数据处理协议 (DPA)

§ 2 – 定义

2.1. “个人数据”是指与已识别或可识别的自然人相关的任何信息（Art. 4(1) GDPR）。

2.2. “处理”是指对个人数据进行的任何操作或一系列操作，无论是否通过自动化方式 （Art. 4(2) GDPR），包括收集、记录、组织、结构化、存储、改编、修改、检索、查阅、使用、 通过传输方式披露、传播、对齐、组合、限制、删除或销毁。

2.3. “数据控制者”是指单独或与他人共同决定个人数据处理目的和方式的自然人或法人 （Art. 4(7) GDPR）。在本 DPA 中，数据控制者为 DPP Hero 平台的用户。

2.4. “数据处理者”是指代表数据控制者处理个人数据的自然人或法人 （Art. 4(8) GDPR）。在本 DPA 中，数据处理者为 DPP Hero。

2.5. “次级处理者”是指由数据处理者委托代表数据控制者执行特定处理活动的其他处理者。

2.6. “数据主体”是指其个人数据被处理的已识别或可识别的自然人（Art. 4(1) GDPR）。

2.7. “指令”是指数据控制者就个人数据的特定处理方式向数据处理者发出的指示。指令通常应以书面形式发出；口头指令须在合理期限内以书面形式确认。

§ 3 – 处理的标的和期限

3.1. 数据处理的标的是数据处理者在提供和运营 SaaS 平台 DPP Hero 过程中，依据主合同对个人数据进行的处理。

3.2. 处理自主合同生效之日（注册并使用平台）开始，至主合同完全终止且依据本 DPA § 16 完成所有个人数据的最终删除或返还时结束。

3.3. 本 DPA 的期限与主合同的期限一致。本 DPA 在主合同终止时自动终止，但因其性质在终止后继续有效的义务（特别是删除义务和保密义务）不受影响。

§ 4 – 处理的性质和目的

4.1. 数据处理者仅为履行主合同之目的处理个人数据，特别包括：

(a) 平台提供：运营、维护和开发 SaaS 平台 DPP Hero，包括数据库托管、应用托管以及用户界面的提供；

(b) 用户账户管理：用户账户的注册、身份验证、会话管理和管理；

(c) 产品数据处理：存储、处理、显示和导出数据控制者录入的产品数据，包括其中可能包含的任何个人数据（例如联系人、供应商数据）；

(d) 文档管理：存储和提供数据控制者上传的文档；

(e) 发布：应数据控制者的要求，通过可公开访问的 URL 提供已发布的产品数据；

(f) 通信：发送事务性电子邮件（例如注册确认、密码重置、通知）；

(g) 支付处理：处理订阅付款和发票生成；

(h) 安全：保护平台免受未经授权的访问、滥用、机器人攻击和 DDoS 攻击。

4.2. 不得为其他目的处理个人数据，且不得发生此类处理，除非数据控制者以书面形式明确同意或数据处理者依据欧盟或成员国法律有义务进行此类处理（Art. 28(3)(a) GDPR）。

§ 5 – 个人数据的类型

5.1. 处理以下类型的个人数据：

(a) 用户账户数据：电子邮件地址、姓名、密码（已哈希处理）、语言偏好、时区、双因素身份验证数据（TOTP 种子）；

(b) 组织数据：公司名称、营业地址、增值税号、国家/地区、网站、电话号码；

(c) 产品数据中的联系人数据：数据控制者联系人的姓名、电子邮件地址、电话号码和地址（例如产品护照联系人、安全负责人）；

(d) 产品数据中的供应商数据：供应商和商业合作伙伴的姓名、公司名称、地址、电子邮件地址和联系方式，以作为产品数据的一部分录入的为限；

(e) 技术使用数据：IP 地址、浏览器信息、访问时间、设备信息、会话数据；

(f) 支付数据：账单地址、支付方式（元数据，不含完整信用卡号）、订阅状态、交易记录；

(g) 通信数据：事务性电子邮件的电子邮件地址和内容；

(h) 共享链接数据：第三方（例如供应商）通过共享链接提交的电子邮件地址和产品数据，以其包含个人数据的为限。

5.2. 本 DPA 不涉及 Art. 9 GDPR 意义上的特殊类别个人数据的处理。数据控制者不得将此类数据录入平台。如数据控制者仍录入了特殊类别的个人数据，数据控制者独自承担相关的数据保护责任。

§ 6 – 数据主体的类别

6.1. 涉及以下类别的数据主体：

(a) 数据控制者的用户：数据控制者授权使用平台的员工、授权代表及其他人员；

(b) 数据控制者的联系人：产品数据中列明的联系人、安全负责人及其他联系方式；

(c) 供应商和商业合作伙伴：供应商、分包供应商及其他商业合作伙伴中的自然人，其联系数据被录入产品数据；

(d) 共享链接接收者：数据控制者向其发送共享链接以进行数据录入的自然人；

(e) 其他数据主体：数据控制者在使用平台期间将其个人数据录入产品数据或文档的自然人。

§ 7 – 数据控制者的义务和权利

7.1. 数据控制者负责遵守数据保护法规，特别是数据处理的合法性以及数据主体权利的保护（Art. 24 GDPR）。

7.2. 数据控制者在主合同和本 DPA 的框架内确定个人数据处理的性质、范围和目的。数据控制者依据 § 9 向数据处理者发出指令。

7.3. 数据控制者应确保：

(a) 存在处理个人数据的适当法律依据（特别是 Art. 6(1) GDPR）；

(b) 数据主体已获得关于数据处理的适当告知（Art. 13, 14 GDPR），特别是关于 DPP Hero 作为数据处理者的参与以及次级处理者的使用；

(c) 在需要以数据主体同意作为法律依据的情况下，已获得数据主体的同意；

(d) 录入平台的个人数据准确且为最新；

(e) 不将 Art. 9 GDPR 意义上的特殊类别个人数据录入平台。

7.4. 如发现个人数据处理中的错误或异常情况，数据控制者应立即通知数据处理者。

§ 8 – 数据处理者的义务

8.1. 数据处理者应仅按照数据控制者依据 § 9 发出的书面记录指令处理个人数据，除非欧盟或成员国法律要求其进行处理；在此种情况下，数据处理者应在处理前将该法律要求通知数据控制者，除非该法律基于重要的公共利益原因禁止此类通知（Art. 28(3)(a) GDPR）。

8.2. 数据处理者应确保被授权处理个人数据的人员已承诺保密义务或受适当的法定保密义务约束（Art. 28(3)(b) GDPR）。

8.3. 数据处理者应实施 Art. 32 GDPR 规定的所有必要的技术和组织措施，以保护个人数据。合同订立时已采取的措施详见本 DPA 附录 1。

8.4. 数据处理者仅在 § 12 规定的条件下委托次级处理者。

8.5. 数据处理者应考虑处理的性质和可获得的信息，协助数据控制者履行 Art. 32 至 36 GDPR 规定的义务（Art. 28(3)(e), (f) GDPR）。详情见 § 14。

8.6. 在处理服务提供结束后，数据处理者应删除所有个人数据并删除现有副本，除非欧盟或成员国法律要求继续存储（Art. 28(3)(g) GDPR）。详情见 § 16。

8.7. 数据处理者应向数据控制者提供证明其遵守 Art. 28 GDPR 规定义务所需的所有信息，并允许和配合审计（Art. 28(3)(h) GDPR）。详情见 § 13。

8.8. 如数据处理者认为数据控制者的指令违反 GDPR 或其他欧盟或成员国数据保护法规，应立即通知数据控制者（Art. 28(3) 第 2 款 GDPR）。

§ 9 – 指令

9.1. 数据处理者应仅按照数据控制者的书面记录指令处理个人数据。主合同（包括条款和条件）及本 DPA 构成基本指令。

9.2. 指令通常应以书面形式发出（电子邮件至 privacy@dpphero.com）。在例外情况下允许口头指令，数据控制者须在合理期限内以书面形式予以确认。数据处理者应记录所有收到的指令。

9.3. 如数据处理者认为某项指令违反数据保护法规，应立即通知数据控制者。数据处理者有权暂停执行该指令，直至数据控制者确认或修改该指令。

9.4. 数据处理者不得将个人数据用于自身目的，也不得向第三方披露数据，除非数据控制者以书面形式同意或数据处理者依法有义务进行披露。

§ 10 – 保密

10.1. 数据处理者应确保所有有权访问数据控制者个人数据的人员均受保密义务约束。这适用于员工、自由职业者及其他辅助人员。

10.2. 保密义务在相关活动及本 DPA 终止后继续有效。

10.3. 数据处理者应确保负责处理个人数据的人员已接受相关数据保护法规的指导，并了解本 DPA 规定的具体数据保护要求。应以合理的时间间隔进行适当的培训并予以记录。

§ 11 – 技术和组织措施 (TOMs)

11.1. 数据处理者应根据 Art. 32 GDPR 实施并维护必要的技术和组织措施，以确保对数据控制者个人数据风险相适应的安全保护水平。该等措施应考虑技术发展水平、实施成本、处理的性质、范围、情境和目的以及对自然人权利和自由造成的不同可能性和严重程度的风险。

11.2. 合同订立时已实施的技术和组织措施详见本 DPA 附录 1。

11.3. 数据处理者有权在协议期限内调整和完善技术和组织措施，但不得降低合同约定的保护水平。数据处理者应以书面形式通知数据控制者重大变更。

11.4. 应数据控制者要求，数据处理者应提供当前有效的技术和组织措施概览。

§ 12 – 次级处理

12.1. 数据控制者特此授予数据处理者依据 Art. 28(2) GDPR 委托次级处理者的一般书面授权。合同订立时已批准的次级处理者列表见附录 2。

12.2. 数据处理者应在计划新增或更换次级处理者之前，以书面形式（电子邮件至数据控制者存档的电子邮件地址）通知数据控制者。通知应包括次级处理者的名称、注册地、处理目的和服务器位置。

12.3. 数据控制者可在收到通知后十四（14）日内，基于实质性的数据保护相关理由，以书面形式对新增或更换次级处理者提出异议。如在此期限内未提出异议，视为已授权。

12.4. 如数据控制者对委托次级处理者提出异议，双方应努力达成友好解决方案。如无法达成协议，任何一方有权以三十（30）日通知期终止主合同和本 DPA，终止日为月末。

12.5. 数据处理者应与每个次级处理者签订合同，施加至少与本 DPA 中规定的相同数据保护义务（Art. 28(4) GDPR）。特别是，次级处理者必须实施充分的技术和组织措施，以确保处理符合 GDPR 的要求。

12.6. 数据处理者应就次级处理者义务的履行向数据控制者承担全部责任。如次级处理者未履行其数据保护义务，数据处理者应就次级处理者的合规性向数据控制者承担责任（Art. 28(4) 第 2 句 GDPR）。

12.7. 第三国传输。如次级处理者在第三国（欧洲经济区以外）处理个人数据，数据处理者应通过适当的保障措施确保充分的数据保护水平，特别是：

(a) 欧盟委员会依据 Art. 45 GDPR 作出的充分性决定（特别是 EU-U.S. Data Privacy Framework）；

(b) 欧盟委员会依据 Art. 46(2)(c) GDPR 制定的标准合同条款；

(c) 在必要时，依据欧洲数据保护委员会 (EDPB) 的建议采取的补充措施。

§ 13 – 数据控制者的审计权

13.1. 数据控制者有权核实数据处理者是否遵守本 DPA 及适用数据保护法律的规定。数据处理者应根据要求向数据控制者提供所有必要信息（Art. 28(3)(h) GDPR）。

13.2. 数据控制者可以进行审计（包括检查），或委托数据控制者指定的且经数据处理者认可的审计人员进行审计。数据处理者仅可基于重要理由（特别是：竞争对手、缺乏专业能力、缺乏保密承诺）拒绝同意审计人员。现场检查须满足以下条件：

(a) 至少提前十四（14）个工作日书面通知；

(b) 在正常营业时间内进行；

(c) 不得对数据处理者的业务运营造成不合理的干扰；

(d) 保守保密义务（特别是关于数据处理者其他客户的数据）。

13.3. 数据处理者也可通过以下方式履行数据控制者的审计权：

(a) 提供独立机构（例如审计师、数据保护审计师、IT 安全审计师）出具的现行证书、报告或报告摘要；

(b) 出示其次级处理者的现行审计报告或 SOC 报告；

(c) 提供附录 1 中记载的技术和组织措施的现行版本。

13.4. 审计费用由数据控制者承担，除非审计是由于数据处理者违反本 DPA 而引起的。数据处理者有权就超出仅提供文件范围的现场检查期间的支持服务收取合理的按小时计算的补偿。

§ 14 – 协助义务

14.1. 数据处理者应考虑处理的性质，并在合理可能的范围内通过适当的技术和组织措施，协助数据控制者响应数据主体依据 GDPR 第三章行使其权利的请求（Art. 28(3)(e) GDPR），特别包括：

(a) 知情权（Art. 15 GDPR）：提供回复所需的信息；

(b) 更正权（Art. 16 GDPR）：根据数据控制者的指令更正不准确的数据；

(c) 删除权（Art. 17 GDPR）：根据数据控制者的指令删除个人数据，除非存在法定保留义务；

(d) 限制处理权（Art. 18 GDPR）：根据数据控制者的指令限制处理；

(e) 数据可携权（Art. 20 GDPR）：以结构化、通用的机器可读格式（特别是 JSON 导出）提供数据。

14.2. 如数据主体直接向数据处理者提出行使其权利的请求，数据处理者应立即将该请求转交给数据控制者。除非数据控制者明确指示，数据处理者不得自行回应该请求。

14.3. 数据处理者应考虑处理的性质和可获得的信息，协助数据控制者确保遵守以下规定：

(a) Art. 32 GDPR（处理的安全性）；

(b) Art. 33, 34 GDPR（个人数据泄露的通知和告知；参见 § 15）；

(c) Art. 35 GDPR（数据保护影响评估）；

(d) Art. 36 GDPR（事先咨询监管机构）。

14.4. 数据处理者有权就 § 14.1 和 § 14.3 项下超出通常范围或造成不合理负担的协助服务收取合理补偿。

§ 15 – 个人数据泄露通知

15.1. 数据处理者应在获知影响受委托处理的数据控制者个人数据的任何个人数据泄露事件（Art. 4(12) GDPR）后立即通知数据控制者，通常在二十四（24）小时内（Art. 33(2) GDPR）。

15.2. 通知应至少包括以下信息（以通知时可获得的信息为限）：

(a) 个人数据泄露性质的描述，尽可能包括受影响的数据主体和数据记录的类别及大致数量；

(b) 数据处理者的联系人姓名及联系方式，以便进一步查询；

(c) 泄露事件可能后果的描述；

(d) 数据处理者已采取或拟采取的补救措施及减轻不利影响的措施描述。

15.3. 如无法同时提供所有信息，数据处理者应在合理期限内分阶段提供（参照 Art. 33(4) GDPR）。

15.4. 数据处理者应记录所有个人数据泄露事件，包括所有相关事实、影响及已采取的补救措施。该记录应根据要求向数据控制者提供。

15.5. 数据处理者应协助数据控制者履行向监管机构通知的义务（Art. 33 GDPR）以及在必要时向数据主体告知的义务（Art. 34 GDPR）。

15.6. 通知应通过电子邮件发送至数据控制者用户账户中存档的电子邮件地址。可额外提供仪表盘通知。数据控制者应确保存档的电子邮件地址始终有效且可达。

§ 16 – 数据的删除和返还

16.1. 在主合同终止后，数据处理者应在主合同规定的保留期限届满后（目前为合同终止后三十（30）个日历日，参见条款和条件 § 9.6）删除所有受委托处理的个人数据，除非欧盟或成员国法律要求继续存储。

16.2. 数据控制者有义务在 § 16.1 规定的保留期限届满前，通过平台提供的导出功能（特别是 JSON 导出、PDF 导出）备份其数据。数据处理者应及时通知数据控制者即将进行的删除。

16.3. 应数据控制者指令，数据处理者应在删除前以结构化、通用的机器可读格式（JSON）返还个人数据，以技术上可行为限。

16.4. 删除应涵盖个人数据的所有副本，包括备份副本，以技术上可行且合理为限。如因技术限制（例如自动备份周期）无法立即删除备份副本，应在常规备份轮换周期内予以删除。在最终删除完成前，本 DPA 的保护义务继续适用。

16.5. 数据处理者应根据要求以书面形式向数据控制者确认个人数据已完全删除。

16.6. 法定保留义务（特别是根据德国《税法通则》(AO) § 147 和德国《商法典》(HGB) § 257 的规定）不受影响。在此情况下，相关数据在法定保留期限内应被冻结，并在保留期限届满后予以删除。

§ 17 – 责任

17.1. 双方就本 DPA 相关的责任适用 GDPR 的规定，特别是 Art. 82 GDPR，以及主合同（条款和条件）的责任条款，除非本 DPA 另有规定。

17.2. 各方应就违反 GDPR 的处理所造成的全部损害向数据主体承担责任（Art. 82(1) GDPR）。数据处理者仅在未遵守 GDPR 中专门针对处理者的义务，或超出或违反数据控制者合法指令行事的情况下承担责任（Art. 82(2) GDPR）。

17.3. 如一方已就所遭受的全部损害支付了全额赔偿，该方有权向另一方追偿与其责任份额相应的赔偿部分（Art. 82(5) GDPR）。

17.4. 主合同的责任限制（特别是条款和条件 § 18）应补充适用，但不得与 GDPR 的强制性责任规定相抵触。数据主体依据 Art. 82 GDPR 享有的强制性权利不得通过合同加以限制。

§ 18 – 期限和终止

18.1. 本 DPA 于主合同订立时（注册并使用平台）生效，并在主合同有效期内持续有效。

18.2. 不得单独终止本 DPA。主合同的终止自动包含本 DPA 的终止。

18.3. 本 DPA 中因其性质在终止后继续有效的义务不受影响。这特别适用于删除义务（§ 16）、保密义务（§ 10）和责任条款（§ 17）。

18.4. 因正当事由特别终止主合同的权利不受影响。数据控制者特别终止的正当事由尤其包括数据处理者反复或实质性违反本 DPA 或 GDPR 规定的义务。

§ 19 – 最终条款

19.1. 本 DPA 的修改和补充须以书面形式进行。放弃该书面形式要求亦须以书面形式作出。

19.2. 如本 DPA 的任何条款无效或不可执行，其余条款的效力不受影响。无效或不可执行的条款应由一项有效的条款替代，该替代条款应最接近原条款的经济目的并符合 GDPR 的要求。

19.3. 本 DPA 受德意志联邦共和国法律管辖。主合同的管辖权条款（条款和条件 § 27）相应适用。

19.4. 如本 DPA 的不同语言版本之间存在差异，以德语版本为准。

19.5. 数据控制者可通过以下地址就数据保护相关事宜（特别是访问权、删除权、更正权、DPA 问题）联系 DPP Hero：

附录 1 – 技术和组织措施 (TOMs)

以下是数据处理者在合同订立时依据 Art. 32 GDPR 实施的技术和组织措施。各项措施将持续审查并根据技术发展水平进行调整。

1. 物理访问控制

DPP Hero 作为纯云端 SaaS 平台运营。不在物理本地服务器上处理个人数据。物理访问控制由基础设施次级处理者保障：

• Supabase/AWS（欧盟法兰克福区域）：通过 ISO 27001、SOC 2 Type II 认证的数据中心，配备生物识别门禁、全天候监控、多区域安全保护；

• Vercel（欧盟法兰克福区域）：具备物理安全管控的企业级基础设施；

• 数据中心设施的访问权限仅限于相关次级处理者的授权人员。

2. 系统访问控制

防止未经授权使用数据处理系统的措施：

• 密码策略：最少 8 个字符；密码仅以 bcrypt 哈希形式存储；DPP Hero 无法访问明文密码；

• 双因素身份验证 (2FA)：基于 TOTP 的可选第二因素验证；

• 会话管理：基于 JWT 的访问令牌（有效期约 1 小时），配合刷新令牌（有效期约 7 天）；自动会话过期；

• 暴力破解防护：对身份验证端点（登录、注册、密码重置）实施基于 IP 的速率限制；

• 机器人防护：使用 Cloudflare Turnstile 进行自动访问检测；

• 管理访问：限于数据处理者的管理层；通过启用 2FA 的独立安全账户访问 Supabase Dashboard 和 Vercel Dashboard。

3. 数据访问控制

确保授权用户仅能访问其有权访问的数据的措施：

• 基于角色的访问控制 (RBAC)：区分用户角色（所有者、成员）；

• 行级安全策略 (RLS)：通过 PostgreSQL 策略实现数据库级别的访问控制；每个查询自动按 organisation_id 进行过滤；

• 最小权限原则：用户仅能访问属于其自身组织的数据；

• API 密钥管理：Supabase Service Role Key 和 Anon Key 严格分离；Service Role Key 仅在服务器端使用。

4. 分离控制

确保为不同目的收集的数据被分别处理的措施：

• 逻辑租户隔离：所有数据记录均关联 organisation_id；RLS 策略在数据库层面强制执行严格的数据分离；

• 目的限制：个人数据仅用于本 DPA 规定的目的；

• 独立环境：开发、预发布和生产环境在逻辑上相互隔离。

5. 假名化和加密

对个人数据进行假名化和加密的措施：

• 传输加密：客户端和服务器之间的所有数据传输均通过 TLS 1.2 或更高版本加密；

• 静态加密：数据库和文件存储使用 AES-256 进行静态加密（AWS/Supabase）；

• 密码哈希：使用具有适当成本因子的 bcrypt；

• 完整性验证：使用 HMAC-SHA256 对产品数据进行数字签名；

• 假名化：使用 UUID 作为主要标识符替代自然键；用户在审计追踪中的引用在账户删除时进行假名化处理。

6. 可用性控制

确保个人数据免受意外销毁或丢失的措施：

• 自动备份：Supabase 每日自动备份数据库，支持时间点恢复 (PITR)；

• 冗余：基础设施次级处理者提供冗余存储和故障转移机制；

• 监控：系统可用性和性能监控；

• DDoS 防护：基于 Cloudflare 的分布式拒绝服务攻击防护。

7. 弹性

确保系统抵御中断能力的措施：

• 自动扩展：基于 Vercel 的无服务器架构，支持自动资源扩展；

• 边缘分发：通过全球 CDN 分发静态内容，确保高可用性；

• 速率限制：通过可配置的请求限制防止过载。

8. 可恢复性

确保在发生物理或技术事故时能够恢复个人数据的措施：

• 时间点恢复 (PITR)：数据库可恢复至保留期内的任意时间点；

• 每日备份：自动化的每日数据库备份；

• 应急程序：针对数据丢失场景的文档化事件响应程序；

• 部署回滚：支持将应用部署回退至先前版本。

9. 定期审查、评估和评价程序

确保技术和组织措施持续有效性的措施：

• 年度审查：技术和组织措施至少每年审查和更新一次；

• 次级处理者监控：定期审查次级处理者的认证和合规状况（SOC 2 Type II、ISO 27001）；

• 漏洞管理：定期进行依赖项更新和安全补丁修复；

• 数据保护管理：处理数据主体请求、数据泄露事件和数据保护影响评估的内部流程。

附录 2 – 已批准的次级处理者

以下次级处理者在合同订立时已获得数据控制者的批准（截至 2026 年 3 月）：

第三国传输。Supabase, Inc.、Vercel, Inc.、Stripe, Inc.、Resend, Inc. 和 Cloudflare, Inc. 的总部位于美利坚合众国。通过以下保障措施确保充分的数据保护水平：

(a) EU-U.S. Data Privacy Framework：所有位于美国的次级处理者均已根据欧盟委员会 2023 年 7 月 10 日的充分性决定获得 EU-U.S. Data Privacy Framework 认证（Art. 45 GDPR）；

(b) 标准合同条款 (SCCs)：作为附加保障措施，已签订包含欧盟委员会依据 Art. 46(2)(c) GDPR 制定的标准合同条款的数据处理协议；

(c) 欧盟数据处理：核心数据处理（数据库、身份验证、文件存储）在欧盟法兰克福区域（aws eu-central-1）进行。无服务器函数在欧盟法兰克福区域执行。电子邮件投递通过 Resend 的欧盟基础设施（爱尔兰，aws eu-west-1）处理。欧盟客户的支付数据由位于爱尔兰都柏林的 Stripe Payments Europe, Limited 处理。

sevDesk GmbH 位于德国。在此方面不涉及向第三国的数据传输。