数据处理协议

在本数据处理协议（“DPA”）中，首字母大写的术语若无另行定义，则具有下文定义的含义；“个人数据”、“处理”、“控制者”、“处理者”、“数据主体”和“个人数据泄露”等术语具有适用的数据保护法律（包括 GDPR）所赋予的含义。

• “协议” 是指客户与 Georithm 之间管理 Georithm 使用的根本服务条款或订阅协议。
• “客户数据” 是指由客户提交给 Georithm 或由 Georithm 代表客户处理的个人数据。
• “数据保护法律” 指与处理个人数据有关的适用法律，视情况包括 GDPR、英国 GDPR、PIPEDA 以及 CCPA/CPRA。
• “次级处理者” 指由 Georithm 聘请处理客户数据的第三方。

双方承认，对于客户数据，根据数据保护法律，客户担任控制者（或适用的业务实体），而 Georithm 担任处理者（或适用的服务提供者）。

除非适用法律另有要求，Georithm 将仅根据客户的记录指令、本 DPA 及协议处理客户数据。

主体事项： 提供 Georithm 地理位置智能平台，包括托管、身份验证、地图绘制、AI 生成的洞察以及相关的支持服务。

期限： 处理在协议期限内持续进行，并在之后 Georithm 根据本 DPA 保留客户数据的任何期间内持续进行。

性质和目的： 根据提供 Georithm 服务所需的必要条件，收集、存储、组织、检索、使用和删除客户数据，包括根据客户授权用户请求生成地图、搜索结果和 AI 驱动的地理位置洞察。

数据主体类别：

• 客户的授权用户（员工、承包商、代理人）。
• 客户用户输入平台的地理位置、地址或商业数据中出现的个人。

个人数据类别：

• 联系和身份识别数据（姓名、电子邮件地址、商业职位）。
• 身份验证数据（登录方式、账户标识符）。
• 输入平台的用法和查询数据。
• 账单和账户管理数据。
• 账单和账户管理数据。

特殊类别数据： 双方并不寻求将特殊类别或敏感个人数据提交给 Georithm；客户负责确保不提交此类数据，除非另有书面约定。

Georithm 将：

1. 仅根据客户的记录指令处理客户数据（包括跨境传输），除非法律另有要求。
2. 确保获准处理客户数据的人员履行保密义务。
3. 实施附件 II 所述的适当技术和组织措施。
4. 如果其认为某项指令违反了适用的数据保护法律，则通知客户。
5. 在考虑到处理性质的情况下，协助客户履行其在处理安全性、数据保护影响评估以及咨询监管机构方面的义务。

Georithm 将确保任何获准处理客户数据的人员均已承诺履行合同或法定的保密义务，并将客户数据的访问权限限制在为履行协议相关职责而需要访问的人员范围内。

Georithm 维持旨在保护客户数据的技术和组织措施，包括：

• 客户端与 Georithm 基础设施之间传输中的数据加密。
• Supabase 支持的数据库内静态数据的加密。
• 安全身份验证机制，包括电子邮件/密码和 Google 登录。
• 用于缓解滥用和未经授权访问尝试的速率限制。
• 安全相关操作和管理操作的审计日志。
• 限制内部访问客户数据的基于角色的访问权限。
• 与所处理数据敏感性相适应的环境隔离和访问控制。

这些措施会定期审查和更新，但不构成对不间断或绝对安全的保证。

客户概括授权 Georithm 聘请以下类别的次级处理者以支持 Georithm 的交付：

• 托管与数据库 — Supabase（数据库托管与身份验证）。
• 支付 — Stripe（支付处理与账单）。
• 地图 — Mapbox（地图渲染与地理编码）。
• AI 模型提供商 — 用于生成基于位置的洞察的 AI 模型网关。
• 电子邮件 — 用于发送账户和账单通知的事务性电子邮件发送提供商。

Georithm 将对次级处理者施加与本 DPA 中基本相同的数据保护义务。如果 Georithm 拟增加或更换次级处理者，其将通知客户，客户可基于合理的数据保护理由提出异议。如果双方无法解决异议，客户可根据协议终止受影响的服务。

考虑到处理的性质，Georithm 将通过适当的技术和组织措施以及应用内工具，为客户提供合理的协助，以帮助客户响应数据主体旨在行使其在适用数据保护法律下的权利（如访问、更正、删除或可移植性）的请求。客户作为控制者，仍负责响应数据 subject 请求。

Georithm 在发现影响客户数据的个人数据泄露后，将在不当延误的情况下，且无论如何要在 72 小时内通知客户，提供 Georithm 可合理获取的信息，以帮助客户根据适用的数据保护法律履行其自身的通知义务。Georithm 将与客户合作，并采取合理措施减轻此类泄露的影响。

Georithm 将向客户提供证明遵守本 DPA 所合理必要的信息，并允许并参与由客户或客户委托的审计员进行的审计（包括检查），前提是需提前合理通知、遵守保密义务，且除非监管机构要求或因安全事件触发，否则每年不超过一次。

如果处理客户数据涉及从欧洲经济区、英国或瑞士转移到未被视为提供充分保护水平的国家，双方同意此类转移受欧盟委员会的《标准合同条款》以及（如适用）《英国国际数据传输补充协议》的约束，这些条款通过引用纳入本 DPA，并在确保建立合法传输机制的必要范围内优于任何冲突条文。

在协议终止或届满时，Georithm 将根据客户的选择删除或返回所有客户数据，并在合理期限内删除现有副本，除非适用法律要求继续存储部分或全部客户数据，在此情况下，Georithm 将隔离并保护该数据免受进一步处理。

除非适用的数据保护法律禁止此类限制，否则各方因本 DPA 引起的或与之相关的责任均受协议中规定的责任限制和排除条款的约束。

如果本 DPA 与协议在个人数据处理方面存在冲突，则在冲突范围内以本 DPA 为准。如果本 DPA 与根据第 12 条纳入的《标准合同条款》或《英国补充协议》存在冲突，则以《标准合同条款》或《英国补充协议》为准。

本 DPA 旨在经双方接受后成为客户与 Georithm 之间协议的一部分。如需签署本 DPA 或索取副署副本，请联系 jerogz@georithm.info。在需要的情况下，双方可以完成签字栏或点击接受引用本 DPA 及其版本及生效日期的内容。