数据处理协议

本数据处理协议（“DPA”）由 Vocito.ai 账户中载明的客户（“控制者”、“客户”、“您”）与 Vocito.ai B.V. （“处理者”、“Vocito”、“我们”）订立，并构成服务条款以及双方之间关于提供 Vocito 服务的协议不可分割的组成部分。

本 DPA 体现双方就处理者代表控制者处理个人数据所达成的约定，并符合《通用数据保护条例》(EU) 2016/679（“GDPR”）第 28 条的要求.

1. 定义

除本 DPA 另有定义外，首字母大写的术语具有 GDPR 或服务条款赋予的含义。此外，适用以下定义：

• “个人数据” 指处理者通过本服务代表控制者处理的、与已识别或可识别的自然人有关的任何信息。
• “处理” 指对个人数据执行的任何操作或一系列操作，定义见 GDPR 第 4(2) 条。
• “控制者” 指客户，即决定通过本服务处理个人数据的目的和方式的一方。
• “处理者” 指 Vocito.ai B.V.，其代表控制者处理个人数据。
• “次级处理者” 指处理者聘用的、代表处理者处理个人数据的第三方。
• “数据主体” 指个人数据所涉及的已识别或可识别的自然人。
• “个人数据泄露” 指导致个人数据被意外或非法销毁、丢失、更改、未经授权披露或访问的安全违规事件。
• “SCCs” 指欧盟委员会根据欧盟委员会 (EU) 2021/914 号实施决定批准的标准合同条款。
• “服务” 指 Vocito.ai AI 语音接待员平台以及所有相关功能和服务。
• “客户数据” 指因客户使用本服务而被处理的所有数据，包括个人数据。

2. 范围与角色

2.1 双方的角色

就通过本服务处理的个人数据而言，客户具有控制者身份，Vocito 具有处理者身份。处理者应仅代表控制者并按照控制者记录在案的指示处理个人数据。

2.2 处理范围

本 DPA 适用于处理者因提供本服务而代表控制者处理的所有个人数据，进一步说明见附件 A.

2.3 与服务条款的关系

本 DPA 是对服务条款的补充，并构成服务条款的一部分。如本 DPA 与服务条款在数据保护事项上存在冲突，以本 DPA 为准。

3. 处理详情

处理活动的详情载于附件 A 中，包括：

• 主题事项：提供 Vocito AI 语音接待员平台。
• 期限：控制者与处理者之间协议的有效期，加上任何适用的数据保留期限。
• 性质和目的：通过 AI 接听和处理来电、对通话进行录音和转录、发送跟进短信、管理潜在客户和预约、邮件集成、CRM 数据管理以及提供分析。
• 个人数据类型：姓名、电话号码、邮箱地址、语音录音、通话转录文本、短信内容、邮件内容、潜在客户和预约信息、商务联系方式。
• 数据主体类别：最终用户（来电者）、控制者的客户和潜在客户、控制者的员工和代表。

4. 处理者的义务

4.1 处理指示

处理者应：

• 仅根据控制者记录在案的指示处理个人数据，包括在向第三国或国际组织传输个人数据方面，除非处理者所受约束的欧盟或成员国法律要求其进行处理。在此情况下，处理者应在处理前将该法律要求告知控制者，除非该法律禁止告知。
• 如处理者认为某项指示违反 GDPR 或其他欧盟或成员国数据保护规定，立即告知控制者。

4.2 保密

处理者应确保所有获授权处理个人数据的人员均已承诺保密，或负有适当的法定保密义务。

4.3 安全

处理者应实施适当的技术和组织措施，以确保与风险相称的安全水平，具体如附件 B 所述，并符合 GDPR 第 32 条的规定。

4.4 次级处理

处理者聘用次级处理者时，应遵守第 6 条规定的条件。

4.5 数据主体权利

处理者应协助控制者履行其回应数据主体请求的义务，具体规定见第 9 条.

4.6 合规协助

考虑到处理的性质以及处理者可获得的信息，处理者应协助控制者确保遵守 GDPR 第 32 至 36 条，包括与处理安全、个人数据泄露通知、数据保护影响评估以及事先咨询监管机构有关的义务。

4.7 删除或返还

在服务提供结束后，处理者应根据控制者的选择删除或返还所有个人数据，具体规定见第 13 条.

4.8 审计与信息

处理者应向控制者提供为证明其遵守 GDPR 第 28 条所必需的全部信息，并允许和协助审计，具体规定见第 12 条.

5. 控制者的义务

控制者应：

• 确保个人数据的处理具有法律依据，包括取得数据主体的任何必要同意（例如就通话录音取得同意）。
• 向处理者提供记录在案的处理指示。
• 遵守其在 GDPR 和适用的数据保护法律项下的义务。
• 确保根据 GDPR 第 13 条和第 14 条向数据主体告知其个人数据的处理情况，包括根据欧盟《人工智能法案》告知 AI 系统的使用情况。
• 在处理者的协助下回应数据主体请求。
• 将其处理指示的任何变更通知处理者。
• 确保提供给处理者的客户数据不侵犯任何第三方的权利。

6. 次级处理者

6.1 一般授权

控制者以一般书面授权的方式，允许处理者聘用次级处理者协助提供本服务，但须遵守本条规定的条件。当前已获授权的次级处理者列表载于附件 C.

6.2 与次级处理者有关的义务

处理者聘用次级处理者时：

• 处理者应通过合同使次级处理者承担与本 DPA 所载相同的数据保护义务，尤其是就实施适当的技术和组织措施提供充分保证。
• 处理者应就次级处理者义务的履行继续向控制者承担全部责任。
• 与次级处理者订立的协议应包含与本 DPA 同等的条款，包括有关保密、安全和审计权的条款。

6.3 变更通知

对于任何拟新增或更换次级处理者的变更，处理者应至少提前 30 天通知控制者，使控制者有机会对该等变更提出反对。

6.4 反对权

如控制者有合理理由反对聘用新的次级处理者，控制者应在收到通知后 14 天内通知处理者。双方应本着诚信原则商讨控制者的关切。如双方无法达成解决方案，控制者可通过发出书面通知终止受影响的服务，且无需支付违约金。

7. 安全措施

处理者应实施并维持技术和组织安全措施，具体载于附件 B，其中至少包括：

7.1 加密

• 使用 TLS 1.2 或更高版本对传输中的个人数据进行加密。
• 使用 AES-256 或同等标准对静态存储的个人数据进行加密。
• 对通话录音进行静态加密。

7.2 访问控制

• 基于角色的访问控制 (RBAC)，并遵循最小权限原则。
• 对管理员访问和正式环境系统访问采用多因素身份验证 (MFA)。
• 所有人员均使用唯一的用户账户；不共享凭据。
• 定期进行访问权限审查（至少每季度一次）。
• 人员离职时自动撤销访问权限。

7.3 基础设施安全

• 托管于采用欧盟境内部署且符合 GDPR 的基础设施上。
• 网络分段和防火墙防护。
• 定期进行漏洞扫描和渗透测试。
• 及时安装安全补丁。
• DDoS 防护。

7.4 监控与日志记录

• 对个人数据的访问进行集中日志记录。
• 对安全事件进行实时监控和告警。
• 日志至少保留 12 个月。

7.5 人员

• 与所有访问个人数据的人员签订保密协议。
• 对所有人员进行安全意识培训。
• 对有权访问正式环境系统的人员进行背景调查（在法律允许的情况下）。

7.6 业务连续性

• 定期备份客户数据，并配有经过测试的恢复程序。
• 灾难恢复程序，并设有明确的恢复时间目标。
• 关键组件采用冗余基础设施。

7.7 持续评估

处理者应定期评估并更新安全措施，以确保其始终与处理所涉及的风险相适应。在本 DPA 有效期内，处理者不得实质性降低整体安全水平。

8. 数据泄露通知

8.1 通知控制者

处理者在知悉个人数据泄露后，应在无不当延迟的情况下，且无论如何在 72 小时内通知控制者。该通知应发送至与控制者账户关联的邮箱地址，并应在可获得相关信息的范围内包括：

• 对个人数据泄露性质的说明，包括所涉及的数据主体和记录的类别及大致数量。
• 处理者内部联络点的名称和联系方式。
• 对该泄露可能造成的后果的说明。
• 对为应对该泄露已采取或拟采取的措施的说明，包括为减轻其不利影响而采取的措施。

8.2 处理者的义务

在知悉个人数据泄露后，处理者应：

• 立即采取措施控制该泄露，并将其影响降至最低。
• 对该泄露进行调查，并在获得最新信息时向控制者提供。
• 与控制者合作，并为控制者履行其在 GDPR 第 33 条和第 34 条项下的泄露通知义务提供合理协助。
• 记录该泄露，包括相关事实、影响以及已采取的补救措施。

8.3 控制者向监管机构的通知

控制者负责判定是否须根据 GDPR 第 33 条和第 34 条将个人数据泄露报告给监管机构和/或数据主体。处理者应就控制者作出该等判定和履行该等义务提供一切合理的合作与协助。

9. 数据主体请求

9.1 协助

考虑到处理的性质，处理者应在可能的范围内，通过适当的技术和组织措施协助控制者履行其义务，即回应数据主体为行使 GDPR 第三章规定的权利而提出的请求，包括：

• 访问权（第 15 条）
• 更正权（第 16 条）
• 删除权（第 17 条）
• 限制处理权（第 18 条）
• 通知义务（第 19 条）
• 数据可携权（第 20 条）
• 反对权（第 21 条）

9.2 通知

如处理者直接收到数据主体的请求，处理者应及时（且无论如何在 5 个工作日内）引导该数据主体联系控制者，并将该请求通知控制者。除非经控制者授权或法律要求，处理者不得直接回应该请求。

9.3 数据导出

处理者通过本服务的控制台提供相关功能，供控制者以常用的机器可读格式（JSON、CSV）导出客户数据。控制者可使用这些工具满足数据可携请求。

10. 数据保护影响评估

如通过本服务处理个人数据需要根据 GDPR 第 35 条和第 36 条开展数据保护影响评估（“DPIA”）和事先咨询监管机构，处理者应向控制者提供合理协助。该等协助应包括提供有关处理者的处理活动、技术和组织措施以及次级处理者安排的信息。

11. 国际传输

11.1 主要存储地点

处理者将客户数据（包括个人数据）主要存储于欧洲经济区 (EEA)，具体存储在位于爱尔兰 (eu-west-1) 区域的 Supabase 基础设施中。

11.2 向第三国传输

处理者聘用的某些次级处理者位于美国。如个人数据被传输至 EEA 以外且未获得欧盟委员会充分性决定的国家，则适用以下保障措施：

• 标准合同条款 (SCCs)：处理者已与位于 EEA 以外的每个次级处理者签署 SCCs（欧盟委员会 (EU) 2021/914 号实施决定），采用模块 3（处理者至次级处理者）条款。
• 欧盟-美国数据隐私框架 (DPF)：在适用的情况下，处理者依赖次级处理者在欧盟-美国数据隐私框架下获得的认证，以此作为额外的保障措施。
• 补充措施：根据欧洲数据保护委员会 (EDPB) 第 01/2020 号建议，处理者实施补充性的技术、组织和合同措施，包括：
  • 对个人数据进行传输中加密和静态加密。
  • 尽量减少所传输的数据（例如，在可能的情况下采用实时流式传输而非批量传输）。
  • 次级处理者在合同中承诺对不相称的政府访问请求提出异议。
  • 定期进行传输影响评估。

11.3 传输影响评估

处理者应针对每项国际传输开展并维护传输影响评估，评估接收国的法律框架以及现有保障措施的有效性。经要求，应向控制者提供这些评估。

12. 审计权

12.1 信息

处理者应向控制者提供为证明其遵守 GDPR 第 28 条和本 DPA 所规定的义务所必需的全部信息。

12.2 审计

处理者应允许并协助由控制者或控制者委托的审计人员进行的审计（包括检查），但须符合以下条件：

• 控制者应至少提前 30 天就审计发出书面通知，并说明审计的范围和持续时间。
• 审计应在正常营业时间内进行，且不得不合理地干扰处理者的运营。
• 控制者及其审计人员应遵守处理者合理的安全和保密要求。
• 审计人员应在开始审计前与处理者签订保密协议。
• 控制者应承担任何审计的费用，除非审计发现处理者实质性违反本 DPA。
• 审计以每个日历年一次为限，除非监管机构要求进行审计，或者审计是在发生个人数据泄露之后进行。

12.3 认证与报告

在具备相关材料的情况下，处理者可提供相关认证、审计报告（例如 SOC 2 Type II 报告）或独立第三方审计的摘要，以满足控制者的审计要求。如该等文件能够合理回应控制者的关切，控制者同意考虑以该等文件代替现场审计。

13. 数据删除与返还

13.1 终止时

在控制者与处理者之间的协议终止或期满时：

• 控制者可要求以常用的机器可读格式返还客户数据（包括个人数据），该要求应在终止后 30 天内提出。
• 在该 30 天期限届满后（或在收到控制者书面指示后立即），处理者应删除所有客户数据及现有副本，除非欧盟或成员国法律要求存储该个人数据。
• 经要求，处理者应提供删除的书面确认。

13.2 保留的例外情形

处理者仅可在下列情形下于终止后保留个人数据：

• 适用法律有此要求（例如，荷兰税法规定的账单数据保留义务 · 7 年）。
• 该数据包含在备份系统中，并将按照处理者的常规备份轮换计划予以删除（不超过 90 天）。

在上述每种情形下，处理者均应继续按照本 DPA 保护该等被保留的数据，并应将处理限于法律要求的目的。

13.3 协议有效期内

在协议有效期内，控制者可通过本服务的控制台或向处理者提出书面请求，要求删除特定的客户数据。在技术可行且不违反法定保留义务的前提下，处理者应在 30 天内执行该等请求。

14. 责任

14.1 责任分配

各方应根据 GDPR 第 82 条，对因违反 GDPR 的处理所造成的损害承担责任：

• 控制者应对不符合 GDPR 的处理或不合法的指示所造成的损害承担责任。
• 如处理者未遵守 GDPR 专门针对处理者规定的义务，或其行为超出或违背控制者的合法指示，处理者应对处理所造成的损害承担责任。

14.2 责任限制

任何一方在本 DPA 项下的累计责任总额应受服务条款所载责任限制的约束，但该等限制不适用于：

• 根据 GDPR 第 82 条对数据主体承担的责任。
• 监管机构处以的罚款和处罚。
• 因一方在其数据保护义务方面的重大过失或故意不当行为而产生的责任。

14.3 赔偿

各方应就因赔偿方违反本 DPA 或其在 GDPR 项下的义务而产生的任何成本、索赔、损害或费用向另一方作出赔偿，前提是寻求赔偿的一方及时通知另一方并提供合理配合。

15. 期限与终止

15.1 期限

本 DPA 自控制者首次使用本服务之日起生效，并在处理者代表控制者处理个人数据期间持续有效。

15.2 存续

在为履行其有关返还或删除个人数据的义务以及任何持续的保密义务所必需的范围内，处理者在本 DPA 项下的义务在协议终止后继续有效。

16. 一般规定

16.1 适用法律

本 DPA 受荷兰法律管辖并依其解释，但不适用其冲突法原则。因本 DPA 产生的任何争议均应提交下列地点有管辖权的法院专属管辖：荷兰阿姆斯特丹.

16.2 可分割性

如本 DPA 的任何条款被认定为无效或不可执行，其余条款仍应保持完全有效。该无效条款应由最能体现原意的有效条款取代。

16.3 修订

处理者可修订本 DPA，以反映适用法律或处理者数据处理实践的变化。重大变更应至少提前 30 天通知控制者。在该通知发出后继续使用本服务，即构成对修订后 DPA 的接受。

16.4 完整协议

本 DPA 连同服务条款、隐私政策以及任何适用的订购单，构成双方就本 DPA 标的事项达成的完整协议。

16.5 联系方式

有关本 DPA 的问题应发送至： privacy@vocito.ai

附件 A：处理详情

附件 B：技术和组织措施

附件 C：次级处理者列表