1 月。

合作伙伴（须经您同意）

经您明确同意后，部分数据可与我们的合作伙伴共享：

• •您作为成员的农业合作社
• •合作的地方政府（仅限汇总数据）
• •认证机构（用于核实）

主管机关及法律义务

您的数据可能会应合法要求传达给主管机关：

• •税务机关（检查）
• •司法机关（调取令）
• •CNIL（检查）
• •食品监管机关（DGCCRF、DDPP）

数据出售

我们绝不会将您的个人数据出售给第三方。未经您的明确同意，我们也不会将其共享用于广告目的。

欧盟境外传输

我们的部分服务提供商位于欧洲联盟境外,主要位于美国。在此情况下,我们确保根据《通用数据保护条例》(GDPR)第五章设立适当的保障措施:

已设立的保障措施

涉及国家

您可通过发送电子邮件至 [email protected] 与我们联系,以获取标准合同条款副本或已设立的保障措施之副本

自动化决策与分析

根据《通用数据保护条例》第22条，我们在此告知您涉及自动化决策的处理活动：

可追溯性评分计算

我们会根据您提供的数据自动计算可追溯性评分（从A至E）：信息完整度、认证、供应链覆盖率等。

该评分仅供参考，不产生重大法律效力。不会影响您使用本服务的能力。

您可以通过联系我们的支持团队对此评分提出异议。

VRT 积分分配

积分通过算法自动计算，考虑因素包括：运输距离、认证、产品类型、冷链等。

此计算会影响您累积的积分数量。

如您认为存在错误，可申请人工复核。

不存在完全自动化的决策

本平台不会以完全自动化的方式作出产生法律效力或对您有重大影响的决策。您可随时请求人工介入。

您的权利

根据GDPR和法国《信息与自由法》，您对个人数据享有以下权利：

如何行使您的权利

要行使您的权利,您有以下几种选择:

请在任何申请中附上身份证明文件副本(身份证、护照)。此措施旨在保护您的数据免受欺诈性申请。

我们承诺自收到申请之日起一个月内回复。考虑到申请的复杂性和数量,此期限可延长两个月,届时您将获通知此延长。

行使您的权利是免费的。但是,如遇明显无理由或过分的申请,特别是因其重复性质,我们可要求支付合理费用或拒绝跟进。

向数据保护机构投诉

如果您认为对您个人数据的处理违反了法规，您有权向法国国家信息与自由委员会（CNIL）——法国数据保护监管机构——提出投诉：

Cookies和追踪器

我们的网站使用cookie和类似技术（像素、网络信标、本地存储）。Cookie是在您访问网站时存储在您终端设备（计算机、智能手机、平板电脑）上的小型文本文件。

什么是Cookie？

Cookie使网站能够识别您的浏览器并记住某些信息（偏好设置、会话等）。Cookie无法执行程序或传播病毒。

所使用的Cookie类型

我们不使用的内容

• 广告或定向Cookie
• 社交网络追踪器（Facebook Pixel等）
• Google Analytics或任何Google追踪服务
• 用于营销目的的第三方Cookie

Cookie管理

您可以随时修改您的Cookie偏好设置：

主要浏览器设置的链接

禁用某些Cookie可能会影响网站的运行和您的浏览体验。

数据安全

我们采取适当的技术和组织措施，保护您的个人数据免遭意外或非法销毁、丢失、篡改、未经授权的披露或访问：

技术措施

• •传输中数据加密（HTTPS/TLS 1.3）
• •敏感数据静态加密（AES-256）
• •密码哈希（bcrypt 加盐）
• •系统访问强认证（强制 2FA）
• •Web 应用防火墙（WAF）及 DDoS 防护
• •入侵监控与检测（IDS/IPS）
• •每日加密备份并每月进行恢复测试
• •开发、测试与生产环境分离

组织措施

• •基于最小权限原则的严格访问控制
• •数据访问可追溯性（审计日志）
• •团队定期接受安全与数据保护培训
• •安全事件管理政策
• •定期审查访问权限
• •所有员工和承包商均须签署保密条款

测试与审计

我们定期进行安全测试（渗透测试、漏洞扫描）并对我们的实践进行审计。

数据泄露

如发生可能对您的权利和自由构成风险的个人数据泄露事件：

1. 我们将在知悉泄露后 72 小时内通知 CNIL
2. 如对您的权利和自由构成较高风险，我们将尽快通知您
3. 我们将在内部登记册中记录所有泄露事件
4. 我们将采取措施补救泄露并限制其后果

区块链相关的特定事项

VeraTrace 采用区块链技术对可追溯性数据进行认证。以下为您需要了解的内容：

不可变更性

记录于区块链上的哈希值本质上不可变更，且无法删除。然而，此等哈希值无法用于还原您的个人数据。从我方系统中删除您的数据后，此等哈希值即失去可用性。

删除权与区块链

若您行使删除权，我方将从数据库中删除您的全部个人数据。区块链哈希值虽然依旧存在，但将无法再与您的身份相关联，亦无法用于还原您的数据。

本政策的变更

我们保留随时修改本隐私政策的权利，以反映我们实践的演变或监管要求的变化。

我们如何通知您

• •就重大变更通过电子邮件通知（已注册账户的用户）
• •在网站上显示信息横幅，为期30天
• •更新文件顶部的"最后更新日期"

在变更发布后继续使用我们的服务，即视为接受新政策。

版本历史记录可向我们的数据保护官（DPO）索取。

联系我们

如对本隐私政策或您个人数据的处理有任何疑问：

我们承诺在5个工作日内对任何请求作出初步回复，并在一个月的法定期限内提供完整答复。