数据治理包

对于由客户控制的业务数据，CannaWorld 可以作为处理者，而客户仍为控制者。处理范围仅限于平台运营、支持、证据工作流、合规准备度、安全、审计日志、通知及根据客户书面指示开展的处理。

处理者义务包括保密、基于角色的访问、合理的技术和组织措施、根据书面条款管理子处理者、事件升级、返还/删除支持，以及在法律要求时协助处理数据主体请求。

导入必须合法、适度，并与 B2B 大麻、药品、实验室、物流、QP、进口商、批发商、药房、审计或合规工作流相关。

允许的来源包括用户上传内容、客户批准的文件、公开公司/登记数据、专业目录、在具有合法访问权限情况下取得的活动或贸易名单、入站潜在客户以及人工研究的商业信息。不允许非法抓取、绕过访问控制、规避付费墙、违反 ToS 的收集以及无视退出请求的行为。

市场平台列表、贸易案件、买方要求、卖方文件、联系数据及潜在客户信息丰富数据可用于对交易对手进行资质筛选、分配商机、排除不适当联系人、核实企业状态、维护审计轨迹及支持合法的 B2B 通信。

在启动新的外联或信息丰富运行之前，必须在运营系统中落实退出、禁止处理及更正请求。

证据包可能包括许可证、CoA、批次记录、SOP、设施文件、检查记录、CAPA 记录、培训记录、图像、视频、签名及通信记录。这些记录用于准备度、可追溯性、内部 QMS 及交易对手审查。

CannaWorld 不会将上传的证据转换为官方认证。审计师、实验室、QP 及主管机关仍负责各自的决定。

AI 可对证据进行分类、提取、摘要、翻译、比较及评分。AI 输出仅供参考，在监管、商业、QP、实验室、法律或主管机关依赖之前，必须由具备能力的人员进行核查。

不得将 AI 表示为能够放行批次、签发官方证书、替代 QP、替代法律建议或保证获得进口批准。

必要存储用于支持登录、语言、安全、会话连续性及同意状态。在适用情况下，可选分析或营销技术需要取得同意。

在可行情况下，同意日志应记录状态、时间戳、来源、政策版本及撤回情况。

EU/EEA/UK 工作流应适用 GDPR/UK GDPR 原则：目的限制、数据最小化、准确性、存储限制、安全、问责、传输保障及数据主体权利处理。

当 CannaWorld 为客户处理个人数据时，应签署 DPA，并记录子处理者、传输工具、保留期限及角色分配。

泰国工作流应适用 PDPA 通知、合法依据、安全、保留期限、数据主体权利及跨境传输要求。应尽量减少敏感数据及政府许可证数据，并实施访问控制。

除非已签署的订单文件指定其他缔约实体，否则 Cannaworld Co., Ltd. 仍为泰国运营方。