数据处理附录(DPA)

1. 目的与适用范围

本附录适用于控制者通过使用服务委托处理者处理个人数据的情形,构成服务条款和服务合同的一部分。

在个人数据保护方面与服务合同不一致的,以本附录为准。

2. 处理详情(附件 I)

3. 处理者的义务

• 仅按照控制者的书面指示(服务合同、服务设置、管理员操作)进行处理;认为指示违反法律时立即告知(第 28 条第 3 款 (a))。
• 要求有权处理的人员承担保密义务((b))。
• 实施附录 II 中的技术和组织措施（第32条，（c）项）。
• 提供功能(导出我的数据、请求队列、执行删除)和协助,使控制者能够回应数据主体的请求((e))。
• 协助履行安全、泄露通知、影响评估和事先咨询义务(第 32–36 条,(f))。
• 合同终止时按控制者的选择返还并删除数据;法律要求保存的,在该期限内分开保存((g))。
• 提供证明遵守本附录的信息,并在合理的事先通知后配合审计(优先采用书面问卷和第三方认证报告)((h))。
• 禁止超出目的的处理,限制再委托,接受管理和监督,并承担损害赔偿责任(韩国《个人信息保护法》第 26 条第 1 款,施行令第 28 条)。

4. 分处理者

控制者对附录 III 中的子处理者给予一般授权。处理者在新增或更换子处理者前提前30天通知，控制者可基于合理理由提出异议（第28条第2款和第4款）。子处理者通过合同承担与本附录同等的义务。

5. 跨境传输

将欧盟/欧洲经济区个人数据传输至韩国，依赖欧盟委员会的充分性决定（EU）2022/254。向子处理者所在的第三国传输，依赖充分性决定（如欧盟-美国 DPF）或标准合同条款（SCC，（EU）2021/914 — 模块3：处理者对处理者）及补充措施。

6. 个人数据泄露通知

处理者在发现泄露后及时(目标 24 小时内)通知控制者,并在已知范围内提供泄露的性质、范围、受影响的数据主体和数据类别、可能的后果及已采取的措施,使控制者能够在 72 小时内报告(GDPR 第 33 条,韩国《个人信息保护法》第 34 条)。

7. 技术和组织措施(附件 II)

• 传输加密(TLS 1.2 及以上),机密信息和访问令牌加密存储(AES-256-GCM,密钥存放于云密钥保管库)
• 按租户隔离数据(数据库行级安全),基于角色的访问控制,最小权限
• 可发现篡改的审计记录(哈希链) — 写入前遮盖邮箱地址、电话号码等
• 只向 AI 模型提供方发送请求所需的最少数据,上传和建立索引前遮盖居民登记号码等
• 备份与恢复、运行观测、漏洞检查
• 对处理个人数据的人员进行培训并签署保密承诺

8. 分处理者列表(附件 III)

隐私政策第 16-4 节(接收方与分处理者)中的表格为最新列表。

9. 期限与效力

本附录与服务合同同时生效、同时终止。合同终止后,返还和删除数据以及保密的义务继续有效。