1. 引言
凯谛思明白，公开透明地说明我们如何管理、使用和处理您的个人数据至关重要。我们致力于保护您的个人数据。
我们如何保障您的数据安全，您有哪些权利？
本隐私声明——无论您是客户、供应商还是业务合作伙伴，均会告知您我们如何及为何收集和使用您的个人数据，并阐述您如何获取、审查或撤回数据的权利。我们可能会不时更新本隐私声明，任何变更将公布于此页面，重大变更将显著标注。我们建议您定期查阅本页。
定制声明及补充隐私声明可能包含有关凯谛思处理您个人数据的更多信息。在这些情况下，相关隐私声明会单独告知您。因各国法律和实际操作不同，这些声明内容可能有所不同。如有冲突，以国家或定制声明为准。
1.1 联系我们
如有隐私相关问题，包括更正请求、访问请求和投诉，请联系 privacy@arcadis.com.
2. 总则
本隐私声明适用于Arcadis N.V.及其集团公司（合称“凯谛思”）的所有业务联系人个人数据的处理。“业务联系人”或“您”指的是凯谛思以控制者身份处理其个人数据的每一位个人。这包括您在凯谛思的客户、供应商或业务合作伙伴处工作时、您收到凯谛思商业信息时，或与凯谛思有其他业务关系时；也包括临时员工、以顾问或第三方员工身份为凯谛思提供服务的人士。
根据您的所在地，凯谛思集团中在该地区运营的公司将负责处理您的个人数据。负责处理您个人数据的凯谛思公司、本地隐私专员及主管监管机构的联系方式可在您本地网站上找到。
在某些处理操作中，Arcadis N.V.也可能是您个人数据的控制者。本地凯谛思实体和Arcadis N.V.可共同负责处理您的个人数据。Arcadis N.V.的联系方式可在凯谛思官网 (www.arcadis.com) 找到，首席隐私官邮箱为 privacy@arcadis.com。
3. 我们如何收集个人数据？
我们通过线上和线下方式收集您的个人数据。最常见的情况包括：
- 您与我们的直接互动，例如与您开展业务、参加我们的活动或访问我们网站时；
- 来自您的雇主——当您的雇主是我们的客户、供应商或业务合作伙伴时，以便我们履行服务并与您合作；
- 来自公共和私有数据源，如制裁名单、商业登记和LinkedIn，例如在我们与您开展业务前需核实您的身份时。
此外，为遵守法律法规、保护凯谛思及其员工/承包商的资产，以及确保凯谛思遵守贸易管制、反洗钱和/或反贿赂法律及其他监管要求，我们会对业务客户、供应商和业务合作伙伴的所有者、股东及董事进行筛查（合同前及合同后定期）。该筛查基于公开可用或政府发布的制裁名单及媒体资源，不会涉及对交易对手或潜在交易对手的自动化决策或画像分析。
4. 凯谛思处理您个人数据的目的
凯谛思出于下述目的处理您的个人数据。我们还会告知您相关的法律依据。当我们以合法利益为处理依据时，我们始终努力在公司合法经营利益与您的隐私之间保持平衡：
客户评估与接受，与客户、供应商及合作伙伴签订和履行协议。 包括为评估和接受客户、供应商及合作伙伴所必需的个人数据处理，如确认和核实相关业务联系人的身份（可能涉及使用信用参考机构或第三方）以及基于公开政府/执法机构制裁名单进行尽职调查和筛查（如合规要求）。也包括为与客户、供应商和业务伙伴签订和履行合同所必需的个人数据处理，例如必要的筛查（如进入凯谛思场所或系统的权限），客户服务交付，以及记录和结算服务及项目。
法律依据为：
- 遵守凯谛思所适用的法律义务；或
- 我们的合法利益。
凯谛思服务的开发与改进。 包括为服务开发与改进、研究与开发所需的个人数据处理，如业务联系人的问卷、调查和研究等。
法律依据为我们的合法利益。
关系管理与市场营销。 包括为维护和促进与客户、供应商和业务合作伙伴的联络所必需的个人数据处理，如市场推广、账户管理、客户服务、市场调查和市场策略分析。
法律依据为：
- 我们的合法利益；或
- 您的同意。
业务流程执行、内部管理与管理报告。包括资产管理、审计与调查、合规审查、财务与会计、业务控制、中央处理、并购管理、管理报告分析、归档与保险、法律或业务咨询、争议解决等所需的个人数据处理。
法律依据为：
- 遵守凯谛思所适用的法律义务；或
- 我们的合法利益。
健康、安全、安保与诚信。 包括为保护凯谛思及其员工、客户、供应商和合作伙伴的权利、利益和资产，以及与健康安全相关的活动所需的个人数据处理。也包括客户、供应商或业务伙伴身份与访问权限的认证。
法律依据为：
- 履行您作为合同方的合同所必需；
- 遵守凯谛思所适用的法律义务；或
- 我们的合法利益。
遵守法律。 包括为履行法律义务所需的个人数据处理，包括向政府机构或监管机构披露个人数据。
法律依据为遵守凯谛思所适用的法律义务。
保护业务联系人的重大利益。 包括为保护您作为业务联系人的重大利益所需的个人数据处理。
法律依据为保护个人重大利益。
5. 个人数据类别
本隐私声明所述目的下凯谛思处理的个人数据类别包括但不限于：
您的个人信息： 包括工作邮箱、电话和地址；私人邮箱、电话和住址；职位、工作经历、照片或视频等；
您的公司及沟通信息： 您与凯谛思的往来记录；用于核实身份的信息；与凯谛思的关系；您对凯谛思、其员工、客户、供应商和业务伙伴的行为；您所在企业的信息；公开可用数据（如所有人、控股股东和高管信息）；在线可用信息（通过Cookies或类似技术收集的个人数据，详见凯谛思网站上的Cookie声明）。
如凯谛思处理其他类别的个人数据，将另行通知您并在法律要求时征得同意。
6. 敏感个人数据
在与凯谛思的业务关系中，凯谛思可能需要收集某些被视为“敏感”的数据，例如宗教、种族、犯罪行为或健康状况等，仅在适用法律严格规定的范围内使用。
凯谛思可能收集敏感数据的情形包括：
您的图像用于身份识别、场地访问与安保、客户/供应商/伙伴身份认证；
有关犯罪行为、 犯罪记录或不当行为的相关数据，用于评估和接受客户、供应商或合作伙伴，保护凯谛思及其员工、客户、供应商和合作伙伴的权利、利益和资产，以及符合法律义务；
身体或心理健康数据， 用于客户、供应商或合作伙伴的评估与接受、合同履行、履行善意义务及保护您的重大利益；
宗教或信仰相关数据， 用于满足客户特定服务需求（如饮食要求或宗教假期）。
如有需要，凯谛思会在处理敏感个人数据前征得您的明确同意。其他法律依据包括：
- 凯谛思为保护自身及员工、客户、供应商和合作伙伴权益的合法利益；
- 凯谛思为确认您的身份和状态的合法利益；
- 凯谛思所适用的法律义务。
7. 凯谛思保留您个人数据的期限
一般情况下，凯谛思将在与您的业务关系存续期间（如凯谛思向您所在单位提供服务并您为我们的业务联系人时）以及服务终止后合理必要时间内保留您的个人数据。具体期限根据用途而定，例如：
- 如您的业务联系信息出现在发票中，将与发票一同保存（通常为7年，依照税务法规）；
- 如您的信息包含在项目计划中，将按项目计划保存期限保留（通常为10年，视项目而定）；
- 如为身份验证和筛查需要您的数据，只要法律要求保存筛查证明，我们就会保留；
- 如您为潜在客户，我们将在凯谛思向您发送商业信息（如通讯）期间及其后24个月内保留您的联系方式。
如凯谛思有紧迫利益需更长时间保存您的数据（如正在进行或预期的诉讼），则上述期限可适当延长。
8. 个人数据访问
仅在为实现特定目的且相关员工需履行职责时，才授权访问您的个人数据。被授权访问的人员可能包括您的凯谛思联系人，以及凯谛思的财务、报告、内部审计、IT、市场营销、法务等部门员工。
凯谛思有时需将个人数据提供给无关联第三方，如服务商（为凯谛思提供产品和服务的公司，如支付、IT系统供应商）、专业顾问（如会计师、审计师、律师）、公共及政府机构（如监管部门、执法机关、司法机关），或在企业重组、合并、出售等交易背景下。凯谛思会与第三方服务商和专业顾问签订协议保护您的数据权益。
9. 个人数据的转移
鉴于凯谛思业务的全球性，凯谛思可能需向其他国家的内部人员和部门披露个人数据。您的个人数据如被转移至凯谛思集团内的其他公司和/或位于您所在国家以外的经授权第三方，我们会采取组织、合同和法律措施，确保仅为上述目的处理您的个人数据，并有适当保护措施。措施包括集团内部约束性公司规则（BCR）、欧盟公司间数据转移机制及任何其他本地法律要求。可通过 privacy@arcadis.com 索取BCR副本。
10. 安全性
凯谛思已采取适当的技术、物理和组织措施，防止个人数据被滥用或意外、非法或未经授权的毁坏、丢失、更改、泄露、获取或访问，符合适用的隐私和数据安全法律法规，也要求服务商采取相应措施保障个人数据的机密性和安全性。
11. 个人权利与投诉
我们力求保持信息的准确性。您可以：
- 请求访问您的个人数据
- 请求更正或删除个人数据（仅当已无合法商业目的时）
- 请求限制对您个人数据的处理
- 撤回对个人数据处理的同意
如需行使上述权利，请联系您本地隐私专员或 privacy@arcadis.com.
如对个人数据处理有数据保护或隐私相关问题、疑问或投诉，请参阅您所在地的相关隐私声明，或直接联系 privacy@arcadis.com.
如对凯谛思处理您数据的方式不满意，您有权向本地数据保护机构（如有）或荷兰数据保护局（地址：Prins Clauslaan 60, 2595 AJ The Hague, The Netherlands）投诉。