数据处理协议

1. 双方及适用范围

本数据处理协议（「DPA」）由 Chativ 客户（「控制者」）与 FOP Herasymiuk Nataliia Borysivna（78/2 Myru Ave., apt. 1a, Khmelnytskyi 29015, Ukraine，RNOKPP 2871021324）（「处理者」）依据 GDPR 第 28 条订立。本协议构成《服务条款》的组成部分，于创建账户时即视为接受，无需另行签署。

本 DPA 适用于处理者在提供本服务过程中处理的控制者客户的个人数据。

2. 处理的标的、性质和期限

标的：通过关联渠道接收和发送消息、生成 AI 回复、存储对话记录和潜在客户信息。期限：在《服务条款》有效期内，直至依照第 9 条删除数据为止。

3. 数据类别和数据主体

数据主体：通过关联渠道联系控制者的控制者客户及网站访客；使用工作空间的控制者员工。

联系数据：姓名、用户名、电话号码、电子邮件地址 — 如由数据主体或渠道提供
消息及附件的内容
渠道标识符（例如 Instagram 或 Facebook 用户 ID）及小组件的技术数据
控制者通过 AI 代理收集的潜在客户数据

4. 处理者的义务

仅根据控制者的书面指示处理数据，该等指示即本条款、本 DPA 以及在工作空间中进行的设置
确保有权访问数据的人员负有保密义务
采取第 6 条所述的安全措施
协助控制者回应数据主体的请求，并履行其在 GDPR 第 32–36 条下的义务
如处理者认为某项指示违反数据保护法律，应告知控制者

5. 子处理者

控制者概括授权处理者聘用「子处理者」页面所列的子处理者。处理者将至少提前 30 天在该页面并通过电子邮件公布新的子处理者；控制者可基于合理理由提出异议，如未能找到解决方案，可终止本服务。处理者对子处理者施加与本 DPA 同等的数据保护义务，并对其仍承担责任。

6. 安全措施

对所有连接进行加密（TLS）
对密码进行哈希处理；对数据库中的 API 密钥和渠道访问令牌另行加密
工作空间之间的数据严格隔离；仅经授权并分配角色的用户可访问
在欧盟（荷兰）托管
处理者员工仅在支持或维护需要时访问生产数据

7. 个人数据泄露

处理者在知悉个人数据泄露后，应无不当延迟地通知控制者，且无论如何不迟于 48 小时，并提供现有信息，以便控制者向监管机构进行通报。

8. 跨境传输

数据存储在欧盟境内。如子处理者在欧洲经济区以外处理数据（例如位于美国的 AI 提供商），该传输以《欧盟—美国数据隐私框架》或欧盟委员会《标准合同条款》为依据。

9. 数据的删除和返还

在协议有效期内，控制者可以在工作空间中删除线索，并可通过 [email protected] 请求导出或删除任何其他数据；处理者将在 30 天内完成此类请求。本服务终止后，除法律要求保留外，处理者将在 30 天内删除控制者的数据，并可应要求在删除前提供数据导出。

10. 审计

处理者将应要求提供证明其遵守本 DPA 所需的信息。现场审计须提前 30 天通知，每年不超过一次，费用由控制者承担，但发生数据泄露的情况除外。

11. 联系方式

数据保护相关问题：[email protected]。