数据处理协议(DPA)

1. 适用范围与生效条件

1.1 适用范围

本数据处理协议(以下称"DPA")适用于以下情形:

• 您订阅了 ExpoMate 企业 / 团队套餐(STANDARD / FLAGSHIP / ENTERPRISE)
• 您将员工 / 客户的个人信息上传到 ExpoMate(如:批量导入员工账号、上传客户名单进行匹配、邀请合作伙伴查看共享报告等)
• 您是 GDPR Art.4(7) 定义的数据控制者(Controller)/ PIPL §73(1) 定义的个人信息处理者
• ExpoMate 是 GDPR Art.4(8) 定义的数据处理者(Processor)/ PIPL §73(1) 定义的受托人

1.2 生效条件

• 您订阅 ExpoMate 企业 / 团队套餐时,本 DPA 自动生效
• 个人用户(INDIVIDUAL)无需单独签署,适用《服务条款》+《隐私政策》即可
• 需要正式书面签署(盖章 PDF)的客户,请发邮件至 dpo@expomate.cn,我们提供 PDF 双方签字版

1.3 法律框架

本 DPA 同时满足:

• 欧盟《通用数据保护条例》(GDPR)Art. 28
• 欧盟标准合同条款(SCC)2021/914 · 模块二(Controller-to-Processor)
• 中国《个人信息保护法》(PIPL)第 21 条委托处理 + 第 55-59 条
• 《数据安全法》《网络安全法》关于数据出境与安全保护的要求

2. 双方角色与责任划分

2.1 您作为数据控制者的承诺

• 上传的个人信息已获得数据主体的合法授权(明示同意 / 合同必需 / 其他合法基础)
• 上传数据准确、完整、最新
• 及时通知我们数据主体的访问 / 删除 / 更正 / 数据可携带权请求
• 不上传敏感个人信息(身份证号、银行卡号、生物识别、医疗健康、宗教信仰等),除非另行书面约定
• 您的指令不违反任何法律法规

2.2 我们作为受托处理者的承诺

详见以下各条 · 核心要点:

• 仅按您指令处理(包括本 DPA 默示授权)
• 保密义务 · 员工 NDA + 最小权限
• 安全措施 · 见 §6
• 协助您行权 · 5 个工作日内响应
• 数据泄露通知 · 72 小时内
• 数据返还 / 销毁 · 见 §8
• 子处理者管理 · 见 §5
• 审计配合 · 见 §10

3. 处理范围

3.1 个人数据类别

3.2 数据主体类别

• 您的员工(包括正式 / 实习 / 外包人员)
• 您客户名单中的联系人(若您上传)
• 您合作伙伴 / 供应商的联系人(若您主动添加)

3.3 处理目的

仅限于为您提供 ExpoMate 服务:

• 账号管理 / 协作功能(邀请、权限、组织管理)
• AI Copilot 智能问答(基于您当前查看的页面上下文)
• 推荐算法 / 智能匹配(基于您员工的偏好与行为)
• 操作审计 / 合规留存(满足法律要求)
• 客户支持 / 工单处理

我们不用于:

• ❌ 我们自有产品的二次开发 / 商业 AI 模型训练
• ❌ 出售给任何第三方
• ❌ 营销推广(向您的员工 / 客户发送 ExpoMate 广告)
• ❌ 任何超出您指令范围的目的

3.4 处理时长

• 按您订阅期间持续处理
• 订阅终止后按 §8 数据返还 / 销毁政策处理

4. 您的指令

4.1 默示指令

我们将以下情形视为您的默示指令(不需另行书面同意):

• 您通过 ExpoMate UI / API 触发的所有数据操作
• 您账号下创建的自动化任务(定时报告、提醒等)
• 我们为提供服务必需的技术性处理(数据库读写、备份、缓存等)

4.2 显式指令

涉及以下情形,需要您显式书面指令(邮件 / 工单 / 控制台勾选):

• 数据出境(向中国大陆境外传输)
• 配合您所在地或非本协议约定司法辖区的法律请求
• 任何超出本 DPA §3.3 处理目的的处理

4.3 非法指令

如您的指令违反法律法规,我们有权拒绝执行并书面通知您。我们不因此承担违约责任。

5. 子处理者(Sub-processors)

我们为提供服务,委托以下第三方作为子处理者:

5.1 子处理者管理

• 我们已与所有子处理者签署 DPA / 标准合同条款 / 数据保护附录
• 新增 / 更换子处理者会至少提前 30 天在 /legal/dpa 公告 + 邮件通知您
• 您可在 30 天内基于合理理由(数据保护风险 / 监管合规)书面提出反对
• 反对未达成共识的,您可终止订阅 · 我们退还未使用费用

5.2 我们对子处理者的责任

我们对子处理者违反本 DPA 同等义务的行为承担责任(GDPR Art. 28(4))。

6. 安全措施(Technical and Organisational Measures · TOM)

6.1 技术措施

6.2 组织措施

• NDA 签署:全体员工入职签署保密协议
• 背景调查:核心岗位入职背调
• 最小权限:仅业务必要岗位接触客户数据 · 临时授权按需开通
• 安全培训:季度全员安全意识培训 + 钓鱼邮件演练
• 数据泄露应急响应预案:事件分级 · 响应时长 · 通知流程
• 合规审计:年度内部审计 + 高风险变更外部审查

6.3 详细安全白皮书

详见 /compliance 数据合规页 · 提供 SOC 2 Type II / ISO 27001 进度披露(在审中)。

7. 跨境数据传输(Cross-Border Transfer)

7.1 主存储

• 所有客户数据默认存储在中国大陆(阿里云华东上海区域)
• 国际客户邮件经 Resend(美国)中转后投递

7.2 出境合规

如您的数据需要出境(典型场景:启用 Gemini / OpenAI · 仅由您决策启用):

• 我们已采取标准合同条款(SCC 2021/914 模块二)
• 同时按《数据出境安全评估办法》进行评估
• 仅传输服务必需的最小数据 · 不传输您员工 / 客户的真实姓名、身份证号、银行卡号
• 数据主体保留所有 GDPR / PIPL 行权能力
• 您可随时关闭"国际 AI 服务"以阻止数据外传

7.3 第三国适当性

我们仅向已被中国 / 欧盟认定为"提供充分保护"或已签 SCC 的国家 / 地区传输:

• 美国(SCC + 内部安全措施)
• 欧盟内部传输(GDPR 自动适当)
• 其他国家需逐案评估并经您事先书面同意

8. 数据返还与销毁

8.1 服务期间

• 数据按本 DPA §3.4 持续处理
• 您可随时通过「设置 → 数据导出」请求 JSON / CSV 格式的全量数据导出

8.2 订阅终止

• 30 天内:您可继续申请数据导出(我们提供完整 JSON / CSV)
• 31 天后:从生产数据库完全删除
• 90 天内:从所有备份介质过期(自动)
• 您可在终止前主动选择"立即销毁"以加速

8.3 法律保留

以下数据按法律要求保留(不受 §8.2 影响):

• 操作审计日志:365 天(应对监管审计)
• 财务凭证:5 年(《会计法》)
• 涉及司法 / 监管要求保留的特定数据:按法律要求

8.4 销毁证明

应您书面请求,我们在销毁完成后 5 个工作日内提供书面销毁证明。

9. 数据主体权利协助

9.1 我们的协助义务

数据主体(您的员工 / 客户)向您行使 GDPR Art. 15-22 / PIPL §44-47 权利时,我们将协助您响应:

9.2 直接转交

如数据主体直接联系我们而非您,我们会:

• 告知数据主体应向您(数据控制者)行权
• 在 5 个工作日内书面通知您该请求
• 必要时为您提供请求记录与处理建议

10. 审计与合规配合

10.1 您的审计权

您每年最多 1 次通过以下方式审计我们:

• 书面问卷(默认 · 免费):您发送 SAQ / SIG 等行业标准问卷,我们 15 个工作日内回复
• 远程审计(免费):视频会议 + 文档共享 · 每次 ≤ 2 小时
• 现场审计(费用合理分摊):预约后 30 天内安排 · 每次 ≤ 1 个工作日

10.2 第三方审计报告共享

我们承诺免费提供以下第三方审计报告(预计 2026-Q4 起):

• SOC 2 Type II 报告(NDA 后提供)
• ISO 27001 / ISO 27701 认证(预期 2027 年)
• 渗透测试摘要(每年 1 次)

10.3 监管协助

我们协助您回应监管机构(网信办 / 数据保护局)的合法调查请求 · 包括:

• 提供证据 / 日志 / 配置截图
• 必要时安排技术专家配合答询
• 不主动向监管机构披露您的数据(法律强制除外)

11. 数据泄露通知

11.1 发现与评估

我们建立 7×24 监控 · 任何疑似数据泄露事件触发以下流程:

1. 发现(0-30 分钟):告警进入应急响应通道
2. 评估(0-4 小时):安全团队评估范围 / 严重程度 / 涉及主体
3. 抑制(0-12 小时):隔离泄露源 / 撤销凭据 / 修补漏洞
4. 通知(72 小时内):若涉及您的数据,书面通知您

11.2 通知内容

• 泄露的性质 / 大致时间 / 已知原因
• 涉及的个人数据类别与大致数量
• 我们已采取与计划采取的补救措施
• 联系人(DPO 邮箱 / 应急电话)
• 后续追踪计划

11.3 您的义务

收到通知后,您需:

• 评估是否需通知数据主体(GDPR Art. 34)
• 评估是否需向监管机构报告(GDPR Art. 33 / PIPL §57)
• 配合我们提供的补救措施(如重置密码 / 撤销 API Key)

12. 责任与赔偿

12.1 各自责任

• 您的责任:因您的指令违法 / 上传未经授权的数据 / 违反 §2.1 承诺导致的损失,由您承担
• 我们的责任:因我们违反本 DPA 导致的损失,我们承担(责任上限见 §12.2)

12.2 赔偿上限

我们承担的赔偿总额不超过您过去 12 个月支付的订阅费用。但下列情形不受此限:

• 涉及人身伤害
• 故意 / 重大过失
• 违反个人信息保护法律法规
• 违反保密义务

12.3 第三方索赔

任何一方因对方违反本 DPA 导致第三方索赔时,违反方应先行承担应诉责任 · 双方互相协助。

13. 协议变更

• 重大变更我们至少提前 30 天通知您
• 您可拒绝变更并终止订阅 · 我们退还未使用费用
• 法律法规更新强制要求的变更不需要您同意 · 但我们会在变更后立即通知

14. 法律适用与争议解决

14.1 适用法律

• 数据控制者位于中国大陆:适用中华人民共和国法律
• 数据控制者位于欧盟 / 英国:适用您所在国家法律 + GDPR
• 其他:适用中华人民共和国法律(无冲突法规则)

14.2 争议解决

• 友好协商优先
• 协商不成提交上海仲裁委员会(中国客户)/ 您所在国家有管辖权法院(国际客户)
• 紧急保全措施可向有管辖权法院申请

15. 协议层级与冲突

如本 DPA 与《服务条款》或《隐私政策》存在冲突:

• 涉及个人信息保护事项,优先适用本 DPA
• 其他事项,以《服务条款》为准

16. 签署

• 您订阅 ExpoMate 企业 / 团队套餐时,本 DPA 自动生效(电子接受 · 等同书面)
• 需要正式签署 PDF 盖章版的客户,请发邮件至 dpo@expomate.cn
• 双方签字盖章版自最后一方盖章日生效

17. 联系方式

运营主体:上海点书科技有限公司 ICP 备案:沪ICP备2026006669号 办公地址:中国上海市