芝商所一般隐私声明

芝加哥商品交易所集团及其各子企业和附属机构（统称“芝商所”和“我们”）致力于保护您的个人数据。根据对我们适用的隐私法律和法规，芝商所是您个人数据的控制者或处理者。请参阅下文第 18 条，详细了解您如何能联系我们。

本隐私声明（“声明”）旨在说明我们如何处理您的个人数据，方便您了解我们收集信息的内容、用途、披露对象以及您享有的权利。我们进行的处理可能包括收集、保存、修改、访问或销毁个人数据，并可能以人工或自动方式完成。

个人数据（也称为“个人信息”或“数据”）是指可用于识别您、您的设备或（如果您居住在加利福利亚州境内）您的家庭的任何信息。其中包括直接标识符，例如您的姓名和联系方式，但也包括间接标识符，例如我们可能从您访问我们服务所用的电子设备中收集的数据。

如果您对本声明或我们如何使用您的数据有任何疑问，可参考以下“联系方式”章节。

如果您与我们有以下任何关系，则本声明对您适用：

• 沟通者：通过线上、电话、邮件或其他任何方式与我们联系的个人。

• 捐助者：为我们在美国的政治行动委员会 (PAC) 捐款的个人。

• 企业代表：担任我们任何企业客户的代表的个人（例如雇员或董事）。

• 购买者：向我们购买任何商品或服务的个人。

• 服务用户：使用我们的任何平台或服务的个人。

• 奖学金候选人：通过芝商所基金会申请奖学金的个人。

• 股东：在芝商所持有直接或间接权益的个人。

• 订阅用户：通过订阅接收芝商所通讯的个人。

• 供应商：向我们提供服务或受雇于向我们提供服务的企业的个人。

• 第三方客户：与我们有关系的第三方机构的个人客户。

• 网络访客：访问我们的网站 (www.cmegroup.com) 或任何社交媒体页面或者通过任何第三方网站与我们互动（例如在我们在第三方网站发布的任何博文或贴文进行评论）的个人

如果您是我们某个工作机会的申请者或求职者，您可通过我们的《候选人隐私声明》和我们的《Cookie 声明》详细了解我们如何使用您的数据。

如果您接受芝商所的雇用或其他形式的任职，您可以通过我们的《同事隐私声明》和我们的《Cookie 声明》了解我们如何使用您的数据的更多信息。

在相关、必要且适用当地法律允许的范围内，根据您与我们之间所存在的关系性质，我们可能收集、存储和使用以下类别的个人数据：

• 账户偏好和分析
  有关您指定的偏好和您对我们服务的使用情况的信息。

• 音频、电子、视频、热成像或类似信息
  包括工作照、在芝商所的工作场所或活动中拍摄的照片或闭路电视录像等在内的信息。

• 身份验证信息
  使您能访问我们服务的凭证，包括您的用户 ID、密码、易记住的信息。

• 通讯记录
  您与我们之间任何通讯的记录，包括电子邮件、我们的网站（例如通过我们的“反馈表单”）、电话、社交媒体和信函。

• 联系方式
  您向我们提供的能够联系到您的信息，例如您的姓名、头衔、家庭住址、办公地址、企业名称及类型、职务、电话号码和个人电子邮箱。

• 设备和电子信息
  您与我们的网络区域进行交互的资源使用或相关信息详况，以及我们从您访问我们服务所用设备中收集的具体信息，包括您的 IP 地址、Cookie、与我们系统交互情况的活动日志、网络标识符、设备类型、操作系统、浏览器、唯一设备标识符和地理位置数据。

• 财务详情
  包括您的信用卡和/或借记卡详细信息在内的信息。

• 身份信息
  用于验证您身份的信息，例如您的姓名、出生日期、护照、签证、驾驶执照、政府发放的身份证号码、车辆登记和签名。

• 财务状况
  用于确定您的信用价值的信息，例如您的信用评级、银行对账单和税务信息。

• 产品和服务偏好
  产品更新偏好、市场活动报告、交易和技术通讯以及清算和市场监管警报，还有意见领袖和经济报告订阅。

• 过往或目前的职业或就业相关信息
  有关您的职务/职衔、工作职能、业务联系方式的详细信息，以及您所供职机构的详细信息。

• 服务使用情况
  我们在您操作我们的服务（例如我们的某个软件应用程序）时所收集的信息，包括您进行的交易、您选择的信息、您何时访问设备及持续时间的日志、任何登录失败的详情以及您选择下载的任何信息。当您使用我们的任何一款人工智能 (“AI”) 工具时，我们将收集您的提示词、用户提供输入、生成输出、改进和反馈的相关记录。

• 社交网络信息
  社交网络账号信息以及从社交网络账号收集的个人数据。

• 网站贴文
  您在我们网站的任何公共论坛（包括留言板和聊天室）提交的贴文、评论或其他信息。

此外，在非常有限的情况下，我们还可能遵照适用法律对您收集以下类别的个人数据，此类数据可能具有敏感性：

• 生物识别标识符
  出于金融业监管局 (FINRA) 要求以及在特定情况下允许个人进入我们场所时采集的指纹数据。

• 刑事犯罪和违法行为相关信息您可能存在的任何犯罪记录的相关信息，包括嫌疑、违法行为和定罪。

• 敏感特征相关信息
  根据适用法律必须说明或由您自愿告知的您所属的国籍、民族或族群、宗教信仰、工会会员身份等详细信息。

• 健康相关信息
  依法报告的在芝商所物业内发生事故的相关信息。

在我们超出以上范围或出于本声明未指定的目的收集您的个人数据时，我们会通知您。

除了您直接向我们提供的任何个人数据外，我们还可能通过以下途径收集和获取与您有关的数据：

• 自动化方式：例如在您与我们网络的某些区域交互时。

• Cookie 和类似技术：当您访问我们的网站或使用我们的任何移动应用程序时，我们可能会使用 Cookie 和类似技术。更多详情请参阅下文第 14 条。

• 数据分析：我们可能通过分析流程获取或提取与您有关的特定数据，详见下文第 6 条。

• 平台和服务监控：如果您使用我们的任何平台（例如 CME Globex），我们可能会收集有关您使用情况的数据。

• 第三方来源：其他组织机构可能会允许我们访问特定数据，包括您可能供职的组织机构，详见下文第 5 条。

您无须提供我们所要求的特定信息，是否提供此类信息完全自愿。不过，出于本声明中述及目的的需要，其中部分信息为必须提供的信息。如果您未能提供某些必填信息，我们可能会无法管理与您的关系（如适用），或者可能无法履行我们的法律义务。

我们可能不时从各类第三方获取您的特定数据，包括：

• 芝商所：包括促进我们的业务运营、服务和产品以及履行我们对您的法律义务所需用到的芝商所的系统、同事和部门。

• 电子设备：包括从任何用于访问我们服务的电子设备（例如移动设备和笔记本电脑）获取的数据。

• 我们的企业客户：我们可能直接从客户处获得的信息，包括您所代表的企业。

• 公开可用的政府及非政府数据：可从政府获取或以其他方式公开可用的与您有关的信息。

• 社交媒体平台：例如电子邮箱账号、聊天记录、来自社交媒体页面或通过经由社交媒体平台提供之服务而公开可得的信息来源（例如领英、微信、微博、脸书、X（原名推特）等）。

• 第三方机构：他们可能向我们提供代表我们从您收集的信息（例如代表芝商所开展背景调查的企业）。

• 与您有关系的第三方：如果您是某个第三方的客户，并且我们与该第三方有关系，我们可能从其获取信息。我们可能也会收到来自您的前雇主或其他推荐人的信息。

在相关、必要以及适用当地法律允许的范围内，我们可能会基于以下目的处理您的个人数据：

更多信息

我们可能对您的个人数据进行去识别、汇总或匿名化处理，达到我们或任何其他方无法以合理手段重新识别出您身份的效果。我们可能会在当地适用法律允许的范围内使用此类去识别化的信息。在我们对任何个人数据进行去识别化处理并且不需要为了遵守适用法律而进行重新识别的情况下，我们将作出合理努力维护和使用此类去识别化数据，并且不会尝试重新识别此类数据。

如果您在中华人民共和国（“中国”，在本声明中，不包含中国香港、中国澳门和中国台湾地区）境内，我们根据中国数据隐私法律允许的法律依据（而非按照正当利益）处理您的个人数据。

我们可能会出于不同目的而向芝商所旗下实体、服务提供商或其他第三方披露您的数据，以达成我们的业务目标和/或遵守本条中述及的适用法律。

• 芝商所会员：促进我们的业务运营、服务和产品。

• 信用参考机构：在您申请会员时，就您的信用评分和财务状况，调查您的信誉，以便我们进行“了解客户”调查。

• 执法机关：在适用法律允许范围内，关系到犯罪活动的侦查和预防。

• 专业顾问：包括会计师、财务顾问、律师和其他专业顾问，以便为审计、合规和企业治理职能部门提供支持。

  • 潜在购买者和受让人：以在合理必要的情况下，推进我们业务的合并、重组或收购的考虑、谈判或完成，或在可能或已经出售或重组我们的业务或部分业务时推进我们部分或全部资产的出售、清算或转让。

• 监管机构和政府机关：以在适用法律允许范围内遵守适用于芝商所任何成员的法律。这可能包括向税务当局提交申报表以及向我们的监管机构（包括美国证券交易委员会、美国商品期货交易委员会、健康安全局以及当地金融监管当局和数据保护当局等）和股东作出披露。

• 服务提供商：协助我们开展业务运营的相关活动。此种服务提供商可能包括股权计划行政管理人、经纪人、福利提供商、薪资管理企业、IT 或系统维护提供商、系统或数据主机、通讯提供商、记录留存企业、会计师、审计师、其他专业顾问或帮助支持迁移服务的其他供应商。

• 法律要求的第三方：以在适用法律允许范围内遵守适用于我们的法律。例如，我们可能会应法院命令或传票要求或者应执法机构的有效请求分享您的个人数据，或者根据法律规定与您的未来雇主分享您的个人数据。

• 出于其他目的的第三方：以保护我们在以下方面的正当商业利益：保护我们的权利；强制执行我们的《使用条款》；侦测、预防或应对诈骗、知识产权侵权或其他非法活动；以及保护属于我们或相关第三方的有形或无形财产的安全。

我们也可能在当地适用法律允许范围内出于任何目的而向任何人披露去识别化或汇总后的信息。如需详细了解我们可能对其披露数据的服务提供商或第三方，您可通过以下“联系方式”部分中提供的信息联系我们。

在适用法律允许范围内，我们可能在芝商所开展业务的任何国家或地区处理向您收集或与您有关的信息。

在某些情况下，您的信息可能会被传输至不被视为根据适用法律（例如欧盟/英国/欧洲经济区法律）对信息提供充分保护的国家/地区，以及在该等国家/地区存储和处理。当我们进行此种传输时，我们需要取得您的明确同意（出于适用法律要求），或者确保我们已根据适用法律要求采取适当的安全保障措施（包括但不限于签署标准合同条款）。

在适用法律允许范围内，位于您原籍国境外的信息可能由该国政府或其机构通过合法命令访问。

在开展此类传输时，我们根据适用的法律要求采取适当的程序和保护措施。如需详细了解所采取的适当保护措施或获取这些保护措施的副本，请通过“联系方式”部分中提供的信息联系我们。

中华人民共和国（“中国”）：

由您提供给我们的符合《中国个人信息保护法》定义的所有数据（包括个人数据）都将根据本声明进行使用、分发和维护，本声明构成您同意的合同条款的组成部分。如果您作为机构向我们提供此数据，您确认已征得相关数据主体的所有必要同意，并且您对数据的处理、使用和传输符合所有适用的中国数据隐私法律。如果您作为自然人向我们提供您的个人数据，您明确同意我们对此类数据的任何处理、使用或传输。在以上每种数据传输当中，您承认并同意数据可能被传输到中国境外。

本条为加利福尼亚州居民提供有关我们收集、使用、披露和保留当地居民个人数据的附加信息，以及加利福尼亚州居民在适用法律下可能拥有的权利。

我们收集的个人数据分类

下图描述了我们从本声明前述第 3 条、第 4 条和第 5 条中阐明来源收集的个人数据分类，以及我们可能出于本声明第 6 条中述及的业务和商业目的向其披露、“出售”或“分享”（根据加利福尼亚法律定义的这些术语）各类个人数据的第三方的分类。

我们可能会“出售”1 或“分享”1 您的个人数据以用于跨场景行为广告。虽然芝商所不会以货币交易的方式出售您的数据，但公司会通过网络跟踪技术（例如 Cookie）分享数据。欲了解此类技术的更多信息，请参阅我们的《Cookie 声明》。我们并不实际了解“出售”1 或“分享”1 未满 16 周岁消费者个人数据的情况。

我们不会将您的敏感个人数据用于适用法律允许范围之外的目的，也不会披露这些数据。

您在加利福尼亚州的隐私权

在本声明第 10 条述及的特定权利之外，根据加利福尼亚州法律，您可能还拥有以下权利：

• 不受歧视：您不会因为行使您的权利而遭受非法歧视。

• 选择不接受：您可选择不接受出于跨场景行为广告的目的“出售”或“共享”您的个人数据（相关术语沿用加利福尼亚州法律中的定义）。

提交请求

欲行使您知情、访问、更正和删除的权利，请查看本声明第 10 条中提供的附加信息。您也可以通过我们的隐私请求表单或者我们的 Cookie 设置来行使这些权利。欲行使您选择不接受我们“出售”1 或“分享”1 您个人数据的权利，请通过我们的《隐私请求表单》提交请求或者更新您的 Cookie 设置。

身份核验

我们可能会要求您提供足够的信息，以便我们能够合理确定地核实您确实是我们收集个人数据的对象。授权代理人可能也需要提供由您签署的授权书副本，授权代理人代表您提交请求。

加利福尼亚州线上删除权。未满 18 周岁的加利福尼亚州居民，如果是我们针对此年龄段提供的任何服务的登记用户，可使用下文“联系方式”部分中的信息与我们联系，要求我们删除您发布到芝商所网站或相关平台的内容或信息。请注意，您的要求并不能确保有关内容或信息彻底或全面删除，这可能有多种原因，例如，您的部分内容可能已经被其他用户转载。

1 沿用加利福尼亚州法律中的定义。

根据当地法律，您可对自己的个人数据拥有以下权利。在某些情况下，这些权利可能会受到限制或拒绝。例如我们可能会在适用法律要求或允许的范围内保留您的个人数据。

• 访问/知情：要求提供您个人数据的副本以及有关其如何被处理的信息。

• 纠正/订正：要求纠正我们持有的您的个人数据中的任何不实之处。

• 清除/删除：要求从我们的记录中清除您的个人数据。

• 限制：要求我们不再处理您的个人数据。

• 异议：对我们处理您个人数据的特定方式提出异议。

• 转移：要求将您的个人数据披露给第三方。

• 撤回同意：如果我们需要您的同意才能处理您的个人数据，则您可随时撤回同意。

• 投诉：您可有权向您当地的数据保护政府机关提出投诉。

在某些司法管辖区，您可能还拥有身后隐私权。例如，在法律允许的情况下，您可能有权在您去世或丧失行为能力后，指定特定个人行使您的隐私权。

提交请求

如需行使您根据适用当地法律所拥有的知情、访问、纠正、删除、限制、反对、迁移数据或撤回同意的权利，或者您是根据适用当地法律代表某位消费者行使权利的授权代理人，请通过本声明后面的“联系方式”部分中列出的详细信息联系我们。您也可以通过我们的隐私请求表单或者我们的 Cookie 设置来行使这些权利。

请注意，您的部分权利并非绝对权利，在某些情况下我们可能无法满足您提出的要求。在某些情况下，我们还可能要求您提供额外的个人数据，用以证实您的身份。

当电子系统在无人工干预的情况下使用个人数据进行决策时，就会发生自动化决策。

芝商所可根据适用法律通过对位于任何芝商所信息资源或芝商所设施上的任何内容或材料进行监控或监视活动来做到这一点。芝商所可向第三方提供在其监控活动期间获得的信息，包括监管机构和执法机构。芝商所可能使用自动化分析来识别对我们的产品最感兴趣的个人，并就芝商所的产品或服务与其联系。此外，芝商所可能会使用您提供的内容来改进我们的服务或训练我们的 AI 工具所使用的模型。

我们采用技术、行政和物理安全保护措施及其他合理的安全措施，保护我们收集或收到的信息避免丢失和未经授权的访问、用途变更或披露。请注意，尽管我们持续努力，但没有完美或牢不可破的安全措施。此外，对于您通过我们无法控制的网络（包括互联网和无线网络）传输给我们的信息，我们不对其安全性负责。

芝商所根据内部记录管理和保留政策以及可能对我们适用的监管要求，在业务关系存续期间或规定的期限内保留个人数据。

为确定个人数据的适当保留期限，我们会考虑个人数据的数量、性质和敏感性、未经授权使用或披露您的个人数据所造成的潜在危害风险、我们处理您个人数据的目的和我们能否通过其他方式达到这些目的，以及适用的法律要求。

我们通过合理的努力确保此类信息的所有实例（例如生产、备份等）完全删除，包括您的任何个人数据。如需提交访问、纠正或删除的要求，请参考以下“联系我们”章节。

关于我们的网站如何使用 Cookie 及其他追踪技术的更多信息，请参阅我们的《Cookie 声明》。

我们的网站和服务通常不面向年龄未满 18 周岁的个人/用户。如果我们确认我们收集到的任何个人数据由未满 13 周岁的未成年人提供，我们将及时删除该信息。如果您从欧盟/英国/欧洲经济区境内访问我们的网站，或者您要访问位于欧盟/英国/欧洲经济区境内的网站，您必须年满 16 周岁。如果您从中国境内访问我们的网站，或者您要访问位于中国境内的网站（如有），则您必须年满 14 周岁。

在某些情形下，我们是代表我们的某位客户处理您的个人数据，并且不会将之用于我们自己的目的。例如，我们的客户可能会将您的信息上传到我们服务器上托管的某一应用程序。在这种情况下，芝商所将担任另一企业的处理者或服务提供商，而另一企业是控制者或负责处理您个人数据的企业（相关术语遵循适用的数据保护法律定义）。本声明不适用于芝商所作为处理者或服务提供商的情形，您应参考向我们提供您的个人数据的组织的隐私声明。

根据适用的中国数据隐私法（其中“数据控制者”和“数据处理者”之间没有区别），上述内容不适用于芝商所。但是，您仍应参阅向我们提供您个人数据的组织的隐私声明；在这种情况下，我们将被视为第三方数据处理者。

我们可能不时更新本声明。例如，我们对您收集的数据或对其用途可能有变化。

每当本声明有重大变化，我们都会通知您。