数据处理附录

1. 1. 定义

“数据保护法”指根据本 DPA 处理个人数据时适用的所有法律，包括欧盟《通用数据保护条例》（2016/679）（“EU GDPR”）、英国 GDPR 及《2018 年数据保护法》、瑞士《联邦数据保护法》，以及美国各州隐私法律（包括经修订的 CCPA）。

“个人数据”指 VERA 根据《服务条款》代表客户处理的、属于数据保护法项下个人数据、个人信息或同等概念的数据。“控制者”、“处理者”、“数据主体”、“处理”、“个人数据泄露”和“监管机构”具有 EU GDPR 中赋予的含义。

“子处理者”指 VERA 聘用以处理个人数据的第三方。“标准合同条款”或“SCCs”指欧盟委员会实施决定 (EU) 2021/914 所附的条款。“英国附录”指英国信息专员根据《2018 年数据保护法》第 119A 条发布的《国际数据传输附录》。

2. 2. 角色与范围

就客户向服务提交的、有关其自身客户、潜在客户、联系人、员工及承包商的个人数据而言，客户为控制者，VERA 为处理者。

对于客户自身的账户数据、账单数据、支持往来通信及产品使用数据，VERA 是独立的控制者。该等处理受《隐私政策》约束，而非受本 DPA 约束。

处理的标的是提供本服务。期限为《服务条款》的有效期，加上依第 10 节删除之前的任何期间。处理的性质和目的是托管、存储、整理、基于个人数据生成内容、传输和显示个人数据，以便客户经营其业务。

• 数据主体类别。 客户的客户、潜在客户及销售线索、客户组织中的联系人、客户的员工、技师和施工人员，以及客户所发送消息的接收者。
• 个人数据类别。 姓名、电子邮件地址、电话号码、邮寄地址和服务地址、企业和工单详情、预约时间、通信内容（包括 SMS 和 MMS 消息正文及媒体）、消息同意和退订记录、报价和发票内容、支出记录和收据图片、里程记录及其证明图片、场所和工作现场的照片（其中可能附带拍到人员）、在已接受的报价上采集的签名、提交发布的社交内容，以及客户选择输入的任何其他数据。
• 精确位置，以及所涉及的对象。 如客户或其人员使用里程记录功能，本服务将处理在所记录行程期间采集的精确位置读数，以及据此得出的行程起点和目的地。这属于与已识别个人（通常为客户自己的员工）相关的敏感个人数据，客户为其控制者。客户负责确保具备合法依据并告知其人员，包括依客户所适用法律要求开展的任何职工委员会或员工协商程序。本服务仅在个人自行开始的行程期间收集位置信息，提供手动输入里程作为替代方式，不提供任何实时追踪或监控视图，并允许客户配置原始读数的保留期限，包括关闭其存储。
• 特殊类别。 本服务并非为处理第 9 条所规定的特殊类别数据而设计，也不用于处理与刑事定罪相关的数据。客户不得提交此类数据。如客户仍然提交，则由其自行承担责任，并保证其具有合法依据。

3. 3. 依据书面指示进行处理

VERA 仅根据客户的书面指示处理个人数据，包括有关国际传输的指示，除非 VERA 所受约束的法律另有要求；在此情况下，VERA 将在处理之前告知客户，除非该法律基于重要的公共利益理由禁止此类告知。

《服务条款》、本 DPA、客户在本服务中设定的配置，以及客户在本服务中执行或批准的操作，共同构成客户的书面指示。附加指示须经双方同意；如需超出本服务常规功能范围的工作，可能会收取费用。

如 VERA 认为某项指示违反数据保护法，VERA 将告知客户。

按照 CCPA 的要求，VERA 不出售个人数据，不为跨情境行为广告共享个人数据，也不为履行本服务以外的任何目的保留、使用或披露个人数据。VERA 证明其理解并将遵守上述限制。

4. 4. 保密

VERA 确保经授权处理个人数据的人员受适当的保密义务约束，并且仅在履行其职责所需时才被授予访问权限。

对生产数据的访问仅限于运营和支持本服务所需的人员。VERA 运营人员执行的管理操作均记录在仅可追加的管理审计日志中。

5. 5. 安全措施

VERA 采取适当的技术和组织措施保护个人数据，同时考虑现有技术水平、实施成本，以及处理的性质、范围、背景和目的。现行措施详见《安全政策》，摘要如下：

• 传输加密。 全站使用 HTTPS，生产环境中的 HTTP 请求会重定向到 HTTPS，并启用 HTTP 严格传输安全（HSTS），max-age 为两年并包含 includeSubDomains。
• 凭据静态加密。 第三方连接器令牌和 API 密钥均使用 AES-256-GCM 加密，所用密钥为专用密钥，在生产环境中必须设置，且与会话签名密钥相互独立。
• 身份验证。 使用 bcrypt 以 12 的工作因子对密码进行哈希处理；密码登录前强制进行电子邮件验证；重置令牌一次性使用且有时效限制；会话撤销计数器可一次性使所有已签发的会话失效。
• 访问控制。 每次查询都限定在已通过身份验证的账户范围内。管理访问权限仅限于在环境中明确配置的操作员许可名单。
• 应用程序加固。 内容安全策略、禁止被嵌入框架、禁用 MIME 嗅探、严格的引用来源策略，以及设置为 camera=(), microphone=(self), geolocation=(self) 的 Permissions-Policy（完全禁止摄像头，并将麦克风和位置权限限定于 VERA 自身页面，任何嵌入的第三方都无法请求这些权限）；此外还有针对身份验证端点的持久速率限制，以及针对私有和内部网络地址范围的服务器端请求校验。
• 外部事件的完整性。 入站 Webhook 依据各服务商的签名机制进行验证，并按事件 ID 去重，重放的推送无法被重复执行。
• 可审计性。 账户中每一项提议、审批、执行和安全事件的只追加审计记录。
• 配置安全。 启动校验：若使用默认会话密钥或缺少加密密钥，将拒绝在生产环境中运行。

6. 6. 子处理者

客户授予 VERA 聘用分处理者的一般授权。当前清单（包括每家的角色和所在地）发布在“分处理者清单”页面上，该页面构成本 DPA 的一部分。

在新增或更换任何次级处理者之前，VERA 将至少提前 30 天通知客户，方式为更新该页面并通知账户持有人。客户可在此期限内基于合理的数据保护理由提出异议。如我们无法解决该异议，客户可终止服务中受影响的部分，并就预付费用中未使用的剩余期限获得按比例退款。

VERA 要求每个子处理方承担不低于本 DPA 规定的数据保护义务，并就子处理方的履约情况对客户承担全部责任。

7. 7. 国际传输

VERA 在美国处理个人数据。若客户将受欧盟 GDPR、英国 GDPR 或瑞士法律约束的个人数据传输给 VERA，双方同意通过引用将标准合同条款纳入本 DPA，并按以下方式适用。

当客户为控制者时，适用模块二（控制者至处理者）。当客户本身为处理者时，适用模块三（处理者至处理者）。第 7 条中，适用对接条款。第 9 条中，适用选项 2（一般书面授权），并采用第 6 节规定的 30 天通知期。第 11 条中，不选择可选的独立争议解决机构。第 17 条中，本条款受爱尔兰法律管辖。第 18(b) 条中，争议由爱尔兰法院解决。附件一的内容由本 DPA 第 2 节及分处理者清单填充；附件二的内容由第 5 节填充。

对于受英国 GDPR 约束的传输，《英国附录》适用于标准合同条款，其中表 1 至表 3 按上文所述填写；在表 4 中，任何一方均不得按照第 19 条的规定终止该附录。对于受瑞士法律约束的传输，凡提及 GDPR 之处均应理解为指瑞士《联邦数据保护法》（FADP），主管机构为瑞士联邦数据保护和信息专员，且该等条款亦保护法人的数据。

8. 8. 对客户的协助

考虑到处理的性质，VERA 在可能的范围内，通过适当的技术和组织措施协助客户履行其根据 GDPR 第三章及同等法律回应数据主体请求的义务。

实际上，大部分此类能力由服务本身提供：客户可以直接查找、更正、导出和删除与数据主体相关的记录。若请求发送至 VERA 而非客户，VERA 不会对其作出实质性回复；VERA 将告知数据主体联系客户，并将无不当延迟地通知客户。

VERA 应考虑其可获得的信息，协助客户遵守第32条至第36条的规定，包括协助开展数据保护影响评估以及事先咨询监管机构。

9. 9. 个人数据泄露

VERA 在知悉影响根据本 DPA 处理的个人数据的个人数据泄露后，将无不当延迟地通知客户，且无论如何不晚于知悉后 72 小时。

通知将说明泄露的性质、在已知范围内所涉及的数据主体和记录的类别及大致数量、可能造成的后果、已采取或拟采取的措施，以及获取进一步信息的联系人。若无法立即掌握全部情况，VERA 将分阶段提供信息，不作进一步的不当拖延。

VERA 发出的通知不构成对过错或责任的承认。作为控制者，客户负责通知监管机构和数据主体；VERA 将提供合理协助。

10. 10. 返还与删除

客户可随时在服务内导出其数据并删除账户，届时个人数据将按照《账户删除政策》的说明从在线数据库中永久删除。

服务条款终止或到期时，VERA 将根据客户的选择删除或返还个人数据，并删除现有副本，除非 VERA 所受约束的法律要求继续存储。如客户未作选择，VERA 将在账户存续期间保留数据，并在账户删除时将其删除。

账户删除后仍会保留的少量记录已在《账户删除政策》中列明，包括：由我们的支付处理方保存的账单记录、操作员问责日志、反滥用计数器、webhook 重放标识符、以哈希值而非账户为键的地理编码缓存、其他客户企业中的雇佣记录（这些记录会被关闭而非删除），以及按各自周期自动过期的基础设施日志和备份：VERA 的每日数据库备份为 30 天，提供商持有的快照则遵循提供商的时间表。

11. 11. 审计权

VERA 向客户提供证明遵守第 28 条所必需的信息，并允许和配合客户或其委托的审计师开展审计（包括检查）。

首先，VERA 将通过提供本 DPA、《安全政策》、《子处理者清单》以及对合理安全问卷的书面答复来满足审计请求。VERA 目前未持有可替代上述材料的 SOC 2 或 ISO 27001 报告。

如果上述方式确实不足以证明合规，客户可以进行现场或远程审计，但须满足以下条件：任意 12 个月内不超过一次；至少提前 30 天发出书面通知；在工作时间内进行；遵守保密义务；不得不合理地干扰 VERA 的运营；且除审计所需范围外，不得访问任何其他客户的数据或 VERA 多租户基础设施的内部细节。客户自行承担其费用以及 VERA 的合理费用。监管机构可依法律规定随时进行审计。

12. 12. 责任与期限

在数据保护法允许的范围内，各方在本 DPA 项下的责任受服务条款中责任限制和责任排除条款的约束。本 DPA 中的任何内容均不限制数据主体在标准合同条款项下的权利。

本 DPA 自客户接受服务条款时生效，直至 VERA 不再代表客户处理个人数据时终止。有关保密、删除和责任的条款在本 DPA 终止后继续有效。

如需索取经我方会签的副本，或对本 DPA 有任何疑问，请发送邮件至 legal@meetmyvera.com。