数据处理协议

1. 定义

• "个人数据"指与已识别或可识别自然人("数据主体")相关的任何信息,定义见GDPR第4(1)条。
• "处理"指对个人数据执行的任何操作或一组操作,无论是否通过自动化方式,包括收集、记录、组织、构建、存储、调整、检索、查询、使用、传输披露、传播、删除或销毁。
• "子处理者"指由处理者委托代表控制者处理个人数据的任何第三方。
• "数据主体"指个人数据所涉及的已识别或可识别的自然人。
• "GDPR"指欧洲议会和理事会的《通用数据保护条例》(EU)2016/679。
• "标准合同条款"(SCCs)指欧盟委员会批准的用于将个人数据传输至第三国的合同条款。

2. 范围与目的

处理者仅出于以下目的代表控制者处理个人数据:

• 提供INCI API服务,包括成分分析、产品查询、安全评分、过敏原检测和皮肤兼容性分析
• 账户管理、身份验证和授权
• 使用情况跟踪、速率限制和计费
• 服务改进、性能监控和分析
• 客户支持和沟通

处理者不得为本DPA中规定或控制者书面文件记录之外的任何目的处理个人数据。

3. 处理的个人数据类型

• 账户数据:姓名、电子邮件地址、哈希密码
• API使用数据:请求日志、时间戳、IP地址、访问的端点、响应代码、API密钥标识符
• 账单数据:订阅等级、支付方式元数据(完整支付数据仅由Stripe处理,不存储于我们的服务器)
• 技术数据:浏览器类型、设备信息、操作系统、引荐URL(通过分析收集以改进服务)

处理者不处理特殊类别的个人数据(GDPR第9条)或与刑事定罪相关的个人数据(GDPR第10条)。

4. 数据主体类别

本DPA下处理的个人数据涉及以下类别的数据主体:

• 访问和使用INCI API的客户员工和承包商
• 与INCI API集成的客户应用程序的最终用户(在其数据通过API请求传输的范围内)

5. 处理者义务

处理者应:

1. 仅根据控制者的书面指示处理个人数据,包括关于将个人数据传输至第三国的指示,除非处理者所遵守的欧盟或成员国法律另有要求
2. 确保被授权处理个人数据的人员承诺保密或受到适当的法定保密义务约束
3. 实施GDPR第32条要求的适当技术和组织安全措施,以确保与风险相适应的安全级别
4. 未经控制者事先具体或一般书面授权,不得委托另一处理者(子处理者)。在一般书面授权的情况下,处理者应将增加或更换子处理者的任何预期变更通知控制者,使控制者有机会提出反对
5. 考虑到处理的性质,在可能的范围内,通过适当的技术和组织措施协助控制者履行响应数据主体行使权利请求的义务
6. 考虑到处理的性质和处理者可获得的信息,协助控制者确保遵守GDPR第32条至第36条规定的义务
7. 由控制者选择,在服务提供结束后删除或归还所有个人数据给控制者,并删除现有副本,除非欧盟或成员国法律要求保存个人数据
8. 向控制者提供证明遵守GDPR第28条规定义务所需的所有信息,并允许并配合控制者或控制者委托的另一审计员进行的审计,包括检查

6. 安全措施

处理者根据GDPR第32条实施以下技术和组织措施以保护个人数据:

• 传输中加密:客户端和服务器之间传输的所有数据均使用TLS 1.2或更高版本(HTTPS)加密
• 静态加密:数据库存储对所有存储的个人数据使用MongoDB静态加密
• 访问控制:通过JWT令牌和API密钥进行身份验证;基于角色的访问控制;最小权限原则
• 密码安全:用户密码使用具有适当成本因子的bcrypt哈希存储;API密钥以安全哈希存储
• 基础设施安全:带防火墙的基础设施(具有受限端口的UFW)、定期安全更新和补丁
• 服务器位置:DigitalOcean基础设施(目前位于美国;计划迁移至欧盟/EEA数据中心)
• 支付数据:我们的服务器不存储支付卡数据。所有支付处理由Stripe处理,Stripe保持PCI DSS Level 1合规
• 监控:对安全事件和异常进行自动监控、日志记录和警报

7. 子处理者

控制者授予处理者一般授权,委托以下子处理者。处理者应在至少30天提前书面通知的情况下,向控制者通报关于增加或更换子处理者的任何预期变更,从而使控制者有机会对此类变更提出反对。

如果控制者基于与数据保护相关的合理理由对新的子处理者提出反对,双方应本着诚信原则进行讨论。如果在30天内未达成解决方案,控制者可以终止受影响的服务而不受处罚。

8. 数据传输

个人数据可能会被传输至并在欧盟和欧洲经济区之外的国家进行处理。在发生此类传输时,处理者根据GDPR第V章确保已采取适当保障措施,包括:

• 欧盟委员会批准的标准合同条款(SCCs)(委员会执行决定(EU)2021/914)
• 在适用情况下,欧盟委员会的充分性决定
• 根据Schrems II判决(案件C-311/18),在必要时补充传输机制的额外技术和组织措施

9. 数据泄露通知

处理者应在意识到GDPR第4(12)条所定义的个人数据泄露后,毫不延迟地、且在任何情况下不超过72小时内通知控制者。通知应包括:

• 个人数据泄露性质的描述,包括所涉数据主体和记录的类别和大致数量
• 可获取更多信息的数据保护联系人姓名和联系方式
• 泄露可能后果的描述
• 已采取或拟议解决泄露的措施的描述,包括减轻其可能不利影响的措施

处理者应与控制者合作,并采取合理的商业措施协助调查、缓解和补救每次此类泄露。

10. 数据主体权利

处理者应协助控制者履行响应数据主体根据GDPR第III章行使其权利请求的义务,包括:

• 访问权(第15条)
• 更正权(第16条)
• 删除权 / 被遗忘权(第17条)
• 限制处理权(第18条)
• 数据可携带权(第20条)
• 反对权(第21条)

如果处理者直接收到数据主体的请求,应立即通知控制者,且未经控制者事先书面授权,不得回应该请求,除非法律另有要求。

11. 审计权

控制者可以审计处理者对本DPA的遵守情况。审计应符合以下条件:

• 控制者应至少提前30天书面通知
• 审计每年应不超过一次,除非监管机构要求或个人数据泄露后
• 审计应在正常工作时间进行,且不应不合理地干扰处理者的运营
• 控制者应承担审计费用,除非审计揭示处理者存在重大不合规情况
• 控制者可委托合格的、独立的第三方审计员,但需遵守合理的保密义务

12. 期限与终止

本DPA在双方服务协议有效期内保持有效。服务协议终止后:

• 处理者应根据控制者的选择,在终止日期后30天内删除或归还所有个人数据
• 处理者应删除现有的个人数据副本,除非欧盟或成员国法律要求保存(例如,西班牙法律要求的税务和财务记录)
• 处理者应根据控制者的请求提供书面删除证明

13. 适用法律

本DPA受西班牙王国法律管辖并据此解释,不考虑其法律冲突规定。GDPR适用于与个人数据处理相关的所有事项。本DPA下产生的任何争议应受西班牙加那利群岛(圣克鲁斯-德特内里费)法院的专属管辖。

14. 联系方式

如需就本数据处理协议提出问题、关切或请求,请联系我们: