数据处理协议

1. 各方、范围与角色

本数据处理协议（“DPA”）构成 Enterprise.Systems（“处理者”）与客户组织（“控制者”）之间服务条款的一部分。凡在平台上处理的客户源数据（Customer Source Data）包含 GDPR 或类似法律含义内的个人数据时，本 DPA 均适用。就个人数据处理而言，如有冲突，本 DPA 优先于条款。

2. 定义

"GDPR" 指《欧盟第2016/679号条例》。"个人数据"、"处理"、"数据主体"、"控制者"、"处理者"及"监管机构"具有 GDPR 中赋予的含义。"客户源数据"具有《服务条款》中赋予的含义。

3. 处理详情

• 主题事项——对控制者已连接源的安全态势分析。
• 期限——协议存续期间加删除宽限期。
• 性质与目的——通过控制者批准的 OAuth 范围以只读方式枚举资源、权限及主体；依据安全规则进行评估；生成发现项、说明及 AI 辅助摘要；并且仅在控制者启用 Auto-remediate、启用某项策略并授予必要的写入范围的情况下，按该策略的指示撤销或降低已连接源中的访问权限。
• 个人数据类别——控制者的用户、协作者及服务/AI 代理的资源元数据（名称、标识符、共享设置）和主体身份（姓名、电子邮件地址、角色）。不包括文件内容；不寻求任何特殊类别数据，元数据中出现的任何此类数据均属附带。
• 数据主体——控制者的员工、协作者及在已连接源中持有权限的外部方。

4. 依指示处理

处理者仅依据控制者的书面指示处理个人数据——这些指示包括《条款》、本 DPA 及控制者对平台的配置（连接哪些源、批准哪些范围、是否启用 Auto-remediate 及启用哪些策略、保留设置）——除非法律另有要求，在此情况下处理者将在法律允许的范围内于处理前告知控制者。若处理者认为某项指示违反数据保护法，将告知控制者。

5. 保密

经授权处理个人数据的人员受合同或法定保密义务的约束。

6. 安全措施（第32条）

处理者实施并维护适当的技术与组织措施，包括：

• 传输中加密（TLS 1.2+）及所存储源凭证的静态加密（AES-256-GCM，使用专用的密钥加密密钥）。
• 对已连接源的最小权限访问，限于控制者批准的范围：监控为只读；写入范围仅在控制者为 Auto-remediate 授予时才启用，且可随时撤销。
• 平台内基于角色的访问控制（所有者/管理员/查看者）及数据层的租户隔离。
• 仅追加的平台操作审计日志。
• 漏洞管理及对平台依赖项的及时修补。

7. 次级处理者

控制者对《隐私政策》中所列的次级处理者（Anthropic、Resend、PayPal、RunPod 及 Cloudflare）授予一般性授权。处理者对每个次级处理者施加不低于本 DPA 保护水平的数据保护义务，并对其履约承担完全责任。处理者在添加或替换次级处理者前告知控制者；控制者可基于合理的数据保护理由提出异议，在此情况下双方将寻求解决方案，若无法达成，控制者可终止受影响的服务并获得已预付费用的按比例退款。

8. 协助数据主体权利

考虑到处理的性质，处理者协助控制者响应数据主体的请求，包括通过平台的自助导出和删除工具，并将其直接收到的任何请求毫不迟延地转交给控制者。

9. 个人数据泄露

处理者在知悉影响客户源数据的个人数据泄露后，毫不迟延地、并在任何情况下于48小时内通知控制者，提供控制者根据GDPR第33–34条履行义务所合理需要的信息，并配合补救工作。

10. 国际传输

从欧洲经济区、英国或瑞士向未获充分性认定的国家传输个人数据，受欧盟标准合同条款（模块2：控制者对处理者）管辖，该条款通过引用并入本DPA，并在适用情况下连同英国附录和瑞士适配条款一并适用。以色列受益于欧盟充分性认定。

11. 审计

处理者提供证明遵守本DPA所合理必要的信息，包括安全评估摘要，并允许控制者或其授权审计员进行审计，每年不超过一次，须提前至少30天通知，在工作时间内、遵守保密义务并由控制者承担费用，除非审计发现实质性不合规。

12. 返还与删除

终止后，控制者可在30天内通过平台导出客户源数据和调查结果。此后，处理者在30天内删除个人数据，除非法律要求保留，并应请求确认删除。存储的源凭证在断开连接或删除账户后立即销毁。

13. 责任与优先性

在数据保护法允许的范围内，本DPA项下的责任受服务条款中限制的约束。本DPA取代双方之前的任何数据处理条款。

14. 联系方式

数据保护联系人：[email protected]。