本繁體中文文本為 Balm 隱私權政策 4.0 版（自 2026 年 6 月 22 日起生效）的參考性摘要。依前述第 1.4 條，本政策具法律拘束力的版本為刊載於 balm.rentals/ru/privacy 的俄文版本。若本中文摘要與俄文版本有任何牴觸，概以俄文版本為準。

1. 適用範圍與接受

本隱私權政策說明 Balm 收集哪些個人資料、收集目的、如何處理、與何人分享，以及您享有哪些權利。本政策適用於 balm.rentals 網站以及 iOS 與 Android 版的 Balm 行動應用程式（合稱「本服務」）。使用本服務即表示您已閱讀並理解本政策。

2. 資料控管者

資料控管者為個體工商戶 Sergey N. Vikhlyaev，稅號（TIN）682004283576，OGRNIP 323680000023219，於俄羅斯聯邦註冊。聯絡管道：balmforpartners@gmail.com。

3. 我們處理的個人資料類別

身分與聯絡資料（姓名、電話、電子郵件、透過 Apple Sign in 與 Google Sign In 取得的 OAuth 識別碼、個人頭像）；刊登資料（車輛照片、描述、地點、聯絡電話）；通訊內容（聊天訊息及其附件媒體、評價與評分）；需求資料（配送／租賃需求的文字與參數，及其地理位置 – 見第 3A 條）；技術資料（IP 位址、裝置識別碼、作業系統與應用程式版本、推播權杖、當機與效能記錄）；使用資料（搜尋查詢、瀏覽過的刊登、合作夥伴連結點擊、VIP 狀態與指標）；位置資料（在您授權後，於應用程式使用期間採集，包括用於需求功能）；付款資料（交易狀態與卡號末四碼 – 我們絕不接收完整卡片資料）；自第三方取得的資料（Apple、Google、分析與推播服務供應商）。

我們不會刻意收集特殊類別資料（健康、宗教、生物特徵等）。本服務不面向未滿 18 歲的未成年人。

3A. 配送與租賃需求

本服務提供需求功能：承租人（通常為遊客）發布配送及／或租賃車輛的需求，並指定所需的車輛參數、條件與地點。在需求地點一定範圍內擁有相符車輛的出租方會收到關於新相符需求的推播通知，並可作出回應；雙方隨後於應用程式內聊天溝通。

就此功能，我們處理：需求文字及其所指定的車輛參數；您提供或確認的地理位置（座標或區域）；將需求與出租方有效刊登進行比對所需的技術資料（車輛類型與特性、需求地點與刊登地點之間的距離）；以及用於傳遞相符需求通知的推播權杖。

法律依據為履行您與我們之間的契約（提供服務功能），就地理位置而言則為您透過授予位置存取權及發布需求所表示的同意。比對係依地理與參數條件自動進行，屬輔助性處理，不會對您產生法律效果（另見第 9 條）。需求的地理位置僅在評估相關性所需範圍內向收到通知的出租方顯示（通常為區域或概略距離，而非您確切的居住地址）。關於相符需求的推播通知僅發送給擁有相符有效刊登且未停用該類通知的出租方。需求資料的保存期限見第 5 條；與需求相關的聊天適用聊天保存規則。

4. 法律依據與目的

我們基於下列依據處理您的資料：(a) 履行您與 Balm 之間的契約（以提供本服務，包括刊登、需求、需求與刊登的比對、聊天與通知）；(b) 遵循法律義務；(c) 我們在安全防護、防範詐欺、分析及維護自身權利方面的正當利益 – 但以您的權利與自由未凌駕其上為前提；(d) 您就行銷通訊、廣告 cookie、若干跨境傳輸以及需求功能的位置資料處理所給予的同意；(e) 在危及生命情況下的重大利益。

5. 保存期限

帳號資料：於帳號存續期間另加 90 天；刊登：封存後另加 12 個月；需求及其地理資料：於需求有效期間另加關閉或撤回後 90 天；儲存於營運方基礎設施（伺服器與 S3 物件儲存）的聊天訊息與媒體，含與需求相關的聊天：最長 365 天；評價：無限期保存，或於使用者要求時去識別化；伺服器記錄：12 個月；當機記錄：90 天；付款記錄：5 年（訴訟時效）；同意紀錄：撤回後保存 5 年。

6. 資料接收方

我們僅與經審核並在書面資料處理協議（DPA）下行事的處理者分享資料：位於俄羅斯聯邦的主機代管與雲端基礎設施供應商（其代管後端、資料庫與 S3 物件儲存）；作為驗證供應商的 Apple（Sign in with Apple）與 Google（Google Sign In）；用於推播傳遞（含相符需求通知）的 Apple Push Notification service 與 Firebase Cloud Messaging；用於當機與產品分析的 Firebase Crashlytics、Amplitude 或類似服務；Google Maps 及／或 OpenStreetMap 地圖磚供應商；簡訊、電子郵件與付款處理商；內容審核工具；以及負有專業保密義務的法律、稅務與審計顧問。我們僅在取得您明確同意時才與合作夥伴分享資料。我們不會在 CCPA 所指意義下出售個人資料。

聊天資料由營運方儲存。聊天訊息、附件媒體（照片、音訊、視訊）與聊天中繼資料，均儲存並處理於營運方自有的基礎設施 – 其伺服器及其 S3 物件儲存，並代管於上述供應商。先前訊息傳遞係由第三方雲端訊息供應商提供；遷移至營運方自有基礎設施後，聊天內容不再為儲存對話之目的交付予該第三方供應商。僅對話參與者，以及在審核與投訴處理所需範圍內的營運方授權人員，得存取聊天內容。

7. 國際傳輸

我們的伺服器主要設於俄羅斯聯邦；部分服務（推播、分析、地圖）涉及向其他司法管轄區的傳輸。對歐盟／歐洲經濟區／英國使用者，傳輸在適用時依歐盟標準契約條款（Standard Contractual Clauses）進行。對泰國使用者，傳輸遵循 PDPA 第 28 條。對俄羅斯使用者，初次處理遵循聯邦法 152-FZ 第 18(5) 條。

8. 安全

我們採用符合業界標準的技術與組織措施：傳輸中的 TLS、敏感資料於靜態時的加密、以角色為基礎的存取控制、稽核記錄、定期修補、備份，以及人員與承包商的保密承諾。若發生可能對您的權利造成重大風險的個人資料外洩，我們將在 72 小時內（於 GDPR 適用時）通知主管監理機關，並於法律要求時毫不延誤地通知您。

9. 您的權利

視您所在的司法管轄區而定，您有權存取、更正、刪除、限制或反對對您資料的處理，並享有資料可攜權、撤回同意權，以及向主管監理機關提出申訴的權利。本服務不會使您受到產生法律效果的純自動化決定；演算法審核及需求與刊登的自動比對均屬輔助性處理。請將請求寄至 balmforpartners@gmail.com；我們將於 30 天內回覆（複雜請求可延長 60 天）。我們可能要求您提供額外資訊以驗證您的身分。

10. Cookie（僅限網站）

balm.rentals 使用嚴格必要、功能性、分析及行銷 cookie。我們透過 cookie 橫幅就非必要 cookie 徵求您的同意。您可隨時透過網站頁尾的「Cookie 設定」連結或瀏覽器設定變更您的選擇。行動應用程式不使用 cookie，而是使用本機裝置識別碼與推播權杖。

11. 未成年人

本服務面向年滿 18 歲的使用者，且不面向未滿 16 歲的兒童。對泰國使用者而言，依 PDPA 第 20 條，處理未滿 20 歲未成年人的資料通常須取得其法定代理人的同意。

12. 本政策的更新

本政策每一版本均存檔於 balm.rentals/<語言>/privacy/versions 並標註日期。我們將在重大變更生效至少 14 天前，透過應用程式、電子郵件或其他合理管道通知您。在生效日後繼續使用本服務即表示您接受更新後的政策。

13. 聯絡方式

個體工商戶 Sergey N. Vikhlyaev，稅號（TIN）682004283576，OGRNIP 323680000023219。隱私權聯絡管道：balmforpartners@gmail.com。生效日期：2026 年 6 月 22 日。版本 4.0。

Balm 隱私權與個人資料處理政策