数据处理附录

就本数据处理附录而言，本文中未定义的首字母大写术语具有 AI92 服务条款中给出的含义。首字母大写的数据保护术语具有本节中定义的适用数据保护法律中给出的含义。

适用数据保护法律。“适用数据保护法律”是指适用于根据本 DPA 处理个人数据的所有数据保护、隐私和类似法律，这些法律可能会不时进行修订或取代，包括但不限于：

欧洲。欧盟通用数据保护条例（条例 (EU) 2016/679，“GDPR”）、与 2018 年数据保护法一起解读的英国通用数据保护条例、瑞士联邦数据保护法（“FADP”）、挪威个人数据法、冰岛 90/2018 号法案、列支敦士登数据保护法以及每个欧洲经济区成员国的实施数据保护法律。

北美。在美国：经《加州隐私权法案》（“CCPA/CPRA”）修订的《加州消费者隐私法案》、《弗吉尼亚消费者数据保护法》、《科罗拉多州隐私法》、《康涅狄格州数据隐私法》、《犹他州消费者隐私法》、《德克萨斯州数据隐私和安全法》、《俄勒冈州消费者隐私法》以及类似的州级隐私法（自生效之日起）。在加拿大：《个人信息保护和电子文件法》（“PIPEDA”）、魁北克省第 25 号法律、艾伯塔省《个人信息保护法》、不列颠哥伦比亚省《个人信息保护法》和《隐私法》。

拉丁美洲和加勒比地区。巴西《通用数据保护法》（“LGPD”，第 13.709 号法律）、墨西哥《私人实体持有的个人数据保护联邦法》（“LFPDPPP”）、阿根廷《个人数据保护法》第 25.326 号法律、哥伦比亚 2012 年第 1581 号法定法、智利第 19.628 号法律、秘鲁第 29733 号法律、乌拉圭第 18.331 号法律、厄瓜多尔《个人数据保护组织法》、哥斯达黎加第 8968 号法律、多米尼加共和国第 172-13 号法律、巴拿马 2019 年第 81 号法律、巴拉圭第 6534/2020 号法律以及该地区每个其他国家的类似法规。

非洲。南非《个人信息保护法》（“POPIA”）、尼日利亚《2023 年尼日利亚数据保护法》（“NDPA”）和《2019 年尼日利亚数据保护条例》、肯尼亚《2019 年数据保护法》、埃及《个人数据保护法》（2020 年第 151 号法律）、加纳《2012 年数据保护法》、摩洛哥第 09-08 号法律、突尼斯《2004-63 号组织法》、毛里求斯《2017 年数据保护法》、塞内加尔第 2008-12 号法律、科特迪瓦第 2013-450 号法律、卢旺达第 058/2021 号法律、乌干达《2019 年数据保护和隐私法》、坦桑尼亚《2022 年个人数据保护法》、津巴布韦《2021 年网络和数据保护法》第 5 号法律、阿尔及利亚第 18-07 号法律、马达加斯加第 2014-038 号法律、《非洲联盟网络安全和个人数据保护公约》（“马拉博公约”）、西非国家经济共同体关于个人数据保护的补充法以及每个其他非洲国家的类似法规。

亚太地区。澳大利亚《1988 年隐私法》、新西兰《2020 年隐私法》、日本《个人信息保护法》（“APPI”）、韩国《个人信息保护法》（“PIPA”）、新加坡《2012 年个人数据保护法》（“PDPA”）、泰国《2562 年（2019 年）个人数据保护法》、越南《第 13/2023 号个人数据保护法令》、菲律宾《2012 年数据隐私法》、印度尼西亚《27/2022 号个人数据保护法》、马来西亚《2010 年个人数据保护法》、印度《2023 年数字个人数据保护法》（“DPDPA”）、中国《个人信息保护法》（“PIPL”）、台湾《个人数据保护法》、香港《个人资料（隐私）条例》、澳门《个人资料保护法》以及每个其他亚太地区司法管辖区的类似法规。

中东。阿拉伯联合酋长国关于个人数据保护的 2021 年第 45 号联邦法令和迪拜国际金融中心数据保护法、沙特阿拉伯个人数据保护法、以色列《隐私保护法》5741-1981 及其实施条例、卡塔尔《个人数据隐私保护法》（第 13/2016 号法律）和 QFC 数据保护条例、巴林《个人数据保护法》（第 30/2018 号法律）、阿曼《个人数据保护法》（第 6/2022 号皇家法令）、约旦《2023 年个人数据保护法》、土耳其《个人数据保护法》（“KVKK”，第 6698 号法律）以及每个其他中东司法管辖区的类似法规。

欧亚地区和其他地区。俄罗斯联邦《个人数据联邦法》（第 152-FZ 号）、哈萨克斯坦《个人数据及其保护法》、乌兹别克斯坦《个人数据法》以及 AI92 或客户处理个人数据的每个其他司法管辖区的类似法规。

包罗万象。适用于 AI92 或客户的与根据本 DPA 处理客户个人数据相关的任何司法管辖区的任何其他数据保护、隐私、电信保密、部门或类似法律。AI92 监控全球监管发展，并在新法律生效时更新此列表（以及实施该列表的做法）。

如果这些制度对类似概念使用不同的术语，则本 DPA 使用 GDPR 术语，并将其他适用数据保护法律下的等效术语视为兼容术语。如果某个制度施加强制性附加要求（例如在监管机构注册、指定当地代表或特定合同条款），AI92 和客户同意通过标准合同条款、英国附录或国际数据传输部分中规定的特定于制度的附加条款来实施此类要求。

控制者是指确定处理个人数据的目的和方式的一方。

处理者是指代表控制者处理个人数据的一方。

客户个人数据是指客户输入中包含的或与客户使用 API 服务相关的任何个人数据。

子处理者是指 AI92 聘用的代表客户处理客户个人数据的任何处理者，包括 AI92 的托管提供商、支付处理商和下游服务提供商。

在受条款和本 DPA 约束的关系中，客户是客户个人数据的控制者，而 AI92 是处理者。AI92 由 Masada Gateway Ltd 运营。与 Meta 平台（Facebook、Instagram 和 Threads）的集成通过 Koloxo West Africa Ltd 提供，该公司是我们 Meta 应用程序的注册开发者，并代表 Masada Gateway Ltd 担任这些集成的处理者。

AI92 也可以作为单独的控制者处理某些个人数据，包括运营 AI92 业务所需的数据（客户关系数据、账单数据、身份验证凭据、审计数据）。有关此类控制者处理的条款在 AI92 的隐私政策 ai92.ai/privacy-policy 中进行了描述。

AI92 仅应根据条款和本 DPA 中规定的客户的书面说明或适用法律的要求处理客户个人数据。

如果适用法律要求 AI92 以客户指示以外的方式处理客户个人数据，则 AI92 应（在法律允许的情况下）在处理之前通知客户该要求。

AI92 应确保授权处理客户个人数据的人员受到不低于服务条款中规定的保密义务的约束。

AI92 应实施适当的技术和组织措施，以确保与客户个人数据处理所带来的风险相适应的安全级别，包括：

（a）静态和传输中的个人数据的假名化和加密；

（b）确保处理系统持续保密性、完整性、可用性和弹性的能力；

（c）在发生物理或技术事件时，及时恢复个人数据的可用性和访问权限的能力；

（d）定期测试、评估和评价这些措施有效性的流程。

AI92 的安全文档中描述了这些措施的当前实施情况。AI92 的 SOC 2 审计报告可应客户要求根据保密条款提供。

客户授权 AI92 聘请分包处理商处理客户个人数据，但须符合以下条件：

（a）AI92 在 ai92.ai/sub-processors 上维护一份最新的分包处理商列表；

（b）AI92 应至少提前三十 (30) 天通知客户任何分包处理商的增加或更换；

(c) 客户可在收到通知后十五 (15) 天内，以合理理由反对任何新的子处理者——如果客户的反对无法解决，客户可以终止受影响的API服务，并按比例获得任何预付费用的退款；

（d）AI92 对每个分包处理商施加的数据保护义务不低于本 DPA 中的义务。

初始子处理者包括AI92的托管服务提供商（Amazon Web Services、Microsoft Azure、Google Cloud Platform——针对ai92.ai/sub-processors中记录的区域和服务）、支付处理商（Stripe, Inc.）和文档托管商（Mintlify, Inc.）。ai92.ai/sub-processors上的列表是权威的当前记录。

AI92 对客户个人数据的处理可能涉及将该数据传输到客户或数据主体居住的国家/地区之外。如果任何此类传输受到适用数据保护法律的限制，AI92 将实施原始司法管辖区法律要求或认可的跨境传输机制。本节中的机制按司法管辖区适用，并且 AI92 可以针对给定的传输依赖于多个机制。

欧洲和英国。对于受GDPR或英国GDPR管辖的传输，双方采用通过引用纳入并按以下方式填写的欧盟委员会标准合同条款（实施决定2021/914/EU，模块2 - 控制者到处理者）：(i) SCCs第9条和第14条中的时间段根据GDPR的适用阈值填写；(ii) 未经客户同意，对接条款不适用于额外方；(iii) 附件I（当事方列表）填写客户的注册识别信息和AI92作为数据进口商；(iv) 附件II（技术和组织措施）指AI92的安全文档；(v) 附件III（子处理者）指AI92维护的子处理者列表。对于英国GDPR下的传输，双方还额外采用英国信息专员的国际数据传输附录到SCCs。如果AI92持有欧盟-美国数据隐私框架、瑞士-美国数据隐私框架或欧盟-美国数据隐私框架的英国扩展的当前认证，双方也可以依赖该认证进行向AI92美国基础设施的传输。

瑞士。对于受瑞士 FADP 约束的传输，双方采用瑞士联邦数据保护和信息专员（“FDPIC”）认可的 SCC，并根据 FDPIC 发布的瑞士法律背景进行调整。

拉丁美洲。对于受巴西 LGPD 约束的传输，双方实施 LGPD 第 33 至 36 条下的跨境传输制度，包括（如适用）依赖巴西国家数据保护局（“ANPD”）根据第 19/2024 号决议通过的标准合同条款，以及 ANPD 在需要时发布的任何特定授权。对于受墨西哥 LFPDPPP 约束的传输，AI92 向客户提供 LFPDPPP 第 36 条和实施条例要求的披露信息，并且客户获得数据主体要求的同意。对于受阿根廷第 25.326 号法律、哥伦比亚第 1581 号法律、智利第 19.628 号法律、秘鲁第 29733 号法律或其他 LATAM 制度约束的传输，AI92 实施标准合同条款或相关司法管辖区监管机构认可的其他机制。

非洲。对于受南非 POPIA 约束的传输，AI92 确保遵守 POPIA 第 72 条，并获得数据主体同意或依赖适用的合法依据。对于受尼日利亚 NDPA、肯尼亚数据保护法或其他非洲制度约束的传输，AI92 确保遵守相关监管机构（包括尼日利亚数据保护委员会、肯尼亚数据保护专员办公室、南非信息监管机构和其他同等监管机构）施加的跨境传输要求，并实施该机构认可的标准合同条款、认证或其他机制。AI92 将在需要时注册或指定当地代表，并在适用的时限内回复当地监管机构的询问。

亚太地区。对于受中国 PIPL 约束的传输，双方采用中国国家互联网信息办公室发布的《个人信息出境标准合同》，在超过传输阈值时完成与 CAC 的安全评估，或依赖 PIPL 认可的认证（如适用）。对于受印度 DPDPA 约束的传输，AI92 将传输限制为 DPDPA 第 16 条下发布的通知允许的司法管辖区，并遵守规则施加的任何特定条件。对于受澳大利亚隐私法约束的传输，AI92 根据澳大利亚隐私原则 8 采取合理措施，以确保海外接收者处理个人信息的方式与 APP 一致。对于受日本 APPI、韩国 PIPA、新加坡 PDPA、泰国 PDPA、越南 PDPD、菲律宾 DPA、印度尼西亚 PDP 法、马来西亚 PDPA、台湾 PDPA、香港 PDPO 或其他亚太地区制度约束的传输，AI92 实施相关司法管辖区监管机构认可的标准合同条款、认证、政府间充分性机制或其他传输机制。

中东。对于受阿联酋 PDPL、迪拜国际金融中心数据保护法、沙特阿拉伯 PDPL、以色列隐私保护法、卡塔尔 PDPPL、巴林 PDPL、阿曼 PDPL、约旦 PDPL、土耳其 KVKK 或其他中东制度约束的传输，AI92 实施相关司法管辖区监管机构认可的标准合同条款、充分性决定或其他机制，并在需要时注册或指定当地代表。

欧亚地区和其他地区。对于受俄罗斯联邦第 152-FZ 号联邦法约束的传输，AI92 遵守第 18(5) 条的本地化要求，并在需要时获得数据主体的书面同意。对于受哈萨克斯坦《个人数据法》、乌兹别克斯坦《个人数据法》或任何其他适用数据保护法律约束的传输，AI92 实施原始司法管辖区法律要求或认可的跨境传输机制。

一般条款。如果客户司法管辖区的适用数据保护法律要求未在上面明确列出的特定传输机制、合同条款或监管备案，AI92 将应客户的合理要求并由客户承担费用（如有），执行或实施合理要求的其他文档，以实施该机制。AI92 监控全球监管发展，并在新要求生效时更新上述传输机制。

如果 AI92 收到数据主体关于访问、更正、删除、限制处理、可移植性或反对的请求（数据主体请求），AI92 应在法律允许的范围内及时通知客户。除非适用法律要求，否则 AI92 不得回复此类数据主体请求，除非客户另有指示。

AI92 应向客户提供客户可能需要的此类信息和合理协助，以使客户能够回复数据主体请求，包括提供或协助提供数据导出。

AI92 应在意识到影响客户个人数据的任何个人数据泄露后，立即通知客户，并且在任何情况下不得超过七十二 (72) 小时。

通知应包括（如果当时已知）：（a）对泄露性质的描述，包括受影响的个人数据类别和大致数据主体数量；（b）可能的后果；（c）为解决泄露而采取或提议采取的措施；以及（d）数据保护官的姓名和联系方式或其他联系人以获取更多信息。

应要求，AI92 应为客户提供合理的协助，以进行客户根据 GDPR 第 35 条或 LATAM 数据保护法的类似规定需要进行的任何数据保护影响评估或与监管机构的先前协商。

在条款终止时，AI92 应根据客户的选择，返回或删除客户个人数据，但须遵守适用法律要求的保留以及本 DPA 允许的保留。

AI92 只能根据适用法律（包括税务记录义务）的要求，或本 DPA 允许的，为了隐私政策中规定的审计日志保留期限，或为了隐私政策中规定的信用分类帐保留期限，保留客户个人数据。

客户（或 AI92 合理接受的独立第三方审计师，受保密义务约束）可以至少提前三十 (30) 天发出书面通知，在 AI92 的正常工作时间内，并由客户承担费用，每年最多一次审计 AI92 对本 DPA 的遵守情况。

AI92 可以向客户提供其当时的 SOC 2 审计报告、渗透测试报告和其他相关的第三方证明，以代替现场审计。客户应接受这些报告以满足其审计权，除非它们没有解决客户的合理担忧。

本 DPA 受服务条款的相同法律管辖，除非强制性数据保护法要求不同的管辖法律。

如果条款与本DPA之间存在冲突，则本DPA在个人数据处理方面具有控制权。

如果您是拥有主服务协议（MSA）的企业客户，则DPA条款可能会被您的MSA修改。如果发生冲突，则以MSA为准。

如果您对此数据处理附录有任何疑问，请联系我们：

• 一般咨询：[email protected]
• 有关数据保护和隐私的咨询：[email protected]
• 有关法律事务：[email protected]