数据处理协议

一、定义

「客户个人数据」：我们代表客户处理的、包含在客户内容中的个人数据，主要是顾客和客户团队成员的个人数据。

「数据保护法」：适用于客户个人数据处理的法律，包括新加坡 PDPA、欧盟 GDPR、英国 GDPR 和《2018 年数据保护法》、瑞士《联邦数据保护法》以及美国加州 CCPA（经 CPRA 修订），以各自适用为限。

「控制者」「处理者」「数据主体」「个人数据泄露」等用语按 GDPR 的含义理解。在 PDPA 下，客户是「组织」，我们是「数据中介」；在 CCPA 下，我们是「服务提供者」。

「子处理方」：我们委托处理客户个人数据的第三方。其他用语与《服务条款》相同。

二、角色与处理范围

客户是控制者，我们是处理者。处理的标的、性质、目的、期限、个人数据类型和数据主体类别见附件一。

客户负责确保其处理具有合法依据，已向数据主体作出必要告知并取得必要同意，且其指示符合数据保护法。

三、按客户指示处理

我们只按客户的书面指示处理客户个人数据。客户通过《服务条款》、本协议、后台设置和 API 调用作出的指示，都视为书面指示。

我们认为某项指示违反数据保护法的，会及时告知客户，并可以暂停执行该指示。

法律要求我们进行其他处理的，我们会在处理前告知客户，法律禁止告知的除外。

四、CCPA 下的承诺

我们不会出售客户个人数据，也不会为跨情境定向广告共享客户个人数据；不会在双方业务关系之外，或为《服务条款》约定以外的目的保留、使用或披露客户个人数据；除 CCPA 允许的情形外，不会把它与从其他来源获得的个人数据合并。我们无法再履行 CCPA 规定的义务时，会通知客户。

五、人员保密

能够接触客户个人数据的员工和承包商都负有保密义务，并且只在履行职责所需的范围内访问。

六、安全措施

我们采取附件二所列的技术和组织措施，并根据风险和技术发展不时更新，但不会降低整体保护水平。

七、子处理方

客户一般性地授权我们使用子处理方。当前名单见《子处理方列表》（yinke.ai/subprocessors）。

新增或更换子处理方前，我们会至少提前 15 天在该页面公布，并通过邮件通知客户。客户可以在通知期内以合理的数据保护理由书面反对，双方应善意协商；无法解决的，客户可以终止受影响的服务，并按比例获得已预付但未使用部分的退款。

我们与每个子处理方签订书面合同，约定不低于本协议的数据保护义务，并对子处理方的履行向客户负责。

出于商业保密，部分子处理方在名单中只列出类别；已签约客户可以发邮件到 privacy@yinke.ai 索取具体名称。

八、协助义务

考虑处理的性质，我们通过后台功能或合理协助，帮助客户响应数据主体的访问、更正、删除等请求。数据主体直接向我们提出请求的，我们会转给客户，不会自行答复，法律要求的除外。

我们在合理范围内协助客户进行数据保护影响评估、向监管机构事先咨询，以及履行安全和泄露通知义务。

九、个人数据泄露

获知影响客户个人数据的泄露后，我们会无不当延迟地通知客户，最迟不超过 48 小时，并提供当时已知的情况：泄露的性质、涉及的数据和数据主体类别及大致数量、可能的后果、已采取或拟采取的措施和联系人。后续情况我们会及时补充，并采取合理措施控制和减轻影响。

十、跨境传输

客户个人数据可能在新加坡、美国以及子处理方所在的其他国家或地区处理。

从欧洲经济区传出的客户个人数据，适用欧盟委员会 (EU) 2021/914 号决定批准的标准合同条款（模块二：控制者到处理者），该条款视为已通过引用纳入本协议并由双方签署。选项如下：不适用第 7 条；第 9 条采用选项二，通知期按本协议第七条；第 11 条不采用可选措辞；第 17 条和第 18 条适用爱尔兰法律和爱尔兰法院。本协议的附件一和附件二即为标准合同条款所需的附件。

从英国传出的数据，另适用英国信息专员办公室发布的国际数据传输附录；从瑞士传出的数据，适用按瑞士法律作必要调整后的标准合同条款。

对于 PDPA 下的传输，我们确保接收方提供不低于 PDPA 标准的保护。

十一、审计

我们会提供合理必要的信息，证明我们遵守本协议。客户每年可以审计一次，须提前 30 天书面通知，在工作时间内进行，费用由客户承担，并遵守保密义务、不干扰我们的正常运营。我们可以先以书面回答问卷或提供第三方报告来代替现场审计。

十二、删除与返还

服务终止后，客户可以在 30 天内要求导出客户个人数据；此后我们删除客户个人数据，法律要求保留的除外。备份中的数据随备份轮换在 14 天内清除。

十三、责任与期限

每一方在本协议下的责任受《服务条款》中责任限制条款的约束，数据保护法不允许限制的除外。

本协议在我们代表客户处理客户个人数据期间持续有效。

附件一：处理说明

数据主体：客户的顾客；客户的团队成员。

个人数据类型：对话内容；客户传入的顾客标识（例如会员 ID、昵称、邮箱）；会话语言和推断的国家；会话评价；AI 下单涉及的商品、数量、报价和订单号；团队成员的姓名、邮箱和操作记录。除非本服务明确支持，客户不应通过本服务提交敏感个人数据，例如健康信息、身份证件号码或支付卡号。

处理性质：存储、检索、向量化，由大模型生成回答和翻译，转发给客户的系统和客服，统计。

处理目的：向客户提供 AI 客服服务。

期限和频率：在服务期间持续处理，终止后按第十二条删除。

附件二：技术和组织措施

加密：传输全程使用 HTTPS（TLS 1.2 及以上）；密码和 API Key 只保存哈希值；渠道密钥和签名密钥加密保存。

访问控制：按角色授权、最小权限；平台管理员必须使用密码加两步验证登录；查看客户对话记入审计日志。

租户隔离：所有数据按客户隔离，每次访问都校验所属客户。

网络和主机：服务器只开放必要端口并配置防火墙；系统和依赖及时更新安全补丁。

可用性：每天备份数据库，备份保存 14 天；服务和错误有监控和告警。

人员：员工负有保密义务，按职责授予权限。