信任
安全與隱私
Carnet 如何依 GDPR 處理您零售商的資料。
最後更新：
角色
對於您零售商的訂單明細，您（品牌）是控管者，Carnet 是您的處理者，雙方簽有我們的資料處理協議。對於您自己的帳號資料，Carnet 是控管者。
買家在訂購頁面上看到的聲明會指明品牌，並提供privacy@ordersheet.net。
我們儲存的內容
- 您建立的型錄與連結
- 訂單申請：品項、數量、參考編號
- 買家聯絡資料：姓名、電子郵件、公司，若有提供則包含電話
- 不含信用卡或付款資料：付款留在 Shopify
保護措施
- 買家聯絡資料、電子郵件收件人與連結權杖皆加密儲存，每間商店使用專屬金鑰。訂單品項則不加密。
- 可暫停或撤銷的簽署連結
- 每個公開連結每 24 小時有次數限制
- 自動處理 Shopify 的 GDPR 請求（顧客資料請求、顧客資料刪除、商店資料刪除）
- 有限的 Shopify 存取權：Carnet 會讀取商品、佈景主題、市場、語言與顧客（用來比對零售商），並建立草稿訂單。它不會編輯您的佈景主題，也不會讀取您的訂單或庫存。請見下表。
設定與權限
以下是 Carnet 在安裝時要求的所有 Shopify 存取範圍。
| 範圍 | Carnet 的用途 |
|---|---|
read_products | 讀取您的商品、圖片與規格，用來建立訂貨型錄 |
read_customers | 讀取顧客，用來比對零售商 |
write_draft_orders | 依零售商的訂單建立草稿訂單 |
read_markets、read_locales、read_translations | 讀取您的市場、商店語言與翻譯，供買家頁面使用 |
read_themes | 讀取佈景主題的色彩與字型，用於佈景主題匯入。Carnet 沒有佈景主題的寫入權限：不會編輯您的佈景主題。 |
write_app_proxy | 讓買家連結能在您商店自己的網域下的 /apps/carnet 開啟（Shopify 的應用程式代理），因此連結看起來就像您商店的連結 |
Carnet 沒有讀取您訂單或庫存的範圍。
保存期限
| 資料 | 保存時間 |
|---|---|
| 訂單申請明細 | 處理後 180 天（若從未處理，則為 60 天） |
| 電子郵件內文 | 寄出後 7 天 |
| 備份 | 備份會保留加密副本直到到期（35 天） |
| 解除安裝後 | 依 Shopify 的資料刪除請求刪除（2 天） |
次處理者
| 供應商 | 用途 |
|---|---|
| Shopify | 平台 |
| Microsoft Azure | 代管、資料庫、電子郵件（區域：France Central） |
| Cloudflare | 網路與買家連結主機 |
Security incidents
Carnet has a written incident response policy. The operator leads every incident, from detection to review.
- Detection: production errors raise an automatic alert, and we act on notices from Shopify and our hosting providers.
- Containment first: we can rotate encryption and session keys, revoke third-party access tokens and take the app offline.
- Notification: if a personal data breach affects your data, we email you without undue delay after we become aware of it, at the contact address registered for your shop in Shopify. The email says what happened, which data and how many records are affected, the likely consequences and what we are doing. It gives you what you need to meet your own duties under Articles 33 and 34 of the GDPR, including the 72-hour deadline to notify your supervisory authority. We also inform Shopify, as its partner program requires.
- After every incident we write a review with the cause and the fixes, and we test the procedure at least once a year.
Who has read your buyers' data
Every time buyer contact data (name, email, phone, address) is decrypted, by you or your staff in the Carnet admin, or by a background job such as sending a recap email or creating a draft order, Carnet records when, for which store, which staff member or job, and which request. The record never contains the data itself. Entries are kept for 365 days, then deleted, and are deleted with the rest of your store's data on uninstall. Only the Carnet operator can read the log, directly in the database.