附录 9：2026 轮次新 gTLD 项目隐私政策
ICANN 承诺尊重并妥善保护其处理的个人数据，包括与第三方共享此类数据时。
本隐私政策规定了 ICANN 在 2026 轮次新 gTLD 项目中，如何收集和使用由个人提供或从个人处收集的个人信息。本政策专门适用于 2026 轮次新 gTLD 项目，并通过包含更具一般性的条款的《ICANN 隐私政策》1加以补充。若两者存在冲突，以《2026 轮次新 gTLD 项目隐私政策》（简称《新 gTLD 项目隐私政策》）为准。
若对本《新 gTLD 项目隐私政策》有任何疑问，请联系：privacy@icann.org。
《新 gTLD 项目隐私政策》涵盖以下关键主题：
A9.1 定义
“授权用户”是指由 ICANN 授权访问 2026 轮次门户网站的任何其他用户。包括但不限于 ICANN 员工和独立申请评估专家组成员。
“申请人”是指在申请人已提交或将要提交的 ICANN 的 2026 轮次申请中被指定为“申请人”的组织。
“申请人用户”是指代表申请人访问和完成 2026 轮次申请的用户。
“申请”是指依据 ICANN 的 2026 轮次新 gTLD 项目提交的新 gTLD的申请。有关申请的更多信息，请参阅下一轮新 gTLD 项目《2026 轮次新 gTLD 项目申请人指导手册》（简称《申请人指导手册》）、《注册管理机构服务提供商 (RSP) 评估流程手册》（简称《RSP 手册》）及《申请人支持计划 (ASP) 手册》（简称《ASP 手册》）。
“数据主体”是指与个人信息相关的已识别或可识别的自然人。
“欧盟标准合同条款”是指根据欧洲议会和欧盟理事会第 (EU) 2016/679 号条例（欧盟委员会 2021 年 6 月 4 日第 2021/914 号实施决议）制定的向第三方国家或地区传输个人数据的标准合同条款。
“GDPR”是指欧洲议会和欧盟理事会于 2016 年 4 月 27 日发布的关于自然人个人数据处理保护与此类数据自由流动的第 (EU) 2016/679 号条例，该条例同时废止了第 95/46/EC 号指令。
“2026 轮次门户网站”或“门户网站”是指由 ICANN 指定用于 2026 轮次新 gTLD 项目的任何用于在线管理新 gTLD 申请的网站。
“ICANN 账户”是指允许访问特定 ICANN 服务（包括 2026 轮次新 gTLD 项目）的账户，账户持有人只需使用一组登录凭证即可管理其姓名、电子邮件和密码等信息。
“2026 轮次新 gTLD 项目”是指 ICANN 的一项倡议，旨在通过引入新通用顶级域来扩展互联网的域名系统 (DNS)。
“评估专家组”是指根据《申请人指导手册》、《RSP 手册》和《ASP 手册》的规定，为评估 2026 轮次申请而获准访问相关门户网站的任何独立主题专家组（“专家组成员”）。
“其他适用的数据保护法”是指适用于第三方国家或地区的任何地方及国家数据保护法。
“处理”是指对个人信息或个人信息集进行的任何一项操作或一系列操作，无论是否采用自动化手段，例如，收集、记录、组织、构建、存储、改编或更改、检索、咨询、使用，通过传输、传播或其他方式披露，排列或组合、限制、删除或销毁。
“用户”是指使用任何 2026 轮次门户网站的个人，包括申请人用户或授权用户。
本《新 gTLD 项目隐私政策》中未明确界定的术语，其含义应遵循《ICANN 隐私政策》或 ICANN 的《2026 轮次新 gTLD 项目申请人指导手册》中的定义。
A9.2 数据控制人
ICANN 运营 2026 轮次新 gTLD 项目，并在此背景下作为独立数据控制人处理个人信息。ICANN 总部位于：12025 Waterfront Drive, Suite 300, Los Angeles, CA 90094-2536, USA。如有疑问，可通过 privacy@icann.org 与 ICANN 联系。
A9.3 处理的个人信息
本节概述了个人信息在申请生命周期中进行处理的各个阶段。
提交申请：参与 2026 轮次新 gTLD 项目涉及收集并使用申请人的个人信息，如全名、邮政地址、电话号码、电子邮件地址等。提交申请所需的完整数据元素清单（根据申请类型，可能包含或不包含个人信息）可在下文所列相应来源中找到。部分字段为可选或非必填字段，具体取决于申请类型：
注册管理机构服务提供商 (RSP) 评估流程，请参阅《RSP 手册》2（评估处理阶段）。
申请人支持计划 (ASP)，请参阅《ASP 手册》3（ASP 申请评估）。
针对 2026 轮次新 gTLD 项目申请，请参考《申请人指导手册》（请参阅模块 7：字符串和申请评估程序）。
管理：ICANN 需要获取申请人董事和高级职员以及其他相关人员的最新个人信息，如全名、出生日期、和主要居住城市和国家/地区。ICANN 及其服务提供商将使用这些信息开展必要的背景调查和其他评估。若申请人获选，可能会要求申请人确认申请过程中所提交数据的真实性与准确性。
背景筛查信息：为执行背景筛查，ICANN 将处理各种类型的信息，包括申请实体信息、申请实体用户和联系人信息、最终控制方联系人信息以及申请人个人信息。这包括确认申请人无定罪记录、无纪律处分或其他处罚记录，并在必要时提供补充说明；具体信息详见第 6.1.2 节：背景筛查标准。
此外，ICANN 会要求第三方机构以公开信息为依据开展背景筛查，筛查完成后生成报告；ICANN 依据该报告处理申请人个人信息，用于项目合规审查及风险管控。此举旨在开展尽职调查、信誉核查和海外资产控制办公室 (Office of Foreign Assets Control, OFAC) 审查（请参阅附录 10：条款和条件）。
某些情况下，根据初步背景调查结果，ICANN 可能会要求申请人补充提供额外的个人信息，以便完成必要的背景调查或其他项目申请评估程序。处理个人信息的目的还包括维护申请处理及变更的准确历史记录。
敏感个人信息：ICANN 在实施本项目的过程中不收集敏感个人信息（例如个人医疗或健康信息、种族或民族、政治观点）。如果因开展进一步背景调查等特殊情形确需此类敏感个人信息，ICANN 将告知申请人。
ICANN 账户：申请人用户可通过其 ICANN 账户访问 2026 轮次的门户网站。如需了解 ICANN 账户所含个人信息的处理，请参阅《ICANN 隐私政策》中的一般条款4
将处理申请人用户通过其 ICANN 账户提供的以下个人信息：
名字和姓氏。
申请人用户的电子邮件地址。
出于使用情况信息和 IT 安全目的记录申请人信息：为帮助了解用户与 2026 轮次新 gTLD 项目门户网站的互动情况，门户网站提供商将收集以下信息：操作历史记录、请求或被拒信息、用户所做选择、日志文件、性能日志、诊断报告、浏览的页面/内容、执行的搜索、请求的页面、使用 2026 轮次门户前访问的网站，以及用户访问的日期、时间和停留时间。
评估人、专家组成员和独立异议人的个人信息：将处理所有评估人、专家组成员和独立异议人的以下个人信息：
名字和姓氏。
电子邮件地址。
履历 (CV)。
所有类型的个人信息：ICANN 可能会处理上述各类个人信息，以便出于报告目的，对 2026 轮次门户网站的使用情况进行分析。如果且仅限于适用法律有要求，任何个人信息均将进行假名化或匿名化处理。如本部分《新 gTLD 项目隐私政策》的第 A9.5 节：个人信息共享所述，只有这些数据分析的匿名化结果才会与 ICANN 社群成员和公众共享。
本政策不会取代可能适用于同一数据处理的第三方服务提供商隐私政策，也不会与此类第三方服务提供商建立联合控制人关系。
A9.4 个人信息的使用 - 目的和法律依据
ICANN 处理本政策第 A9.3 节：处理的个人信息中所描述的个人信息，旨在有效管理 2026 轮次新 gTLD 项目，并优化申请提交与接收流程。这可能包括为报告 2026 轮次门户网站使用情况而进行的处理。记录用户个人信息的另一个目的是确保 2026 轮次门户网站的运行稳定性和安全性。
如果且仅在 GDPR 适用的情况下，除非本政策另有规定，否则 ICANN 将按照 GDPR 第 6 条第 (1) 款 (f) 项的法律依据来处理个人信息——该条款允许 ICANN 在出于 ICANN 或第三方合法利益需要时处理个人信息。ICANN 将按照法律要求，审慎评估依据 GDPR 第 6 条第 (1) 款 (f) 项进行数据处理的必要性，确保此类处理行为不会凌驾于被处理数据主体依法享有的权益及/或基本权利与自由之上。凡提及 GDPR 法律依据之处，同样适用于其他适用数据保护法当中的同等法律依据。
在 GDPR 不适用的情况下，ICANN 将遵守相关的适用数据保护法。
在适用法律允许的情况下，ICANN 将基于其维护互联网安全与稳定的职责以及保护注册人的合法权益（GDPR 第 6 条第 (1) 款 (f) 项），处理用于背景筛查的背景信息和第三方背景筛查信息，详见《申请人指导手册》的第 6.1.2 节：背景筛查标准。
A9.5 个人信息的共享
ICANN 不会出于营销目的向第三方出售或者以其他方式分享任何个人信息。除以下情形外，ICANN 亦不会向第三方共享可合理识别披露者身份的任何已披露个人信息以供其独立使用：(i) ICANN 已获披露者许可；(ii) ICANN 应披露者指示行事；(iii) ICANN 为履行其法律义务所必需；(iv) 适用法律允许；或 (v) 本政策另有规定。有关 ICANN 如何共享个人信息的更多详情，请参阅《ICANN 隐私政策》第 5 节。5
服务提供商：ICANN 将本《新 gTLD 项目隐私政策》第 A9.3 节：处理的个人信息中所述个人信息共享给第三方服务提供商：这些提供商将代表 ICANN（作为数据处理人）或自行（作为数据控制人）处理所述个人信息。此类服务提供商的列表及所在地信息，已发布于新 gTLD 项目网站的 DRSP 页面。6
公开共享：根据其透明度和问责制原则，ICANN 将在 ICANN 网站上公布申请人名称和相关 gTLD 信息。虽然此类信息通常不被视为个人信息，但其中可能包含个人信息。
顾问和咨询机构、政府主管当局和机构：在必要范围内，ICANN 可将本部分《新 gTLD 项目隐私政策》第 A9.3 节：处理的个人信息共享给技术和商业顾问、财务和法律顾问、政府权威机构和部门，详情请参阅《ICANN 隐私政策》第 5 节。7此外，在 GDPR 适用且 ICANN 为履行法律义务而必须处理个人信息的情况下，此类处理的法律依据是 GDPR 第 6 条第 (1) 款 (c) 项。
A9.6 国际传输
在申请新 gTLD 或使用 2026 轮次门户网站时，申请人用户即直接向位于美国的 ICANN 传输自己的个人信息。与申请人用户有关的此类个人信息传输不被视为 GDPR 第五章所规定的国际传输，因为这些个人信息是依据 GDPR 第 3(2) 条，直接从作为数据主体的申请人处收集。
当申请人通过 2026 轮次门户网站提交第三方个人信息时（包含在申请或申请相关信息中），这些个人信息将传输至位于美国的 ICANN，并可能从美国进一步传输至位于欧洲经济区 (European Economic Area, EEA) 以外、ICANN 员工和第三方服务提供商所在的其他国家或地区。ICANN 办事处列表8可在此处查阅，第三方具体所在地点则列于本政策第 A9.5 节：个人信息共享的链接中。
此类数据传输受欧盟标准合同条款等适配机制保障。如需相关保障措施副本，可发送电子邮件至 privacy@icann.org 索取。
根据 ICANN 不时更新的附录 10：条款和条件，申请人还须声明并保证，已就申请及随附材料中个人信息的共享、公布（如适用），获得必要许可或同意。此项义务涵盖：若申请材料中含受跨境数据传输限制的个人信息（需通过 ICANN 在美国运营的 2026 轮次门户网站提交），须确保该信息符合适用法律。申请人须在提交申请前，根据适用法律（如欧盟标准合同条款），落实必要的数据传输保障措施。
A9.7 安全性
ICANN 将使用合理的行业标准保障措施（可能包括物理、程序和技术措施）来保护其收集和掌握的个人信息免遭未经授权的披露。ICANN 将采取合理措施，确保收集的个人信息完整且与预期用途相关；必要或适当且可行时，会要求接触信息的第三方书面承诺以等效于 ICANN 的防护措施以保障信息安全。
ICANN 无法声明、保证或承诺在 2026 轮次新 gTLD 项目或 2026 轮次门户网站中处理的信息，不会遭受第三方未经授权的访问、丢失、滥用或篡改。ICANN 将采取合理适当的安全措施，防止所收到的个人信息遭受未经授权的访问、泄露、篡改或销毁；但在法律允许范围内，ICANN 不承担此类未经授权访问行为导致的信息安全责任。特此提示：用户提交个人信息需自行承担风险。
A9.8 数据保留
一般而言，ICANN 将按照其存档惯例并依据法律规定来保留个人信息。
ICANN 仅在实现第 A9.4 节：个人信息使用目的与法律依据所述目的的所需期限内保留个人信息。若因法律要求需延长个人信息留存期，或 ICANN 需用该信息应对法律诉求，则信息会留存至：相关留存期届满；或涉诉主张解决完毕。具体保留期限详情将公布于新 gTLD 项目网站。9
A9.9 数据主体权利的行使
在适用数据保护法允许的范围内，个人（数据主体）可主张以下权利：
查阅个人信息处理相关信息；
对特定处理行为提出异议。
请求信息传输。
在处理信息时更正、删除或以其他方式限制其个人信息。
考虑到个人信息处理的预期影响，用户还可能有权撤销任何同意。
个人可以将请求发送至 privacy@icann.org，以行使上述权利或详细了解 ICANN 对个人信息的处理。所有请求都需要进行身份验证。ICANN 将在法律规定时限内对请求做出及时回应。根据适用法律，某些个人信息可能不在此类请求的适用范围内。
如果个人对 ICANN 的回复不满意，或认为其个人信息未依法进行处理，也可以联系有适当权限的监管机构或向其提出投诉，或者寻求其他法律补救措施。
关于 GDPR 规定的数据主体权利，详见附于本《新 gTLD 项目隐私政策》最后部分的第 A9.13 节附录 1：GDPR 规定的数据主体权利。
A9.10 必需的个人信息
申请人必须提供第 A9.3 节：已处理个人信息（在“申请人提供的个人信息”小节下）所述个人信息，包括完成“申请人用户账户设置表”和“申请表”所需的详细信息。未提供此信息将导致无法提交申请。
A9.11 未成年人
门户网站用户必须达到法定年龄（至少 18 周岁或适用的其他最低法定年龄）。ICANN 不会在知情情况下收集未达最低年龄要求的用户的任何个人信息。
A9.12 修订
ICANN 保留随时修改《新 gTLD 项目隐私政策》的权利。我们所做的任何更改都将发布在 ICANN.org 网站上，并注明最新修订日期。本《新 gTLD 项目隐私政策》的最新修订日期在页面顶部指出。用户有责任定期关注和查看《新 gTLD 项目隐私政策》的任何更新内容。如在修订后继续参与 2026 轮次新 gTLD 项目，在遵守修订后的条款时表明已确认这些变更。若 ICANN 在收集、使用或共享个人信息的方式上作出重大变更，ICANN 将尽最大努力在实施前提供个人信息披露通知，例如在 ICANN.org 网站发布公告。
A9.13 附录 1：GDPR 规定的数据主体权利
在 2026 轮次新 gTLD 项目中依据 GDPR 处理其个人信息的个人（数据主体），并享有 GDPR 规定的下列数据主体权利；该等权利受 GDPR 和其他适用法律的限制。
在本附录中，“个人信息”被称为“个人数据”。
数据主体有权确认其个人数据是否正由 ICANN 处理；如是，则有权访问此类个人数据并获取其副本（GDPR 第 15 条第 (1) 款和第 (3) 款）。
如果 ICANN 处理的个人数据不准确，数据主体有权要求更正（GDPR 第 16 条）。
在法律规定的特定情形下，数据主体可要求删除与其相关的个人数据或限制处理此类个人数据（GDPR 第 17 条和第 18 条）。
如果处理是基于数据主体根据 GDPR 第 6 条第 (1) 款 (a) 项和/或第 9 条第 (2) 款 (a) 项含义作出的同意，则数据主体可随时撤回该同意（GDPR 第 7 条第 (3) 款），该撤回不影响撤回前基于同意所进行的处理的合法性。如果 ICANN 需要数据主体同意为超出本《新 gTLD 项目隐私政策》的特定、明确、合法目的处理其个人数据，ICANN 将另行通知数据主体。
如果处理是基于数据主体根据 GDPR 第 6 条第 (1) 款 (a) 项和/或第 9 条第 (2) 款 (a) 项含义作出的同意，或是基于依据 GDPR 第 6 条第 (1) 款 (b) 项订立的合同，且通过自动化方式执行数据处理，则数据主体有权以结构化、常用和机器可读的格式接收与其相关的个人数据，且有权在不受已提供该个人数据的控制方阻碍的情况下，将这些数据传输给另一控制方（GDPR 第 20 条）。
数据主体有权依据 GDPR 第 6 条第 1 款（e）项或（f）项，基于自身特定情况，随时反对对其个人数据进行的处理（对应 GDPR 第 21 条第 1 款规定的反对权）。数据主体有权随时基于 GDPR 第 6 条第 1 款（f）目，反对以直接营销为目的的个人数据处理（GDPR 第 21 条第 2 款），且无需说明反对理由。不过，ICANN 并不会出于此目的处理数据主体的个人数据。
此外，数据主体有权向主管数据保护监管机构提出投诉。例如，数据主体可以联系其惯常住地、工作地点或涉嫌侵权地点所在欧盟成员国的监管机构。负责 ICANN 的主要监管机构是：
比利时数据保护局 (Autorité de la protection des données - Gegevensbeschermingsautoriteit, 简称 APD-GBA)
Rue de la Presse 35 – Drukpersstraat 35
1000 Bruxelles - Brussel
电话：+32 2 274 48 00
传真：+32 2 274 48 35
电子邮件：contact@apd-gba.be
网站：
https://www.autoriteprotectiondonnees.be https://www.gegevensbeschermingsautoriteit.be
有关 ICANN 数据处理的问题或投诉，请联系 privacy@icann.org。要行使权利或了解有关 ICANN 数据处理的更多信息，请发送申请至 privacy@icann.org。
请参阅《ICANN 隐私政策》：https://www.icann.org/privacy/policy。↩︎
详见《注册管理机构服务提供商 (RSP) 手册》： https://newgtldprogram.icann.org/sites/default/files/documents/rsp-handbook-27mar25-en.pdf。↩︎
请参阅《ASP 手册》：https://newgtldprogram.icann.org/sites/default/files/documents/next-round-asp-handbook-09aug24-zh.pdf。↩︎
请参阅《ICANN 隐私政策》：https://www.icann.org/privacy/policy。↩︎
请参阅《ICANN 隐私政策》第 5 节https://www.icann.org/privacy/policy/#5。↩︎
请参阅新 gTLD 项目网站：https://newgtldprogram.icann.org/en。↩︎
请参阅《ICANN 隐私政策》：https://www.icann.org/privacy/policy/#5。↩︎
请参阅 ICANN 办事处列表：https://www.icann.org/locations。↩︎
请参阅新 gTLD 项目网站：https://newgtldprogram.icann.org/en/。↩︎