最后更新：2026年8月2日
Hyperion Consulting (SASU)
SIRET: 94804171000013
TVA: FR73948041710
126 Avenue du General Leclerc, 92100 Boulogne-Billancourt, France
contact@hyperion-consulting.io
Director: Mohammed Cherifi
就《通用数据保护条例》(GDPR) 而言，数据控制者为：
Hyperion Consulting
我方按照 GDPR 第 30 条的要求在内部维护一份处理活动记录 (ROPA)，并可应监管机构的要求提供。
我方收集以下几类信息：
可直接或间接识别您身份的信息：
我方使用 Cookie 及类似的追踪技术。详细信息请参见第 9 节。
我方基于以下法律依据处理您的个人数据：
我方将您的个人数据用于以下目的：
在收集数据时，我方会标明提供某些信息是否属于：
不提供必填数据的后果：我方可能无法向您提供某些服务。
我方仅在实现本隐私政策所述目的所必需的期限内保留您的个人数据：
咨询与 CRM 联系人：关系存续期间加 2 年，随后由每周保留清理任务删除
潜在客户记录（外呼研究）：自最后活动起 2 年，随后删除
CRM 活动日志：3 个月
线索评分与信息补充：90 天
AI 助手对话与代理记忆：自最后活动起 30 天
评估提交内容与附件：随 CRM 联系人记录保存；附件在分析后不予保留
营销订阅：直至你撤回同意，或自最后互动起 2 年
Marketplace 账户：账户存续期间；删除请求后 30 天永久清除
支付记录（Stripe/PayPal）：10 年，依法国商法与税法要求
数据主体请求记录：3 年，作为已处理的证明
合规登记条目：从未完成的为 7 天，其余为 90 天
错误监控与会话回放：90 天（Sentry 默认）
运营告警（Slack/Telegram）：按各渠道自身设置保留
备份：滚动 30 天，之后无法恢复
技术日志：3 个月
Cookie 与浏览器存储：见第 9 章
您的个人数据可能与以下几类接收方共享：
我方使用以下子处理者来运营服务。每一条目均链接至该提供方自身的数据处理条款：
Google Analytics 4 (Google Ireland Ltd.)
采用同意模式 v2 的匿名化网站分析。客户端追踪代码仅在用户明确选择加入时才会激活。管理后台还在服务器端使用 GA4 Data API 进行汇总报表。
📍 欧盟数据处理，并根据 SCC 向美国进行子传输
DPA / PrivacyCloudflare Web Analytics (Cloudflare, Inc.)
实时网站性能和流量分析（RUM——真实用户监控）。无 Cookie 且注重隐私：不设持久性 Cookie，不进行跨站追踪，不进行指纹识别。仅收集汇总的页面浏览量和核心网页指标 (Core Web Vitals)。
📍 美国（已订立欧盟标准合同条款）
DPA / PrivacyCloudflare, Inc. (R2 Object Storage)
用于产品交付资产和异地备份的对象存储
📍 欧盟（欧盟司法管辖区存储桶）；Cloudflare 是一家总部位于美国的公司——传输受欧盟标准合同条款保护
DPA / PrivacyTwenty CRM（自托管）
用于咨询、线索与评估提交的客户关系记录。自托管于我们位于法国的 OVHcloud 基础设施，软件供应商无访问权限。
📍 法国（欧盟）— 我们自有的基础设施
DPA / PrivacySlack（Salesforce）
内部运营告警。接收页面、来源、用户代理、截断 IP、国家/地区、设备与浏览器，用于访客与线索通知。
📍 美国（标准合同条款 / 数据隐私框架）
DPA / PrivacyCloudflare, Inc.（CDN 与 WAF）
为本站的每个请求提供分发与防护，必然处理包括你的 IP 地址在内的连接元数据。这属于基础设施，而非分析。
📍 全球边缘网络（标准合同条款 / 数据隐私框架）
DPA / Privacy我方不会向任何第三方出售、交易或出租您的个人信息。我方不从事跨场景行为广告。
您的信息（包括个人数据）可能被传输至您所在的州、省、国家或其他政府管辖区以外的计算机上并在其上维护，而当地的数据保护法律可能有所不同。
如果我方将数据传输至欧洲经济区 (EEA) 以外，我方将确保采取适当的保障措施：
您有权通过联系我方来获取有关这些保障措施的信息。
根据 GDPR，您对自己的个人数据享有以下权利：
访问权（第 15 条）：确认我方是否处理您的数据并获得访问权
更正权（第 16 条）：更正不准确或不完整的数据
删除权（第 17 条，“被遗忘权”）：在特定情况下要求删除您的数据
限制处理权（第 18 条）：在特定情况下要求限制处理
数据可携权（第 20 条）：以结构化、通用且机器可读的格式接收您的数据
反对权（第 21 条）：反对基于正当利益的处理或用于直接营销的处理
撤回同意权（第 7.3 条）：在处理基于同意的情况下，您可随时撤回，且不影响撤回前处理的合法性
免于受自动化决策约束的权利（第 22 条）：包括产生法律或类似重大影响的画像分析
获得赔偿权（第 82 条）：就违反 GDPR 的行为索赔物质或非物质损害
投诉权（第 77 条）：直接向法国监管机构 (CNIL) 提出投诉——详情见下文
如需行使这些权利，请通过我方位于 /data-subject-request 的数据主体请求表单提交申请，或通过 dpo@hyperion-consulting.io 联系我方。在处理您的请求之前，我方可能需要核实您的身份。核实将与所涉数据的敏感程度相称。
您还有权向监管机构提出投诉：
法国国家信息与自由委员会 (CNIL)
3 Place de Fontenoy - TSA 80715 - 75334 PARIS CEDEX 07
Tel: +33 (0)1 53 73 22 22
我方采取适当的技术和组织措施，以确保与风险相称的安全级别，包括：
然而，没有任何一种互联网传输或电子存储方式是 100% 安全的。
Cookie 是您访问我方网站时放置在您设备上的小型文本文件。我方使用以下类型的 Cookie：
必要 Cookie：网站运行所必需的
分析 Cookie：帮助我方了解访客如何使用我方网站
功能 Cookie：记住您的偏好
营销 Cookie：用于投放相关广告
在您的设备上放置非必要 Cookie 之前，我方将征求您的同意。您可随时通过浏览器设置或我方的 Cookie 管理工具撤回同意。
我方的某些页面可能包含来自第三方服务（例如 Google Analytics）的内容，这些服务可能设置其自己的 Cookie。我方无法控制这些 Cookie。
以下是本站使用的 Cookie 与浏览器存储项的完整清单。标注为本地存储的条目不是 Cookie；第三方条目仅在你主动加载相应功能后才会出现。
| Cookie | Purpose | Type | Duration | Provider |
|---|---|---|---|---|
| hyperion_cookie_consent | 保存你的 Cookie 同意选择。这是本地存储，而非 Cookie。 | 必要 · 本地存储 | 持久（直至你清除） | Hyperion Consulting |
| hyperion:first-touch:v1 | 在您同意分析后，会话存储会保存受限的公开落地路径、非识别性广告活动标签、引荐网站来源、所选行动按钮及诊断结果。不会保存广告点击 ID 或完整引荐网址。若您提交咨询，同一受限上下文会在表单隐私同意下随咨询一并提交。 | 分析 · 会话存储 | 当前浏览器标签页；撤回分析同意时删除 | Hyperion Consulting |
| hyperion_booking_embed_consent | 记录你选择在 /book 加载第三方预约日历。 | 必要 · 本地存储 | 持久（直至你清除） | Hyperion Consulting |
| hyperion_lead_access | 记录你已解锁受限资源，以免重复询问。 | 必要 · 本地存储 | 持久（直至你清除） | Hyperion Consulting |
| hyperion_store_cart | 在多次访问之间保留购物车内容。 | 必要 · 本地存储 | 持久（直至你清除） | Hyperion Consulting |
| hyperion_ai_act_register_id | 将你的浏览器与你创建的欧盟《AI 法案》合规登记表关联。 | 必要 · 本地存储 | 持久（直至你清除） | Hyperion Consulting |
| hyperion_sticky_cta_dismissed / hyperion-ambient-dismiss-* | 记住你已关闭的提示，避免重复出现。 | 功能 · 本地存储 | 持久（直至你清除） | Hyperion Consulting |
| hyperion-jarvis-* | 在浏览器中保存助手对话、会话 ID 与偏好设置。 | 功能 · 本地存储 | 持久（直至你清除） | Hyperion Consulting |
| admin_token | 管理后台的身份验证。 | 必要 | 2 小时 | Hyperion Consulting |
| marketplace_session | Marketplace 区域的已认证会话（JWT）。 | 必要 | 24 小时 | Hyperion Consulting |
| portal_session | 门户的已认证会话（JWT）。 | 必要 | 7 天 | Hyperion Consulting |
| NEXT_LOCALE | 保存你偏好的语言。 | 功能 | 1 年 | Hyperion Consulting |
| _ga, _ga_* | Google Analytics 4。仅在你同意分析后设置；在此之前根本不会请求该标签。 | 分析 | 2 年 / 24 小时 | |
| sentryReplaySession | Sentry 会话回放。仅在你同意分析时运行；撤回后即停止并清除。错误监控本身不依赖回放。 | 分析 · 本地存储 | 标签页会话 | Sentry |
| __cf_bm, _cfuvid (Calendly) | 仅在你点击加载预约日历后由 Calendly 设置。在此之前不会连接任何第三方。 | 第三方 | 会话 | Calendly |
| m (Stripe) | 由 Calendly 组件加载的 Stripe 设置。仅在你加载预约日历后出现。 | 第三方 | 最长约 400 天（由 Stripe 设置） | Stripe |
| (no cookie set) | Cloudflare Web Analytics — 无 Cookie，仅汇总页面指标，不做跨站追踪。Cloudflare 同时作为 CDN 与 WAF 为本站提供服务。 | 分析 | 无持久 Cookie | Cloudflare, Inc. |
您可随时通过点击任意页面页脚中的“Cookie 设置”链接来撤回或修改您的 Cookie 同意。撤回同意不影响撤回前基于同意进行处理的合法性。
我方不使用产生法律效力或对您有类似重大影响的自动化决策。
线索评估结合了确定性规则与 AI 辅助评分。当你提交咨询时，我们可能会检索关于你所在机构的公开信息（包括 LinkedIn 公司查询与网络搜索），并将你的咨询内容连同该背景信息一并传给 Mistral AI，以评估职级、匹配度以及建议的后续动作。这构成 GDPR 第 4(4) 条意义上的用户画像。其用途仅限于确定优先级并准备人工回复：不会自动作出产生法律效力或类似重大影响的决定，是否回复以及如何回复均由人决定。法律依据：我们在确定咨询优先级方面的正当利益（第 6(1)(f) 条）。评分保留 90 天。你可以随时通过 dpo@hyperion-consulting.io 提出反对。
根据《欧盟人工智能法案》(法规 (EU) 2024/1689) 第 50 条，我方告知您，本网站使用了以下 AI 系统：
使用检索增强生成 (RAG) 回答有关我方服务和内容的问题
Model: Mistral Large（提供商：Mistral AI，法国）
Disclosure: 界面会明确告知您正在与 AI 系统互动，而非真人。
Your rights: 您可随时通过 contact@hyperion-consulting.io 请求与真人交谈。输出不用于自动化决策。
根据您的测验答案生成个性化的 AI 成熟度评分和建议
Model: 确定性评分逻辑结合可选的 Mistral 生成建议
Disclosure: 结果仅供参考，不构成专业建议，也不产生法律或类似重大影响。
Your rights: 您可根据 GDPR 第 17 条请求删除您的结果及相关个人数据。
博客文章、研究摘要与工具指南可能借助 AI 起草，并在发布前通过针对引用来源的自动校验
Model: Mistral Large（提供商：Mistral AI，法国）
Disclosure: 包含 AI 生成内容的文章会予以标注。自动发布的文章经过自动化的来源核验检查;发布前不经人工编辑逐篇审阅。
Your rights: 您可向 contact@hyperion-consulting.io 举报不准确的 AI 生成内容。
我方不从事 AI Act 第 5 条所禁止的任何 AI 做法（社会评分、职场情绪识别、生物特征分类、潜意识操纵、利用脆弱性、无针对性的面部抓取、实时远程生物特征识别）。
本网站运营的 AI 系统不属于 AI Act 附件 III 所列的高风险类别。
依据《AI 法案》第 4 条，作为唯一操作这些 AI 系统的人员，创始人保持足够的 AI 素养，并通过对这些系统的直接工程工作持续更新。
如需逐一系统的详细透明度说明，请参见我方的 AI Transparency 页面。
我方已对照 GDPR 第 35 条的标准审查了我方的处理活动。目前没有任何处理活动触发强制性 DPIA（我方不大规模处理特殊类别数据，不从事产生法律效力的系统性画像分析，也不对公共区域进行大规模监控）。我方将持续审查此评估，并对任何可能导致数据主体高风险的新处理活动进行 DPIA。
我方服务不面向 18 岁以下个人。我方不会在明知的情况下收集 18 岁以下儿童的个人信息。
根据 GDPR 第 8 条及《法国数据保护法》(Loi Informatique et Libertés) 第 45 条，法国的数字同意年龄设定为 15 岁。对于居住在法国的 15 岁以下用户，任何直接向儿童提供的信息社会服务均须征得父母或监护人的同意。
我方服务可能包含指向第三方网站的链接。我方不对这些外部网站的隐私做法负责。我方鼓励您查阅其隐私政策。
我方可能会不时更新本隐私政策。我方将通过以下方式就任何实质性变更通知您：
建议您定期查阅本隐私政策。在变更后继续使用我方服务即构成对更新后政策的接受。
如果您对本隐私政策有任何疑问或希望行使您的权利，请联系我方：
126 Avenue du General Leclerc
92100 Boulogne-Billancourt, France
响应时间：我方将按照 GDPR 的要求，在收到您的请求后一个月内予以回复。
本隐私政策受法国法律管辖，并遵守《通用数据保护条例》(EU) 2016/679。