1.1 沙特阿拉伯旅游局（或简称为“STA”、“我们”、“我方”或“我们的”）是沙特阿拉伯政府实体，负责将沙特阿拉伯作为全球旅游目的地进行推广，打造王国领先旅游品牌，通过与相关利益相关者建立合作伙伴关系来发展旅游业，并与沙特阿拉伯的目的地和景点协作，以使目标游客到访量最大化。我们还负责旅游领域的各种消费者参与活动，包括通过面向消费者的数字平台进行该等活动。

1.2 STA 认为保护您的个人数据非常重要，并努力根据适用的数据保护法律和法规【主要依据《沙特阿拉伯国家数据管理办公室关于个人数据保护的临时条例》（以下简称“《临时条例》”）以及其他适用数据保护法律和法规（《临时条例》和该等其他法律法规在本文中通称为“适用数据保护法”）】处理数据。

1.3. 根据适用数据保护法，STA 是控制人（即决定如何处理您个人数据的责任人）并负责处理您的个人数据。

2.1 STA 尊重您的隐私，并致力于保护您的个人数据。STA 采用本隐私声明，来告知（“您”、“贵方”）所采集、使用以及处理的与您相关的个人数据，以及您可以期望的您个人数据的使用方式和使用目的。阅读本隐私声明很重要，以便了解我们使用该等信息的方式和原因，以及您在适用数据保护法项下的权利。

2.2 本声明：

1. 适用于访问或使用数字平台的任何人
2. 载明了我们所收集的您的个人数据类型
3. 阐述了我们收集及使用您个人数据的方式和原因
4. 阐述了我们将保留您个人数据的时长
5. 阐述了我们将如何（何时、为何以及与何人）分享您的个人数据
6. 阐述了您作为数据主体的权利
7. 载明了我们使用您个人数据的法律依据
8. 阐述了拒绝提供所请求个人数据的影响
9. 阐述了在涉及您的个人数据时，您作为数据主体所享有的各种权利与选择
10. 阐述了我们如何（何时以及为何）使用自动决策和/或分析–

 

2.3 数字平台不适合 18 周岁以下的儿童，我们也不会故意向儿童收集个人数据。

我们将采取措施，旨在遵守适用数据保护法，包括确保我们所持有的与您相关的个人数据：

1. 以合法、公平和透明的方式使用
2. 仅出于我们已向您明确详述过的有效目的收集，并且不以与该等目的不相容的方式使用
3. 与我们向您告知的目的相关，并仅限于此类目的
4. 准确且保持更新
5. 仅出于我们告知您的目的所必需的时间内予以保留
6. 以安全方式持有
7. 以我们能够证明遵守适用数据保护法的方式，采取适当的措施和记录方式进行保存

我们将来可自行决定，随时变更/更新本声明。变更将在修改后的本声明发布时立即生效。如果变更为重大变更，我们将提供额外声明，例如：通过我们网站中的横幅或以书面形式向您发送本声明更新版本的方式提供（包括在适当的情况下通过电子方式发送），除非您要求以其他格式提交。（您可以通过本表格联系我们，提出请求）。

5.1 我们出于以下附表所列之目的收集您的个人数据。（具体目的取决于数字平台。）

5.2 “个人数据”是指与已识别身份或可识别身份的自然人（以下称“数据主体”）有关的任何信息。可识别身份的自然人是指其身份可被直接或间接识别的自然人，尤其是通过参考该自然人的姓名、身份证号、位置信息、在线身份识别信息等身份识别信息来进行识别，或通过与该自然人的物理、生理、基因、心理、经济、文化或社会身份相关的一项或多项因素来进行识别。

5.3 为了完整起见，个人数据不包括已完全删除身份识别信息的数据（例如完全匿名的数据或聚合数据），但仍可能会包括假名数据。根据适用数据保护法，可能存在某些类型的更为敏感的个人数据需要更高级别的保护（以下简称“特殊类别个人数据”和“涉及刑事定罪的个人数据”）。特殊类别个人数据可包括：有关您种族或族裔、宗教/哲学信仰的详细信息，有关您健康状况的信息，以及遗传和生物识别数据。涉及刑事定罪和罪行的信息还可能被视为敏感数据，需要更高级别的保护。

5.4 我们通常不收集或处理特殊类别个人数据或涉及刑事定罪的个人数据。这些类别的个人数据依据适用数据保护法可能会被视为更加敏感，通常在处理时需要采取更加严格的安全措施（技术和组织措施）。在特殊情况下，我们可能需要收集和处理该等个人数据，我们只会向您收集该等数据，并在法律允许的情况下进一步处理该等数据，例如在附表 2 所述之处理特殊类别个人数据的某一法定条件适用时进一步处理。在适用数据保护法有要求的情况下，我们将另行获取您的同意，然后再处理您的特殊类别个人数据。

5.5 我们还可能会在适用数据保护法允许的情况下，出于任何目的收集、使用和共享“汇总数据”（该术语的定义见适用数据保护法）。汇总数据可来自于您的个人数据，但根据适用数据保护法，一般不被视为个人数据，因为这些数据不会直接或间接泄露您的身份。例如，我们可能会根据适用数据保护法汇总您的使用数据，以计算访问特定数字平台功能的用户比例。但如果我们将汇总数据与您的个人数据相结合或关联，以通过该等数据直接或间接识别您的身份，则我们会将结合后的数据视为个人数据，并根据本隐私声明使用该等数据。

以下为我们可收集您个人数据的不同来源：

7.1 直接向您收集。您向我们提供个人数据，例如通过访问我们的数字平台或与我们直接通信的方式提供个人数据，或者通过与我们进行其他直接互动的方式提供个人数据，例如在我们的数字平台上填写表格，申请我们的产品或服务，在我们的数字平台上向我们申请工作，创建我们的数字平台帐户，订阅我们的服务或出版物，请求接收营销材料，参与竞赛或抽奖、促销或调查，提供反馈意见，通过任何方式联系我们提交询问或投诉等。

7.2 通过代理人/代表您行事的第三方收集。

7.3 通过公开可获得的来源收集。我们可使用以下公开来源：

1. 社交媒体；
2. 事件（例如会议）；
3. 目录。

7.4 通过分析提供商、广告网络、搜索信息提供商或技术、支付（即第三方支付网关）和交付服务提供商收集。

7.5 通过我们可能向您发送的营销通信收集，或者通过我们所发送或收到的电子邮件通信收集。您可以按照电子邮件中所提供的说明点击退订链接，或者按照以下第 19 节所载之电子邮箱地址发送电子邮件给我们并在邮件主题中注明“退订”，随时选择退订我们的电子促销邮件。请注意，您无法选择退订非促销性质的电子邮件，例如有关交易关系的电子邮件。

7.6 通过自动化技术或互动收集。当您与我们的数字平台互动时或在下载/安装我们的应用程序时，我们会自动收集关于您设备、浏览操作和模式的技术数据。我们通过采用 cookies、服务器日志和其他类似技术来收集此类个人数据。如果您访问使用跟踪技术（包括 cookies）的其他数字平台，我们还可能会收到关于您的技术数据。有关详细信息，请参阅我们的 Cookie 政策。

8.1 我们希望在履行沙特阿拉伯旅游局职责的同时，为您提供最佳用户/客户体验。为了做到这一点，我们需要结合所收集的与您有关的不同类型的个人数据，来准确了解您是谁以及您的偏好。

8.2 我们仅会在法律（包括适用数据保护法）允许的情况下使用您的个人数据。根据适用数据保护法，可能会需要根据多种合法依据（处理的合法依据）来证明使用个人数据的合理性。这意味着我们将仅出于特定、明确和合法的目的收集个人数据，并且不得以与这些目的不相容的方式处理个人数据，但在有限的情况下以与这些目的不相容的方式处理个人数据的情形除外。我们仅会出于收集您个人数据的目的来使用您的个人数据，除非我们合理认为需要出于另一原因使用您的个人数据并且该原因与初始目的相符。如果我们需要将您的个人数据用于不相关的目的，我们会通知您，并说明允许我们这样做的法律依据。

8.3 我们可能会使用您的身份、联系方式、技术、使用情况和个人资料数据来推断您可能想要或需要什么，或者对您可能感兴趣的内容。这是我们决定哪些产品、服务和优惠可能与您相关的方式。如果您向我们请求信息或从我们这里购买/接收商品或服务，并且选择接收营销信息，您将会从我们收到此类营销信息。您可以随时要求我们或我们的关联公司停止向您发送营销消息-方法是登录数字平台并调整您的营销偏好，按照发送给您的任何营销消息中的退出链接进行操作，或随时与我们联系。（选择不接收营销消息不会影响我们需要在交易或服务的背景下向您发送的任何交易性或服务性消息。）

8.4 总而言之，我们使用您的个人数据是为了履行我们与您之间的合同、在我们的合法利益范围内为您提供最佳的客户体验，并使我们能够遵守所有法律义务。我们处理您的个人数据的具体目的和相应的合法依据见附表。请注意，在符合上述规则的情况下，我们可能根据法律要求或允许在未经您知情或同意的情况下处理您的个人数据。

9.1 我们仅会在合理必要的情况下保留您的个人数据，以满足我们收集数据的目的，包括满足任何法律、监管、税务、会计或报告要求的目的。如果存在投诉或我们合理认为存在诉讼可能涉及与您的关系，我们可能会在更长的时间内保留您的个人数据。

9.2 我们会考虑个人数据的数量、性质和敏感性，未经授权使用或披露您的个人数据可能带来的潜在风险，我们处理您的个人数据的目的以及我们是否可以通过其他方式实现这些目的，以及适用的法律、监管、税务、会计或其他要求，来确定个人数据的适当保留期限。

9.3 在某些情况下，我们可能会对您的个人数据进行匿名化，使其不再与您相关联，这种情况下，我们可能会保留并使用该等信息，而无需进一步通知您。一旦您不再是我们的客户、用户或员工（若适用），我们将根据适用数据保护法保留并安全销毁您的个人数据。

10.1 我们自己的员工在履行其职责时可以访问您的个人数据。为了在沙特旅游生态系统中发挥我们的作用，我们可能会与其他相关实体分享您的个人数据，以评估或报告活动或我们的表现，以 STA 的重组为背景，进行系统维护支持和数据托管，以及其他此类操作性原因。

10.2 我们也可能出于合法目的与我们的服务提供商（被称为“可信第三方”）分享您的个人数据，这些服务提供商参与提供您通过我们数字平台请求的信息或服务，以帮助我们运营业务。我们依赖这些可信第三方进行各种业务操作和服务提供。我们与这些服务提供商签订协议以保护您个人数据的机密性。我们不会未经您特定同意而将您的个人数据用于第三方自身的营销目的。

10.3 如果我们与可信第三方分享您的个人数据，我们将：

1. 仅向他们提供其特定服务/特定目的所需的信息；
2. 签订适当的合同安排，以确保他们只能按照我们在与他们签订的合同中指定的确切目的使用您的个人数据
3. 与我们的可信第三方密切合作，确保保护您的隐私和个人数据
4. 当我们停止使用我们的可信第三方的服务时，确保他们持有的任何数据被安全删除或停止进一步使用

 

10.4 总之，我们的可信第三方包括：

1. 支付网关的第三方提供商
2. 供应商/服务提供商（例如，快递公司、电子商务服务提供商、处理投诉或欺诈管理的技术人员、支持我们数字平台的 IT 公司和供应商）
3. 专业顾问（例如，银行家、审计师和律师）
4. 保险（例如，保险经纪人）
5. 帮助我们进行与客户电子沟通的直接营销公司
6. 外包某些业务功能。例如，我们可能使用服务中心，将文档和信息管理、办公支持、技术和 IT 服务、文字处理、复印和翻译服务等职能外包给这些服务中心（我们已与这些服务提供商签订协议，以保护与他们分享的信息（包括个人数据）的机密性和安全性）

10.4.2 我们也可能出于分析和广告目的与供应商和其他方分享您的个人数据。这些方可能是我们的服务提供商，或在某些情况下，独立决定如何处理您的个人数据。这些第三方可能包括：

1. 社交媒体平台（例如 Instagram、Facebook），根据您在我们数字平台上的 cookies 接受情况（请参阅 Cookie 政策）或您对直接营销的同意，在您浏览互联网时向您展示有趣的产品；
2. 数据分析/洞察公司，帮助我们确保您的详细信息保持准确和最新；或

 

10.5 我们可能会根据适用法律或法规的要求，或者我们合理认为有必要保护 STA、其他客户或公众利益，不时被要求向警察、执法机构、监管和/或政府机构披露您的个人数据，涉及全球各地的法律调查或程序。在回应该等查询问题之前，我们通常会通知您，但情况限制我们这样做的情形除外。我们会考虑您的隐私，并根据具体情况处理此类请求。

 

11. 如果发生控制权变更会发生什么？

如果 STA 的组织发生变更，或者负责沙特阿拉伯旅游的政府机构进行重组，则新的“继承”实体可能会以与本隐私声明所载之相同方式使用您的个人数据，并且您的个人数据可能会根据本声明条款转移给该新实体。

STA 不基于自动决策（包括分析）进行处理，但如果情况有变，我们将以书面形式通知您。

14.1 我们使用分析服务帮助我们了解用户如何访问和使用数字平台。此外，我们与代理商、广告商、广告网络和其他技术服务合作，在其他网站和服务上投放广告。例如，我们通过社交媒体平台投放广告，您可能会在这些平台上以及其他网站和服务上看到这些广告。

14.2 作为这个过程的一部分，我们可能会在我们的数字平台（包括我们的网站和电子邮件）以及在其他网站和服务上展示的广告中使用 cookies 和跟踪技术。其中一些跟踪技术可能会跟踪您在时间和服务上的活动，以便关联您使用的不同设备，并向您提供相关广告和/或其他内容（“基于兴趣的广告”）。

14.3 此外，与我们合作向您提供定向广告的公司必须为您提供选择退出接收定向广告的选项。要了解更多关于这些公司提供的定向广告以及如何选择退出不接收它们某些定向广告的信息，请访问：(i) https://www.aboutads.info/choices；和 (ii) https://www.networkadvertising.org/choices。选择退出只意味着所选参与者不应再向您提供某些定向广告，但并不意味着您将不再接收任何定向内容和/或广告（例如，与参与者的其他客户或其他技术服务相关的内容和/或广告）。

14.4 请注意，如果您选择使用这些方法中的任何一种退出，则退出将仅适用于您选择退出的特定浏览器或设备。我们不对任何选择退出选项或计划的有效性或合规性负责，也不对任何其他实体关于其选择退出选项或计划的声明的准确性负责。

14.5 有关 cookies 和跟踪技术的更多详细信息，请参阅我们的 Cookie 政策。

15.1 我们必须根据适用数据保护法，采取适当的技术和组织安全措施，确保您的个人数据得到妥善保护。这些措施旨在防止您的个人数据被意外丢失、未经授权使用或访问、被篡改或披露。

15.2 这是为了在您的个人数据受到威胁时，采取与风险相称的措施。我们实施的措施旨在保护我们所持有的个人数据，并限制那些有业务需要知晓的员工、代理商、承包商和其他第三方对您个人数据的访问。其中一些措施包括建立访问控制和基于功能和角色的限制，确定谁可以访问您的个人数据，即使在我们组织内部也是如此。这些控制措施旨在确保您的个人信息仅按指示进行处理，并履行保密义务。

15.3 我们所有的在线数据库和归档系统都有密码保护，并且仅限授权人员访问。我们还通过访问日志记录个人数据的访问情况。我们制定客户退出流程，确保一旦您的数据不再为指定目的所需（和/或附表中的合法依据）不再适用，STA 内部所有访问都被撤销。

15.4 当以电子方式存储个人数据时，我们使用适当的加密措施来确保这些个人数据的安全。在适当的情况下，我们还可能会采用假名化技术来保护您的个人数据，尤其是涉及特殊类别个人数据时。此外，在适当的情况下，我们可能会对个人数据进行匿名化，特别是在我们不需要数据所涉及的个人身份，但数据对我们业务有价值的情况下。

15.5 我们已建立组织措施和程序来应对数据安全事件，我们的员工接受了如何应对安全事件的培训。这涉及到立即联系的人员，负责随后调查的人员以及必要时向相关监管机构和受影响的个人升级事件的人员。在任何情况下，如果适用法律有要求，我们将告知监管机构和受影响的数据主体。

15.6 您可以通过此表格与我们联系，获取有关这些措施的更多详细信息。

16.1 根据适用数据保护法，您在涉及您的个人数据时可享有若干权利，但取决于您所在的司法管辖区。有关您的权利的更多信息和建议，可以通过此表格与我们联系来获取。

权利	这意味着什么？
访问权	您有权获取您的个人数据（如果我们正在处理），以及某些其他信息（类似于本政策中提供的信息）。   这是为了让您了解并核实我们是否按照数据保护法律使用您的个人数据。
更正权	如果您的个人数据不准确或不完整，您有权使其得到更正。
删除权	这也被称为“被遗忘的权利”，简单来说，如果没有充分的理由让我们继续使用您的个人数据，您可以请求删除或移除您的个人数据。这不是一项普遍的删除权利；有例外情况。
限制处理权	您有“阻止”或抑制进一步使用您的个人数据的权利。在处理受限时，我们仍然可以存储您的个人数据，但可能不会进一步使用。我们会保留那些要求进一步使用其个人数据被“阻止”的人员名单，以确保未来遵守这一限制。
反对处理权	您有权反对某些类型的处理，包括用于直接营销的处理（即，如果您不再希望收到我们的新闻、营销信息）。
投诉权	您有权就我们处理您的个人数据的方式向相关监管机构提出投诉，特别是（居住地、工作地点或涉及侵权的地点）。
同意撤回权	如果您已同意我们对您的个人数据进行操作，您有权随时撤回您的同意（尽管这样做并不意味着我们在此之前基于您的同意对您的个人数据所进行的操作不合法）。这包括您有权撤回您对我们出于营销目的使用您个人数据所给予的同意。
数据可携带权	对于数据主体以结构化、常用且可机器读取的格式向控制人提供的其个人数据，数据主体有权收到该等个人数据，并有权将这些数据传输给另一控制人，不得受到接收该等个人数据的原控制人干扰

16.2 我们通常会免费根据请求采取行动并提供个人数据，但对于以下情况可能会收取合理费用，以支付关于提供个人数据的管理成本：

1. 请求无根据或过度/重复；或
2. （要求提供）相同个人数据的其他副本。

或者，在这种情况下，我们可有权拒绝根据请求采取行动。

 

16.3 请谨慎考虑，再提交请求。我们将尽快回复。通常情况下，将在收到请求后的一个月内回复，但会根据请求的性质而有所不同。

17.1 为了帮助我们确认您的身份并确保您有权访问您的个人数据（或行使您的其他权利），我们可能会需要您提供特定信息。这是一项安全措施，旨在确保个人数据不会透露给无权接收这些数据的任何人。我们还可能会联系您，要求您提供与您的请求相关的其他信息，以加快我们的回复速度。

17.2 我们可能还会需要您的联系信息。我们可能会通过电子邮件或社交媒体联系您。（如果您对联系方式有特定偏好，请告诉我们。）

我们的数字平台可能包含指向第三方网站、插件和应用程序的链接。点击这些链接或启用这些连接可能允许第三方收集或分享关于您的数据。我们不控制这些第三方网站，也不对其隐私声明负责。当您离开我们的任何数字平台时，我们鼓励您阅读您访问的每个网站的隐私政策。

19.1 如果您对我们处理您的个人数据的方式感到不满，或对您的个人数据处理、我们的隐私声明和隐私惯例有进一步的疑问，请通过此表格与我们联系。

19.2 在适用数据保护法下，您可有权向相关数据保护机构投诉。然而，在您投诉之前，我们希望有机会处理您的顾虑，因此请首先与我们联系。

根据本隐私政策，我们可能收集关于您的以下类型的个人数据：

个人数据类型	详细信息
A. 身份数据	名字、姓氏、用户名或类似身份识别信息、婚姻状况和受扶养人、职务、出生日期和性别、身份证号（例如护照号或国民身份证号码）
B. 联系数据	账单寄送地址、交付地址、电子邮箱地址、电话号码、有关营销和通信的偏好
C. 人口统计和档案数据	例如您的一般位置、籍贯、年龄、偏好、兴趣、反馈和调查回答
D. 交易数据	包括与您的支付有关的详细信息，付款卡详细信息，以及您从我们购买的产品和服务的其他详细信息。
E. 技术数据	包括[互联网协议 (IP) 地址、登录数据、浏览器类型和版本、时区设置和位置、浏览器插件类型和版本、通过 cookies 收集的信息、操作系统和平台，以及您用于访问 数字平台的设备上的其他技术信息]。
F. 使用数据	包括您如何使用我们的数字平台、产品和服务的信息
G. 与健康有关的个人数据	疫苗接种状态；可能与您向我们请求的服务相关的残疾信息；可能与您向我们请求的服务相关的健康保险范围信息
H. 与刑事定罪或相关安全措施有关的个人数据	可能与您向我们请求的服务相关的刑事定罪信息
I. 揭示种族或民族起源的个人数据（例如护照或签证）	可能与您向我们请求的服务相关的国籍信息

www.sta.gov.sa

个人数据类型	处理的目的	处理的法律依据
A. 身份数据	管理我们的服务，入职，确定签证资格，允许您进行询问，与您沟通，为您提供个性化内容（出于营销/促销目的），进行调查，回应投诉，识别您的位置以及改进我们的服务。	在我们获得您的处理同意时，需要执行合同时，或者需要追求我们的合法利益，包括用户身份验证，与用户沟通，监控，保护和增强我们的服务和平台时。
B. 联系数据	管理我们的服务，入职，确定签证资格，允许您进行询问，与您沟通，为您提供个性化内容（出于营销/促销目的），进行调查，回应投诉，识别您的位置以及改进我们的服务。	在我们获得您的处理同意时，需要执行合同时，或者需要追求我们的合法利益，包括用户身份验证，与用户沟通，监控，保护和增强我们的服务和平台时。
C. 人口统计和档案数据	为您提供个性化内容，识别您的位置，进行营销研究，进行调查，改进向您提供的服务，并监控客户账户以防止，调查和/或报告欺诈，恐怖主义，虚假陈述，安全事件或犯罪，符合适用法律。	在我们获得您的处理同意时，或者需要追求我们的合法利益，包括用户身份验证，与用户沟通，监控，保护和增强我们的服务和平台时。
D. 交易数据	管理我们的服务并与我们的合作伙伴或关联方预订旅行。	在我们获得您的处理同意时。
E. 技术数据	确保我们的平台正常运作，为您个性化内容/我们的平台，识别您的位置，改进提供的服务，监控在线流量和观众参与，并监控，保护和增强我们的内容，服务和平台。	在我们获得您的处理同意时，需要执行合同时，或者需要追求我们的合法利益，包括用户身份验证，与用户沟通，监控，保护和增强我们的服务和平台时。
F. 使用数据	确保我们的平台正常运作，为您个性化内容/我们的平台，识别您的位置，改进提供的服务，监控在线流量和观众参与，并监控，保护和增强我们的内容，服务和平台。	在我们获得您的处理同意时，需要执行合同时，或者需要追求我们的合法利益，包括用户身份验证，与用户沟通，监控，保护和增强我们的服务和平台时。
G. 与健康有关的个人数据（特殊个人数据类别）	通过我们的平台完成您的签证或电子签证请求，并/或根据需要遵守法律义务（包括在法律程序或诉讼中披露）。	在我们获得您的处理同意时，或者需要追求我们的合法利益，包括用户身份验证，与用户沟通，监控，保护和增强我们的服务和平台时。此外：基于公共卫生领域的公共利益，例如防范严重的跨境健康威胁，遵守法律义务，或者处理是预防或职业医学目的所必需的。
H. 与刑事定罪或相关安全措施有关的个人数据	如果有必要执行在公共利益中进行的任务，行使赋予我们的公务权力，遵守法律义务，或者根据适用法律防止，调查和/或报告欺诈，恐怖主义，虚假陈述，安全事件或犯罪。	在我们获得您的处理同意时，或者需要追求我们的合法利益，包括用户身份验证，与用户沟通，监控，保护和增强我们的服务和平台时。此外：基于公共卫生领域的公共利益，例如防范严重的跨境健康威胁，遵守法律义务，或者处理是预防或职业医学目的所必需的。
I. 揭示种族或民族起源的个人数据（例如护照或签证）	通过我们的平台完成您的签证或电子签证请求，根据适用法律防范，调查和/或报告欺诈，恐怖主义，虚假陈述，安全事件或犯罪，或者根据需要遵守法规和进行调查。	在我们获得您的处理同意时，或者需要追求我们的合法利益，包括用户身份验证，与用户沟通，监控，保护和增强我们的服务和平台时。此外：基于公共卫生领域的公共利益，例如防范严重的跨境健康威胁，遵守法律义务，或者处理是预防或职业医学目的所必需的。