数据处理协议

1. 引言

本数据处理协议（“DPA”）是 Caplyst（“处理者”）与企业客户（“控制者”）之间服务条款的补充，用于规范处理者在代表控制者处理个人数据时的义务。DPA 与服务条款如有冲突，以 DPA 为准。

2. 定义

本 DPA 中的术语与 GDPR 及适用的数据保护法律一致。

• “个人数据”指与已识别或可识别的自然人相关的任何信息
• “处理”指对个人数据实施的任何操作，包括收集、存储、使用、传输等
• “子处理者”指处理者委托的、为提供服务而处理个人数据的第三方

3. 处理的范围与目的

处理者仅在提供服务的必要范围内、为控制者指示的目的处理个人数据，不将个人数据用于其他任何目的，包括不用于训练第三方 AI 模型。处理的类型、数据类别与主体类别以双方签署的具体订单或服务范围说明为准。

4. 处理者的义务

处理者承诺：

• 仅按控制者的书面指示处理个人数据
• 确保有权接触个人数据的人员承担保密义务
• 采取适当的技术与组织安全措施
• 在履行法律义务时及时通知控制者

5. 子处理者

处理者可委托经严格筛选的子处理者（如云基础设施、托管服务商）。处理者将向控制者提供子处理者清单，并在新增子处理者前以合理方式通知控制者，控制者有权在合理期限内提出异议。处理者对子处理者的行为承担责任。

6. 数据安全

处理者维持与风险相适应的安全措施，包括访问控制、加密、日志审计、漏洞管理与事件响应。详见隐私政策第 6 节。

7. 数据主体请求协助

处理者在合理范围内协助控制者履行对数据主体请求（访问、更正、删除等）的响应义务，并在发生个人数据泄露时，在知晓后 72 小时内通知控制者。

8. 审计

处理者向控制者提供必要信息以证明其遵守本 DPA 的义务，并在合理情形下允许控制者或其委托的独立审计方进行审计。

9. 期限与终止

本 DPA 与服务条款同时生效与终止。终止后，处理者应按控制者的选择删除或返还个人数据，除非法律要求保留。

10. 管辖法律

本 DPA 受服务条款约定的管辖法律约束。企业客户如需签署正式 DPA，请联系：sales@caplyst.ai。