1. 我們是誰及本政策的適用範圍
活米慈善基金有限公司（Brown Rice Livelihood Foundation Limited，下稱「活米」、「我們」或「本機構」）是根據香港《稅務條例》（第 112 章）第 88 條獲豁免繳稅的慈善機構，稅務局檔案編號為 91/13427。活米是負責本私隱政策所述個人資料的資料使用者。
Petal - Girls Club（下稱「Petal」）是由活米營運的女孩社群及品牌，透過會員制度、社群活動、服務及社區參與，連結神經多樣性女孩及年輕女性。Petal 並非獨立法律實體或資料使用者；透過 Petal 收集的個人資料由活米控制。
我們按照香港《個人資料（私隱）條例》（第 486 章，下稱「《私隱條例》」）及適用的保障資料原則處理個人資料。本政策適用於個人資料由我們控制的人士，包括有意加入及現有 Petal 會員；家長、監護人、照顧者及緊急聯絡人；尋求評估、輔導或支援的人士；活動參加者；捐款者及支持者；僱員、申請人、導師、活動協作導師、講者及義工；教育、專業、企業及社區伙伴；網站訪客；以及任何與我們聯絡的人士。
本政策說明我們的一般做法。在有需要時，我們亦會在直接向個人收集資料之時或之前，提供《收集個人資料聲明》（下稱「收集聲明」）。收集聲明會列明該次收集的具體事項，包括提供資料屬必須還是自願，以及不提供資料的後果。如個別收集聲明與本政策有不一致之處，該次收集會以收集聲明為準，惟只限於不一致的部分。
本政策並非要求你同意直接促銷、宣傳，或任何根據《私隱條例》須另行取得同意的用途。
2. 我們收集的個人資料
我們收集的資料視乎個人與我們的互動方式而定，可能包括：
- **身份及聯絡資料：**姓名、年齡或出生日期、電郵地址、電話號碼、地址、學校、機構、職業或身份，以及在合理需要時收集的身份或資格資料。除非獲准且有合理需要，我們不會收集香港身份證號碼或身份證明文件副本。
- **Petal 會員及參與資料：**查詢、申請、會員紀錄、興趣、偏好、出席紀錄、意見、溝通或無障礙需要、支援安排、家長或監護人資料、緊急聯絡人，以及保護參加者、福祉、意外或事故資料。
- **評估、輔導及支援資料：**轉介及預約資料；有關神經差異、健康、學習、溝通、無障礙需要、身心健康、目標及支援需要的資料；以及獲授權的評估、輔導或跟進紀錄。
- **捐款、付款及行政資料：**金額、狀態、方式、日期及交易編號；收據或報銷資料；捐款者指示；以及會計、審計、防止欺詐及遵守法律所需的資料。
- **通訊及內容：**往來通訊、查詢、會議或電話紀錄、問卷回覆、投訴、意見、分享感言、照片、影片或錄音、個人故事、引述，以及同意或撤回同意的紀錄。
- **僱傭、義工及專業參與資料：**申請、經驗、資歷、可參與時間、推薦資料、甄選、培訓、工作分配、表現，以及保護參加者或利益衝突聲明。
- **網站及技術資料：**IP 位址、瀏覽器、裝置及作業系統資料、瀏覽頁面及使用的連結、瀏覽日期及時間、Cookie 或保安識別碼，以及經網上表格提交的資料。
健康、神經差異、輔導、評估、身心健康及保護參加者方面的資料可能特別敏感。我們致力只收集與目的相關、必需、足夠而不超乎適度的資料，並按資料性質及未經授權存取或使用可能造成的損害，採取合適的保障措施。
3. 我們如何及為何收集和使用個人資料
我們可透過表格、申請、活動、面談、通訊、電話或會議直接收集資料；向獲授權的家長、監護人、照顧者、學校、轉介人、專業人士或伙伴收集；透過網站自動收集；或在合法、公平及適當的情況下，從公開來源收集。
如有人向我們提供另一人的個人資料，該人應已獲授權，並應提醒資料當事人閱讀相關政策及收集聲明。我們可採取合理步驟核實資料來源、授權及準確性。
我們可使用個人資料以：
- 回覆查詢、申請、要求、意見及投訴；
- 營運 Petal、評估及管理會籍、核實資格，以及安排合理支援或無障礙措施；
- 籌辦社群聚會、活動、營宿體驗、師友計劃、講座、工作坊、培訓及社區項目；
- 提供或安排評估、輔導、跟進支援及轉介，並與家庭、學校或專業人士協調獲授權的支援；
- 傳達必要的會籍、預約、付款、安全及服務資料；
- 招募、甄選、培訓、協調及支援僱員、導師、活動協作導師、講者及義工；
- 處理捐款、費用、付款、報銷及收據，並管理與支持者、資助者、贊助者及伙伴的關係；
- 規劃、保障、評估及改善活動、服務、網站與參加者體驗；
- 履行資助、管治、會計、審計、保險、報告及法律責任；
- 預防或應對欺詐、保安威脅、意外、保護參加者的疑慮、爭議及緊急情況；
- 在取得所需同意後，為已特別通知的目的製作及使用內容；
- 管理通訊偏好，並只在符合《私隱條例》相關規定後發送直接促銷通訊；
- 保障個人及活米的安全、福祉、權利與財產；及
- 確立、行使或維護法律權利。
資料是否必須提供，會在相關收集聲明或表格列明。如未提供處理會籍、保護參加者、活動、支援服務、付款、申請或查詢所合理需要的資料，我們可能無法處理要求或提供相關服務。拒絕自願性的促銷或宣傳同意，本身不會阻止任何人加入 Petal 或接受服務。
除非取得《私隱條例》要求的訂明同意，或法律另有准許或規定，我們不會把個人資料用於原來目的或直接相關目的以外的新目的。
4. 未滿 18 歲的會員
Petal 接受 15 至 25 歲會員。未滿 18 歲的會員加入及參與活動時，須按活米要求取得家長或監護人的同意及參與。
我們會以配合會員年齡及成熟程度的語言提供私隱及同意資訊，並採取合理步驟尊重她的意見、私隱及最佳利益。同時，因應會籍、活動、評估、輔導、保護參加者、緊急安排或法律要求，在有需要或適當時讓家長或監護人參與。
我們可要求家長、監護人或代表未成年人的人士，提供足夠的身份、家長責任或授權證明。代表未成年人給予的任何訂明同意，均須符合《私隱條例》的適用規定。如家長或監護人認為未成年人在未取得所需許可下提供個人資料，請按第 12 節的資料聯絡保障資料主任。
5. 評估、輔導及支援
評估、輔導及相關專業支援可由以下人士提供：
- 在活米控制下工作的僱員或獲授權代表；或
- 作為獨立資料使用者的外間專業人士或機構。
在把個人資料轉交外間專業人士，或由其收集資料之前，我們會透過收集聲明或其他通知說明安排，並在有需要時取得同意。獨立專業人士可就其控制的個人資料發出另一份私隱通知。
在取得適當同意後，活米可保留評估、輔導或跟進資料，以維持支援的連貫性。資料存取會按職責及需要限制。同意接受服務並不代表同意宣傳、直接促銷或無關的資料披露。
專業保密責任可能受有限例外限制，包括法律要求披露，或合理需要處理嚴重的保護參加者、安全或緊急事宜。任何披露均會考慮當時情況及適用的法律與專業責任。
6. 直接促銷
直接促銷可包括向特定人士發送推廣服務、設施或活動，或招攬捐款或捐助的通訊。我們可能希望使用姓名及聯絡資料，包括電郵、電話、通訊應用程式或郵寄資料，發送以下資訊：
- Petal 會籍、社群活動及服務；
- 活米的支援服務、講座、工作坊、培訓、活動及刊物；
- 義工、師友計劃及社區參與機會；
- 贊助、企業、ESG 或 CSR 合作；及
- 籌款活動、捐款呼籲及慈善支持機會。
在使用個人資料作直接促銷前，我們會以易於理解及閱讀的方式，說明擬使用的個人資料種類、促銷標的類別、使用資料的意向、未獲當事人同意便不可使用資料，以及可免費表達同意的回覆渠道。
除非收到《私隱條例》要求的同意或不反對表示，我們不會使用個人資料作直接促銷。我們不會因沉默、沒有回覆、使用網站、成為會員或接受服務而推定同意。如同意以口頭方式給予，我們會按《私隱條例》提供所需書面確認。
首次使用資料時，我們會告知當事人有權要求停止把資料用於直接促銷。任何人均可隨時透過通訊內的取消訂閱或偏好設定，或直接聯絡我們，免費退出。我們可保留有限的停止促銷紀錄，以遵從要求。
與現有會籍、預約、付款、保護參加者事宜或所要求服務有關的必要行政及服務訊息，不會僅因以電郵、電話或通訊服務發送而成為自願性促銷。
在向他人提供個人資料供其直接促銷之前，我們會先提供訂明資料，並取得《私隱條例》要求的書面同意。除非已完成活米按年齡提供通知、會員選擇及家長或監護人程序，我們不會向未滿 18 歲的會員發送自願性促銷。
7. 捐款、費用及付款
我們可使用付款相關個人資料，以處理及確認交易、發出收據、保存捐款者或付款人紀錄、執行指示、回覆查詢、進行會計、審計、對帳、防止欺詐及財務監控，以及履行法律、稅務、監管及管治要求。我們只會在符合直接促銷規定時，就未來籌款與當事人聯絡。
銀行、支付平台或其他付款服務供應商，可按其私隱條款直接收集付款卡、銀行帳戶或其他憑證。活米可保留收到或合理需要的交易、收據及會計資料，但不會要求或保留超出需要的付款資料。適用的收集聲明會列明相關資料承轉人類別。
8. 照片、錄影、錄音及個人故事
我們可能希望使用可識別身份的照片、影片、錄音、感言或個人故事，記錄工作、與會員溝通、報告成效、促進公眾理解，或支援宣傳、社交媒體、出版、籌款及媒體活動。
在把可識別身份的素材用於已通知的宣傳或媒體用途之前，我們會說明擬議用途，並在有需要時取得明確及自願的同意。這項同意會與會籍、參與、評估、輔導或其他服務分開處理。未滿 18 歲的會員亦須完成活米要求的家長或監護人程序。
在合理可行時，同意選項會區分不同渠道或用途。拒絕自願性的宣傳同意，本身不會影響會籍或服務使用。當事人可聯絡我們撤回對未來使用的同意，而不影響我們收到要求前已合法作出的使用。我們會就控制下的素材採取合理可行步驟，但可能無法收回已分發的印刷品，或由第三方獨立發布、下載或分享的副本。
9. 披露、服務供應商及海外處理
我們不會出售或出租個人資料。
在符合已通知的目的及《私隱條例》下，我們可在合理需要時向以下人士披露或轉交個人資料：
- 因職責需要取得資料，並受適當保密要求約束的活米僱員、獲授權人員、董事或委員會成員及義工；
- 獲授權的家長、監護人、照顧者及緊急聯絡人；
- 評估員、輔導員、培訓員、活動協作導師、導師、講者、醫療或專職醫療人員及轉介伙伴；
- 參與獲授權支援或活動的學校、學院、大學及教育專業人士；
- 網站託管、雲端儲存、資料庫、電郵、通訊、表格、問卷、活動管理、付款、會計、保安及其他服務供應商；
- 核數師、保險公司、銀行、律師及其他專業顧問；
- 資助者、贊助者、捐款者及伙伴，一般使用彙總或匿名資料；及
- 在法律要求或准許，或因法律、安全、保護參加者或緊急目的而合理需要時，向政府部門、監管機構、法院、執法機關、緊急服務或其他人士披露。
如擬把可識別身份的資料披露作原來或直接相關目的以外的用途，我們會說明接收者、資料及目的，並取得訂明同意，除非法律另有准許或規定。我們只會在個人已無法被合理識別時，才把資料稱為匿名資料。
部分服務供應商可能在香港以外存取、儲存或處理個人資料，而當地私隱法例可能不同。對於代我們處理資料的供應商，我們會在適當時採取合理可行的合約或其他措施，要求只按授權目的處理資料、落實保安及保密保障、通報事故、限制保留時間，以及在資料不再需要時交還、刪除或匿名化。活米仍對其控制下的個人資料負責。
10. 網站、Cookie 及第三方服務
我們的網站可使用運作、保安及使用者偏好所需的 Cookie 或類似技術。聯絡表格使用 Google reCAPTCHA 防止濫用，並透過 Google Apps Script 把提交的資料傳送至活米。這些 Google 服務可能接收 IP 位址、裝置、Cookie 及互動資料等技術資訊，並按 Google 適用條款及私隱措施在香港以外處理資料。
活米目前沒有在本網站配置廣告或受眾量度分析。如日後引入非必要的分析或追蹤技術，我們會更新相關通知，並在適當時於使用前提供選擇。瀏覽器設定亦可能允許封鎖或刪除 Cookie，但這可能影響功能。
網站及通訊可連結至第三方網站、地圖、社交媒體、網上表格、付款設施、Podcast 平台或嵌入內容。這些第三方自行控制其資料處理方式。提供資料或使用服務前，當事人應閱讀相關第三方的私隱資訊。
11. 準確性、保安及保留
我們採取合理可行步驟，確保個人資料對其用途而言準確。當事人應提供準確完整的資料，並在資料更改時通知我們。如得悉資料不準確，我們會按情況更正、刪除，或在更正前停止使用。
我們採取合理可行措施，防止個人資料遭未經授權或意外的存取、處理、刪除、遺失或使用。視乎資料及風險，措施可包括按需要授予存取權、身份驗證、安全傳輸及儲存、保密責任、職員及義工培訓、供應商管理、系統維護、監察、安全棄置及事故應變程序。
任何互聯網傳輸或儲存方法都不能完全免除風險。如發生個人資料外洩，我們會評估及控制事故、調查情況，並按適用要求及指引，考慮通知受影響人士、個人資料私隱專員及其他相關方面。
我們只會在使用目的或直接相關目的所需的期間，以及因法律、監管、會計、審計、保險、保護參加者、報告、爭議處理及管治要求所需的期間，保留個人資料。保留期視乎紀錄、敏感程度、法律或專業要求、時效期限，以及確立或維護法律權利的潛在需要而定。尤其包括：
- 在會籍或活動結束時檢視會員及參與紀錄；
- 評估、輔導及跟進紀錄只會在獲授權的持續支援、專業、保護參加者或法律目的仍有需要時保留；
- 捐款、付款、收據及會計紀錄按適用財務、審計及法律期間保留；
- 直接促銷同意及停止促銷紀錄，可按證明同意及遵從退出要求的需要保留；及
- 宣傳同意及撤回紀錄，可在素材仍獲授權使用期間及其後的適當期間保留。
當資料不再有持續合法用途時，我們會採取合理可行步驟，安全刪除或以不可逆轉方式匿名化。仍須保留的紀錄，會按目的及敏感程度限制存取。
12. 查閱、更正、投訴及聯絡
在《私隱條例》規限下，任何人均可查詢活米是否持有其個人資料、要求查閱副本，以及更正不準確資料。
查閱資料要求應使用個人資料私隱專員現行的《查閱資料要求表格》（OPS003），以書面提出。請把填妥表格交予活米，而非私隱專員。OPS003 可於私隱專員公署表格網頁取得。更正要求應以書面提出，並提供足夠詳情及支持資料。
我們可要求核實申請人身份及授權所合理需要的資料。代表他人的人士可能須提供身份及授權證明。
我們會在《私隱條例》訂明的期限內回應，一般為收到有效要求後不遲於 40 個曆日。如未能在期限內遵從，我們會發出所需通知，並在其後盡快遵從。我們可就查閱資料要求收費，但費用不會超乎適度，並只限於直接相關及遵從要求所必需的成本。我們只會基於《私隱條例》准許的理由拒絕要求，並在有需要時交代理由。
如有疑問、投訴、查閱或更正資料要求，請聯絡：
保障資料主任
活米慈善基金有限公司
Brown Rice Livelihood Foundation Limited
香港上環文咸東街 68 號
興隆商業大廈 17 樓
電郵：enquiry@brownrice.org
電話：+852 6263 0663
這不影響任何人聯絡香港個人資料私隱專員公署或向其投訴的權利。
13. 本政策的更改
我們可更新本政策，以反映活動、服務、技術、法律要求或個人資料處理方式的變更。現行版本會列明最後更新日期，並在合理可行時提醒使用者注意重大變更。
更改本政策本身不會授權我們把個人資料用於原來目的或直接相關目的以外的新目的。如須取得訂明同意，我們會在新用途開始前取得同意。