本政策说明 BFB LTD 根据 GDPR、塞浦路斯 125(I)/2018 法案及监管指南处理个人数据的原则。
1. 控制者与 DPO
BFB LTD（注册号 HE 482961，地址：Dodonis 7, Kolossi, 4632 Limassol, Cyprus）为数据控制者，并指定 dpo@edme.pro 作为数据保护官。
2. 处理的法律基础
我们依据 GDPR 第 6 条的多项基础处理数据：同意（如市场沟通）、履行合同（课程与支持）、履行法律义务（税务、会计、反洗钱）、保护重大利益以及在不侵害您权利的前提下维护我们的合法利益。
3. 处理目的
我们处理数据用于招生与学员支持、个性化学习路径、评估、导师辅导、支付与账务管理、分析与研究、防范欺诈、维护安全日志、发布监管通知，并证明符合法规要求。
4. 保存与存储
数据存储于欧盟/欧洲经济区的安全服务器。合同及账单数据保存 7 年以满足塞浦路斯税法；学习记录在最后一次活动后保留 5 年以便出具证明；技术日志最长保留 24 个月；营销偏好保存至您撤回。期满后数据将匿名化或安全删除，备份按滚动计划覆盖。
5. 数据主体权利
您可随时根据 GDPR 行使访问、纠正、删除、限制、可携、反对及不接受完全自动化决策的权利。一般在 1 个月内答复，如情况复杂可再延长 2 个月并告知原因。
6. 安全与治理
我们实施多层防护，包括加密、网络分段、员工多因素认证、定期审计处理方、导师背景审查、事件响应计划及年度政策评估。具有数据访问权限的员工需依据塞浦路斯劳动法签署保密义务。
7. 跨境传输与监管机构
仅在必要时进行跨境传输，并采用欧盟标准合同条款、具有约束力的公司规则或充分性决定作为保障。您可请求相关证明，也可在认为权利受侵害时联系塞浦路斯个人数据保护专员办公室。
8. 直销与通讯同意
营销邮件或推送仅在获得明确同意或基于既有客户关系的情况下发送。您可随时撤回或提出异议，我们将按照 GDPR 记录该决定。
公司：BFB LTD，注册号：HE 482961，地址：Dodonis, 7, Kolossi, 4632, Limassol, Cyprus | 邮箱：edme@edme.pro