数据处理协议

1. 范围与目的

本数据处理协议（"DPA"）构成 UnifAPI, Inc.（"处理者"）与客户（"控制者"）之间关于提供服务的协议的组成部分。本 DPA 规定了处理者代表控制者处理个人数据的条款。

2. 定义

• 个人数据： 与已识别或可识别的自然人有关的任何信息
• 处理： 对个人数据执行的任何操作，包括收集、存储、使用和删除
• 数据主体： 个人数据所涉及的个人
• 子处理者： 处理者委托用于处理个人数据的第三方

3. 处理者的义务

处理者应：

• 仅按照控制者的书面指示处理个人数据
• 确保获授权处理个人数据的人员受保密义务约束
• 实施适当的技术和组织安全措施
• 协助控制者响应数据主体请求
• 在服务终止时删除或返还所有个人数据
• 提供证明合规性所需的所有信息

4. 安全措施

处理者实施以下安全措施：

• 对传输中和静态的个人数据进行加密
• 定期测试和评估安全措施
• 访问控制和身份验证机制
• 事件检测和响应程序
• 定期备份和灾难恢复能力
• 员工安全意识培训

5. 子处理

未经控制者事先书面授权，处理者不得委托子处理者。当委托子处理者时：

• 处理者应施加同等的数据保护义务
• 处理者对子处理者的履约仍负全部责任
• 控制者应被告知任何对子处理者的拟议变更

6. 数据传输

任何向欧洲经济区（EEA）以外国家传输个人数据的行为，均应采取适当的保障措施，包括：

• 标准合同条款
• 具有约束力的公司规则
• 相关机构作出的充分性决定

7. 数据泄露通知

处理者应在获悉个人数据泄露后，不无故拖延地（且不迟于 48 小时内）通知控制者。该通知应包括：

• 泄露的性质
• 受影响数据主体的类别和大致数量
• 泄露的可能后果
• 已采取或拟采取以应对泄露的措施

8. 审计权

控制者有权进行审计和检查，以核实处理者对本 DPA 的遵守情况。处理者应全力配合，并提供对所有相关设施、设备和记录的访问权限。

9. 期限与终止

本 DPA 在服务协议期限内持续有效。终止时，处理者应根据控制者的选择，删除或返还所有个人数据，并证明其已如此操作。

10. 责任

各方在本 DPA 项下的责任受主服务协议中规定的限制约束。本 DPA 中的任何内容均不限制任何一方对违反数据保护法的责任。