SURPLUSONE隐私政策

Important Legal Notice and Language Priority

本隐私政策（以下简称"本政策"）的繁体中文版本为具有法律约束力的权威版本；其他语言版本用于便利用户理解。Surplusone应在首次收集或处理用户数据前，以清晰、易于访问的方式向用户提供繁体中文版本，并在合理范围内提供下载、保存或留存途径。繁体中文版本与其他语言版本存在不一致时，以繁体中文版本为准；如重大不一致可能影响用户理解其数据处理权利、义务或选择， Surplusone将采取合理措施提示用户并以繁体中文版本进行解释。

Preface

本隐私政策由 Dreamblox International Co. Ltd.（一家根据香港法律正式注册成立并存续的公司实体，作为 Surplusone市场的唯一及独家所有者、运营商和许可方，同时作为平台所有支付交易的 Merchant of Record(MoR)，以下简称"Surplusone"、"平台"、"我们"）代表其自身发布。

本隐私政策构成了全面的数据治理框架，规定了 Surplusone在运营Surplusone平台过程中对个人身份信息（PII）、企业数据及所有其他数据类别的收集、处理、存储、传输、披露和保护规则。

本政策是《Surplusone主用户协议》和《主卖家协议及运营手册》（统称为"用户协议"）的组成部分，并通过引用纳入其中。通过下载、安装、注册、登录、访问、浏览、发布商品、购买或以其他方式使用 Surplusone平台的任何功能、服务或基础设施，您（"用户"，无论是作为"买家"、"卖家"或两者兼有）明确同意按照本政策的描述收集、处理、存储和传输您的数据。

继续使用本平台不当然构成对任何依法需要单独取得的同意；对于法律要求的重大变更或新的处理目的，Surplusone将按照第二十条提供事先通知，并在适用法律要求时重新取得必要的明确同意。

第一条：定义

就本隐私政策而言，以下术语应具有下述含义：

1. "个人数据"或 "个人身份信息(PII)"指与已识别或可识别的自然人相关的任何信息，包括但不限于姓名、身份证号码、位置数据、在线标识符、联系方式、财务信息、生物识别数据及政府签发的身份证件。
2. "企业数据"指与商业实体相关的任何信息，包括但不限于营业执照、公司注册文件、税务识别号、银行详细信息、贸易许可证、出口许可证及运营地址。
3. "用户数据"指 Surplusone在平台使用过程中收集、处理或存储的个人数据、企业数据、交易数据、技术数据和证据数据的总和。
4. "交易数据"指在平台商业交易过程中产生的所有数据，包括但不限于订单记录、支付记录、发票、运输记录、争议记录及保证金记录。
5. "技术数据"指通过用户与平台数字基础设施的交互自动收集的数据，包括但不限于设备标识符、IP地址、浏览器类型、操作系统、应用程序版本、访问时间戳、会话时长、点击流数据和网络信息。
6. "证据数据"指用户通过平台的专有捕获工具或其他方式上传的所有摄影、视频和文档媒体，包括带时间戳的照片、连续视频录像、舱单、认证、合规文档和质量保证记录。
7. "处理"指对个人数据执行的任何操作或一组操作，无论是通过自动还是手动方式，包括收集、记录、组织、结构化、存储、改编、更改、检索、查询、使用、通过传输披露、传播、对齐、组合、限制、擦除或销毁。
8. "支付处理商(Payment Processor)"指由 Dreamblox International Co. Ltd.委托的、依法提供支付路由、收单、资金结算及相关合规服务的持牌支付机构，当前主要合作机构为 Airwallex（及其在订单/支付页面明确标识的关联实体）。
9. "Merchant of Record(MoR)"指 Dreamblox International Co. Ltd.，作为与支付处理商签订支付服务合同的主体、收款及结算主体，以及对退款、拒付（chargeback）和支付争议承担首要责任的法律实体。
10. "第三方服务提供商"指向平台提供物流履约、身份验证、合规审计、云托管或其他辅助服务的独立、持牌和受监管实体，包括但不限于授权的第三方物流（3PL）提供商。
11. "官方渠道"指 Surplusone认可的独家授权通信渠道，严格限于：(a)来自@surplusone.cn、@surplusone.com或@dreamblox.com域名的电子邮件；(b)认证的微信企业号；以及(c)平台的专有即时通讯基础设施。

第二条：数据控制者与平台身份

2.1数据控制者： Dreamblox International Co. Ltd.（一家根据中国香港特别行政区法律正式注册成立的公司）是负责在 Surplusone平台上收集、处理和保护用户数据的唯一数据控制者。

2.2平台身份： Surplusone平台是一个专有的企业对企业（B2B）数字市场生态系统，用于剩余库存、超储库存、死库存、取消订单和清算库存，涵盖所有相关域名（包括但不限于 surplusone.com和 surplusone.cn）、移动应用程序及所有软件接口。

2.3数据存储与基础设施位置：截至本政策最后更新日，平台主要生产数据存储和处理基础设施以中国香港特别行政区为主要区域。Surplusone将分别维护主存储、备份、灾备及供应商远程访问的实际地点和数据流向；备份、灾备设施以及获授权的云、支付、KYC/KYB、物流或其他服务商远程访问可能位于香港以外的司法管辖区。实际地点以 Surplusone最新的数据架构、供应商及跨境传输清单为准，并按照第八条进行管理。

2.4平台商标： Surplusone标志和版权已在中国香港和中国大陆注册。

第三条：适用范围与适用性

3.1本隐私政策适用于 Surplusone平台的所有用户，包括但不限于：

• (a)买家（免费买家、智能买家和专业买家级别）；
• (b)卖家（免费卖家、认证卖家和专业卖家级别）；
• (c)未完成注册而访问平台的访客和浏览者；
• (d)与平台的任何功能、服务或基础设施进行交互的任何自然人、企业实体、合伙企业或法律实体。

3.2本政策管辖通过以下渠道收集的所有数据：

• (a)平台网站（surplusone.com, surplusone.cn）；
• (b)平台移动应用程序；
• (c)平台专有的即时通讯基础设施；
• (d)官方渠道通信；
• (e) KYC/KYB验证流程；
• (f)第三方集成（支付处理商、物流提供商、身份验证服务）。

3.3年龄限制——严格禁止未成年人： Surplusone平台及其所有服务严格不面向、不设计用于、不针对且不允许任何未达到其适用管辖区法定年龄或成年年龄（在任何情况下均不得小于十八（18）岁）的自然人使用。平台不会故意收集未成年人的个人数据。如果 Surplusone发现收集了未成年人的个人数据，此类数据将被删除或账户将在不事先通知的情况下被终止，并且根据适用法律的要求，该事件可能会被报告给相关监管机构、执法部门或儿童保护机构。

第四条：收集的数据类别

Surplusone收集、处理和存储以下类别的用户数据：

4.1个人身份数据（所有用户）

4.2商业与企业数据（所有用户）

4.3财务数据

4.4认证与账户数据

4.5交易与商业数据

4.6证据与媒体数据

4.7文件与合规数据（主要针对卖家）

4.8技术与设备数据（自动收集）

4.9通信数据

4.10执法与风险管理数据

第五条：数据处理的法律依据与目的

5.1 Surplusone基于以下法律依据并为了以下目的收集和处理用户数据：

5.1.1合同必要性

数据处理是履行用户与 Surplusone之间合同所必需的，包括：

• (a)账户注册、认证和管理；
• (b)会员订阅处理和管理；
• (c)订单下达、确认、履约和完成；
• (d)通过第三方支付处理商进行支付处理和结算；
• (e)通过 3PL提供商进行物流协调和货物跟踪；
• (f)商品创建、审核、批准和发布；
• (g) TIGS分级计算和显示；
• (h)保证金管理（收取、抵押、抵销和汇回）；
• (i)争议裁决和解决；
• (j)自动生成发票；
• (k)拼团分配和出价执行。

5.1.2法律与监管合规

数据处理是遵守适用的法律和监管义务所必需的，包括：

• (a) KYC/KYB尽职调查和身份验证协议；
• (b)反洗钱（AML）和反恐怖融资（CTF）合规；
• (c)向相关当局提交可疑活动报告（SARs）；
• (d)海关清关、出口合规和贸易制裁筛查；
• (e)年龄验证和未成年人禁令执行；
• (f)根据法律要求向监管机构、执法部门或海关当局报告违规行为、PII和企业数据；
• (g)响应合法的请求、传票、法院命令或政府指令；
• (h)税务报告和财务记录保存义务。

5.1.3合法权益

数据处理是 Surplusone追求的合法权益所必需的，包括：

• (a)平台安全、完整性和欺诈预防；
• (b)风险管理和保证金抵押品量化；
• (c)执行用户协议、主卖家协议及运营手册和平台政策；
• (d)质量保证检验和证据审计；
• (e)改善平台功能、用户体验和服务质量；
• (f)发现、调查和起诉禁止行为、欺诈或非法活动；
• (g)保护 Surplusone、其用户和公众的权利、财产和安全；
• (h)保留数字和物理证据用于法律辩护或起诉。

5.1.4明确同意（仅在适用法律要求时）

在适用法律要求取得明确同意的处理活动中，Surplusone将通过单独、清晰且可证明的同意机制取得用户同意。此类活动可能包括：

• (a)平台专有相机功能捕获带时间戳的照片或视频（如适用法律要求同意）；
• (b)现场 QA检验期间的执法记录仪或类似音视频监控（如适用法律要求同意）；
• (c)用户主动选择的 Apple ID或 Google ID第三方身份验证（如适用法律要求同意）；
• (d)其他依法必须以同意作为法律依据的特定处理活动。

第六条：强制数据提交与同意

6.1强制数据提交——所有用户

所有用户（所有会员级别的买家和卖家）均严格有义务提供以下信息，并明确同意平台处理此类数据：

1. 法定全名
2. 联系电话
3. 联系电子邮件地址
4. 交货地址
5. 账单地址
6. 法定企业名称
7. 法定企业地址
8. 商业登记文件
9. 支付卡信息（由 Airwallex等持牌支付机构直接采集、处理及 token化；Surplusone不收集或存储完整卡号，仅接收支付处理所必需的 token、支付状态、卡片品牌及卡号尾号等有限信息；具体字段以实际支付服务商返回及适用支付规则为准）
10. 出生日期（用于年龄验证目的）

6.2强制数据提交——卖家（附加）

卖家必须额外提供：

11. 公司的外币银行账户信息（路由和账户详细信息）
12. 认证的商业登记和公司注册文件
13. 法定商业登记号
14. 企业信用卡授权
15. 所有必需文件（舱单、认证、合规文件）

6.3在适用法律要求时取得单独同意

对于依法需要同意的处理活动，Surplusone将在开展相关处理前通过单独、明确、具体且可撤回的同意机制取得用户同意。会员购买、订单处理、支付处理、物流履约、发票、KYC/KYB及 AML/CTF等处理，将按照第五条所列适用法律依据进行，不因用户注册或继续使用而一概视为同意。

6.4未提交的后果

未能提供强制数据或授予所需同意将导致：

• (a)无法完成注册或访问平台服务；
• (b)暂停或终止现有账户；
• (c)无法发布商品、接受订单或接收付款（卖家）；
• (d)无法下达订单或参与交易（买家）。

第七条：第三方数据共享与披露

Surplusone不会为了营销目的向无关的第三方出售、出租或交易用户数据。用户数据仅为了指定目的与以下类别的接收方共享：

7.1 third-party payment processor

用户在法律上受第三方支付处理商的可接受使用政策和隐私政策的约束。

1. Airwallex Acceptable Use Policy: https://www.airwallex.com/global/terms/acceptable-use-policy

2. Airwallex Privacy Policy: https://www.airwallex.com/global/terms/privacy-policy

7.2第三方物流（3PL）提供商

7.3 KYC/KYB验证供应商

7.4监管和政府机构

7.5争议与裁决各方

7.6平台服务基础设施

7.7 Apple和 Google（身份验证）

7.8平台的其他用户

7.9强制披露情况

Surplusone保留在以下情况下无需事先通知用户即可披露用户数据的绝对权利：

• (a)法律、法规、法院命令或政府指令要求；
• (b)提交可疑活动报告（SARs）所必需；
• (c)向监管机构、执法部门或海关当局报告违规行为所必需；
• (d)保护 Surplusone、其用户或公众的权利、财产或安全所必需；
• (e)执行用户协议、主卖家协议及运营手册或平台政策所必需；
• (f)与公司交易（合并、收购、资产出售或重组）有关。

第八条：跨境数据传输

8.1主要数据存储与访问：截至本政策最后更新日，平台主要生产数据存储和处理基础设施以香港为主要区域。主存储、备份、灾备和供应商远程访问分别管理，不视为同一存储地点；任何位于香港以外的备份、灾备或远程访问地点均按照本条及适用法律进行跨境传输管理。

8.2国际传输与接收方清单：由于 B2B市场的全球性质，用户数据可能会被传输到香港以外的司法管辖区。Surplusone维护最新的跨境数据接收方清单，主要类别如下：

• (a)支付机构(Airwallex等)：传输支付账户识别信息、支付 token/状态、交易及结算信息至澳大利亚、英国、美国、新加坡等地，用于支付处理、结算、AML/KYC及制裁筛查。
• (b)物流及 3PL服务商：传输姓名/企业名称、交付及账单地址、联系方式、运输文件至货物原产地、目的地及中转国，用于运输、清关及配送。
• (c)云及基础设施服务商(AWS等)：传输账户、交易、技术、证据数据至新加坡、美国、爱尔兰等地，用于托管、备份、灾难恢复和安全运营。
• (d) KYC/KYB及合规供应商：传输身份及企业文件至英国、美国、欧盟等地，用于身份验证和制裁筛查。
• (e)海关及目的地监管机构：传输企业资料、舱单、认证至目的地国家，用于清关和贸易合规。

8.2.1动态更新机制：由于支付、物流、KYC/KYB、云服务及具体交易目的地会动态变化，Surplusone不以静态、永久不变的国家名单替代实际数据流记录。 Surplusone应维护最新的跨境数据接收方清单，记录每一实际接收方、所在国家/地区、数据类别、处理目的、传输机制及适用的再委托安排，并在发生重大变化时更新本政策或通过适当渠道通知用户。

8.2.2最小必要原则：跨境传输仅限于实现特定业务目的所必需的数据字段，并按照第十条规定的保存期限管理；不因接收方属于某一类别而自动共享全部用户数据。

8.2.3接收方信息查询：在法律允许且具有合理商业可行性的范围内， Surplusone可应用户请求提供与其数据处理直接相关的主要跨境接收方类别、国家/地区、数据字段、处理目的及适用传输机制信息。

8.3跨境传输机制、再委托与保障措施：对于香港以外的传输，Surplusone将根据适用法律选择适当的传输机制，包括在适用情况下使用具有约束力的数据处理/数据传输合同、标准合同条款(SCCs)或其他获认可的合法传输机制，并采取数据最小化、加密、访问控制、供应商尽调、保密义务及安全事件管理等措施。获授权的服务商如使用再委托处理方或次级服务商，应受适当的合同约束、尽调和监督要求。

8.4用户通知、选择与权利：跨境传输并非在所有情况下均以用户同意作为法律依据。Surplusone将根据具体处理活动适用合同必要性、法律义务、合法权益或其他适用法律依据；如适用法律要求就特定跨境传输取得单独、明确的同意，Surplusone将在传输前取得该同意。用户可按照第十三条行使访问、更正、删除、限制处理、反对及数据可携等适用权利。

第九条：数据安全措施

9.1技术保障措施

Surplusone实施行业标准的技术措施来保护用户数据，包括但不限于：

• (a)使用行业标准协议对传输中和静态数据进行加密；
• (b)用于数据传输的安全套接字层（SSL/TLS）技术；
• (c)平台人员的访问控制和身份验证机制；
• (d)防火墙和入侵检测/防御系统；
• (e)定期安全审计和漏洞评估；
• (f)与第三方服务提供商的安全 API集成；
• (g)证据媒体的时间戳和元数据完整性协议。

9.2组织保障措施

• (a)在需要知道的基础上限制对用户数据的访问；
• (b)对所有有权访问用户数据的平台人员施加保密义务；
• (c)为平台员工提供定期的数据保护培训；
• (d)数据泄露事件的应急响应协议。

9.3专有相机与媒体完整性

平台的专有相机功能旨在：

• (a)确保所有摄影和视频证据的可靠时间戳；
• (b)防止元数据篡改和欺骗；
• (c)维护争议裁决和质量保证目的的证据完整性。

9.4网络安全风险分配与有限免责

关键通知：

9.4.1固有数字风险确认：所有用户明确确认并同意，没有任何数字平台、网络、云基础设施或互联网数据传输系统是完全安全、不可穿透或免受未经授权的入侵、技术故障或恶意利用的。

9.4.2有限网络事件责任：在适用法律允许的最大范围内，Surplusone应实施和维护符合行业标准的合理安全措施以保护用户数据和平台基础设施。在发生网络事件（包括但不限于网络攻击、黑客入侵、未授权系统访问、恶意软件、勒索软件、DDoS攻击、数据泄露、网络钓鱼或社会工程攻击）时，在Surplusone已履行其法定数据保护和信息安全义务的前提下，Surplusone不对由此产生的直接、间接、附带、后果性、特殊、惩罚性或 exemplary损害承担责任。

9.4.3例外 —本条不排除或限制：

• (a) Liability that cannot be excluded or limited by applicable law;
• (b) Liability arising from fraud, willful misconduct, or gross negligence by Surplusone;
• (c) Liability arising from Surplusone's own breach of data protection, information security, or payment security obligations;
• (d) Liability for unauthorized transactions or statutory refund obligations;
• (e) Liability for bodily injury or death caused by Surplusone's negligence.

9.4.4安全措施与法定责任： Surplusone不会因本条而免除适用法律规定的不可排除或不可限制的义务。如发生依法需要通知的个人数据安全事件， Surplusone将按照适用法律履行通知、补救及其他法定义务。

9.4.5用户的独立安全义务：用户全权负责在其自己的设备、网络和系统上实施和维护强大的网络安全措施。Surplusone对源自用户自己的设备、网络或疏忽的妥协不承担任何责任。

9.4.6账户凭证安全：用户全权负责保护其账户凭证。在用户账户下采取的所有行动均应被视为由账户持有人授权。如果用户怀疑存在未经授权的访问，必须立即通过官方渠道通知 Surplusone。

第十条：数据保留、处置与法律保留

10.1保留原则与优先级

我们仅在实现收集目的所必需的期限内，或为遵守适用法律、监管规则及卡组织网络规则所要求的最低期限内保留您的个人数据。

优先级适用规则：若本政策不同条款对同一数据类别规定了不同的保留期限，以较长者为准；若适用法律或监管机构的强制性规定长于本政策所列期限，以适用法律或监管要求为准。在跨境数据处理场景中，我们将采用各适用司法管辖区中最严格的标准作为基线。

10.2数据保留期限

为满足反洗钱（AML）、税务、支付卡网络规则（如 Visa/Mastercard）及金融监管要求，Surplusone对各类数据设定以下专项最低保存期限：

10.3数据删除、匿名化与金融合规数据处置

当个人数据的保留期限届满，且不存在本政策第 10.4条规定的法律保留事由时，Surplusone将采取以下处置措施：

1. 安全删除：对电子数据采用符合行业标准的技术手段（如多次覆写、加密擦除）进行不可恢复的销毁；对纸质文件进行物理粉碎。
2. 匿名化：永久移除或替换直接标识符（如姓名、证件号码、完整卡号），使数据无法再关联到特定自然人。匿名化后的数据不再构成"个人数据"，可继续保留用于统计分析、趋势研究或监管宏观报告。
3. 去标识化：以假名替代直接标识符，并将附加信息隔离存储并施加技术保护措施。
4. 金融合规数据的特殊处置：针对第 10.2条所列的金融合规与交易记录，在保存期限届满后：
   • (a)优先执行匿名化处理，仅保留交易日期、金额、币种等非标识性字段；
   • (b)涉及高度敏感身份信息（如证件高清影像、生物特征识别数据）的，在满足法定最低保存期限后应优先执行安全删除；
   • (c)所有处置操作均须生成不可篡改的审计日志，记录操作人、时间、数据类型及处置方式，该审计日志本身保留至少 5年。

10.4法律保留与延长保留

即使相关数据的常规保存期限已届满，在以下法定或合规情形下，我们将暂停删除或匿名化操作，将相关数据置于"法律保留"状态，直至保留事由完全消除：

1. 正在进行的诉讼、仲裁或行政程序：与该争议相关的所有数据须保留至程序终结且上诉期/执行期届满；
2. 监管调查或执法请求：主管机关（如金融监管局、税务局、执法部门）依法要求保留的记录，须配合保留至调查结束或收到官方解除通知；
3. 税务审计：税务机关已通知或正在进行的审计期间，相关财务与税务记录不得处置；
4. 履行法定义务或维护合法权益：包括行使言论自由、公共利益存档、建立/行使/辩护法律主张等 GDPR Art.17(3)及适用法律规定的例外情形。

法律保留操作流程：

• (a)由法务/合规部门签发书面《法律保留通知》，明确保留的数据范围、事由及预计解除时间；
• (b)系统自动暂停相关数据的常规删除任务，并施加"法律保留"逻辑锁；
• (d)法律保留期间的所有数据访问与操作均须经过严格审批，并纳入合规审计范围。

第十一条：用户对个人数据的权利

11.1访问权

用户有权请求访问 Surplusone持有的关于他们的个人数据，但须遵守适用的法律例外以及平台在执法、合规和证据目的方面保留数据的合法权益。

11.2更正权

用户有权请求更正不准确或不完整的个人数据，前提是此类更正不与 KYC/KYB验证记录、交易历史或证据完整性要求相冲突。

11.3删除权（被遗忘权）

用户可以请求删除其个人数据，但须遵守以下限制：

• (a)如果法律或法规要求保留数据，Surplusone不会删除数据；
• (b)如果正在进行或预期的法律程序需要数据，Surplusone不会删除数据；
• (c)如果未解决的争议、拒付或调查需要数据，Surplusone不会删除数据；
• (d)如果 AML/CTF合规或 SAR记录需要数据，Surplusone不会删除数据；
• (e) Surplusone不会删除与被终止账户相关的执法记录或证据数据；
• (f)只有在所有未结清的义务、争议和冷静期完全解决后，才会处理删除请求。

11.4限制处理权

在有限的情况下，用户可以请求限制处理其个人数据，但须遵守平台的法律和监管义务以及合法权益。

11.5数据可携权

用户可以请求以结构化、常用和机器可读的格式获取其个人数据的副本，前提是技术上可行且不损害其他用户的权利或平台的合法权益。

11.6反对权

在某些情况下，用户可以反对处理其个人数据。但是，如果 Surplusone证明存在超越用户利益的令人信服的合法理由，或者处理对于确立、行使或辩护法律索赔是必要的，则 Surplusone可以继续处理。

11.7用户权利的限制

本条规定的权利受以下压倒一切的限制的约束：

• (a) Surplusone出于法律、监管和合规目的保留数据的义务；
• (b)平台在争议裁决和执法方面保留证据数据的合法权益；
• (c)平台保留数据以发现、预防和起诉欺诈和非法活动的权利；
• (d)适用的香港法律施加的任何限制；
• (e)其他用户和第三方的权利和自由。

11.8行使权利

用户可通过官方渠道提交书面请求，并应提供足以确认身份及明确所请求权利的信息。Surplusone可在合理必要范围内进行身份核验，以防止未经授权披露或修改数据。自收到完整请求并完成必要身份核验之日起，Surplusone原则上在三十（30）个工作日内作出回应；如因请求复杂、数量较多或需要与境外接收方协调而无法在该期限内完成，Surplusone将于期限届满前通知用户延期原因，并在适用法律允许的范围内延长不超过三十（30）个工作日。若拒绝或部分拒绝请求，Surplusone将说明主要理由及适用的法律依据，除非法律禁止披露。用户可通过官方渠道申请复核或提出申诉。

第十二条：Cookie与追踪技术

12.1 Surplusone平台可能会使用 Cookie、网络信标、像素和类似的追踪技术来：

• (a)促进用户身份验证和会话管理；
• (b)记住用户偏好和设置；
• (c)分析平台使用模式和性能；
• (d)增强平台安全性并检测欺诈活动；
• (e)提供相关内容并改善用户体验。

12.2用户可以通过其浏览器设置管理 Cookie偏好。但是，禁用某些 Cookie可能会损害平台功能并阻止对某些功能的访问。

12.3平台不会将追踪技术用于第三方广告或营销目的的行为分析。

第十三条：反洗钱（AML）与反恐怖融资（CTF）数据处理

13.1零容忍政策： Surplusone对洗钱、欺诈、诈骗和恐怖融资保持零容忍政策。

13.2执行主体与职责分工： Surplusone及其委托的支付处理商（包括Airwallex）将独立或联合依据适用法律和法规执行 KYC/KYB、AML、制裁筛查和交易监控。

• (a) Surplusone负责卖家准入阶段的初步 KYC/KYB审核、日常交易行为监控及平台层面的合规管理；
• (b)支付处理商负责支付层面的 KYC/KYB、制裁筛查、交易监控、资金冻结及监管报告。

13.3 AML/CTF的数据处理： Surplusone为 AML/CTF目的处理用户数据，包括：

• (a)根据国际制裁名单和观察名单筛查用户和交易；
• (b)监控交易模式以发现可疑活动；
• (c)验证资金来源的合法性；
• (d)对高风险用户和交易进行强化尽职调查。

13.4可疑活动报告（SARs）： Surplusone保留绝对权利，在法律要求的情况下，无需事先通知用户即可提交 SARs并向监管和执法当局提供所有必要的用户数据。

13.5用户保证：所有用户保证在平台交易中使用的所有资金均来自合法、可验证的来源。如果监管或执法当局确定资金来自非法来源或可疑活动， Surplusone对冻结或扣押的资产不承担任何责任，并将通过披露所有相关的用户数据与当局充分合作。

第十四条：授权通信与网络钓鱼防范

14.1 official communication channel

所有 Surplusone人员、代理和自动化系统仅通过官方渠道联系用户：

• (a)电子邮件：严格来自@surplusone.cn、@surplusone.com或@dreamblox.com；
• (b)微信：仅限认证的企业账户；
• (c)应用内：平台专有的即时通讯基础设施。

14.2欺诈性通信警告

如果用户通过以下任何渠道收到声称来自 Surplusone的通信，用户必须立即忽略并报告：

• (a)标准/个人微信账户；
• (b)第三方社交或消息平台（WhatsApp、Line、Telegram、Facebook、LinkedIn、Instagram、Snapchat、Kakao、X/Twitter）；
• (c)短信、未经授权的电子邮件或未经请求的电话；
• (d)未经请求的 URL链接、支付网关、文件下载或应用下载。

14.3用户责任

用户承担验证通信真实性的最终责任。对于因用户未能验证通信真实性或因用户与欺诈性或未经授权的通信渠道交互而导致的任何数据泄露、财务损失或其他损害，在 Surplusone已履行其法定安全义务的前提下，Surplusone不承担责任。

第十五条：第三方链接与集成

15.1平台可能包含指向非 Surplusone运营的第三方网站、服务或应用程序的链接。本隐私政策不适用于此类第三方服务。Surplusone不对任何第三方网站或服务的隐私实践、数据收集或内容负责。

15.2建议在提供任何个人数据之前，用户查阅所有第三方服务的隐私政策。

15.3第三方支付处理商政策：用户在法律上受第三方支付处理商（如Airwallex）隐私政策的约束。

15.4 Apple ID/ Google ID集成：通过 Apple ID或 Google ID登录，用户授予平台和 Apple/Google访问、获取和/或使用用户的 Apple/Google ID信息以进行身份验证和账户管理目的的权限。此类数据受 Apple Inc.和Google LLC各自隐私政策的约束。

第十六条：儿童隐私与未成年人禁令

16.1 Surplusone平台专门是一个企业对企业（B2B）商业市场。平台及其所有服务严格不面向、不设计用于、不针对且不允许未成年人使用。

16.2 Surplusone不会故意收集、处理或存储任何未达到其适用管辖区法定年龄或成年年龄（在任何情况下均不得小于十八（18）岁）的自然人的个人数据。

16.3如果 Surplusone发现用户是未成年人或账户已被未成年人注册或访问：

• (a)账户将在不事先通知的情况下立即被暂停或永久终止；
• (b)与该账户相关的所有交易可能会被作废；
• (c)在法律允许的范围内，未成年人的个人数据将被删除，但须遵守任何执法或报告目的的保留义务；
• (d)根据适用法律的要求，该事件可能会被报告给相关监管机构、执法部门或儿童保护机构；
• (e)与该账户相关的任何付费会员、保证金或其他资金可能会作为违约金被没收。

16.4父母/监护人责任：如果未成年人使用父母、法定监护人或任何其他成年人的账户、凭证或设备访问平台，账户持有人应对此类未经授权访问产生的所有活动、交易、义务和责任承担全部和严格责任。

第十七条：知识产权与数据所有权

17.1所有平台内容，包括但不限于 Surplusone标志、UI/UX设计、TIGS分级方法、算法、文档、软件、移动应用程序及所有相关材料，均为 Surplusone或其许可方的专有知识产权。

17.2严禁未经授权的复制、逆向工程、抓取、数据挖掘或对平台内容或用户数据的商业利用，违者将受到法律的最严厉起诉。

17.3用户保留其上传到平台的原创内容（商品、照片、视频、文档）的所有权。但是，通过上传此类内容，用户授予 Surplusone非独占、全球性、免版税、可转让的许可，以使用、复制、显示、分发和处理此类内容，用于运营和改进平台、执行平台政策以及遵守法律义务的目的。

第十八条：修订与政策更新

18.1政策更新： Surplusone可根据业务、技术、法律或监管变化修订本隐私政策。非实质性变更可在发布后生效；如变更会实质性影响个人数据或企业数据的收集类别、处理目的、共享接收方、跨境传输、保存期限、用户权利或支付数据处理方式，Surplusone将在适用法律要求的范围内提前提供清晰、显著的通知，并在法律要求时于新的处理开始前取得必要的单独、明确同意。

18.2重大变更通知：重大更改将通过平台界面、官方渠道或应用内通知进行传达；在适用情况下，Surplusone将提供更新后的政策文本或变更摘要，并说明生效日期。

18.3不将继续使用视为替代法定同意：除适用法律允许通过继续使用作为通知后生效方式的非实质性变更外，继续使用平台不替代法律要求的单独、明确同意。对于需要重新取得同意的处理活动，在取得该同意前，Surplusone不会基于该同意开展相应处理。

18.4不同意与账户终止：如果用户不同意构成继续提供相关服务所必需的重大变更，用户可停止使用平台并通过官方渠道请求终止账户；但账户终止不影响 Surplusone依法继续处理为履行法定义务、解决未结争议、执行合同权利或进行安全及欺诈防范所必需的数据。

第十九条：管辖法律与争议解决

19.1本隐私政策以及由其引起或与之相关的任何非合同义务，应受中国香港特别行政区法律管辖并严格依其解释。

19.2因本隐私政策引起或与之相关的任何争议、争论或索赔，应受香港法院的专属管辖。

第二十条：可分割性

如果本隐私政策的任何条款、条款或规定被具有管辖权的法院裁定为无效、非法或不可执行，此类无效不应影响其余条款的可执行性，其余条款应保持完全有效。

第二十一条：联系信息

有关本隐私政策的法律、合规、数据保护或隐私相关查询，用户只能通过官方渠道联系 Surplusone合规和客户服务部：

第二十二条：完整协议与文件优先级

22.1本隐私政策，连同主用户协议、主卖家协议及运营手册（如适用）以及所有补充平台政策，构成了用户与 Surplusone之间关于本文主题的完整、综合的协议，取代了所有先前的谈判、陈述或协议。

22.2文件优先级：在管辖平台的文件之间存在任何冲突或不一致时，适用以下优先级顺序：

1. 强制性法律、监管要求和卡组织规则（最高优先级）；
2. 具体交易适用的支付服务条款（Airwallex条款）；
3. 订单页面及支付页面针对该交易的披露；
4. 本隐私政策的数据处理条款；
5. 主卖家协议及运营手册的卖家义务；
6. 主用户协议的一般用户条款；
7. Other platform policies (lowest priority).

任何外部支付条款不得扩大 Surplusone的合同义务，也不得降低用户依法享有的权利。

具有约束力的确认

通过下载、安装、注册、登录、访问、浏览、发布商品、购买或以其他方式使用 SURPLUSONE平台的任何功能、服务或基础设施，您在此确认：

1. 阅读并理解了本隐私政策的全部内容；
2. 理解了本文描述的所有数据收集、处理、存储和传输实践；
3. 确认已获知本政策所述的数据处理安排，并在适用法律要求且已通过相应同意机制取得同意的范围内，同意相关处理；
4. 同意按照第七条的规定与第三方支付处理商（包括 Airwallex）、3PL提供商、KYC/KYB验证供应商、监管机构、执法部门及其他接收方共享您的数据；
5. 确认理解第八条所述的跨境传输安排，并在适用法律要求时通过相应机制作出必要同意；
6. 确认第 9.4款中规定的网络安全风险分配和有限免责机制，并理解Surplusone不排除其因故意、重大过失或违反法定数据安全义务而产生的责任；
7. 确认第十条和第十一条中规定的数据保留期限和对用户权利的限制；
8. 确认本政策构成数据处理通知及适用范围内的治理文件；对于依法或依合同产生的权利义务，以适用法律及相关用户协议为准，本确认不构成对法定权利的不可撤销放弃；
9. 陈述并保证您在您的司法管辖区已达到法定年龄（成年年龄），至少十八（18）岁，并且您具有完全的法律能力同意本文描述的数据处理实践。

本确认记录您已获得本政策通知；本政策中的数据处理安排与适用的用户协议共同构成 Surplusone数据处理治理文件。任何依法需要单独取得的同意，将通过适当的同意机制另行取得。