隱私權政策 – MegaSend

Weblix Global Technologies LLC （「Weblix」、「MegaSend」、「我們」、「我們的」或「本公司」） 營運 MegaSend 平台 — 一項軟體即服務（SaaS）產品，整合了 Meta Platforms, Inc. 提供的官方 WhatsApp Business Solution API，使我們的企業客戶能夠大規模地與其自身的顧客及聯絡人溝通。

本隱私權政策說明當您 (a) 造訪我們的網站或行銷頁面；(b) 註冊、存取或使用 MegaSend 平台；(c) 透過電子郵件、支援管道或社群媒體與我們聯繫；或 (d) 為我們某企業客戶透過本平台所發送訊息的收件人時，我們如何收集、使用、揭露、儲存、傳輸及保護個人資料。

我們依據不同的關係扮演兩種不同的角色：(i) 對於我們客戶、帳戶管理員、帳務聯絡人、潛在客戶及網站訪客的個人資料，我們作為「控制者」（依據歐盟／英國 GDPR）或「企業」（依據 CCPA/CPRA）— 意即由我們決定處理的目的與方式；以及 (ii) 對於我們客戶終端使用者的個人資料（訊息收件人、客戶上傳的聯絡人名單、客戶進行的對話），我們作為「處理者」（依據 GDPR）或「服務提供者」（依據 CCPA/CPRA），此時我們的客戶為控制者，而我們僅依據資料處理協議所載的書面指示處理此類資料。

存取、註冊或使用本服務，即表示您確認已閱讀並理解本隱私權政策。若您不同意本政策，則不得使用本服務。若您代表某組織使用本服務，即表示您聲明有權使該組織受本政策約束。

主要定義

• 「個人資料」／「個人資訊」— 指與已識別或可識別之自然人相關的任何資訊，依 GDPR、CCPA/CPRA、以色列 5741-1981 號隱私保護法及同等法律之定義。
• 「處理」— 指對個人資料執行的任何作業，包括收集、記錄、儲存、存取、使用、揭露、傳輸、比對、限制、消除或銷毀。
• 「控制者」／「企業」— 指決定處理目的與方式的實體。
• 「處理者」／「服務提供者」— 指依據書面指示，代表控制者處理個人資料的實體。
• 「客戶」— 指已註冊並使用 MegaSend 平台的企業或個人（即帳戶持有人）。
• 「終端使用者」／「訊息收件人」— 指其電話號碼、姓名或其他識別資訊出現在客戶聯絡人名單中，並透過本平台與該客戶交換 WhatsApp 訊息的自然人。
• 「服務」— 指 MegaSend 平台，包括網站、儀表板、API、行動裝置介面、AI 助理功能、行銷活動、流程，以及所有相關功能。
• 「次處理者」— 指 Weblix 為提供本服務而委託，代表我們處理個人資料的第三方。

我們收集的個人資料

我們透過三種方式收集個人資料：(a) 您直接提供給我們的資訊；(b) 我們在您使用本服務時自動收集的資訊；以及 (c) 我們從第三方（例如 Meta/WhatsApp、付款處理商及身分驗證提供者）取得的資訊。

我們不會在知情的情況下收集特殊類別個人資料（依 GDPR 第 9 條）或敏感性個人資訊（依 CCPA/CPRA）— 例如種族或民族出身、政治意見、宗教信仰、工會會籍、基因或生物特徵資料、健康資料，或關於個人性生活或性取向的資料 — 並要求客戶不得透過本服務上傳、傳輸或處理此類資料，除非客戶具備有效的法律依據，並已事先通知我們以簽訂補充協議。

我們不會在知情的情況下收集未滿 16 歲（或您所在司法管轄區所適用之更高最低年齡）個人的個人資料。請參閱兒童隱私章節。

處理的法律依據（GDPR／英國 GDPR）

在 GDPR 或英國 GDPR 適用的情況下，我們僅在滿足以下一項或多項法律依據（第 6 條）時處理您的個人資料：

• 履行契約（第 6(1)(b) 條）— 當處理為提供您所註冊的服務所必需時，包括帳戶建立、身分驗證、訊息傳送、帳務及客戶支援。
• 同意（第 6(1)(a) 條）— 用於非必要 Cookie、行銷通訊，以及任何其他並非絕對必要的處理。您可隨時撤回同意，且不影響先前的處理。
• 正當利益（第 6(1)(f) 條）— 用於服務改善、安全防護、詐欺與濫用防範、內部分析、網路與資訊安全、向既有客戶進行的 B2B 直接行銷，以及行使或抗辯法律請求。我們會在自身利益與您的權利和自由之間取得平衡。
• 遵循法律義務（第 6(1)(c) 條）— 用於稅務記錄、反洗錢查核、制裁名單篩查、向主管機關的合法揭露、會計記錄保存，以及對有效法律程序的回應。
• 重大利益（第 6(1)(d) 條）— 在罕見的緊急情況下，當處理為保護自然人之生命或安全所必需時。
• 公共利益或官方職權（第 6(1)(e) 條）— 僅限適用法律明確要求的情況。

在處理以同意為依據的情況下，您可隨時透過來信 team@weblix.co.il 或使用產品內控制項撤回同意。撤回不影響撤回前所進行處理的合法性。

我們如何使用個人資料

我們將個人資料用於下列目的。各目的的具體法律依據以方括號標示。

• 提供、營運、維護及保護本服務；建立並驗證帳戶；提供 API 存取權；透過 WhatsApp Business Platform 傳送訊息〔契約／正當利益〕。
• 處理訂閱、付款、發票、退款、稅務及退單；催收逾期款項；遵循會計與稅務法律〔契約／法律義務〕。
• 回應支援請求、排除問題、傳達與服務相關的通知（安全警示、停機、政策變更）〔契約／正當利益〕。
• 以彙總方式分析本服務的使用情形、改善功能、開發新功能，以及進行 A/B 測試〔正當利益／必要時取得同意〕。
• 偵測、調查及防範詐欺、濫用、垃圾訊息、惡意軟體、帳戶盜用、阻斷服務攻擊，以及違反我們使用條款的行為〔正當利益／法律義務〕。
• 遵循適用法律、法規、法院命令、公權力機關的合法請求、制裁名單篩查、反洗錢，以及 Meta 的 WhatsApp Business Solution 條款〔法律義務〕。
• 發送行銷通訊（僅限取得同意，或在適用情況下依軟性選擇加入規則向既有客戶發送）；衡量行銷活動成效〔同意／正當利益〕。
• 提供 AI 驅動功能（助理、建議回覆、自動化流程）— 請參閱 AI 處理章節〔契約／正當利益〕。
• 建立、行使或抗辯法律請求；執行我們的條款；保護我們的權利、財產及他人的安全〔正當利益／法律義務〕。

自動化決策與剖析

我們不會僅依據自動化處理（依 GDPR 第 22 條之意涵）做出對您產生法律效果或類似重大影響的決策。

我們將有限的自動化系統用於：(i) 濫用、詐欺及垃圾訊息偵測（可能在人工審查前暫時限制帳戶）；(ii) AI 產生的訊息建議或聊天機器人回覆（始終可由客戶以人工方式覆寫）；(iii) 送達率最佳化。當任何自動化決策可能對個人權利造成重大影響時，會在決策最終定案前由人工審查者介入。

您有權要求人工介入、表達您的觀點，並對決策提出異議。如欲行使此權利，請聯繫 team@weblix.co.il。

我們如何分享個人資料

我們僅依下列說明分享個人資料。我們絕不出售個人資料，也絕不為跨情境行為廣告分享個人資料。

接收者類別

• 經審查的次處理者，依據載有 GDPR 第 28 條所要求保障措施的書面資料處理協議，代表我們提供基礎設施、付款處理、通訊傳送、分析及安全服務。
• Meta Platforms, Inc. 及其關係企業 — 用以透過 WhatsApp Business Solution API 傳送訊息（您亦須接受 Meta 的條款；就底層 WhatsApp 服務而言，Meta 為獨立的控制者）。
• 我們的客戶，當您是透過本平台接收訊息的終端使用者時 — 您的訊息內容與聯絡明細對發起對話的客戶可見。該客戶為該等資料的控制者。
• 在絕對必要且負有保密義務的情況下的專業顧問（會計師、稽核師、律師、保險業者）。
• 執法機關、監管機構、法院或其他政府機構 — 僅在我們善意相信揭露為適用法律所要求或為有效法律程序所強制時，且僅限必要的最少量資料。
• 在合併、收購、融資、重組、破產，或出售我們全部或部分資產情況下的承繼者 — 以保密義務及延續本政策或向您發出通知為前提。
• 經您明確同意或依您指示的其他方。

目前的次處理者

我們維護一份最新的次處理者清單。截至本政策生效日，我們主要的次處理者包括：

• Meta Platforms, Inc. — WhatsApp Business Solution API、訊息傳送 — 美國／愛爾蘭
• Stripe, Inc. — 付款處理、帳務 — 美國／愛爾蘭
• Cloudflare, Inc. — 內容傳遞網路、DDoS 防護、Turnstile CAPTCHA — 全球邊緣網路
• Amazon Web Services, Inc. — 雲端基礎設施、儲存、運算 — 區域可選（我們使用歐盟與美國區域）
• Redis Ltd. — 受管理的記憶體內快取 — 歐盟／美國
• OpenAI, L.L.C. 及／或 Anthropic, PBC — 用於 AI 助理功能的大型語言模型推論（可設定；依我們的企業協議，資料不會用於模型訓練）
• Twilio Inc.（SendGrid）— 交易型電子郵件傳送 — 美國
• Functional Software, Inc.（Sentry）— 錯誤監控與當機回報 — 美國／歐盟
• Google LLC — 分析（僅限取得同意）、內部電子郵件使用的 Google Workspace — 美國／歐盟

當我們委託新的次處理者或更換既有次處理者時，會更新次處理者清單。方案中包含資料處理協議的客戶，可訂閱以接收變更的事先通知，並可對重大變更提出反對。

國際資料傳輸

Weblix 於美國（懷俄明州）註冊成立並在全球營運。您的個人資料可能會被傳輸至您居住國家以外的國家儲存與處理，包括美國、歐洲經濟區、英國及以色列。

當我們將個人資料自歐洲經濟區、英國或瑞士傳輸至未獲歐盟委員會（或視情況而定的英國政府／瑞士聯邦資料保護與資訊專員）作出充分性決定的國家時，我們依賴下列一項或多項保障措施：

• 歐盟委員會標準合約條款（SCCs）（第 2021/914 號決定），並在適用時納入英國國際資料傳輸附錄；
• 歐盟—美國資料隱私框架、英國對歐盟—美國 DPF 的延伸，以及瑞士—美國 DPF（適用於接收方已完成自我認證且該框架仍然有效的情況）；
• 充分性決定，包括以色列就資料自歐洲經濟區傳輸至以色列之充分性決定及相互安排；
• 傳輸影響評估，以及在 Schrems II 裁決後於必要時採取的補充性技術、組織及合約措施（例如傳輸中與靜態加密、假名化及存取控制）。
• GDPR 第 49 條下的特定減損規定（例如您的明確同意、應您要求履行合約）— 僅在有限情況下使用。

您可透過電子郵件寄送至 team@weblix.co.il，索取相關傳輸機制的副本（其中具商業敏感性的條款將予以遮蔽）。

資料保留

我們僅在實現蒐集個人資料目的之必要期間內保留該資料，包括滿足法律、會計、法規或申報義務。除非法律要求或您的合約另有約定更長或更短的期間，否則適用下列保留期間。

• 帳戶個人檔案與身分驗證資料 — 於您的帳戶存續期間，並於帳戶關閉後保留最長 36 個月（用於法律主張、稽核及重新啟用），其後予以刪除或完全匿名化。
• WhatsApp 訊息內容與對話紀錄 — 依客戶設定的期間保留（媒體檔案預設為 30 天，文字訊息在客戶設定或適用法律要求時保留更久）。客戶可隨時要求立即刪除。
• 發票、稅務紀錄與付款歷史 — 保留 7 年（或適用之稅務、會計或反洗錢法律所要求的更長期間）。
• 系統日誌、安全日誌與稽核軌跡 — 最長 24 個月，其後予以彙總或刪除；在安全調查或法律主張需要時保留更久。
• 支援往來紀錄 — 自最後一次聯絡起最長 36 個月。
• 行銷同意紀錄 — 於同意存續期間，並於撤回後保留 24 個月（以證明符合同意規則）。
• 加密備份 — 以最長 90 天的滾動週期覆寫。

在適用保留期間屆滿後，我們會刪除個人資料或將其不可逆地匿名化。匿名化資料可無限期保留，用於分析與產品改善。

安全措施

我們實施並維護適當的技術與組織措施，以保護個人資料免於未經授權或不合法的處理，以及免於意外遺失、損毀、損壞、變更或揭露。我們的措施包括：

• 對用戶端、伺服器與次處理者之間所有通訊採用傳輸中加密（TLS 1.2 以上）
• 對資料庫、檔案儲存及備份採用靜態加密（AES-256）
• 嚴格的角色型存取控制、最小權限原則及稽核日誌記錄
• 對可存取正式環境系統的員工強制實施多因素驗證
• 網路分段、防火牆、入侵偵測及持續弱點掃描
• 由獨立安全廠商定期執行滲透測試
• 安全的軟體開發生命週期、程式碼審查及自動化相依性掃描
• 對所有可存取個人資料的員工與承包商進行背景查核並要求其負保密義務
• 完整記載的事件應變與營運持續計畫
• 定期對員工進行隱私與安全訓練
• 依與我們資料庫相符的安全等級遵循以色列《隱私保護規則（資料安全）5777-2017》

雖然我們採用業界標準的保障措施，但任何傳輸或儲存方法皆無法達到 100% 安全。我們無法保證絕對安全，在法律允許的範圍內，您須自行承擔使用本服務的風險。

您有責任對您的密碼與 API 金鑰保密、啟用多因素驗證，並在發現任何疑似未經授權的存取時，立即透過 team@weblix.co.il 通知我們。

資料外洩通知

若我們得知發生可能對自然人之權利與自由造成風險的個人資料外洩事件，我們將：

• 於不當延遲的情況下通知主管監理機關，並在可行時於得知外洩事件後 72 小時內通知（GDPR 第 33 條）；
• 於外洩事件可能造成高風險時，在不當延遲的情況下通知受影響的資料當事人（GDPR 第 34 條）；
• 依以色列《隱私保護規則（資料安全）5777-2017》之要求，通知以色列隱私保護主管機關及受影響的個人；
• 於不當延遲的情況下通知客戶（當其為控管者時），以便其履行自身的通知義務；
• 為客戶及主管機關在調查與緩解方面提供合理協助；
• 依《加州民法典》第 1798.82 條及美國各州同等法律，通知受影響的加州居民。

您的隱私權利

在適用法律規範下，您享有以下所述之權利。部分權利並非絕對 — 在適用豁免情形時（例如，若遵循請求將不利地影響他人權利，或我們依法律規定須保留該資料），我們得拒絕請求。

• 查閱權 — 取得我們是否處理您個人資料之確認及該資料副本，並取得關於處理之資訊。
• 更正權 — 更正不正確的個人資料並補全不完整的資料。
• 刪除權（「被遺忘權」）— 在特定情況下刪除您的個人資料。
• 限制處理權 — 在爭議解決期間限制我們使用您個人資料的方式。
• 資料可攜權 — 在處理係基於同意或合約且以自動化方式進行時，以結構化、通用且機器可讀的格式接收您的個人資料，並將其傳輸至另一控管者。
• 反對權 — 隨時反對基於正當利益之處理（包括建檔分析）及直接行銷。
• 撤回同意權 — 在處理係基於同意時，隨時撤回同意。
• 不受僅基於自動化處理（包括建檔分析）而對您產生法律效果或類似重大影響之決定所拘束的權利（GDPR 第 22 條）。
• 向監理機關提出申訴之權利（請參閱監理機關章節）。

如何行使您的權利

請從與您帳戶相關聯的電子郵件地址寄送至 team@weblix.co.il，或使用產品內的隱私控制功能。我們將於收到可驗證請求後一個月內回覆（如 GDPR 第 12 條所允許，針對複雜請求得再延長兩個月）。除非請求顯然無依據、過度或重複，否則本服務免費提供；於該等情況下，我們得收取合理費用或拒絕處理。

為保護您的資料，我們將在回覆前驗證您的身分。我們可能會要求提供足以確認您即為您所聲稱之人的資訊。若您透過授權代理人提交請求，我們將要求書面授權，並得驗證相關消費者本人的身分。

若我們拒絕您的請求，您可回覆我們的拒絕電子郵件以提出申訴。在適用之州法律（例如維吉尼亞州、科羅拉多州、康乃狄克州）提供申訴程序時，我們將遵循該程序，並於法定期限內告知您結果。

歐洲經濟區、英國及瑞士居民須知

加州居民須知（CCPA／CPRA）

其他美國州居民通知

若您居住於維吉尼亞州、科羅拉多州、康乃狄克州、猶他州、德克薩斯州、奧勒岡州、蒙大拿州、愛荷華州、田納西州、印第安納州、德拉瓦州、紐澤西州、新罕布夏州、明尼蘇達州、馬里蘭州，或其他訂有綜合性消費者隱私法的美國州，您可能享有與上述類似的權利，包括：

• 知悉／存取我們處理之關於您的個人資料的權利
• 更正不正確個人資料的權利
• 刪除個人資料的權利
• 以可攜格式取得副本的權利
• 拒絕出售、定向廣告，或產生法律或類似重大影響之側寫的權利（我們並未從事上述任何行為）
• 對上述任何權利遭拒提出申訴的權利

如欲行使這些權利，請發送電子郵件至 team@weblix.co.il。我們將在您所在州法律規定的時限內回覆（通常為 45 天，得再延長一次共 45 天）。如欲對遭拒提出申訴，請回覆我們的拒絕通知電子郵件；我們將在法定時限內回覆申訴，並於適用情況下告知您如何聯絡您所在州的檢察總長。

以色列國居民通知

訊息接收者（終端使用者）通知

若您收到透過 MegaSend 發送的 WhatsApp 訊息，發送該訊息的客戶（使用我們平台的企業）即為您個人資料的控管者。我們僅依該客戶的指示處理您的資料。

我們可能處理您的姓名、電話號碼、個人檔案照片、訊息內容、訊息狀態（已送達／已讀），以及對話中繼資料，以代表客戶發送訊息。

如欲就此情境下處理的資料行使隱私權（存取、更正、刪除、反對），您應先聯絡發送訊息給您的客戶。若您無法辨識或聯絡到該客戶，請透過 team@weblix.co.il 聯絡我們，我們將協助轉介您的請求，或於合法情況下直接處理。

如欲停止接收訊息，請回覆 STOP（或在您當地 WhatsApp 介面中的對應指令）、在 WhatsApp 上封鎖發送者，或直接聯絡客戶。依據 Meta 的《WhatsApp Business 解決方案條款》及適用法律，我們要求客戶須及時尊重退出請求。

AI 驅動功能

MegaSend 提供 AI 驅動功能，例如 AI 助理、建議回覆、自動化流程生成，以及智慧訊息路由。這些功能可能使用第三方大型語言模型供應商（例如 OpenAI 或 Anthropic）作為次處理者。

根據我們與 AI 次處理者簽訂的企業協議，您的提示、訊息和輸出內容「不會」被用於訓練、微調或改善其公開的 AI 模型。

AI 功能的輸出僅為建議，在發送給終端使用者之前須經人工審查與核准（除非客戶明確啟用全自動回覆模式）。客戶仍須對所有已發送訊息的內容負責。

AI 輸出可能不準確、不完整，或不適用於某些情境。請勿在未經獨立人工驗證的情況下，依賴 AI 功能取得醫療、法律、財務、攸關安全或其他受監管的建議。

您可透過發送電子郵件至 team@weblix.co.il，要求為您的帳戶停用 AI 功能，或要求特定資料不被用於 AI 處理。

Cookie 及類似技術

我們使用 cookie、本機儲存空間、工作階段儲存空間，以及類似的追蹤技術。我們使用的類別包括：

• 嚴格必要 — 為提供核心功能所需（驗證、工作階段管理、安全、負載平衡、語言偏好）。此類別無法停用，且無須取得同意。
• 功能／偏好 — 記住您的設定、版面配置及選擇，以提升易用性。僅在法律要求時於取得同意後使用。
• 分析／效能 — 協助我們了解服務的使用方式，以便改善服務。僅在 ePrivacy 或當地法律要求時於取得同意後使用；在歐洲經濟區／英國地區，於取得同意前預設停用。
• 廣告／定向 — 我們「不」使用廣告或跨情境行為追蹤 cookie。

您可透過我們的同意橫幅（於顯示時）、瀏覽器設定，或退出工具來控制 cookie。封鎖嚴格必要的 cookie 可能導致服務無法正常運作。

於適用情況下，我們尊重全域隱私控制（GPC）訊號。由於大多數現代瀏覽器已不再以標準化方式支援具實質意義的「請勿追蹤」訊號，我們不會回應舊版的 DNT 標頭，但我們確實尊重 GPC。

我們的 Cookie 通知／同意橫幅中提供 cookie 的詳細清單，包含其用途、供應商及存續期間。

行銷通訊

我們僅於下列情況發送行銷電子郵件：(a) 您已給予同意（於要求選擇加入的司法管轄區，包括歐洲經濟區、英國，以及部分美國及亞太地區），或 (b) 您是既有客戶或曾向我們索取資訊，且適用軟性選擇加入／既有業務關係規則。

每封行銷電子郵件均包含取消訂閱連結。您也可發送電子郵件至 team@weblix.co.il 以退出。我們將於 10 個工作天內處理退出請求（一鍵取消訂閱則立即處理）。交易及服務相關電子郵件（安全警示、帳單通知、政策變更）不屬於行銷，無論是否退出皆可能持續發送。

兒童隱私

本服務專為企業及成人設計，並非針對兒童。我們不會在知情情況下蒐集兒童的個人資料。

美國 — 為遵守《兒童線上隱私保護法》（COPPA），我們不會在知情情況下蒐集 13 歲以下兒童的個人資料。若您認為我們無意間蒐集了此類資料，請透過 team@weblix.co.il 聯絡我們，我們將予以刪除。

歐洲經濟區／英國 — 本服務並非針對 16 歲以下兒童（或您所屬會員國設定的較低年齡，於適用情況下，但不低於 13 歲）。未經父母同意，我們不會在知情情況下處理此類兒童的資料。

以色列 — 本服務並非針對 18 歲以下未成年人。未成年人僅得在父母或法定監護人同意下使用本服務。

若您身為父母或監護人，並認為您的孩子已向我們提供個人資料，請聯絡 team@weblix.co.il，我們將立即予以刪除。

第三方網站及服務

本服務可能包含通往第三方網站、應用程式或服務的連結（包括 Meta／WhatsApp、Stripe、整合夥伴及資訊性連結）。我們不對這些第三方的隱私慣例負責。我們鼓勵您在向其提供個人資料之前，先審閱其隱私政策。

請勿追蹤及全域隱私控制

我們尊重全域隱私控制（GPC）訊號，將其視為適用美國各州法律下對出售或分享的有效退出。由於舊版「請勿追蹤」訊號並無業界標準，我們不回應該等訊號。

本隱私政策的變更

我們可能會不時更新本政策，以反映我們慣例、技術、法律要求或其他因素的變更。本政策頂部的「最後更新」日期顯示其最近一次修訂的時間。

若我們進行重大變更，我們將提供合理通知 — 例如，透過電子郵件發送至您的帳戶地址、於服務中以顯著通知方式，或以法律要求的其他方式 — 並於變更生效前至少 30 天提供，除非法律要求更早的生效日期。

本政策的先前版本均已存檔，並可透過 team@weblix.co.il 索取取得。

如何聯絡我們

如有隱私相關問題、請求或申訴，請使用下列詳細資料聯絡我們。我們將在適用法律規定的時限內回覆。