数据处理协议

1. 双方、角色与优先顺序

本 DPA 成为明确纳入本文件的商户服务订单的一部分。订单所列商户主体对其指示的处理担任控制者，芯电云（深圳）智能科技有限公司担任处理者。商户自身属于处理者时，开通前应记录其授权及相应分处理角色。公开网页或普通登录不等于签订新协议。

本 DPA 适用于受指示处理的客户数据，并在该处理事项上优先于不一致的服务表述；不改变自身控制的商务联系、账单及法定记录角色。强制法律及适用官方跨境条款保留其优先性。

2. 书面指示与保密

处理者应仅按有记录的合法指示处理所涉数据，包括已完成的服务范围和获批准的跨境指示；适用法律另有要求的除外。法律允许时，应向商户说明该要求。指示明显与适用数据保护法律冲突时，应通知商户。

获授权人员应承担保密义务，访问权限限于其职责。所涉数据不得用于处理者无关广告，也不得作为数据集出售。

3. 安全与事件协助

本服务适用附件 B 的标准控制；签署订单中约定的额外控制按项目维持。措施按数据类型及风险评估；重大降低保障须提前通知并依法解决。

处理者知悉影响所涉数据的个人数据泄露后，应无不当延误地通知商户，提供当时可获得的相关事实和后续更新，协助控制影响并保留必要证据。这不能替代控制者自身的评估及法定通知。合同应列出有效的事件联系人。

4. 分包处理方

附件 C 应列明获授权的分包处理方、职能和国家。处理者应使其承担适当的数据保护义务，对其约定范围内的履行负责，并提供授权安排的证据。

变更流程：拟新增分包处理方时至少提前 30 天通知，提供基于实质数据保护理由的反对渠道，并记录解决方式。紧急替换需另行约定流程并及时通知；未解决的反对应通过商定替代方案或终止受影响服务处理。

5. 权利、评估与核验

处理者应及时将所涉数据的请求转交商户，并按照约定的合理流程协助处理。未获授权或无法定要求时，不独立决定控制者客户请求的处理结果。双方应约定必要时对影响评估、监管咨询及事件报告的协助。

处理者应提供证明相关义务所合理需要的信息，并支持约定的审计，同时保护保密性、服务可用性和其他租户。协议应明确审计流程及合理费用承担，不得取消依法必要的监督。

6. 跨境传输

附件 C 应说明生产、备份和支持访问的国家及涉及主体。受限制传输需要保障时，双方应在传输前选择并完成适用的合法机制及相关附件。

本协议不复刻或取代欧盟、英国或 ANPD 获认可的标准条款。具体传输所需的官方文本、模块、评估和补充措施，应另行附上或明确引用。服务器所在地点本身不构成跨境传输机制。

7. 返还、删除与保留

服务终止时，处理者应根据商户有记录的选择和获批准的退出规则返还或删除所涉数据；适用法律要求特定保留的除外。处理者应记录完成情况及尚存的正当例外。

附件 D 应明确备份清除、恢复处理、获授权导出、删除核验及法定记录。恢复后的数据仍应执行尚未完成的删除指示。仅因法律要求保留的数据，应与正常处理隔离，并仅保留必要期限。

标准处理附件

关联文件

• 商户 SaaS 服务条款
• 隐私政策
• 网站使用条款