制定方：中化能源科技有限公司
版本号：V1.0
生效日期：2025年8月1日
更新说明：依据《个人信息保护负责人信息报送公告》（网信办〔2025〕）、《关键信息基础设施商用密码使用管理规定》等新规修订
一、引言
中化能源科技有限公司（以下简称"我方"、"平台方"或"中化能源科技"）作为掌上UBMP SaaS服务的提供者，深知个人信息安全的重要性。本隐私政策旨在说明我方如何处理企业用户（采购SaaS服务的法人实体）及其授权用户（实际使用APP的自然人）的个人信息。请仔细阅读本政策，了解我们如何收集、使用、存储和保护您的信息。
二、角色定义
企业用户：指与我方签订《SaaS技术服务合同》，采购并使用掌上UBMP服务的法人实体。企业用户是数据控制者，独立决定其信息处理目的与方式。
授权用户：指由企业用户合法授权，实际登录并使用掌上UBMP APP及服务的自然人（通常为企业员工）。授权用户是数据主体，享有知情权等法定权利。
平台方：指中化能源科技有限公司，作为受托处理者，仅在履行与企业用户签订的合同范围内处理个人信息，无权变更目的或超范围处理。
企业用户与我方签订的《SaaS服务合同》是个人信息处理的核心法律依据。企业用户应对其提供的信息数据及授权用户信息的合法性、准确性负责。
三、个人信息的收集与使用
（一）收集范围与目的限制
1.企业用户必须提供的信息
企业用户为使用本服务，需向我方提供以下信息：
| 数据类型 | 用途 | 存储期限 |
|---|---|---|
| 企业营业执照 | 主体资质核验 | 合同终止后3年 |
| 管理员身份信息 | 系统权限分配 | 账号停用后180天 |
| 授权用户名单（姓名/工号） | 账号开通 | 员工离职即删除 |
2.授权用户可选功能信息
授权用户可选择使用以下功能，相关信息的收集需单独授权：
| 数据类型 | 处理场景 | 拒绝后果 | 单独授权方式 |
|---|---|---|---|
| 人脸特征 | 刷脸登录 | 仅可用密码登录 | 弹窗+二次确认 |
| 精准GPS位置 | 外勤打卡/收发货地址 | 无法定位签到/手动输入收发货地址 | 系统权限开关,这可能会增加耗电量 |
| 设备标识码(IMEI) | 安全风控 | 可能触发账号冻结 | 用户隐私授权后 |
| 消息推送 | 及时响应订单状态和审批 | 影响订单流程效率 | 用户隐私授权后 |
| 拍照/相册 | 订单提交附件资料 | 无法下订单 | 用户隐私授权后 |
| 修改或删除存储卡上的照片、媒体内容和文件 | 订单提交附件资料(pdf,视频) | 无法下订单 | 用户隐私授权后 |
| 录制音视频 | 业务流程资料说明使用 | 可以手动收入描述 | 用户隐私授权后 |
| 获取本机号码及拨打电话 | 方便客户与供应商联系 | 线下沟通 | 用户隐私授权后 |
| 获取本机号码及拨打电话 | 方便客户与供应商联系 | 线下沟通 | 用户隐私授权后 |
| 读取设备上已安装列表 | 接受消息通知后能点击打开应用,以及提高消息触达效率 | 影响消息推送时效性 | 用户隐私授权后 |
（二）最小必要原则的实施
功能绑定禁止：核心功能（如登录）不强制要求开启定位、人脸等权限；
数据分层收集：基础功能仅需设备标识符；附加功能（如打卡）需位置信息，且逐项授权；
去标识化处理：日志信息、设备信息等匿名化后用于统计分析。
四、数据安全与第三方管理
（一）安全措施
1.技术保障
加密技术：生物特征采用AES-256加密；
访问控制：执行RBAC权限模型动态令牌认证；
安全审计：每年委托第三方进行渗透测试。
2.跨境传输
所有数据默认存储于上海数据中心。确需出境时，通过以下任一合法途径：
✓ 通过网信部门安全评估；
✓ 签订标准合同条款（SCC）并备案；
✓ 取得个人信息保护认证
（二）第三方服务管理
为提供完整功能，本服务接入了以下第三方SDK：
百度地图SDK：用于位置服务，收集设备GNSS坐标信息，已通过ISO 27001认证；
华为推送SDK：用于消息通知，收集设备OAID标识，已获网络安全等级保护三级认证；
人脸识别SDK：用于刷脸登录，仅处理面部特征点信息且本地处理不传输。
SDK功能变更或新增时，通过站内信通知企业管理员。所有第三方合作方均需通过安全评估并签订《数据处理协议》，承诺遵守不低于本政策的安全标准。第三方SDK的详细隐私政策可在其官网查询。
五、用户权利实现
1.授权用户依法享有知情权、决定权、查阅复制权、更正补充权（第四十六条）、删除权及撤回同意权。
2.权利行使路径
查询/复制：APP内“个人中心-数据档案”自助办理（响应时限≤15天）；
删除/注销：向企业管理员提交书面申请→企业审核后通知平台方→10个工作日内执行；
撤回同意：通过“设置-权限管理”实时关闭权限（如定位、人脸）。
3.有下列情形之一的，平台方可拒绝请求：
与企业用户履行法定职责或者法定义务相关的；可能危害国家安全、公共安全或他人重大合法权益的；其他法律法规规定的情形。
六、法律责任
1.企业用户对数据收集的合法性、授权完整性负责。因企业超范围收集信息导致的侵权，由企业用户承担责任。
2.平台方对执行数据处理指令的合规性负责。因违反合同约定处理信息造成的损害，依法承担赔偿责任。
3.因第三方SDK私自收集信息造成的损害，平台方在赔偿后有权向第三方追偿。
4.平台方不承担责任的情形包括：
因企业用户擅自关闭加密功能或授权用户共享账号导致的数据泄露；因战争、地震等不可抗力导致的服务中断；行政机关、司法机关依法调取数据。
七、政策修订机制
非实质性修订：通过APP公告、网站公示等方式通知，继续使用服务视为接受。
实质性修订（如处理目的、合作方变更）：提前30日邮件通知企业管理员；APP启动页强制展示变更内容；敏感信息处理变更需重新获取单独同意。
历史版本存档于：【www.ubmp.com/privacy-archive】
八、争议解决
因本政策产生的任何争议，双方应首先友好协商解决。协商不成的，任何一方均有权将争议提交北京仲裁委员会，按照申请仲裁时该会有效的仲裁规则进行仲裁。仲裁裁决是终局的，对各方均有约束力。
九、联系我们
如对本政策有任何疑问或行使个人权利，请通过以下方式联系：
数据保护负责人（DPO）
邮箱：dpo@sinochem.com
电话：021-62080898（工作日 9:00-18:00）
紧急安全事件响应
邮箱：security@ubmp.com
7×24小时响应热线：021-62080898
签署确认：
本政策自生效日期起执行，替代此前所有版本。企业用户管理员登录系统即视为接受本政策，并承诺向授权用户传达政策内容。
中化能源科技有限公司
2025年8月1日