消费者权益保护规则-个人信息保护规范

当餐平台合作商户应当保证：在为消费者提供产品和服务的过程中涉及的个人信息处理，必须符合中华人民共和国法律法规的相关要求（如：《中华人民共和国信息保护法》）。同时，当餐平台合作商户应当参照相关国家标准(如：《信息安全技术个人信息安全规范GB/T-35273-2020》),规范个人信息处理行为，最大程度地保障消费者的合法权益和社会公共利益。

为满足中华人民共和国监管机构的个人信息保护和数据安全监管要求，当餐已经制定并执行了隐私保护政策和数据安全保护措施。合作方应当制定和执行严格程度不低于当餐相关的隐私保护政策和数据安全保护措施。

一、处理消费者个人信息

1、为了向消费者提供产品和服务，当餐平台合作商户应当遵循合法、正当、必要和诚信的原则，在最少够用的范围内处理个人信息。

2、当餐平台合作商户应当遵循公开、透明原则，公开个人信息处理规则，明示处理的目的、方式和范围，不得通过误导、欺诈、胁迫等方式处理个人信息；不得隐瞒产品或服务所具有的个人信息的功能。

3、当餐平台合作商户仅可为履行相应的消费者协议项下合同义务所必须之目的而处理个人信息。只有在具有特定的目的和充分的必要性，采取严格保护措施并取得消费者的单独同意的情形下，当餐平台合作商户才可收集敏感个人信息。当餐平台合作商户不得将消费者个人信息消费者任何非法或违反公序良俗的用途。

4、若为向消费者提供产品和服务所必须，确需超出原授权范围使用消费者个人信息的，当餐平台合作商户应当另行取得处理消费者信息的合法性基础。

5、当餐平台合作商户处理个人信息应当保证个人信息的质量，避免因个人信息不准确、不完整对个人权益造成不利影响。

6、涉及处理不满十四周岁未成年人个人信息的，应当取得未成年人的父母或其他监护人的同意。

7、当餐平台合作商户不得将当餐消费者通过当餐平台功能授权的消费者个人信息用于超过授权范围外的一切用途(包括但不限于系统自动化决策)，以及不得转委托他人处理前述个人信息。

二、披露消费者个人信息

1、除下列情况以外，当餐平台合作商户不得以任何形式擅自向第三方披露消费者个人信息： （1）取得消费者单独同意；
（2）根据法律法规或监管要求而必须披露。

2、信息接收方如须对接收的信息进行跨境传输，必须遵守相关法律法规或监管部门的要求，完成必要的评估手续。

三、信息安全保障

1、当餐平台合作商户应当妥善保管在当餐所使用的账号、密码。

2、当餐平台合作商户应当按照法律法规、国家标准、自律准则及当餐开放平台/服务商平台的管理规范等要求，采取技术手段与管理措施，确保消费者个人信息得到充分的安全保障，避免在缺乏合法性基础的情况下处理消费者个人信息。

3、消费者信息传输和存储必须进行加密或者去标识化处理，密钥要进行安全存储。

4、当餐平台合作商户应明确个人信息保护和信息安全工作的负责人和负责部门，系统性地进行个人信息保护和信息安全管理工作。

5、当餐平台合作商户应当定期（至少每年一次）对自身信息安全管理的情况进行自查，自查范围包括但不限于：信息系统安全状况、相关信息安全要求及措施的落实情况、安全预案等，并进行安全评估。若信息安全状况未达到相关要求的，当餐平台合作商户应当制定并执行整改方案。

6、当餐平台合作商户应当采取特别措施，确保仅限为了合法目的而必须访问消费者个人信息的工作人员方可获得访问权限，并定期对从业人员进行安全教育和培训。

7、当餐平台合作商户不得使用任何方式爬取当餐平台的数据。

8、当餐平台合作商户不得使用反射查找、跟踪、关联、挖掘、获取或利用消费者信息从事与当餐平台合作商户所提供的产品或服务无关的行为。

9、检测到当餐平台合作商户的接口产生的异常状况或数据泄露后，当餐有权协同其关联公司对相关接口进行保护，包括但不限于通过临时关闭、限制流量、限制频次等方式进行阻断。当餐平台合作商户有义务配合紧急安全处理（包括但不限于中止数据接口服务等）与相关调查，并按照要求及时删除相关消费者信息。

10、数据处理行为应该记录完整的日志记录，并对应提供审计能力、定期审计。

11、当餐平台合作商户应该定期对个人信息保护影响进行评估，并存储3年以上。

四、消费者的个人信息权利

1、当餐平台合作商户应当保障消费者的知情权、决定权，向消费者提供信息查阅、复制、转移、更正、补充、删除信息及撤回同意的渠道。基于个人同意处理个人信息的，个人有权撤回其同意。当餐平台合作商户不得以个人不同意处理其个人信息或撤回同意为由，拒绝提供产品或服务。

2、根据消费者的请求，当餐平台合作商户应当在核实后及时对个人信息进行更正、补充。

3、符合以下情形的，当餐平台合作商户应当主动删除消费者个人信息；消费者要求删除的，应当及时删除个人信息：
（1）当餐平台合作商户违法立法、行政法规或者违反规定，处理个人信息的；
（2）当餐平台合作商户向消费者声明的处理目的已实现、无法实现或者为实现处理目的不再必要；
（3）当餐平台合作商户停止向消费者提供产品或者服务，或者必要的保存期限已届满；
（4）消费者撤回同意的。

4、合作终止时，当餐平台合作商户应当及时删除获取的消费者个人信息，除非另行征得消费者的明示同意或具有其他充分的合法性基础。

五、评估审计

1、当餐及其关联公司有权对当餐平台合作商户的信息安全管理及管控效果进行评估与审计。

2、当餐及其关联公司有权委托独立的第三方机构（例如：会计师事务所、律师事务所等）进行上述评估与审计，当餐平台合作商户应当就如下事项予以配合：
（a）当餐平台合作商户应当配合提供涉及接收的信息处理的设施、设备、系统、政策或流程等。
（b）当餐平台合作商户应当配合开放相关工作场所，并安排相关人员接受访谈。

3、基于评估与审计得出的要求，当餐平台合作商户应当在规定的时间内对相关信息处理设施、设备、系统、政策或流程等进行修正或改善。

4、当餐或其关联公司提出评估与审计要求之前，应当给予当餐平台合作商户合理的提前通知期。同时，评估与审计应当在合法合规的前提下开展，且不不应当影响当餐平台合作商户的政策运营或合法权益。

5、当餐或其关联公司有权与风险较高的当餐平台合作商户终止合作。

六、数据违规事件

1、当知晓或怀疑下列任一情形发生时，当餐平台合作商户应当立即采取一切必要的应急补救措施，并立即按照商业合作协议当中约定的方式向当餐或当餐关联公司发出通知：
（1）任何违反本规范的情形；
（2）根据中华人民共和国可适用法律法规要求而应当向监管机构进行通知或申报或者向受到影响的消费者进行披露的情形。

2、同时，若当餐或当餐的关联公司发现当餐平台合作商户存在数据违规事件（如：发生或者可能发生个人信息泄露、篡改、丢失的），将按照相关商业合作协议的约定采取相应措施，各方各自承担己方的数据安全及法律法规要求承担的其他责任。

七、赔偿责任

1、当餐平台合作商户应当保证消费者授权具备可追溯性，保留授权发生的合理证据。

2、监管机构可能根据可适用的法律法规对当餐平台合作商户和当餐或当餐的关联公司提出检查要求，在此过程中，合作方应当提供必要的协助，如提供消费者授权的证明材料。

3、因当餐平台合作商户的违法或违约行为导致当餐或当餐的关联公司受到监管罚款或蒙受其他相关损失（如：商誉损失），当餐平台合作商户应当承担赔偿责任。