开元心旅行隐私政策

特别提示请在使用开元心旅行官网前仔细阅读本政策。身份证号码、交易信息以及不满14周岁儿童的个人信息属于敏感个人信息；平台仅应在具有特定目的、充分必要并采取严格保护措施的前提下处理。涉及依法需要单独同意的场景，应通过独立勾选、弹窗或其他可验证方式取得同意。

一、适用范围与基本定义

本政策适用于扬州市开元国际旅行社有限公司（以下简称“我们”）通过开元心旅行官网向您提供的网页浏览、账号登录、旅游产品展示与预订、订单和支付、常用出行人管理、收藏点赞、客服咨询等服务。

本政策目前不当然适用于开元心旅行小程序、公众号、线下门店或其他具有独立隐私政策的产品。您通过官网跳转至第三方网站或使用第三方直接提供的服务时，应同时阅读该第三方的隐私规则。

“个人信息”是以电子或者其他方式记录的、与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。“敏感个人信息”一旦泄露或被非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害。

二、我们如何收集和使用个人信息

我们遵循合法、正当、必要、诚信和目的明确原则，仅处理实现相应功能所必要的信息。不同产品、线路、身份类别和实际供应商要求可能不同，具体页面应在收集前作出准确提示。

1. 业务场景：浏览、搜索

可能处理的信息：搜索关键词、页面访问与操作记录；浏览器/设备及网络日志信息（以实际服务器日志为准）

处理目的：展示搜索结果、保障运行安全、排查故障；搜索历史可能仅保存在浏览器本地

拒绝提供的影响：基础浏览可用；拒绝必要日志可能影响安全保障

2. 业务场景：手机号登录/注册

可能处理的信息：手机号码、短信验证码、登录时间、登录IP、登录令牌及客户端标识

处理目的：身份验证、创建或识别账号、保持登录状态、防范账号风险

拒绝提供的影响：不提供将无法使用账号、预订及个人中心功能

3. 业务场景：个人资料

可能处理的信息：昵称、头像、性别、生日；手机号为账号信息

处理目的：展示和维护个人资料、提供个人中心服务

拒绝提供的影响：昵称和头像等原则上可选；以实际页面校验为准

4. 业务场景：常用出行人

可能处理的信息：真实姓名、手机号、身份证号码、性别

处理目的：实名登记、生成旅游订单、安排旅游服务、身份核验

拒绝提供的影响：身份证号码属于敏感个人信息；不提供可能无法完成需实名的预订

5. 业务场景：预订和订单

可能处理的信息：联系人姓名/手机号、会员手机号、产品、团期、集合/散团信息、人数、订单编号、金额、备注、订单状态、售后和退款信息

处理目的：创建和履行旅游服务合同、通知行程、客服及售后、财务对账

拒绝提供的影响：不提供必要信息将无法下单或履约

6. 业务场景：在线支付

可能处理的信息：订单号、支付金额、支付方式、支付客户端、第三方交易号、支付状态和时间

处理目的：向支付机构发起支付、核验结果、退款、对账及防止重复支付

拒绝提供的影响：实际金融账户信息通常由持牌支付机构处理；以支付页面为准

7. 业务场景：收藏和点赞

可能处理的信息：账号标识、收藏/点赞对象、操作状态和时间

处理目的：保存您的偏好操作并展示相应状态

拒绝提供的影响：可不使用；不影响基础浏览

8. 业务场景：客服与争议处理

可能处理的信息：您提交的联系方式、咨询内容、订单资料、沟通记录及证明材料

处理目的：回应咨询、处理投诉、售后和争议、履行法定义务

拒绝提供的影响：拒绝提供可能影响问题核验和处理

9. 业务场景：头像上传

可能处理的信息：您主动上传的图片、文件名及OSS存储标识/地址

处理目的：更新账号头像

拒绝提供的影响：可不上传；请勿上传无关人员或敏感内容

三、敏感个人信息与单独同意

身份证号码、具体交易与支付信息，以及不满14周岁儿童的个人信息属于敏感个人信息。我们处理敏感个人信息应具有特定目的和充分必要性，并采取更严格的保护措施。

身份证信息用于旅游服务实名制登记、身份核验以及实际服务商依法履约，不应被用于与旅游服务无关的营销或画像。

在向实际承运、住宿、景区、保险、地接等独立个人信息处理者提供敏感个人信息前，应依法告知接收方名称或类别、联系方式、处理目的、方式和种类，并在需要时取得单独同意。

为不满14周岁儿童预订旅游服务或保存儿童为常用出行人时，应取得监护人的单独同意，具体适用《儿童/青少年个人信息保护规则》。

若未来新增健康状况、护照、签证材料、定位、面部识别等信息，应先完成必要性评估、页面告知、影响评估和同意机制，不因本政策的概括表述自动取得授权。

四、Cookie、本地存储及类似技术

官网当前通过Cookie和浏览器本地存储维持登录状态、保存客户端标识和搜索历史，例如登录令牌、客户端标识及本地搜索记录。必要Cookie用于身份认证和安全保障；禁用后可能导致登录状态无法保持或账号功能异常。

您可以通过浏览器设置清除Cookie和本地存储。清除后，登录状态、搜索历史等本地功能可能被重置。若未来接入统计、广告或跨站跟踪工具，应在上线前更新本政策并提供与其性质相匹配的同意或拒绝机制。

五、委托处理、共享、转让和公开披露

我们不会出售您的个人信息。为完成您选择的旅游服务或支持官网运行，我们可能在最小必要范围内委托处理或向下列主体提供信息。实际接收方、角色及数据项必须以经业务核验并对外公示的清单为准。

1. 接收方类别：旅游实际服务商

典型主体：承运人、酒店、景区、地接社、保险机构等

目的：履行您购买的交通、住宿、游览、保险或接待服务

信息范围：出行人姓名、证件信息、联系方式、订单与行程必要信息

2. 接收方类别：支付服务机构

典型主体：持牌支付机构及清结算服务方

目的：完成付款、退款、对账和风控

信息范围：订单号、金额、支付方式、支付状态及必要设备/风控信息

3. 接收方类别：短信服务商

典型主体：短信验证码发送服务商

目的：发送登录/注册验证码及必要服务通知

信息范围：手机号码、验证码发送状态等必要信息

4. 接收方类别：云与存储服务商

典型主体：服务器、数据库、对象存储和安全服务提供方

目的：托管系统、存储头像/文件、保障安全与可用性

信息范围：在提供服务所需范围内处理数据；应受委托协议约束

5. 接收方类别：监管和司法机关

典型主体：依法有权的行政、司法等机关

目的：履行法定义务、配合依法调查

信息范围：依法要求的必要信息

发生合并、分立、解散、被宣告破产等需要转移个人信息的情形，我们将依法告知接收方信息，并要求接收方继续履行本政策；接收方变更原处理目的或方式的，应依法重新取得同意。除法律另有规定或取得您的单独同意外，我们不公开披露您的个人信息。

六、个人信息的存储

原则上，我们将在中华人民共和国境内收集和产生的个人信息存储在境内。当前官网资料未确认存在个人信息出境安排；如未来确需向境外提供，我们将依法履行告知、单独同意、个人信息保护影响评估及相应出境合规程序。

我们仅在实现处理目的所必需的最短时间内保存个人信息，但法律法规另有强制要求的除外。账号资料通常保存至账号注销或服务终止后完成必要清理；商品服务和交易信息依法应自交易完成之日起保存不少于三年；财税、合同、争议处理等资料按相应法定期限保存。期限届满后，我们将依法删除或匿名化处理。

七、我们如何保护个人信息

建立与业务风险相适应的个人信息保护制度、权限管理、访问审批和操作记录机制；

对身份证号码、登录凭证等高风险信息采取加密、脱敏、访问控制等措施，并限制无关人员查看、复制和下载；

对委托处理、对外提供、敏感个人信息、自动化决策或出境等高风险活动依法开展个人信息保护影响评估；

制定个人信息安全事件应急预案。发生或可能发生泄露、篡改、丢失时，立即采取补救措施，并依法向主管部门和受影响个人告知；

定期开展安全检查、合规审计和人员培训，但任何措施均无法保证绝对安全，您也应妥善保管手机、验证码和账号凭证。

八、您的个人信息权利

在法律规定范围内，您有权知情、决定、限制或拒绝处理，有权查阅、复制、更正、补充、删除个人信息，并有权撤回基于同意的授权、注销账号以及要求解释个人信息处理规则。

个人资料：可通过个人中心查看或修改昵称、头像等已开放字段；

常用出行人：可通过个人中心查询、更正或删除常用出行人信息；已进入订单或依法需留存的信息可能无法立即同步删除；

Cookie和本地记录：可通过浏览器设置清除；

账号注销、复制信息、删除订单外信息或其他无法自助完成的请求：通过本政策“如何联系我们”所列渠道提交。

为保护账号和出行人信息安全，我们可能要求验证您的身份和请求范围。我们原则上在十五个工作日内答复；法律法规另有规定或请求明显不合理、重复、涉及他人权益的，将依法处理并说明原因。撤回同意不影响撤回前处理活动的效力，也不影响基于合同履行或法定义务继续进行的必要处理。

九、未成年人个人信息保护

若您未满18周岁，请在监护人指导下使用官网。未成年人进行购买、支付等交易，应具备与其年龄、智力相适应的民事行为能力或取得监护人同意。对于不满14周岁儿童，我们将其个人信息作为敏感个人信息处理，并依法取得监护人单独同意。

监护人通过本人账号为儿童预订时，应确保具有合法监护身份并仅提供履约必需的信息。若监护人发现儿童在未经同意情况下提供了个人信息，可联系我们申请更正或删除。详见《开元心旅行儿童/青少年个人信息保护规则》。

十、政策更新

我们可能因法律法规、业务功能或个人信息处理活动变化更新本政策。重大变更包括处理目的、方式、信息种类、接收方、权利行使方式发生实质变化等。我们将通过官网公示、弹窗或其他显著方式通知；依法需要重新取得同意的，我们将在变更生效前完成。

十一、如何联系我们

个人信息处理者：扬州市开元国际旅行社有限公司。您可以通过官网侧边栏公布的联系方式或其他正式渠道联系我们，提出个人信息权利请求、投诉或举报。

如您对我们的处理结果不满意，可以向履行个人信息保护职责的部门、市场监督管理部门或文化和旅游主管部门投诉，也可以依法向有管辖权的人民法院提起诉讼。