最后更新日期：2026年7月24日
eBusiness Solutions OÜ 严格遵守欧盟《通用数据保护条例》(EU) 2016/679 (GDPR) 以及爱沙尼亚《个人数据保护法》（Isikuandmete kaitse seadus）规范处理个人数据。
本页面旨在说明 GDPR 第 5 条规定的七项基本原则如何在持牌企业服务提供商的日常运营中具体落实，介绍您作为数据主体所拥有的法定权利及其行使方式。同时，本页面将明确回答客户最常提出的疑问：为什么某些数据即使在客户明确要求的情况下也无法予以删除，以及该处理所依据的法定理由。
关于具体的个人数据处理活动（包括收集的数据类别、数据来源、处理目的及接收方），已在我们的 《隐私政策》 中予以详细说明。本文件重点阐述核心原则，是对该隐私政策的补充而非替代。
| 参数项 | 具体数值 / 信息 |
|---|---|
| 法定公司名称 | eBusiness Solutions OÜ |
| 商业注册代码 | 16618432 |
| 增值税号 (KMKR) | EE102672239 |
| TCSP 企业服务许可证 | FIU000421 |
| 法定注册地址 | Tornimäe tn 7-169, 10145 Tallinn, Estonia |
| 数据保护监管机构 | 爱沙尼亚数据保护检验局 |
业务运营中的关键身份区分：
在特定业务流程中，我们扮演 数据控制者（Data Controller） 的角色（当由我们决定处理目的时：与您签订合同、开展 KYC 身份核验、进行市场营销）。而在其他业务流程中，我们则作为 数据处理者（Data Processor） 行事（例如根据您的指示为您公司代做会计簿记，并处理您员工和业务伙伴的个人数据）。在第二种情形下，处理目的由您决定，双方关系受独立的《数据处理协议》（DPA）约束。本文件仅规范我们作为数据控制者的角色。
我们仅在满足 GDPR 第 6 条规定的至少一项合法依据时方才处理数据。在日常运营中，主要适用以下四项合法依据：
| 合法依据 | 适用业务场景 |
|---|---|
| 履行合同之必要 (Art. 6(1)(b)) | 履行服务协议：提供注册地址、法定联系人、公司注册代办、会计簿记。 |
| 履行法定义务 (Art. 6(1)(c)) | 根据爱沙尼亚《反洗钱法》（RahaPTS）开展客户身份识别与核验、制裁筛查、合规监管报送。 |
| 合法利益 (Art. 6(1)(f)) | 保障网络与系统安全、网站访问统计分析、防范欺诈行为。 |
| 取得知情同意 (Art. 6(1)(a)) | 订阅新闻通讯、商业营销资讯推送、非必要 Cookie 追踪。 |
上述分类绝非技术性的过场：您的权利将直接取决于所依据的法律基础。基于 履行法定义务 处理的数据无法根据您的要求予以删除；而基于 知情同意 处理的数据，您可以随时撤回授权。
对我们而言，透明度意味着清晰具体的说明，而非含糊其辞的表述。我们准确告知所收集的数据类别、处理依据及保存期限；如服务履行过程中需要补充额外文件，我们会提前进行告知。
为特定目的收集的数据，绝不会被重新用于与该目的不相容的其他用途。
行业实际案例： 客户为通过 KYC 合规审核所提供的文件（护照扫描件、资金来源证明、股权结构图）严格仅用于合规审核及在监管机关依法调取时进行披露。此类数据绝不会被录入营销数据库、用于制定商业报价，或出于广告目的共享给第三方。
如果出现新的数据处理目的，我们将重新取得您的明确同意，或确立其他合法依据 — 并在开始处理前提前通知您。
我们仅收集提供特定服务所必需的数据，且收集范围与客户所评定的风险等级相适应。
在实践中，要求的证明材料有所差异：对于无运营空壳公司的零申报年度财务报告，文件要求极低；而对于涉及加密资产或复杂多层持股结构的客户，依据《反洗钱法》（RahaPTS）的风险导向原则，文件要求会显著扩大。我们绝不会“以防万一”超范围收集文件，每一次数据收集要求均具备具体的法律或业务必要性。
如果您对要求提供某项具体文件的原因存有疑问，您有权要求并获得正式的解释说明。
在我们的业务领域，数据不准确将直接导致严重后果：提交给商业登记处的董事个人信息存在错误会导致申请被拒；而联系地址过时则可能导致错过法定行政通知。
因此，我们会定期要求客户确认数据的准确性（这也是持续性反洗钱监管规则的要求），并在收到您的变更通知后及时更新，必要时会通过官方公共登记处核对相关信息。
您的配合至关重要：如果您的联系方式、董事会构成、股权结构或经营业务发生变更，请立即通知我们，这既能保障服务质量，也是满足法律合规的需要。
每类数据均被设定了明确的保存期限，到期后数据将被安全销毁或进行匿名化处理：
| 数据类别 | 保存期限 | 法定 / 法律依据 |
|---|---|---|
| KYC/AML 审核档案及客户筛查数据 | 业务关系终止后保存 5 年 | 爱沙尼亚《防范洗钱和恐怖主义融资法》（RahaPTS） |
| 会计账簿及原始凭证 | 自对应会计年度结束起保存 7 年 | 爱沙尼亚《会计法》（Raamatupidamise seadus） |
| 服务合同及业务往来邮件 | 合同终止后保存 3 年 | 民事法律规定的常规诉讼时效 |
| 基于同意收集的数据（营销） | 保存至撤回授权同意为止 | GDPR 第 6(1)(a) 条 |
| 未达成合同的业务咨询信息 | 通常保存不超过 12 个月 | 数据控制者的合法利益 |
保存期限仅在法定明确规定的特殊情况下方可延长 — 例如接到监管机关的指令或处于诉讼程序之中。
技术防护措施： 传输通道及敏感文件存储全面加密、严格的访问权限管理、自动化数据备份、基础设施安全与漏洞补丁监控。
组织管理措施： 客户数据的访问权限严格限制为履行服务所必需的岗位人员；所有员工及承包商均签署严格的保密协议（NDA）；员工定期接受数据保护培训。
安全事件应急响应： 一旦发生个人数据泄露事件，我们将启动内部应急预案：控制泄露源头、评估安全风险、在 72 小时内向数据保护检验局通报（GDPR 第 33 条），并在数据主体权益面临高风险时及时通知受影响的个人（GDPR 第 34 条）。
GDPR 第 5(2) 条规定的原则要求数据控制者不仅要遵守规则，还必须能够证明已合规履职。为确保落实问责制，我们建立了以下机制：
编制正式的数据处理活动记录（GDPR 第 30 条）；
制定内部数据保护及 AML/CFT 操作规程手册；
与有权接触数据的子处理者签订《数据处理协议》（DPA）；
针对高风险处理活动开展数据保护影响评估（DPIA）（GDPR 第 35 条）；
定期对数据处理流程及保存期限执行内部合规审计。
这是企业服务客户最为常问的实际问题。
被遗忘权（数据删除权）并非绝对权利。 GDPR 第 17(3)(b) 条明确规定，当数据处理系履行控制者所应遵守的法定义务所必需时，不适用数据删除权。
根据爱沙尼亚《反洗钱法》（RahaPTS）要求，在客户尽职调查（CDD）过程中收集的文件必须在业务关系终止后保存 5 年。这意味着：
对此类合规档案提出的删除申请将被 依法拒绝 — 拒绝理由即为履行法定强制义务；
作为替代，将采取 限制处理措施：数据将被安全隔离存储，但绝不会用于除法律合规之外的任何日常运营目的；
法定 5 年保存期满后，相关数据将被系统自动删除，无需客户另行提交申请。
同样，反洗钱法规中的 保密与防打草惊蛇条款（Tipping-off Prohibition） 优先于 GDPR 的知情权规定：若就某笔交易向金融情报局（FIU）提交了可疑交易报告（SAR），法律明确禁止我们向客户透露相关情况。在此类场景下，数据主体在 GDPR 项下的知情权受到法定条款的限制。
在满足 GDPR 规定条件及例外情形的前提下，您享有以下权利：
| 法定权利 | 对应条款 | 权利内容说明 |
|---|---|---|
| 知情权 | 第 13–14 条 | 了解收集了哪些数据、处理目的及法律基础。 |
| 访问权（查阅权） | 第 15 条 | 确认数据是否被处理，并获取您个人数据的副本。 |
| 更正权 | 第 16 条 | 更正不准确的个人数据或补充不完整的数据。 |
| 删除权（被遗忘权） | 第 17 条 | 在缺乏法定保存依据时请求删除数据（参见第 3 节）。 |
| 限制处理权 | 第 18 条 | 在特定法定条件下暂停对数据的进一步处理。 |
| 可携权 | 第 20 条 | 获取结构化、通用且机器可读格式的数据副本，或将其传输至另一控制者。 |
| 反对权 | 第 21 条 | 反对基于“合法利益”的数据处理；随时无条件反对直接营销活动。 |
| 不受制于自动化决策 | 第 22 条 | 要求人工干预、表达个人观点并申诉反对自动化结果。 |
| 撤回同意的权利 | 第 7(3) 条 | 随时撤回授权同意，且不影响撤回前合法处理的效力。 |
| 申诉权 | 第 77 条 | 向法定数据保护监管机构提出申诉（参见第 6 节）。 |
如需行使上述任何权利，请通过第 7 节中的联系方式向我们提交书面申请。
身份核验： 为防止未经授权的数据泄露，在披露数据之前，我们必须核实申请确由您本人发出。对于现存客户，通过备案邮箱发送邮件或附带合格电子签名（Qualified Electronic Signature）即可完成核验。
处理时限： 收到申请后 1 个月 内予以答复（GDPR 第 12(3) 条）。对于复杂或数量庞大的申请，答复期限可延长 2 个月，但我们会提前告知延期原因。
费用标准： 权利行使申请通常 免费 处理；除非申请属于明显无理、过分或反复提交。
拒绝申请的处理： 若拒绝您的申请，我们将明确告知法定义务依据及救济途径（包括向监管机构提出申诉的权利）。
如果您认为您的隐私权益受到侵犯，建议您首先与我们取得联系 — 绝大多数事项均可通过直接沟通快速解决。同时，您随时保留向数据保护监管机构提出申诉的法定权利：
爱沙尼亚数据保护检验局（Andmekaitse Inspektsioon）
办公地址： Tatari 39, 10134 Tallinn, Estonia
电子邮箱： info@aki.ee
官方网站： www.aki.ee
如果您居住或工作在其他欧盟/欧洲经济区成员国，您亦可向您当地的本国数据保护监管机构提交申诉。
公司名称： eBusiness Solutions OÜ
商业注册代码： 16618432
TCSP 许可证号： FIU000421
电子邮箱： info@legaladdressinestonia.com
联系电话： +372 5691 0000
办公地址： Tornimäe tn 7-169, 10145 Tallinn, Estonia
官方网站： legaladdressinestonia.com（以及 legaladdress.ee）
本文件具有说明性质，是对以下文件的补充，但不取代以下文件：
《隐私政策》 — 详细说明具体的数据处理活动；
《反洗钱与反恐融资政策》 — 详细说明客户尽职调查措施；
《Cookie 政策》 — 详细说明追踪技术及 Cookie 的使用。
若本文件与《隐私政策》存在任何冲突，以 《隐私政策》 的条款为准。
我们会定期更新本页面，以反映法律法规、监管指南或内部合规流程的变化。最新生效的版本将在本页面发布，并显示最新的修订日期。