1. 数据处理控制者信息
根据《欧盟通用数据保护条例》（GDPR，(EU) 2016/679）及西班牙《个人数据保护法及数字权利保障法》（LOPDGDD），特此告知：通过 Nextaur 平台收集的个人数据由以下主体处理：
持有人：Erik Armenteros del Castillo
税号（NIF）：51988106X
注册地址：Calle Pico de los Artilleros, Madrid, 28030, 西班牙
隐私与法律联系：legal@nextaur.com
2. 我们在数据保护中的角色（B2B SaaS）
Nextaur 是一个软件即服务（B2B SaaS）平台。根据数据的来源和类型区分我们的法律角色至关重要：
Nextaur 作为控制者：我们以控制者身份处理用户账户数据（电子邮件、姓名）、组织计费数据及平台使用分析数据。
Nextaur 作为处理者（B2B DPA）：当组织上传视频、片段或生成包含第三方数据（例如学员、运动员、员工或未成年人）的评估活动时，该组织是这些数据的唯一控制者。Nextaur 仅根据其指示托管和处理这些数据。代表第三方进行处理的条款详见本文档末尾的附录 1：《数据处理协议（DPA）》。
3. 我们处理哪些数据、为何处理及法律依据
| 数据类别 | 处理目的 | 法律依据（GDPR） |
|---|---|---|
| 账户数据：电子邮件、姓名、出生日期、国家、首选语言。 | 创建账户、验证用户并以个性化方式提供 SaaS 服务。 | 第 6.1.b 条（合同履行/缔约前） |
| 组织与计费数据：公司/俱乐部名称、成员角色、通过 Stripe 管理的数据。 | 订阅管理、计划限制、收款、欠费处理及技术支持。 | 第 6.1.b 条（合同履行）及第 6.1.c 条（会计/税务法定义务） |
| 使用数据与遥测：会话日志、功能使用、各模块活跃时长。 | 维护平台安全（防滥用、MFA）及内部分析以改进服务。 | 第 6.1.f 条（合法利益） |
| 营销数据：电子邮件及偏好。 | 发送商业通讯、新闻及 Nextaur 更新。 | 第 6.1.a 条（明确同意——可随时撤回） |
4. 数据保留期限
| 场景 | 保留期限及措施 |
|---|---|
| 活跃账户 | 在合同关系存续期间或用户删除账户之前保留。 |
| 删除账户（个人） | 申请删除账户后，将开启 14 天的可恢复宽限期：您的账户会立即被停用，但您可以通过我们发送到您邮箱的链接重新激活。若 14 天内未重新激活，您的账户及相关数据（包括您作为唯一所有者的组织）将被永久且不可逆地删除。 |
| 组织注销 | 付费计划组织在最终不可逆清除前保留 30 天安全期。Free 计划连续不活跃超过 30 天的，将自动删除组织。 |
| 计费与付款 | 依法至少保留 5 年（西班牙《一般税法》）。 |
| 产品遥测与内部日志 | 保留 24 个月，之后完全匿名化以生成聚合统计。 |
5. 供应商、服务器及国际传输
为以最高质量与安全提供服务，Nextaur 依托一流技术基础设施供应商。我们保证核心服务器及视频存储位于欧洲经济区（EEA）内，严格符合欧洲法规保障：
- 视频与图像存储（AWS S3）及数据库（Supabase）：托管于欧盟境内服务器。
- 付款与计费（Stripe）：通过 PCI-DSS 认证安全处理。Nextaur 不存储亦无法访问您的完整信用卡号。
- 电子邮件发送（Brevo）：欧洲供应商，用于事务性通信。
6. 最低年龄与未成年人
在 Nextaur 注册个人用户须年满 14 周岁。以“Owner”身份注册组织并订阅计划的用户须年满 18 周岁且具备缔约能力。
若组织使用 Nextaur 基础设施处理 14 周岁以下未成年人的数据、视频或评估，该组织负有独家且不可委托的责任，须事先取得父母或法定监护人的明确同意。
7. 您的隐私权利
您可发送邮件至 legal@nextaur.com 行使数据保护权利。您有权：
- 访问与更正：了解我们持有的数据并在个人资料面板中直接更正。
- 删除（被遗忘权）：在平台设置中自主删除账户或通过邮件申请。
- 反对与限制：撤回营销同意或反对基于合法利益的处理。
- 可携带性：以结构化、可读格式索取您提供的个人数据副本。
若认为您的权利受到侵害，有权向主管监管机构投诉；在西班牙为西班牙数据保护局（AEPD）。
8. 本政策的变更
Nextaur 保留修改本政策的权利，以适应立法更新、判例要求或服务结构性变更。任何重大变更将合理提前通知注册用户。
附录 1：数据处理协议（B2B DPA）
本附录构成 Nextaur《使用条款与条件》及《隐私政策》不可分割的组成部分，规范 Nextaur（“处理者”）代表签约组织（“控制者”）处理个人数据的行为。
1. 委托目的与性质
控制者签约使用 Nextaur SaaS 平台。在此过程中，控制者可上传、托管和管理包含第三方（学员、运动员、员工）个人数据的视频、图像、元数据（仲裁或体育相关）及评估数据。Nextaur 仅作为处理者，提供托管、访问管理及所请求的软件功能。
2. Nextaur 的义务（处理者）
- 仅按控制者书面指示处理个人数据。组织自身对平台的配置与使用视为书面指示。
- 确保获授权处理数据的人员已承诺遵守保密义务。
- 采取 GDPR 第 32 条要求的一切技术与组织安全措施，包括传输加密（HTTPS）、基于角色的访问控制（RLS）安全数据库及视听媒体签名 URL。
- 未经事先授权不得再委托其他处理者。接受本协议即表示控制者一般性授权 Nextaur 使用 Amazon Web Services（AWS）及 Supabase 作为欧盟境内托管分包处理者。
- 通过平台技术工具或人工支持协助控制者履行响应数据主体（学员、运动员）权利请求的义务。
- 知悉个人数据泄露后，无不当延迟且在最多 48 小时内通知控制者。
- 服务终止后（自愿注销、Free 计划不活跃或长期欠费），按《使用条款与条件》规定的保留期限删除控制者全部个人数据（含副本），法律要求保留的除外。
3. 组织的义务（控制者）
- 保证对上传至平台的个人数据拥有有效法律依据（如同意或合同履行）。
- 取得并保管视频中所有可识别人员的肖像权及必要隐私授权，特别关注未成年人相关规范。
- 就因控制者缺乏上传数据处理的法律依据而产生的第三方索赔或行政处罚，使 Nextaur 免受损害。