隱私權政策

生效日期：2026年9月8日  |  最後更新：2026年9月8日

本隱私權政策說明 Zentrum24 LLC（以下稱「Zentrum24 Academy」、「我們」）就 Zentrum24 Academy 法規遵循訓練平台（以下稱「本服務」）——一套供受規範之製藥與生命科學（GxP）從業人力使用之多租戶 SaaS 學習管理系統——如何蒐集、使用、揭露及保護個人資料。本政策並說明個人依歐盟《一般資料保護規則》（以下稱「GDPR」）、UK GDPR、經 CPRA 修正之《加州消費者隱私法》（以下稱「CCPA/CPRA」）及其他相類法令所享有之權利。

請將本政策與我們的 Cookie 政策、次處理者頁面，以及——就客戶而言——構成我們客戶合約一部分之資料處理附錄（以下稱「DPA」）一併閱讀。就客戶訓練資料（定義如下）而言，DPA 之任何條款如與本政策牴觸者，以 DPA 為準。

1. 我們是誰 & 我們的角色（控制者與處理者）

Zentrum24 LLC 為就本服務負責之法律實體。

• 登記實體：Zentrum24 LLC
• 登記地址：1621 Central Ave, Cheyenne, Wyoming 82001, USA
• 隱私／DPO 聯絡方式：contact@zentrum24.com
• 歐盟／英國代表（如依 GDPR Art. 27 適用）：目前尚未指定。

我們於資料保護法下之角色，視資料類別而定：

• 就客戶訓練資料，Zentrum24 Academy 係擔任處理者（於 CCPA/CPRA 下為「服務提供者」）。當某一組織（以下稱「客戶」——通常為雇主）訂閱本服務，並上傳或產生與其自身人力有關之訓練資料時，該客戶為控制者，並決定處理之目的與方式。Zentrum24 Academy 僅依客戶於客戶合約及 DPA 所載之書面指示處理該等資料。「客戶訓練資料」包括學習者身分、以角色為基礎之訓練指派、課程完成紀錄、測驗成績、21 CFR Part 11 電子簽章、完訓證書，以及相關之防竄改稽核紀錄。
• 就帳戶與帳務資料，Zentrum24 Academy 係擔任控制者（於 CCPA/CPRA 下為「企業」），就我們用以營運、保護及改善本服務之資料亦同。此類資料包括客戶之帳戶與訂閱資訊、管理員及其他帳戶聯絡人之聯絡方式、帳務紀錄，以及我們自身之安全、營運及診斷日誌。就此類資料，Zentrum24 Academy 決定其處理之目的與方式，並直接對相關個人負責。

致終端使用者（學習者）：若您係因雇主或其他組織授予存取權而使用 Zentrum24 Academy，則該組織——而非 Zentrum24 Academy——為您訓練紀錄之控制者。關於您的雇主如何使用您的資料之問題，以及多數存取或刪除訓練紀錄之請求，均應向該組織提出。請參閱第 9 節（您的權利）。

2. 我們蒐集之資料

2.1 帳戶資料（Zentrum24 Academy 為控制者）

• 組織／租戶資訊：組織名稱、訂閱方案與層級，以及組態設定。
• 管理員及帳戶聯絡人資訊：全名、公司電子郵件地址及職務角色。

2.2 使用者個人資料（就客戶而言為處理者；就我們直接往來之管理員／聯絡人而言為控制者）

• 全名、公司電子郵件地址，以及選填之員工編號。
• 所指派之 RBAC 角色（租戶管理員、作者、主管或學習者）及主管／匯報關係。
• 驗證資料：經雜湊處理之密碼（bcrypt）、多因素驗證（TOTP）密鑰與備用碼，以及（於啟用時）SSO／SCIM 識別碼。密鑰係以 KMS 式信封加密儲存；我們不以明文儲存密碼。

2.3 訓練紀錄（客戶訓練資料——Zentrum24 Academy 為處理者）

• 課程與課程體系之指派、到期日及重新認證排程。
• SCORM 課程進度、測驗作答與成績，以及完成狀態。
• 21 CFR Part 11 電子簽章（簽署人身分、簽章之意義、時間戳記）及所產生之 PDF/A 完訓證書。

2.4 帳務資料（Zentrum24 Academy 為控制者）

• 訂閱方案、計費週期、發票及付款狀態。付款卡資訊係由 Stripe, Inc. 直接蒐集及處理；Zentrum24 Academy 不儲存完整卡號。

2.5 稽核、安全及技術資料（就安全／營運而言 Zentrum24 Academy 為控制者；反映至客戶稽核軌跡時則為處理者）

• 記錄安全及法規遵循相關事件之防竄改、雜湊鏈結稽核日誌條目。
• IP 位址、使用者代理／瀏覽器資訊、時間戳記、工作階段活動及速率限制計數。
• 用以偵測及解決平台錯誤之診斷及錯誤資料。

我們不會刻意透過本服務蒐集特種（敏感）個人資料。除經我們書面明示同意者外，請勿於自由文字欄位上傳健康、生物特徵或其他敏感資料。

3. 我們如何及為何使用資料，以及我們的法律依據

於 Zentrum24 Academy 擔任處理者之情形，我們僅依客戶之指示使用客戶訓練資料以提供本服務；客戶應自行就其處理行為確立法律依據（通常為其於人力訓練上之正當利益，以及其於 GxP 架構下之法律／法規義務）。於 Zentrum24 Academy 擔任控制者之情形，我們依 GDPR／UK GDPR 主張下列法律依據：

• 提供、管理及保護本服務——包括驗證、RBAC、MFA、租戶隔離、速率限制及稽核記錄。法律依據：與客戶間契約之履行（Art. 6(1)(b)），以及我們營運安全、可靠平台之正當利益（Art. 6(1)(f)）。
• 處理帳務及訂閱——透過 Stripe 進行開立發票、款項對帳及方案權限控管。法律依據：契約之履行；法律義務之遵循（Art. 6(1)(c)），例如稅務及會計；以及收取應收款項之正當利益。
• 維護平台安全並防止濫用——監控、入侵偵測、帳戶鎖定，以及稽核鏈之完整性驗證。法律依據：資訊安全及詐欺防制之正當利益；法律義務之遵循。
• 提供客戶支援及傳送服務訊息——回應請求並寄送營運通知（例如安全或服務可用性通知）。法律依據：契約之履行；正當利益。
• 改善及維護本服務——彙總性診斷與疑難排解。法律依據：正當利益，並與您的權利相權衡；我們會將資料最小化，並於可行時予以彙總或去識別化。
• 履行我們自身之法律、法規及法令遵循義務，以及主張、行使或防禦法律上之請求。法律依據：法律義務；正當利益。
• 選用性分析 Cookie 及任何行銷通訊（於適用時）。法律依據：同意（Art. 6(1)(a)），您得隨時撤回。

於 CCPA/CPRA 下，我們使用個人資訊之「營業或商業目的」對應上述各項用途。Zentrum24 Academy 不「出售」個人資訊，亦不為跨情境行為廣告之目的而「分享」個人資訊，前開用語依 CCPA/CPRA 之定義。我們不會為須賦予限制權之目的而使用敏感個人資訊。

4. Cookie 及類似技術

本服務使用嚴格必要之必要工作階段 Cookie——一組儲存於 httpOnly Cookie 中之無狀態 JWT——以維持您的登入狀態、執行閒置逾時，並防範跨站請求偽造。此 Cookie 為本服務運作所必需，且不用於廣告用途。

於啟用時，我們亦可能使用選用性分析以瞭解使用情形並改善本服務；於法律有所要求時，該等技術僅於取得您的同意後始予設定。您得透過我們的 Cookie 控制項接受或拒絕非必要 Cookie，並隨時撤回同意。完整之 Cookie 清單、其用途、存續期間及管理方式，請參閱我們的 Cookie 政策。

5. 分享與次處理者

我們不出售個人資料。我們僅依本節所述揭露個人資料：

• 向相關客戶（控制者）：學習者之訓練資料，於該租戶內得供其所屬組織之管理員及主管存取。
• 向協助我們營運本服務之次處理者，並以書面契約課予其至少與本政策及我們 DPA 同等保護程度之資料保護義務。我們目前之次處理者包括：
  • Vercel Inc.——應用程式代管及內容傳遞；美國。
  • Supabase——受管理之 PostgreSQL 資料庫及私有加密物件儲存；美國。
  • Stripe, Inc.——付款處理及訂閱帳務；美國。
  • 電子郵件／SMTP 供應商——交易性電子郵件遞送；尚未選定供應商，將於上線前補列於此。
  如需最新且具權威性之清單並訂閱異動通知，請參閱我們的 次處理者頁面。
• 基於法律及安全理由：於為遵循法律、有效之法律程序或主管機關要求所必需，或為保護 Zentrum24 Academy、我們的客戶或他人之權利、人身安全及安全性所必要時。若涉及客戶之資料，於法律允許之範圍內，我們將通知該客戶。
• 於公司交易中：與合併、收購、融資或資產出售有關者，並受本政策及適用法律之拘束。

6. 國際資料傳輸

本服務代管於 Vercel（應用程式代管）及 Supabase（受管理之 PostgreSQL 資料庫及物件儲存），主要處理地點位於美國（AWS us-east-1 (Northern Virginia, United States)）。若您自歐洲經濟區、英國或其他訂有跨境傳輸規範之法域使用本服務，您的個人資料可能被傳輸至美國或其他法律規定與您所在法域不同之國家，並於該地處理。

於我們進行個人資料之國際傳輸時，我們依賴適當之保護措施，包括歐盟執委會之 Standard Contractual Clauses (SCCs) 及英國國際資料傳輸附錄，並輔以補充性之技術與組織措施（例如傳輸中及靜態儲存之加密）。相關傳輸機制之副本，得來函 contact@zentrum24.com 索取。適用於客戶訓練資料之傳輸條款，載於我們的 DPA。

7. 資料保存

就客戶訓練資料，Zentrum24 Academy 於客戶訂閱有效期間內並依客戶之指示保存資料，俾使客戶得以履行其自身之 GxP 紀錄保存義務（依 21 CFR Part 11、EU Annex 11 及相關要求，訓練紀錄、電子簽章、證書及稽核軌跡通常須保存較長期間）。於終止時，我們將依 DPA 返還或刪除客戶訓練資料，惟法定保存要求者不在此限。

就我們擔任控制者之帳戶、帳務及安全資料，我們於客戶關係存續期間保存該等資料，其後僅於為本政策所述目的所必要之期間內保存——例如為履行稅務、會計、稽核及法律防禦義務，並維持防竄改稽核鏈之完整性。具體保存期間：帳務及稅務紀錄為七（7）年；安全與稽核日誌為 24 個月；訓練及測驗紀錄則為客戶自身法規保存義務所要求之期間。

8. 我們如何保護資料（安全措施）

Zentrum24 Academy 採行旨在保護個人資料之技術與組織措施，包括：

• 嚴格之租戶隔離：透過非超級使用者之應用程式角色執行 PostgreSQL 資料列層級安全性（RLS），使一客戶之資料無法為另一客戶所讀取。
• 加密：傳輸中（TLS）及靜態儲存之加密，包括加密之物件儲存及加密之 PostgreSQL 資料庫（Supabase）。
• 強式驗證：多因素驗證（TOTP 搭配備用碼）、可設定複雜度之 bcrypt 密碼雜湊、密碼歷程紀錄，以及重複失敗時之帳戶鎖定。
• 密鑰保護：就所儲存之 MFA 及 SSO 密鑰採用 KMS 式信封加密。
• 存取控制：以角色為基礎之存取控制（租戶管理員、作者、主管、學習者），並於適格方案層級提供 SAML SSO 及 SCIM 佈建。
• 工作階段與濫用控制：儲存於 httpOnly Cookie 中並設有閒置逾時之無狀態 JWT 工作階段，另有以租戶及以使用者為單位之速率限制。
• 完整性與可歸責性：防竄改之雜湊鏈結稽核日誌，以及符合 21 CFR Part 11 之電子簽章。

任何系統均無法保證絕對安全。我們維持事故應變程序，並將依適用法律及 DPA，就個人資料外洩事件通知受影響之客戶，並於法律要求時通知監理機關及資料主體。

9. 您的權利

在適用法律之範圍內，個人就其個人資料享有之權利可能包括：

• 存取權——取得我們是否持有您個人資料之確認，並取得其副本。
• 更正權——更正不正確或不完整之資料。
• 刪除權（「被遺忘權」）——於特定情形下要求刪除資料。
• 可攜權——以結構化、通用且機器可讀之格式取得特定資料。
• 限制處理權及反對權——限制或反對特定處理行為，包括基於正當利益之處理。
• 撤回同意——於處理係以同意為依據時（例如選用性分析），得隨時撤回，且不影響撤回前之處理。
• CCPA/CPRA 權利——知悉、刪除及更正個人資訊之權利，以及因行使該等權利而不受差別待遇之權利。由於我們不出售個人資訊、不為跨情境行為廣告之目的分享個人資訊，亦不為須賦予限制權之目的使用敏感個人資訊，故選擇退出出售／分享及限制敏感資料使用之權利並不適用；倘日後有所變更，該等請求即將據此受理。您得委任授權代理人，我們並將依法對請求進行身分驗證。

終端使用者（學習者）之請求，通常應循您的雇主／客戶提出。就訓練資料而言，您所屬組織為控制者。若您為學習者並欲就您的訓練紀錄行使權利，請聯繫貴組織之管理員；若您逕行聯繫 Zentrum24 Academy，我們將依處理者義務之要求，將您的請求移轉或轉交予相關客戶，並協助其回應。我們不代客戶決定該等請求之結果。

10. 如何行使您的權利（包括應用程式內匯出與刪除）

於 Zentrum24 Academy 擔任控制者之情形（帳戶、帳務及管理員／聯絡人資料），您得來函 contact@zentrum24.com 行使您的權利。我們將於適用法律所要求之期限內回覆（依 GDPR／UK GDPR 一般為一個月，依 CCPA/CPRA 為 45 天，並得於法律允許時延長）。我們於採取行動前可能須先驗證您的身分，且不會因您行使權利而給予差別待遇。

本服務並提供客戶及（於啟用時）其使用者得直接使用之自助工具：

• 應用程式內資料匯出：租戶管理員得以機器可讀格式匯出訓練紀錄及稽核資料（例如透過本服務之資料匯出及證據包功能），以支援存取及可攜權請求。
• 帳戶刪除：管理員得停用或刪除使用者，並得於終止時請求刪除租戶資料，惟仍受第 7 節之保存規則及 DPA 之拘束。

若您對我們的回覆不滿意，您有權向您當地之監理機關提出申訴（於英國為 Information Commissioner's Office；於歐盟為您所屬國家之資料保護主管機關），或於加州向 California Privacy Protection Agency 或 Attorney General 反映。我們仍期盼能有機會先行處理您的疑慮。

11. 兒童資料

本服務係供組織及其人員使用之人力法規遵循訓練工具。本服務並非以兒童為對象，亦不供未滿 16 歲者使用。我們不會在知情之情況下蒐集兒童之個人資料。若您認為有兒童曾透過本服務提供個人資料，請來函 contact@zentrum24.com，我們將與相關客戶共同採取適當措施予以刪除。

12. 本政策之變更

我們可能因實務作法、技術、法律要求或本服務之變動，而不時更新本政策。當我們進行重大變更時，將更新上方之「最後更新」日期，並於適當情形下透過本服務或以電子郵件通知客戶。除法律要求須另行取得同意者外，您於更新生效後繼續使用本服務，即構成對修訂後政策之接受。

13. 聯絡我們

就本政策或我們處理個人資料之方式，如有任何問題、請求或申訴：

• Zentrum24 LLC
• 隱私／資料保護聯絡方式：contact@zentrum24.com
• 通訊地址：1621 Central Ave, Cheyenne, Wyoming 82001, USA
• 準據法：美國 Wyoming 州
• 歐盟／英國代表（如適用）：目前尚未指定。

提醒：於公開發布前，方括號內之預留欄位必須完成填寫，且本政策應經具資格之法律顧問審閱。