本私隐政策说明 Stepcon 宏浩商业服务（下称「本公司」、「我们」）如何收集、使用、保存、转移及保护个人资料。本政策按《个人资料（私隐）条例》（香港法例第 486 章，下称「《私隐条例》」）及其附表一所载的六项保障资料原则制定，并构成本公司使用条款的一部分。
由于本公司提供公司成立、公司秘书、会计、审计安排、报税及薪金强积金等服务，过程中无可避免会处理客户及其董事、股东、实益拥有人与雇员的个人资料。我们深明相关资料的敏感性，并致力以严谨态度处理。
政策目录
- 1. 适用范围
- 2. 我们的身分
- 3. 收集哪些资料
- 4. 收集目的
- 5. 客户尽职审查
- 6. 资料的使用与转移
- 7. 保留期限
- 8. 资料保安
- 9. 直接促销
- 10. Cookie 与网站分析
- 11. 第三方连结
- 12. 你的查阅及改正权利
- 13. 六项保障资料原则
- 14. 投诉渠道
- 15. 政策修订
- 16. 联络我们
- 常见问题
1. 适用范围
本政策适用于：（a）阁下浏览及使用 stepcon.com.hk 网站；（b）阁下透过网站表格、电话、电邮、WhatsApp 或亲身向本公司作出查询；及（c）阁下委托本公司提供服务期间，本公司所处理的个人资料。
本政策亦适用于本公司在提供服务过程中，从客户处取得的第三者个人资料（例如客户的董事、股东、实益拥有人及雇员的资料）。如阁下向本公司提供他人的个人资料，阁下须确保已取得该等人士的同意，或已依法向其提供适当的收集个人资料声明。
2. 我们的身分：资料使用者
就《私隐条例》而言，本公司属「资料使用者」——即控制个人资料的收集、持有、处理或使用的人。
条例亦定义「资料处理者」为非为本身目的、而是代资料使用者处理个人资料的人。资料处理者并不受条例直接规管，但资料使用者有责任透过合约规范或其他方式，确保其资料处理者符合条例的相关要求。本公司如委聘任何资料处理者（例如 IT 或备份服务供应商），会相应施加保密及资料保安要求。
3. 我们收集哪些个人资料
我们只会收集为履行相关服务或法定责任所必需及足够、但不超乎适度的个人资料（保障资料第 1 原则）。
| 对象 | 可能收集的资料 | 收集途径 |
|---|---|---|
| 网站访客 | 浏览器类型、装置类型、浏览页面及时间等技术资料（一般不能直接识别个人身分） | 网站伺服器纪录、Cookie |
| 一般查询者 | 姓名、电话、电邮、公司名称、查询内容 | 网站表格、电话、电邮、WhatsApp、WeChat |
| 客户 | 公司资料、联络资料、业务性质、财务及会计纪录、税务资料、银行月结单 | 委聘过程及服务期间 |
| 客户的董事、股东及实益拥有人 | 姓名、身份证或护照副本、出生日期、住址证明、国籍、持股比例、联络资料 | 客户提供；法定客户尽职审查所需 |
| 客户的雇员（如委托薪金服务） | 姓名、身份证号码、联络资料、银行账户、薪酬、强积金及雇佣资料 | 客户提供 |
| 求职者 | 履历所载的个人及学历、工作经验资料 | 应征时提交 |
*如阁下不提供所需资料，我们可能无法回复查询、提供服务，或在法律上不得与阁下建立业务关系（见第 5 节）。
4. 收集及使用目的
我们收集个人资料，主要用于下列直接与本公司职能或活动有关的合法目的：
- 回复查询、提供报价及拟备委聘书
- 履行客户委托的服务，包括公司成立、公司秘书、会计、审计安排、报税、薪金及强积金申报
- 代客户向公司注册处、税务局、积金局及其他政府部门作出法定申报
- 进行客户尽职审查及持续监察（法定要求，见第 5 节）
- 发出发票、收取费用及处理账务
- 就服务事宜与客户沟通，并提醒法定申报限期
- 备存本公司的业务及会计纪录
- 遵从适用法例、法院命令或监管机构的要求
- 处理投诉、查询及潜在的法律申索
- 在已取得同意的前提下，向阁下发送服务资讯（见第 9 节）
- 招聘及人事管理（就求职者而言）
按保障资料第 3 原则，除非取得资料当事人自愿给予的明示同意，否则个人资料不得用于原先收集时拟使用或相关目的以外的「新目的」。资料当事人亦有权以书面通知撤回先前给予的同意。
5. 客户尽职审查：法定要求
本公司作为信托或公司服务提供者，须遵守《打击洗钱及恐怖分子资金筹集条例》（香港法例第 615 章）第 5A 部及公司注册处「信托及公司服务提供者注册办事处」的监管规定。
何时须进行审查
法例规定，本公司须在下列情况下进行客户尽职审查：与客户建立业务关系之前；执行涉及港币 120,000 元或以上款额的非经常交易之前；怀疑客户或其户口涉及洗钱或恐怖分子资金筹集时；以及怀疑先前取得的客户身分资料的真实性或充分性时。
审查内容
包括识别及核实客户身分、识别并采取合理措施核实实益拥有人身分、取得建立业务关系的目的及拟具性质的资料、核实代表客户行事者的身分及授权，并在业务关系存续期间进行持续监察。
未能配合的后果
若客户拒绝或未能提供所需文件，本公司在法律上不得与其建立或继续业务关系。此外，本公司如有合理怀疑，须向联合财富情报组作出可疑交易报告，而法例禁止本公司向客户披露已作出有关报告（「泄密」属刑事罪行）。在此情况下，本公司无须解释终止服务的原因。相关条款详见使用条款第 7 条。
6. 资料的使用与转移
我们不会出售阁下的个人资料。
我们只会在为履行服务或法定责任所必需的范围内，将个人资料转移予下列类别的人士或机构：
| 转移对象 | 目的 |
|---|---|
| 公司注册处 | 公司成立、周年申报、董事股东变更、撤销注册等法定申报 |
| 税务局 | 商业登记、利得税及雇主报税、不反对通知书申请 |
| 强制性公积金计划管理局及受托人 | 强积金登记及供款申报 |
| 独立执业会计师（核数师） | 法定审计（审计意见由核数师独立作出） |
| 银行、保险公司及保险代理 | 仅在客户要求协助开户或投保时 |
| 律师及其他专业顾问 | 就特定事宜取得专业意见 |
| IT、云端及备份服务供应商 | 系统营运及资料备份（受合约保密及保安规范） |
| 执法机关、监管机构、法院 | 法例、法院命令或监管要求所规定的披露，包括按《打击洗钱条例》作出的举报 |
本公司员工只可在「有需要知道」的基础上接触个人资料，并须遵守保密责任；该责任在雇佣关系终止后持续有效。
7. 资料的保留期限
按保障资料第 2 原则，个人资料的保留时间不得超过达致原来目的实际所需。《私隐条例》第 26 条亦要求资料使用者采取所有切实可行的步骤，删除已不再为使用目的而需要的个人资料，除非删除是受任何法律禁止或不合乎公众利益；违反第 26 条属罪行，最高可被判罚款港币 1 万元。
| 资料类别 | 保留期限 | 依据 |
|---|---|---|
| 一般查询（未成为客户） | 查询完结后在合理期间内删除 | 保障资料第 2 原则 |
| 客户的业务及税务纪录 | 交易完结后最少 7 年 | 《税务条例》第 51C 条 |
| 客户公司的会计纪录 | 自最后记项所关乎的财政年度终结时起计 7 年 | 《公司条例》第 373 条 |
| 客户尽职审查及交易纪录 | 按法定期限保存，即使业务关系终止后仍会保留 | 《打击洗钱条例》（第 615 章） |
| 拒绝依从查阅或改正资料要求的纪录 | 4 年 | 《私隐条例》第 5 部 |
| 求职者（未获聘用） | 一般不超过招聘完成后 24 个月 | 保障资料第 2 原则 |
就税务及会计纪录而言，两条法例的 7 年起计点不同，本公司实务上会以较长者为准。相关说明见会计凭证整理管理术。
8. 资料保安
按保障资料第 4 原则，我们采取一切切实可行的步骤，保障个人资料不会未经授权或意外地被查阅、处理、删除、丧失或使用。措施包括：
- 实体文件存放于上锁的档案柜及受管制的办公处所
- 电子档案设密码保护及存取权限管理，仅按「有需要知道」原则开放
- 员工签署保密承诺，并接受个人资料保障的内部指引
- 定期备份，并在销毁实体文件时采用碎纸等安全方式
- 与服务供应商订立合约规范，要求其符合条例的资料保安要求
电子通讯的固有风险：电邮、WhatsApp 等电子通讯存在遭截取、延误或遗失的固有风险。如须传送身份证明或财务文件，建议加设密码保护。另请注意诈骗风险——如收到声称来自本公司、要求更改付款银行账户的讯息，请先致电 (852) 3687-1127 向我们核实。
9. 直接促销
《私隐条例》第 6A 部规定，资料使用者在使用个人资料作直接促销、或向第三方提供资料作直接促销前，须先取得资料当事人知情的同意。该同意必须由资料当事人明确表示（可包括表示不反对），但沉默并不构成同意。
本公司的做法
- 除非事先取得阁下同意，我们不会使用阁下的个人资料作直接促销
- 我们不会为得益而将阁下的个人资料提供予第三方作促销用途
- 如取得同意，促销内容只限于本公司的公司秘书、会计、审计安排、报税及相关商业服务，以及法规更新资讯
- 阁下可随时免费撤回同意
如何拒绝或撤回
只需电邮至 stepcon@rocketmail.com、致电 (852) 3687-1127，或透过 WhatsApp 通知我们，我们便会停止就相关用途使用阁下的个人资料，不会收取任何费用。
法定罚则（供参考）：违反直接促销规定可构成罪行，最高可被判罚款 HK$500,000 及监禁 3 年；如属为得益而提供资料予第三方的情况，最高可被判罚款 HK$1,000,000 及监禁 5 年。本公司严格遵守相关规定。
10. Cookie 与网站分析
本网站可能使用必要的技术性 Cookie，以维持基本功能（例如记住导览选单的展开状态）。如本公司使用第三方网站分析工具，所收集的一般为汇总及不能直接识别个人身分的统计资料，例如访客人数、浏览页面及停留时间，用于改善网站内容与使用体验。
阁下可透过浏览器设定拒绝或删除 Cookie，但部分网站功能可能因而无法正常运作。
11. 第三方连结
本网站可能载有指向第三方网站的连结（例如公司注册处、税务局、积金局、劳工处等官方网站）。该等连结仅为方便阁下而提供；本公司对第三方网站的内容及私隐做法概不负责，建议阁下在提供任何个人资料前先阅读该等网站的私隐政策。
12. 阁下的权利：查阅及改正个人资料
保障资料第 6 原则赋予资料当事人查阅及改正自己个人资料的权利。《私隐条例》第 5 部另有详细条文，订明遵从要求的方式、时限及可拒绝的情况。
如何提出要求
阁下可以书面向本公司提出查阅资料要求或改正资料要求，亦可使用个人资料私隐专员公署提供的查阅资料要求表格（OPS003）。请将要求电邮至 stepcon@rocketmail.com，或邮寄至：九龙大角咀通州街 95-97 号恒生中心 1 楼 A 室。
回复时限：40 日
根据第 19(1) 条，本公司须在收到查阅资料要求后 40 个历日（不是工作日）内依从该项要求——即以书面告知是否持有所要求的资料，并在持有时提供资料复本。
若本公司不能在 40 日内完全或部分依从，按第 19(2) 条须在该期间内以书面通知阁下有关情况及理由，并在该期间届满后，在切实可行的范围内尽快完全依从。仅发出收妥通知或缴费通知，并不构成依从。
费用
条例准许资料使用者就依从查阅资料要求收取不超乎适度的费用，但不得超过依从该要求所需的直接成本。如需收费，我们会事先通知阁下。
拒绝的情况
在条例第 20 条订明的情况下（例如要求并非以订明表格提出、资料涉及第三者的个人资料而未能删除识别部分、或适用豁免条文），本公司可拒绝依从，并会在 40 日内以书面说明理由。本公司亦会按条例规定备存拒绝纪录簿，并保存相关纪录 4 年。
13. 六项保障资料原则概览
为方便阁下理解本政策的法律基础，下表概述《私隐条例》附表一的六项保障资料原则：
| 原则 | 内容 |
|---|---|
| 原则 1 收集目的及方式 | 须为直接与职能或活动有关的合法目的收集；资料须必需及足够但不超乎适度；收集方法须合法和公平。直接向资料当事人收集时，须告知是否必须提供、收集目的、可能转移的人士类别，以及查阅和改正的权利及途径。 |
| 原则 2 准确性及保留期间 | 须采取所有切实可行步骤确保资料准确；保留时间不超过达致原来目的实际所需；聘用资料处理者须以合约规范确保依从。 |
| 原则 3 资料的使用 | 除非取得资料当事人自愿给予的明示同意，否则不得用于「新目的」；当事人有权以书面撤回同意。第 6A 部另就直接促销设有规定。 |
| 原则 4 资料的保安 | 须采取一切切实可行步骤，保障资料不会未经授权或意外地被查阅、处理、删除、丧失或使用。 |
| 原则 5 透明度 | 须采取一切切实可行步骤，确保任何人都能确定资料使用者在个人资料方面的政策及实务，以及所持有的资料种类与主要使用目的。 |
| 原则 6 查阅及改正 | 资料当事人有权要求查阅及改正自己的个人资料；资料使用者如拒绝，须提供理由。 |
*本表为方便理解而作的概述，并非条文全文。条例亦订明若干豁免情况（例如防止罪行或检控、统计及研究、新闻活动、法律程序等）。完整条文请参阅个人资料私隐专员公署网站。
14. 查询与投诉渠道
先联络我们
如阁下对本公司处理个人资料的方式有任何查询或投诉，请先联络我们：电邮 stepcon@rocketmail.com 或致电 (852) 3687-1127。我们会在收到后 7 个工作天内作出初步回复。
向私隐专员公署投诉
如阁下对本公司的回复不满意，可向个人资料私隐专员公署投诉：
- 查询热线：2827 2827
- 电邮：enquiry@pcpd.org.hk
- 网站：www.pcpd.org.hk
专员在接获投诉或有合理理由相信有人违反条例规定时，可就涉嫌违规行为进行调查，并可向资料使用者发出执行通知指令纠正。违反执行通知即属犯罪，最高可被判罚款 HK$50,000 及监禁 2 年，另加每日罚款 HK$1,000；一经再次定罪，最高罚款 HK$100,000 及监禁 2 年，另加每日罚款 HK$2,000。资料当事人亦有权提出民事诉讼，就违反条例所蒙受的损失要求赔偿。
15. 政策的修订
本公司可因应法例修订、监管指引更新或业务需要，随时更新本政策。修订版本一经在本页刊登即告生效，并会更新页首的「最后更新日期」。建议阁下定期查阅本页。如修订涉及个人资料用途的重大改变，我们会在合理及切实可行的情况下另行通知。
16. 联络我们
如对本私隐政策有任何疑问，或欲行使查阅、改正资料或撤回同意的权利，请联络：
Stepcon 宏浩商业服务
地址：九龙大角咀通州街 95-97 号恒生中心 1 楼 A 室
电话：(852) 3687-1127
WhatsApp／WeChat：(852) 9700-6312
电邮：stepcon@rocketmail.com
相关页面：使用条款｜服务总览｜收费表｜常见问题｜知识中心｜联络我们
常见问题
你们会收集我哪些个人资料？
视乎关系而定。一般查询者：姓名、电话、电邮及查询内容。客户及其董事、股东、实益拥有人：身份证或护照副本、住址证明、联络资料、业务及财务资料。客户的雇员（如委托薪金服务）：姓名、身份证号码、银行账户、薪酬及强积金资料。网站访客：浏览器提交的技术资料。我们只会收集为履行服务或法定责任所必需的资料。
为什么委托服务前要提交身份证明？
这是法定要求。按《打击洗钱及恐怖分子资金筹集条例》（第 615 章）第 5A 部，信托或公司服务持牌人在建立业务关系前、或执行涉及港币 120,000 元或以上的非经常交易前，必须进行客户尽职审查，并备存相关纪录。客户未能提供所需文件时，我们在法律上不得建立或继续业务关系。
我的个人资料会被转移给谁？
只会在履行服务或法定责任所必需的范围内转移，可能包括：独立核数师、公司注册处、税务局、积金局及其他监管机构、银行及保险公司（如你要求协助）、受同等保密责任约束的专业顾问及服务供应商，以及法例、法院命令或监管机构要求披露的情况。我们不会出售你的个人资料。
你们会保存我的资料多久？
按目的及法定要求而定。一般查询：完结后在合理期间内删除。税务及会计纪录：《税务条例》第 51C 条要求交易完结后保存最少 7 年，《公司条例》第 373 条则由财政年度终结时起计 7 年，我们以较长者为准。客户尽职审查纪录：按《打击洗钱条例》的法定期限保存。
我可以查阅或改正我的个人资料吗？
可以。按第 19(1) 条，我们须在收到查阅资料要求后 40 个历日（不是工作日）内依从；如不能在 40 日内完全依从，须在该期间内以书面通知你并说明理由，其后尽快依从。条例亦准许收取不超乎适度的费用（不得超过依从要求所需的直接成本）。
你们会用我的资料做推广吗？
除非事先取得你的同意，否则不会。按第 6A 部，使用个人资料作直接促销前须先取得知情同意，沉默并不构成同意。违反规定最高罚款 HK$500,000 及监禁 3 年；为得益而提供资料予第三方最高罚款 HK$1,000,000 及监禁 5 年。我们亦不会为得益而将你的资料提供予第三方作促销用途。
我可以要求停止接收推广讯息吗？
可以，而且完全免费。你可随时以书面通知撤回先前给予的同意——电邮 stepcon@rocketmail.com、致电 (852) 3687-1127，或透过 WhatsApp 通知我们。
如果我对你们处理个人资料的方式有投诉，可以点做？
请先联络我们（电邮 stepcon@rocketmail.com 或致电 3687-1127），我们会在 7 个工作天内回复。如不满意，可向个人资料私隐专员公署投诉（热线 2827 2827、电邮 enquiry@pcpd.org.hk）。专员可进行调查并发出执行通知；资料当事人亦有权提出民事诉讼要求赔偿。
本网站有没有使用 Cookie？
可能使用必要的技术性 Cookie 以维持基本功能。如使用第三方网站分析工具，所收集的一般为汇总及不能直接识别个人身分的统计资料。你可透过浏览器设定拒绝或删除 Cookie，但部分功能可能因而受影响。
你们会把资料转移到香港以外地方吗？
我们的日常营运及资料储存以香港为主。如个别情况下须使用境外服务供应商（例如云端电邮或备份），我们会采取合约规范或其他方法，要求该资料处理者符合条例就资料保留及资料保安的相关要求。