商业隐私政策

自 2026 年 9 月 30 日起生效 | 请参阅以前版本的隐私政策 | 比较更改

保护个人数据对 ESET, spol. s r. o. - 注册办公室位于 Einsteinova 24, 85101 Bratislava, Slovak Republic，业务识别号：31333532（“ESET”或“我们”）尤为重要。31333532 (“ESET”或“我们”)。我们希望遵守欧盟《一般数据保护条例》（“GDPR”）所规定的透明度要求。为实现此目标，我们发布本隐私政策，其唯一目的是告知您（根据我们的商业使用条款使用我们服务的个人，下称”您”），我们在提供服务的过程中如何处理与已识别或可识别的自然人（”数据主体”）相关的数据，如下文所定义。

本隐私政策适用于我们商业使用条款（以下简称”条款”）或本隐私政策中定义并规定的所有 ESET 应用程序、产品和服务，因此适用于我们标准业务订阅中包含的所有 ESET 应用程序、产品和服务（除小企业订阅外）（以下简称”订阅”），所有 ESET 业务帐户及其网站（包括 ESET PROTECT Hub、ESET Business Account、ESET MSP Administrator 和 ESET Services Hub）（以下简称”帐户”），以及 ESET 通过该帐户提供的所有服务和功能（“订阅”和”帐户”统称为”服务”）。

我们的服务需要使用各种类型的 ESET 软件应用程序，包括本地安装的软件、基于云的软件以及由 ESET 开发的更复杂的软件平台和账户（统称为"应用程序"）。如果某个特定应用程序作为独立项目单独出售，它也被称为"产品"。为避免疑义，”服务”一词包括应用程序和产品。

本隐私政策中未予定义的首字母大写术语，其含义以《条款》中的规定为准。我们在本文中还使用了 GDPR 中定义的标准术语，例如”个人数据”、”数据主体”、”控制者”或”处理者”，其含义与 GDPR 中赋予这些术语的含义相同。

对于某些应用程序、产品或服务，我们可能会制定专门的隐私政策。如果某项特定的隐私政策适用于特定的应用程序、产品或服务，则在存在任何不一致之处时，该特定隐私政策优先于本隐私政策适用。

为方便起见，本隐私政策可能会以多种语言提供。如果英文版本与任何翻译版本之间存在任何差异、不一致或冲突，在适用法律允许的范围内，应以英文版本为准。

隐私政策主要涉及我们作为数据控制者如何处理数据主体的个人数据；但为了向您提供更完整的信息，我们还在此描述了我们在数据处理者角色中处理哪些数据。在这种情况下，我们的数据处理协议适用于相应的个人数据处理。

我们可能会随时自行修改本隐私政策。我们将向您发送一封电子邮件通知，其中包含指向修订版隐私政策的链接，或者我们将通过应用内通知或其他电子方式通知您修订版隐私政策，例如在更新较小的情况下，仅在我们的网站上发布新版本。如果您不同意修订后的隐私政策，您应停止使用受影响的服务，并卸载受影响的应用程序或产品（如适用）。如果您在修订后的隐私政策生效后继续使用本服务，我们将视为您已知悉并认可该政策。

特别是，本隐私政策包含以下信息：

•我们处理的个人数据类别

•个人数据处理的法律依据,

•数据披露及向第三国的传输，

•数据安全性、

•作为数据主体的权利、

•我们的联系信息。

我们处理的个人数据类别

为了提供我们的服务,我们必须处理可能与数据主体相关的不同类型的数据。依据 GDPR，我们可能在某些数据处理活动中担任数据控制者，而在其他活动中担任您的数据处理者，具体取决于向您提供的特定服务及其技术配置。

下面我们概述了可能与我们可能处理的数据主体相关的数据类别,并考虑到我们在特定数据处理中的作用。请注意，某些类别的数据仅在特定的应用程序、产品和服务中进行处理，因此可能不适用于您的具体情况。

ESET 充当控制者

订阅管理和计费。ESET 会收集并处理您的姓名、电子邮件地址、有关您的订阅和激活密钥的信息（如果您代表某家公司，则为有关您所代表公司的订阅和激活密钥的信息）。如果我们为订阅处理您的付款数据，我们还会处理您的营业地址、公司/企业名称和付款信息（如果您代表某家公司，则处理您的姓名、所属公司、公司地址和公司付款信息）。这些数据用于方便订阅激活、发送激活密钥、发送与您的订阅相关的订阅到期提醒和法律通信、验证订阅真实性以及依据适用法律发送其他通知。ESET 有法律义务将计费信息保留 10 年。在我们的订阅系统中,与订阅相关的数据将在您最后一个订阅到期后的 12 个月内进行匿名化处理,但在本隐私政策中描述的其他内部系统中,此类数据可能会在不同时间段和不同目的下被处理。这包括在您最后订阅到期后 3 年内处理与订阅相关的数据以及任何法律通信,以建立、行使或捍卫法律索赔。

账户管理。为进行账户注册、使您能够使用相关服务并为您提供我们的服务，我们可能需要处理您的姓名、您所代表的公司名称、居住国家/地区、有效的电子邮箱地址、电话号码以及与订阅相关的信息。

服务提供与运营。为使我们的服务正常运行，我们会处理在安装、配置和使用 ESET 服务（包括使用受保护设备）期间自动生成的各种技术和操作数据（以下简称”遥测数据”）。遥测数据包括数据库性能、运行状况统计信息、托管端点数量、端点操作系统、系统硬件、系统错误、策略、登录、任务、通知、托管设备、检测统计信息、事件处理率、规则引擎统计信息、排除项等数据以及 HTTP 标头。在技术上可行且适当的情况下，遥测数据可能会以匿名、假名或聚合形式进行处理。

研究。出于研究目的，我们可能会处理从我们的服务中收集的渗透数据（仅限可能引发恶意活动的数据）和事件数据（对于事件数据，我们不使用客户的身份识别数据，仅使用客户所属的业务领域），以及相关的遥测数据（例如，时间戳；操作系统名称、类型和版本；云提供商和实例；所涉设备的相关信息，如设备制造商、设备型号）。如果已连接第三方集成，这些数据还可能包括来自第三方集成的数据；如果获得许可，还可能包括 AI 安全数据。除实例 ID 外，我们不使用客户标识符，且我们始终对实例 ID 进行哈希处理。我们通常仅在您选择加入的情况下处理研究数据。然而，对于 MDR 服务而言，研究处理采用的是“选择退出”机制，这构成了对该一般性做法的一项例外。来自 MDR 服务的数据始终以汇总和匿名的方式使用。研究数据（例如，遥测数据、客户名称、IP 地址、浏览器标识符、操作系统标识符、自有研究成果、有关威胁的第三方信息）也可能用于我们的 ESET Threat Intelligence 服务。威胁研究数据目前在我们位于斯洛伐克和德国的数据中心进行处理。此处理行为是基于我们改善服务的合法权益。

我们开展研究的目的是为客户提供更有效、更强大、更先进的服务，并使我们能够有效应对最新、最复杂的网络安全威胁。我们开展研究以提高我们的服务和应用程序的检测、预防和缓解能力，开发新的保护功能，分析网络安全威胁的演变，并识别恶意软件家族与威胁行为者之间的关系。

优化和改进我们的服务。为了优化和改进我们的服务，我们可能会基于我们的合法利益处理遥测数据。此类处理有助于我们维护和改进本服务、提升整体用户体验，并保障本服务的安全性、有效性、性能、功能、可靠性和质量。这还使我们能够使”服务”符合最新的行业标准，并获得统计方面的洞察。用于上述目的的数据均经过汇总、匿名化处理和/或以其他方式处理，使其无法被合理地与任何可识别的个人或与您相关联。

技术支持。出于技术支持目的,可能需要提供联系人详细信息、订阅信息和支持请求中提供的数据。根据您选择的通信渠道，我们可能会收集您的电子邮件地址、电话号码、公司隶属关系、订阅信息、应用程序或服务详细信息以及支持案例的描述。可能会要求提供其他信息,以便于提供我们的技术支持。针对技术支持处理的数据可保留 4 年。

营销通信。根据管辖直接营销的相关法律，我们可能会根据我们宣传我们的应用程序和服务的合法权益，使用您的联系信息或我们的应用程序和服务通信渠道来直接营销我们的应用程序和服务。此类使用将继续,直到您退出此类通信,或在您最后一个订阅到期后的 12 个月后,您的订阅相关数据被匿名化。

您的反馈。您的反馈、答案或请求可通过我们的 Web 表单或其他沟通渠道提交。为了跟进,我们可能需要您的联系人信息(例如您的电子邮件)或其他相关数据,取决于您的沟通目的和背景。数据保留期限取决于通信的性质或用途,并按照本隐私政策进行管理。

法律与合规目的。识别数据、联系数据、账单数据和遥测数据也可能被处理，用于建立、行使或抗辩法律主张、保护我们的权利和利益、履行合同义务、防止滥用服务、确保合规，以及在适用法律要求的情况下与主管当局合作。

网络安全意识。研究所得的匿名化、汇总及统计数据可能会通过出版物、博客文章或社交媒体，与研究机构、其他安全厂商、专业人士、有关当局或公众共享，以提升对互联网安全风险的认识和防范能力，并为网络威胁研究提供支持。这还包括利用从此类数据中得出的统计信息，来跟踪并发布有关网络安全风险趋势的报告。

来自本地安装和基于云的防护应用程序（所有反恶意软件应用程序和 ECOS）的特定数据处理

•遥测。所处理的数据包括有关安装过程的信息、设备属性以及我们应用程序的操作和功能的信息，例如安装应用程序的平台、操作系统、硬件规格、安装 ID、订阅 ID、IP 地址、MAC 地址和应用程序配置设置。此类数据用于更新、升级、维护、安全以及开发我们的应用程序、服务和后端基础架构。它将独立于计费或订阅记录所需的识别数据存储和处理，因为其处理不需要识别我们应用程序的最终用户或其他数据主体的身份。此类数据的保留期最长为 4 年。

•ESET LiveGrid® 信誉系统。与渗透有关的单向哈希面向 ESET LiveGrid® 信誉系统进行处理，这可将已扫描的文件与列入白名单和黑名单的项目数据库进行比较，从而提高我们的反恶意软件应用程序的效率。在此过程中，不会识别出我们应用程序的最终用户或其他数据主体的身份。

•ESET LiveGrid® 反馈系统。野生的可疑样本和遥测在 ESET LiveGrid® 反馈系统中收集，这使 ESET 能够立即应对您的需求，以及使我们持续响应最新的威胁。我们依赖您向我们发送

o渗透，如病毒和其他恶意计算机程序的潜在样本，以及可疑、有问题、潜在不受欢迎或潜在不安全的对象，如可执行文件、URL、网页、网络通信的片段/样本、由您报告为垃圾邮件或由我们的应用程序标记的电子邮件、电子邮件附件和 OneDrive 文件以及相关遥测数据；

o涉及 Internet 使用的信息，例如 IP 地址和地理信息、IP 数据包、URL 和以太网帧；

o崩溃转储文件及包含的信息。

就本隐私政策而言，来自 ESET LiveGrid® 反馈系统的此类数据应构成”渗透数据”。作为本服务的一部分收到的可疑样本、文件名、URL 或遥测有时可能包含数据主体的个人数据。我们不专门寻求处理此类个人数据，也不打算收集该类数据。我们收集、处理和研究样本、URL 及相关遥测数据的目的和唯一宗旨，是为您和其他客户提供更优质的服务，包括我们增强的反恶意软件防护。

所有渗透数据均应以不识别本应用最终用户或其他数据主体的方式进行处理。

浏览器扩展。浏览器扩展仅将数据发送到本地安装的应用程序。这些数据主要在本地处理，ESET 无法访问这些数据，包括用户的搜索历史记录。如果浏览器扩展发送的数据被本地安装的应用程序识别为恶意数据，则该数据向 ESET 的任何传输均受该应用程序设置的约束。如果启用了 ESET LiveGrid® 反馈系统，样本可能会作为渗透数据发送到 ESET；其他个人数据不会传输到 ESET。但是，我们会收到遥测数据，例如 ESET 服务检测到的特定威胁的数量和类型（例如，检测到的特洛伊木马数量）。

AI 安全。如果启用了 AI 安全以防范涉及 LLM 和其他 AI 工具的恶意活动，则相关处理将在本地执行。ESET 无法访问用户的浏览活动或 LLM 对话。但是，如果 (i) 已启用 ESET LiveGrid® 反馈系统，(ii) 已允许收集 LLM 对话，并且 (iii) 检测到恶意活动，我们可能会收到病毒或其他有害代码的样本以用于研究。随后我们处理的数据包括：所使用的 AI 工具类型、检测类型（代码片段、网络钓鱼 URL）、检测（提示注入、木马服务器代理）、受影响对象（受影响对象在操作系统中的地址）、恶意提示、恶意对话、有害输出、浏览器应用程序、用户信息（用户名和电子邮件）、通信来源（谁与谁通信，例如计算机名称与 LLM 提供商名称）（”AI 安全数据”）。

•ESET Secure Autentication On-Prem。如果您选择使用本应用程序，我们可能会处理身份验证、预配以及您所启用的特定功能正常运行所必需的数据。根据所选的功能和配置，这可能包括用户名、电话号码、标记名称、标记 ID、其他与标记相关的信息、激活 URL、订阅信息、手机 ID、通知 ID 和平台信息等数据。

威胁情报服务。当我们向您提供 ESET Threat Intelligence 报告及相关服务时，鉴于 ESET Threat Intelligence 报告及相关服务所含信息的敏感性和保密性，我们会对客户开展尽职调查。作为本尽职调查的一部分，我们可能会处理以下数据：您的实益拥有人是谁（您的管理层或实益拥有人），或者您或您的实益拥有人是否被列入制裁名单。

个人数据的法律依据。根据与个人数据保护相关的适用法律框架，我们采用以下几种法律依据以数据控制者身份进行数据处理。ESET 处理个人数据主要是为了履行与数据主体之间的条款（GDPR 第 6 (1) (b) 款），该条款适用于提供 ESET 应用程序或服务，除非另有明确规定，例如：

o合法权益法律依据（GDPR 第 6 (1) (f) 款），使我们能够处理有关您如何使用我们的服务以及您的满意度的数据，从而为您提供我们所能提供的最佳保护、支持和体验。即使营销也可能被适用法律认定为合法权益,因此,在某些情况下,我们可能会依赖它来进行营销沟通。我们还基于合法利益开展研究；但我们始终会在获得您的授权后进行，或允许您选择拒绝将您的数据用于研究目的。

o同意（GDPR 第 6 (1) (a) 款），当我们认为此法律依据是最适合的法律依据或存在相应法律要求时，我们可能会在特定情形下请求您（即数据主体）提供同意。

o遵守法律义务（GDPR 第 6 (1) (c) 款），例如订立电子通信、发票或账单文件保留的要求。

请注意，如果我们在我们的服务中处理了未接受我们的条款且因而未签订 GDPR 第 6 (1) (b) 款规定的合同的数据主体的个人数据（例如，您的员工、家庭成员、您授权使用服务的其他人或可疑样本收集的情况下第三方），我们将根据 GDPR 第 6 (1) (f) 款规定的合法权益处理该数据。此类处理使我们能够向您提供服务,并保持其高质量和安全性。

ESET 充当处理者

本节概述了与我们的服务相关处理的数据类别,而我们作为您的数据处理者。主要适用于我们的云应用程序，需要收集和处理与受监控端点设备（本地安装的应用程序所部署的位置）及您的网络相关的数据。在基础结构中执行的监视范围以及收集的确切数据取决于您和您的管理员管理的规则、排除项、配置、阈值和设置。我们依据我们的《数据处理协议》以数据处理者的身份处理个人数据，以便为您提供我们的服务。该数据以及其他与服务相关的日志，将按照特定云应用程序的日志保留策略进行存储（详情请参见相关文档）。

我们鼓励您在设置我们的云应用程序时检查和查看您所在国家/地区有关数据收集和处理的立法和法律要求。您可能需要向最终用户告知受管理和监控的端点设备，或请求特定管辖区内的特定权限以执行监控活动。

ESET PROTECT

•XDR 平台。XDR Platform 收集和处理受监控的端点设备和网络的数据并将其发送到云控制台。作为端点检测和响应(XDR)类型的应用程序，它专为详细监视和异常检测而设计。  
 
当您使用 XDR 平台 ESET PROTECT 时，我们会处理与通过我们的服务所监控的设备、系统或第三方服务生成的事件相关的安全相关数据。这可能包括可疑活动的指标，例如可疑登录或应用程序的异常使用；有关已识别安全事件的信息，包括用于评估该事件（例如其严重性）的指标与遥测数据的组合；针对事件采取的措施，例如将计算机与网络隔离、结束进程或注销用户；以及有关客户所属细分领域的信息，例如行业。就本隐私政策而言，这些与安全相关的数据连同相关遥测数据共同构成”事件数据”。相关遥测数据可能包括事件时间和标识符、事件特征和风险信息、云和基础设施信息、网络和端点信息、设备信息、操作系统信息、文件和应用程序信息、进程和命令行信息、URL 和 Web 资源信息以及用户和账户信息。

•托管的端点设备。管理 ESET 本地安装的应用程序需要席位 ID 和名称、应用程序名称、订阅信息、激活和到期信息以及安装有 ESET 应用程序的托管设备的硬件和软件信息。将会收集有关托管的 ESET 应用程序和设备的活动日志，以便用于管理和监控功能及我们的服务。其他处理的信息可能包括：安装过程相关信息（包括安装我们应用程序的平台）以及我们应用程序或托管设备的操作和功能信息，例如硬件指纹、安装 ID、订阅 ID、IP 地址、MAC 地址、使用的电子邮件地址、移动设备的 GPS 坐标或我们应用程序的配置设置。我们还可能使用您的联系信息，就我们发现的您环境中的安全问题向您发出通知。

•漏洞和修补程序管理。如果您选择使用漏洞评估和修补程序管理功能，将处理更多信息。出于漏洞评估的目的，将收集并处理与托管设备的漏洞名称和标识符、严重性以及影响分数有关的信息。修补程序管理功能还需要应用程序的名称、版本和供应商、设备上缺少的修补程序的版本以及缺少的修补程序的标识符。

•云工作负载防护。此功能主要收集和处理两种类型的云活动日志：(i) 与资源操作相关的日志（例如 Azure 活动日志、AWS 管理事件、GCP 管理员活动日志）；(ii) 与身份相关的日志（例如 Microsoft Entra ID）。这些日志可能包含来自您云环境的以下个人数据：(i) 发起 API 请求者的 IP 地址；(ii) 执行该请求的用户身份（姓名、电子邮件）。它还会收集有关云资源和身份的遥测数据，其中可能包含来自您的云环境的个人信息，例如姓名、电子邮件地址或 IP 地址。来自您的云环境的此类数据被处理,以检测和响应在您的 VM 或更广泛的云环境中运行的潜在恶意软件或恶意软件,并以连接器和任务的状态报告形式编写指标,并/或将事件发布给 ESET PROTECT 控制台。为此，我们会为您的磁盘以及虚拟机和网络防火墙等其他资源创建临时快照。我们会扫描这些快照，以检测恶意软件和其他安全威胁，并采取必要的防护措施。相关扫描完成后，我们将删除临时快照和任何相关数据。我们不会出于任何其他目的保留或使用这些快照。

•远程访问服务。如果可用，ESET Remote Access 可让管理员通过 ESET PROTECT 远程访问托管端点设备。根据网络设置,从端点传输的数据要么直接在ESET PROTECT(管理员的浏览器)和端点之间传输,要么通过 ESET 的服务器传输。在这两种情况下,所有信息都以每会话为基础进行端对端加密。这包括远程桌面屏幕、鼠标和键盘活动、剪辑板内容(仅在会话中复制数据)、文件传输和聊天消息。通过 ESET 服务器传输信息时,该信息不会存储或解密。将处理 IP 地址和路由信息，以协调端点与ESET PROTECT之间的连接。如果传输文件,它们将遵循相同的加密路径,并且不会保留在 ESET 服务器上。出于审计目的，ESET PROTECT 会记录与管理员操作相关的某些遥测数据，例如会话的开始和结束日期时间，以及是否从终端设备传输了文件。还将收集与会话相关的其他遥测,例如传输文件的文件名、IP 地址、机器名称和用户名。管理员在远程设备上执行的操作不受监视或记录。此外，一旦 ESET PROTECT 聊天功能可用于 ESET Remote Access，则可出于审核目的记录管理员与最终用户之间的通信的聊天转录。除了 ESET Remote Access 之外，我们还提供对计算机上终端的远程访问。如果可用，出于安全、访问控制和审计目的，我们会监控对计算机上终端的远程访问。授权用户可以使用远程终端查看存储在相关计算机上或可从相关计算机访问的内容（包括文件），或以其他方式与之交互。我们会记录通过该终端进行的远程访问和活动的相关信息，包括用户身份、相关账户和计算机、连接与断开连接的日期和时间、所执行的操作（例如通过终端下载任何文件）以及这些操作的输出或结果。这些记录可能包括与远程会话期间访问或处理的计算机或文件相关的信息。

•连接到 XDR 平台的第三方服务。在您启用的情况下，如果您激活任何入站集成或启用本服务的特定功能，来源于第三方服务的其他数据也可能被处理。在您将第三方服务连接至 XDR 平台时，我们可能处理的数据中，将包含上述所述、由 XDR 平台按标准流程处理的事件数据。我们处理的数据始终取决于您所连接的集成。.当我们根据您的请求协助您配置特定集成时，或当我们为提供我们的服务及其监控之目的处理数据以确认该集成正常运行时，我们也可能会处理数据。请注意，相关第三方服务提供商在 GDPR 项下（视情况而定）作为独立的数据控制者或数据处理者行事。对于此类第三方服务提供商的数据保护合规性或安全实践，我们不承担任何责任。

出站集成。在我们允许出站集成且您通过激活这些集成指示我们这样做的情况下，我们会将通过我们的应用程序处理的数据发送至您的基础设施或您使用的其他第三方服务。所共享的数据是已经通过我们的应用程序处理过的数据，具体取决于特定的集成：我们会发送该集成所请求的数据，或在可能的情况下发送您配置为共享的数据。有关每项集成的详细信息，请参阅支持该集成的相应应用程序的文档。请注意，当您使用集成功能将您的数据传输至其他产品时，存储于该产品的数据将适用接收方产品的数据保留期限。

ESET Secure Authentication

•ESA 云控制台。我们的云控制台使您能够管理和配置我们的服务,还可作为云身份验证服务器,处理您启用了双重身份验证的端点设备的身份验证请求。在那里处理用于运行 ESET Secure Authentication 的不同类别的数据,以便我们能够向您提供服务,而要处理的确切数据取决于您选择使用的身份验证方法和组件以及您创建的服务的其他配置。因此,云控制台可能会处理与您的最终用户相关的数据,例如用户名和 ID、IP 地址、移动号码、电子邮件地址、组织单位以及与您的组织结构相关的数据(如果您选择将包含您组织结构数据的数据的数据库自动同步到我们的云控制台,则可能需要输入数据库的登录凭据)。ESA 还提供移动应用程序，我们在该应用程序中处理用户名、用户可登录的环境、激活 URL 或时间戳等数据。

•第三方服务和集成。如果您选择将 ESET Secure Authentication 与第三方服务和组件集成，我们可能会处理与您选择的服务和组件集成和运行我们的服务所需的其他数据，例如来自 Microsoft Exchange Server、Microsoft Dynamic CRM、身份提供程序连接器或 RADIUS 的必要数据、您用户使用的硬件标记数据（例如硬标记秘密）和与您的订阅相关的数据。为了向您提供报告功能以及相关通知，需要处理与您组织发生的各种事件相关的数据（如登录者、登录失败等），以及我们服务运行相关的数据（例如错误）。

•请注意,根据您选择与 ESET Secure Authentication 集成的组件的属性,我们可能还需要处理用于身份验证的第一因素信息(通常是最终用户的密码),但仅需将其发送给相关实体进行验证。使用 ESET Secure Authentication 进行双重身份验证的最终用户的密码不会存储在 ESA 云控制台或其他 ESET 服务器上。

MDR 服务。如果您使用 ESET MDR 服务（ESET MDR 和 ESET MDR Ultimate），我们会对在提供服务期间收集的事件数据进行持续监控、分析和利用，以便根据需要增强您的环境的安全性、强化网络安全策略、检测并应对恶意活动、识别漏洞并持续增强安全措施。作为 MDR 服务的一部分，我们将在客户环境中执行必要的操作，以调查、确认、遏制、修复或以其他方式缓解安全事件。我们处理事件数据和遥测数据以提供 MDR 服务。根据您的设置，我们还可能将此类数据连同客户身份识别数据一并用于研究目的的处理。

MDR 引导式部署服务。作为引导式入门流程的一部分，我们可能会处理在应用程序部署流程演练期间显示在屏幕上的、由客户或其管理员展示的，或作为合理验证程序的一部分而提供的个人数据。

ESET Threat Intelligence

•调查实验室。如果您选择通过 ESET Threat Intelligence 门户中的样本提交功能提交样本，则该样本将在我们的自动样本处理和检测系统中自动处理。提供给您的分析输出将包含与样本行为相关的结果。
 
处理方式因所选层而异 - 调查实验室或高级调查实验室：

o调查实验室。我们可能会保留提交的样本及相关情报，并对其做进一步分析以用于研究目的。该样本将被标记为”请勿共享”，完整的分析报告和完整的相关信息均不会提供给其他客户。这可能使我们能够在后续的 IoC 或哈希搜索中识别该样本，而无需向第三方披露完整报告或相关信息。

o高级调查实验室。我们会处理所提交的样本以提供所请求的分析，并在处理完成后删除该文件。

我们操作用于测试样本行为的样本处理系统，确保您的数据保持在我们控制之下，不会被第三方处理。为避免疑义，我们不会仅因为该文件哈希随后被搜索，就向其他客户提供完整的提交文件或完整的分析报告。

•早期警告。如果您决定设置 YARA 规则以利用早期警告功能(例如,搜索),并包含包含个人数据的文本串,则此类数据将用于识别相关实例,从而为您提供我们的早期警告功能。您可以随时通过 ESET Threat Intelligence 门户删除该规则。

ESET LiveAI。如果您决定使用 ESET LiveAI，则您的查询以及受监控端点设备的相关数据和我们的云应用程序中处理的网络信息将传输到在我们的 Azure 私有云中运行的生成式 AI 解决方案，或者在更关键的情况下，传输到我们自己的 LLM 服务器上运行的生成式 AI 解决方案。只有解决查询所需的基本数据才会与 AI 解决方案共享，并且将经过专门处理以提供请求的服务。ESET 管理 AI 解决方案，确保您的数据在我们的控制范围内，不会被第三方处理。

ESET LiveGuard Advanced.如果您启用此功能（该功能可能在您基于云的或本地安装的应用程序和服务中提供），则我们的应用程序识别为可疑的任何文件都将通过 ESET LiveGrid® 反馈系统发送至 ESET 服务器进行自动分析。如果 LiveGuard 确定该文件已被感染，我们的应用程序将启动清除操作并删除该文件。如果该文件被判定为无害，则将正常执行。分析的文件将在您在设置中选择的时间段内存储，与分析相关的日志将显示在您的 ESET PROTECT 控制台中。作为数据控制者，我们将按照与上述 ESET LiveGrid® 反馈系统中处理可疑或恶意样本相同的方式，进一步对 LiveGuard 检测为感染的文件进行处理。

ESET Anti-Theft。在 ESET Anti-Theft 服务中，我们处理与设备相关的数据，特别是有关设备网络位置（纬度、经度、海拔和上次连接时间）以及设备配置的数据。我们仅将这些数据用于提供、运营和支持本服务，包括定位设备和采取所请求的安全措施；在此过程中，我们不会识别设备的用户身份。我们会在设备或服务器注册至本服务期间保留相关数据，并在您将其移除后额外保留 30 天。使用设备擦除功能时，操作系统会在本地将数据从设备中删除，且不会再有数据从设备传输到服务器。请注意，在设备擦除后，ABM 设备可自动重新注册到移动设备管理。

ESET Cyber Security 意识培训。作为本网络安全意识培训的一部分，您仅可将网络钓鱼模拟器用于在贵组织内部测试您的员工和其他授权最终用户，包括测试他们对网络钓鱼攻击活动的防范能力。不得向第三方发送任何通信，包括垃圾邮件或其他非法通信。  

第三方保修。某些订阅产品可能包含由独立第三方（“担保提供商”）单独提供的网络担保、保证或类似保障（“第三方担保”）或与其一起销售。为此，我们将向提供第三方保修服务的保修提供商传达您的姓名、电子邮件地址以及您所在公司的名称。一旦您购买包含此第三方保修的任何产品，您将自动加入《使用条款》中所述的保修计划。

数据共享

如本隐私政策所述，我们可能会与第三方共享您的数据；例如在发生争议时，若为遵守法律义务、确立、行使或抗辩法律主张，或保护我们的权利和合法利益所必需，我们可能会将您的数据共享给法院、仲裁机构、执法机关、监管机构及其他主管公共机关。根据适用法律，这些接收方通常作为独立的控制者处理个人数据。我们通过附属公司或合作伙伴（作为我们销售、服务和支持网络的一部分）在全球运营。这些公司还可能作为我们的数据处理者和次级处理者。出于履行本条款的目的（例如，提供服务或支持），ESET 所处理的订阅、计费和技术支持信息可能会在附属公司或合作伙伴之间传输。此外，为了提供我们的某些服务（例如专业服务和安全服务），我们可能会聘请受信任的合作伙伴担任分包商来执行这些服务的某些部分。如果相关关联公司或合作伙伴位于第三国，或从第三国访问个人数据，我们始终会采取适当的传输机制。

子处理

我们可能会委托第三方服务提供商（包括关联公司和其他次级处理者）代表我们处理个人数据，并为我们服务的提供、运营、维护和安全提供支持。这些子处理者可能提供托管、云基础设施、客户支持、数据存储、分析以及其他技术或运营服务。
 
我们要求我们的子处理者仅按照我们记录在案的指示处理个人数据，并且仅为我们委托其服务的目的而处理个人数据。我们还要求其实施适当的技术和组织措施以保护个人数据，并遵守适用的数据保护要求。在适用法律要求的范围内，我们仍对我们的子处理者所开展的处理活动承担责任。

我们的子处理者的最新列表，包括其所提供服务的相关信息以及相关处理地点（如适用），可在我们的网站上查阅。我们可能会不时更新此列表，例如，当我们指定、更换或移除子处理者时。

向第三国转移。

ESET 更愿意在欧盟 (EU) 内处理其数据。但是，根据您所在的位置（在欧盟/欧洲经济区以外使用我们的应用程序和/或服务）和/或您选择的服务，可能需要将您的数据传输到欧盟/欧洲经济区以外的第三国。例如，我们使用与云计算相关的第三方服务。在这些情况下，我们会仔细选择服务提供商，并确保通过合同以及技术和组织措施提供相应级别的数据保护。根据 GDPR，我们只能在特定条件下将个人数据传输到第三国/地区。我们确保按照 GDPR 的严格要求执行任何此类传输，致力于保护被传输数据的个人的权利和自由。

在将任何数据传输到欧盟 (EU) 或欧洲经济区 (EEA) 外部之前，我们将评估接收国/地区的数据保护法的充分性，并考虑实施适当的保护措施。我们会评估接收数据的国家是否属于欧盟委员会已作出决定、认定其提供了充分的个人数据保护水平的国家（例如英国、加拿大（商业组织）、阿根廷、巴西、日本、瑞士或美国（参与数据隐私框架的商业组织））。如果没有，我们将依赖其他适当的传输机制，例如欧盟发布的标准合同条款、具有约束力的公司规则、公认的行为准则或证明符合数据保护要求的认证机制。

通过采取这些措施，我们确保个人数据传输的安全性和透明度，同时符合 GDPR 的准则。

数据安全性

ESET 会实施适当技术和组织措施来确保与潜在风险相称的安全级别。这些措施已在我们的安全策略和（如适用）适用于特定应用程序的单独安全策略（可在相应应用程序的文档中找到）中详细说明。

数据主体的权利

每个数据主体的权利都很重要，我们想告诉您，ESET 保证所有数据主体（来自任何欧盟或任何非欧盟国家/地区）均享有以下权利。若要行使数据主体的权利,您可以通过支持表单或使用下面的联系方式与我们联系。出于识别目的，我们会要求您提供以下信息：姓名、电子邮件地址以及（如果有）激活密钥或客户编号和所在公司。请勿向我们发送任何其他个人数据，例如出生日期。我们想指出的是，为了能够处理您的请求以及出于识别目的，我们将处理您的个人数据。请注意,根据 GDPR,隐私政策的本节仅适用于数据主体;因此,本节中“您”的所有引用仅适用于数据主体。另请注意，如果您是我们客户的员工或其他获授权人员，您应首先联系您的雇主或授权您的人员。

撤消同意的权利。撤消同意的权利仅适用于基于同意进行处理的情况。如果我们根据您的同意处理您的个人数据，则您有权随时撤消同意，而无需给出理由。撤消您的同意仅对将来处理有效，并不影响撤消之前所处理数据的合法性。

反对权。反对处理的权利适用于基于 ESET 或第三方合法权益的处理。如果我们为了保护合法利益而处理您的个人数据，您有权随时反对我们指明的合法权益和对您个人数据的处理。您的反对仅对将来处理有效，并不影响反对之前所处理数据的合法性。如果我们出于直接营销目的处理您的个人数据，则无需给出您的反对理由。这也适用于资料收集，因为它与此类直接营销有关。在所有其他情况下，我们要求您简要告知我们针对 ESET 处理您个人数据的合法权益提出的投诉。

请注意，在某些情况下，尽管您撤消了同意或反对处理，我们仍可能有权根据其他法律依据处理您的个人数据（例如，为了履行合同）。

访问权。您有权随时免费获取有关 ESET 处理您数据的信息。

纠正权。如果我们无意中处理了有关您的错误个人数据，您有权更正该数据。

删除权。您有权要求删除或限制处理您的个人数据。如果我们处理您的个人数据（例如，在您同意的情况下），而您撤消同意并且没有其他法律依据（例如，合同），则我们会立即删除您的个人数据。一旦您的个人数据在我们的保留期结束时不再需要用于所述目的，它们也将被删除。

限制处理权。如果我们将您的个人数据用于直接营销的唯一目的，而您已撤消同意或反对 ESET 的潜在合法权益，则我们将限制对您个人数据的处理，以便将您的联系方式数据包括在我们的内部黑名单中，从而避免主动联系。否则，将删除您的个人数据。

请注意，我们可能需要存储您的数据，直到立法者或监管机构发布的保留义务和期限到期。保留义务和期限也可能源于斯洛伐克法律。其后，将例行删除相应的数据。

数据迁移。我们很乐意以数据主体的身份向您提供 ESET 处理的 xls 格式的个人数据。

提出投诉的权利。您作为数据主体，有权随时向监管机构提出投诉。ESET 遵守斯洛伐克法律的规定，并且我们受欧盟的数据保护法的约束。相关数据监管机构是斯洛伐克共和国个人数据保护办公室，具体地址为 Námestie 1。Mája 18, 81106 Bratislava, 斯洛伐克共和国

我们的联系信息

如果您希望行使作为数据主体的权利或有疑问或担忧，请通过以下信息联系我们：

ESET, spol. s r.o.
数据防护官
Einsteinova 24
85101 布拉迪斯拉发
斯洛伐克共和国