数据处理协议

目录

1. 1. 范围、角色与定义
2. 2. 处理的详情
3. 3. 客户的指示
4. 4. 获授权人员的保密义务
5. 5. 安全措施
6. 6. 子处理者
7. 7. 数据位置与国际转移
8. 8. 协助处理数据主体请求
9. 9. 个人信息泄露通知
10. 10. 影响评估与监管机构咨询
11. 11. 信息与审计
12. 12. 数据的返还与删除
13. 13. 政府要求
14. 14. 责任
15. 15. 期限与效力优先
16. 16. 数据保护联络人与处理记录
17. 附件 1：处理的详情
18. 附件 2：技术和组织措施
19. 附件 3：子处理者

版本： 1.2 · 发布日期： 2026 年 10 月 16 日 · 生效： 对新工作空间，自接受时起；对已接受早期版本的工作空间，自 STAK 依《客户服务条款》第 20 条所发通知中载明之日起 · 具有约束力的文本： 英语（《客户服务条款》第 23.9 条）

签发方： STAK Global, LLC，一家依美利坚合众国特拉华州法律设立的有限责任公司（档案编号 10798493），拥有 STAK（ستاك）和服务的所有权。联系方式：[email protected]。

1. 范围、角色与定义

1.1 本《数据处理协议》依《STAK 客户服务条款》（“条款”）第 3.1 条构成协议的组成部分。它规范 STAK 对客户个人信息的处理。条款中定义的用语在本《数据处理协议》中具有相同含义。

1.2 客户是客户个人信息的控制者，STAK 是代表客户并依其指示处理该信息的处理者。

• 控制者和处理者指适用数据保护法下与之相当的概念，例如沙特阿拉伯王国的控制实体和处理实体。
• 如客户作为处理者代表另一控制者处理数据，则 STAK 作为为客户行事的处理者处理该数据，不属于第 1.3 条所指的子处理者。客户应确保其指示与该控制者的指示一致。
• STAK 作为控制者处理账户数据，如隐私政策所述，本《数据处理协议》不适用于账户数据。此处的提及以及附件 3 中的提及均不依条款第 3.2 条产生合同义务。

1.3 下列用语具有每项旁所给予的含义：

• 客户个人信息： 包含在客户数据中的个人信息，包括关于客户的终端客户、员工、供应商和用户的数据，但账户数据除外。
• 敏感个人信息： 健康和临床数据，以及适用数据保护法归类为敏感的任何数据。
• 处理： 对个人信息执行的任何操作，例如收集、记录、存储、检索、使用、披露、转移和删除。
• 子处理者： STAK 为提供服务而聘用的处理客户个人信息的任何一方。
• 数据主体： 个人信息所涉及的自然人。
• 安全事件： 威胁或疑似威胁服务的保密性、完整性或可用性的任何事件。
• 个人信息泄露： 导致客户个人信息被意外或非法销毁、丢失或更改，或被未经授权披露或访问的任何安全漏洞。
• 备份： 为恢复目的，依第 12.3 条和附件 2 制作的客户数据的任何副本。
• 生产环境： 服务运行所依托且客户使用的系统和数据库，不包括备份。
• 适用数据保护法： 适用于处理的个人数据保护立法，按其各自适用情况，包括以下法律：
  • 在科威特国：2014 年第 20 号《电子交易法》，以及科威特国通信和信息技术管理局发布的《数据隐私保护条例》、《云计算监管框架》和《数据分类政策》，各自在其范围内适用；
  • 沙特阿拉伯王国第 (M/19) 号王室令（伊历 9/2/1443）颁布的《个人数据保护法》（经修订）、其《实施条例》以及《王国境外个人数据转移条例》；
  • 在阿拉伯联合酋长国：2021 年第 (45) 号联邦法令《个人数据保护法》、2019 年第 (2) 号联邦法《卫生领域信息和通信技术使用法》，以及迪拜国际金融中心和阿布扎比全球市场的数据保护法律（适用于受其管辖的主体）；
  • 巴林王国 2018 年第 (30) 号法律颁布的《个人数据保护法》；
  • 卡塔尔国 2016 年第 (13) 号《个人数据隐私保护法》；
  • 阿曼苏丹国第 (6/2022) 号苏丹令颁布的《个人数据保护法》；
  • 欧盟《通用数据保护条例》（(EU) 2016/679 号条例），在其适用于客户时；
  • 英国《通用数据保护条例》和《2018 年数据保护法》；瑞士《联邦数据保护法》；经修订的《加利福尼亚州消费者隐私法》及美利坚合众国其他综合性州隐私法；加拿大《个人信息保护和电子文件法》及各省法律；巴西《通用数据保护法》(Lei Geral de Proteção de Dados)（2018 年第 13.709 号法律）；印度《2023 年数字个人数据保护法》；土耳其第 6698 号《个人数据保护法》；埃及 2020 年第 151 号法律；南非《2013 年个人信息保护法》；新加坡《2012 年个人数据保护法》；澳大利亚《1988 年隐私法》；以及适用于处理的任何其他个人数据保护法。

2. 处理的详情

附件 1 列明处理的标的、期限、性质和目的、数据主体的类别以及个人信息的类别。

3. 客户的指示

3.1 STAK 仅依客户的书面指示处理客户个人信息。这些指示是：

• 协议；
• 工作空间设置；
• 用户在服务内采取的操作；
• 双方同意的任何其他书面指示。

3.2 适用法律要求时，STAK 可不依这些指示处理数据。除非法律禁止通知，STAK 会事先通知客户。

3.3 如 STAK 认为某项指示违反适用数据保护法，将通知客户。在客户修改指示以消除违法，或以书面形式确认该指示并附上 STAK 合理接受的法律依据说明之前，STAK 可拒绝执行该指示。

3.4 客户对其指示的合法性以及收集和处理客户个人信息的合法依据负责。这包括在需要时告知数据主体并取得其同意，包括依第 7 条对其数据转移的同意。

4. 获授权人员的保密义务

STAK 将对客户个人信息的访问限于工作所需的员工和承包商，并使其受保密义务约束。STAK 的员工和承包商仅在以下情形下访问客户数据，且每次此类对生产环境的访问的开始均被记录：

• (a) 提供客户要求的支持；
• (b) 运营和维护服务，以及从备份中恢复服务；
• (c) 调查安全事件或涉嫌违反《可接受使用政策》的行为；
• (d) 法律要求的。

5. 安全措施

5.1 STAK 采取适当的技术和组织措施保护客户个人信息，并考虑处理的性质和风险。这些措施至少包括附件 2 中的措施。

5.2 STAK 可更新这些措施，但整体保护水平不得降低。

5.3 客户对其自身控制下的安全措施负责，例如管理用户和权限、开启两步登录、保护其设备和设施，以及妥善保管其导出的数据。

6. 子处理者

6.1 客户授权 STAK 聘用附件 3 所列的子处理者。

6.2 STAK 必须与每个子处理者订立书面合同。该合同必须施加数据保护义务，提供与处理相适应且与本《数据处理协议》实质等同的保护水平。STAK 仍就其子处理者义务的履行向客户负责。

6.3 STAK 至少在任何新子处理者开始处理客户个人信息 30 日前，在服务内或通过电子邮件通知客户。

6.4 在通知期内，客户可基于合理的数据保护理由书面反对新的子处理者。如双方无法就解决方案达成一致，客户可在处理开始前终止受影响的订阅或本协议，并就剩余期间已预付的费用获得退款。

6.5 客户通过其自有账户连接的已连接服务商不属于 STAK 的子处理者。它们包括支付服务提供商、就客户自有 WhatsApp Business 账户而言的 Meta，以及配送平台。依客户指示向其发送数据，是依客户的指示并代表客户进行的转移。

6.6 仅当用户请求使用某项 AI 功能、用户上传文档供其读取（例如收据），或用户设置的自动化运行使用 AI 的步骤时，才会向 AI 功能提供商发送数据，且仅发送执行该请求或步骤所需的数据。提供商不得使用这些数据训练其模型。仅当请求或步骤本身包含敏感个人信息时，才会向其发送敏感个人信息。

7. 数据位置与国际转移

7.1 服务托管于，且客户个人信息主要存储于，位于德意志联邦共和国法兰克福区域的 Amazon Web Services 生产环境。备份保存在同一区域，并将其副本复制到位于爱尔兰共和国的单独 Amazon Web Services 区域。

7.2 客户确认以下事项，并明确授权由此产生的转移：

• (a) 托管位于欧洲联盟境内，该地可能位于客户成立或开展业务所在国之外；
• (b) Cloudflare 始终通过其全球网络处理网络流量；
• (c) 附件 3 所列的其他子处理者仅在使用相关服务时才在其他国家（包括美利坚合众国）处理数据；
• (d) STAK 的员工仅在第 4 条所列情形下，才可从科威特国访问数据。

7.3 对于将客户个人信息转移至其收集所在国家以外，STAK 适用以下保障措施：

• (a) 第 6.2 条所述合同，包括 STAK 与欧洲联盟境外子处理者订立的标准合同条款；
• (b) 传输中和静态加密；
• (c) 适用数据保护法要求时所承认的转移机制，包括第 7.6 条所述机制。

7.4 客户必须取得其所在国家法律要求的、将客户个人信息转移至该国以外所需的任何同意或授权，无论来自监管机构还是数据主体。STAK 应要求提供为此所需的信息。

7.5 STAK 可在至少提前 30 日通知客户后，将主托管或备份迁移至另一区域，客户可依第 6.4 条提出异议，依该条作出的任何终止应在迁移日期之前生效。在主托管区域丢失后，暂时从爱尔兰共和国的备份运行服务，不属于本条所指的迁移，STAK 将不无故拖延地通知客户。

7.6 法律要求的转移机制： 在不影响第 7.4 条的前提下：

• (a) 如欧盟《通用数据保护条例》（GDPR）适用于客户，则欧盟委员会第 (EU) 2021/914 号实施决定通过的标准合同条款（“欧盟 SCC”）以援引方式并入本《数据处理协议》：客户为控制者的，适用第二模块（控制者至处理者）；客户为另一控制者处理数据的，适用第三模块（处理者至处理者）。客户为数据输出方，STAK 为数据输入方。适用第 7 条（加入条款）。就第 9(a) 条而言，适用选项 2（一般书面授权），通知期限依第 6.3 条。第 11(a) 条中的可选措辞不适用。就第 17 条和第 18 条而言，适用爱尔兰共和国的法律及法院。主管监管机构依第 13 条确定。其附件由附件 1、附件 2 和附件 3 补充完整。两者冲突时，其优先于本协议。
• (b) 如沙特阿拉伯王国《个人数据保护法》适用于客户，则沙特数据与人工智能管理局发布的《个人数据转移标准合同条款》第二模板（控制者至处理者）以援引方式并入本《数据处理协议》。客户为数据输出方，STAK 为数据输入方，其附录由附件 1、附件 2 和附件 3 补充完整。STAK 向客户提供其依《王国境外个人数据转移条例》须开展的转移风险评估所需的信息。两者冲突时，其优先于本协议。
• (c) 如阿拉伯联合酋长国 2021 年第 (45) 号联邦法令适用于客户，则 STAK 对所转移的数据适用该法中适用于处理者的规定、措施和控制。
• (d) 如英国《通用数据保护条例》适用于客户，则英国信息专员发布的《欧盟 SCC 国际数据转移附录》（版本 B1.0，自 2022 年 3 月 21 日起生效，及其后续修订）以援引方式并入。表 1 至表 3 以本协议及附件 1 至附件 3 中各方的详情补充完整。就表 4 而言，任何一方均可依其第 19 节的允许终止该附录。
• (e) 如瑞士《联邦数据保护法》适用于客户，则欧盟 SCC 经以下修改后适用：瑞士联邦数据保护和信息专员是受该法管辖的转移的主管监管机构；对 GDPR 的提及包括该法；并且对“成员国”作如下解读，即瑞士的数据主体可以在瑞士提出索赔。
• (f) 如另一适用数据保护法要求特定的转移文书，例如巴西国家数据保护机关的标准合同条款或土耳其第 6698 号法律下的标准合同，STAK 应客户要求签署或并入该文书，其详情由附件 1 至附件 3 补充完整。
• (g) 如《加利福尼亚州消费者隐私法》或类似的美国州隐私法适用，STAK 作为客户的服务提供者、承包商或处理者行事。STAK 不出售或共享客户个人信息。除依协议提供服务之外，或在与客户的直接业务关系之外，STAK 不为任何目的保留、使用或披露该等信息。除这些法律允许的情形外，STAK 不将其与来自其他来源的个人信息合并。STAK 遵守这些法律，并提供其所要求的同等水平的隐私保护。如 STAK 不能再履行这些义务，将告知客户。客户可采取合理措施，制止并补救任何未经授权的使用。STAK 保证其理解这些限制。

7.7 必须保留在特定国家的数据： 客户不得在服务中保存适用法律要求必须在特定国家境内存储或处理的数据，除非服务依条款第 9.5 条显示相关应用可在该国托管。这遵循条款第 13.4 条和《可接受使用政策》第 5.4 条。

8. 协助处理数据主体请求

8.1 服务向客户提供查看、导出和更正其终端客户个人信息的工具，通过以别名替换其身份而删除该信息、同时保留法律要求保留的记录的工具，以及查看和更正其员工数据的工具。客户使用这些工具答复数据主体的请求，对于这些工具未涵盖的任何事项（包括导出和删除员工数据），STAK 依第 8.3 条提供协助。

8.2 如 STAK 直接收到数据主体就客户个人信息提出的请求，将立即转交客户，并仅依客户的指示作出答复。

8.3 对于现有工具未涵盖的任何事项，STAK 向客户提供合理协助。

9. 个人信息泄露通知

9.1 STAK 在知悉影响客户个人信息的任何个人信息泄露后，不无故拖延地通知客户。在可行的情况下于知悉后 24 小时内通知，且在任何情况下均在 48 小时内通知。

9.2 通知包括（在信息可得的范围内）：

• (a) 违约的性质；
• (b) 数据和数据主体的类别及其大致数量；
• (c) 可能产生的后果；
• (d) 已采取和拟采取的应对泄露的措施；
• (e) STAK 的联络人。

STAK 在信息可得后立即提供进一步的信息。

9.3 STAK 立即采取合理措施遏制泄露并限制其影响。在客户必须通知监管机构和数据主体的情形下，STAK 与客户合作进行通知，并考虑法律为客户设定的期限。适用法律要求 STAK 本身就泄露事件通知监管机构的，STAK 在规定期限内通知并告知客户。

9.4 STAK 就泄露事件发出通知或配合处理，不构成对过错或责任的承认。

10. 影响评估与监管机构咨询

应客户要求，STAK 提供开展数据保护影响评估或咨询监管机构所合理需要的信息，以其涉及服务为限。

11. 信息与审计

11.1 应客户要求，STAK 提供证明其遵守本《数据处理协议》所合理需要的信息。这包括安全文档以及每年一次对安全问卷的答复。

11.2 在下列情形下，客户可自费进行审计，或聘请受保密义务约束的独立审计师进行审计：

• (a) 监管机构要求的；
• (b) 在影响其数据的个人信息泄露发生后；
• (c) 根据第 11.1 条提供的信息不充分的。

审计须符合下列条件：

• 客户至少提前 30 日将审计通知 STAK。
• 其在工作日的营业时间内进行。
• 依 (c) 段进行的审计每年不得超过一次。
• 任何审计均不延伸至子处理者的设施。以其认证和独立报告代之即可。
• 任何审计均不包括访问其他客户的数据或影响其安全的任何内容。

12. 数据的返还与删除

12.1 客户可依条款第 19.5 条，在任何时间以及协议终止后 30 天内导出客户个人信息。

12.2 导出期限届满后，STAK 将在 30 日内从生产环境中删除客户个人信息，但适用法律要求保留的除外，且在 STAK 已被告知存在法院争议、调查或有权机关请求期间，受条款第 19.5 条所述保留的约束。

12.3 备份按以下保留期限保存：

• (a) 时间点恢复和每日备份：自每份备份制作之日起 35 日；
• (b) 数据库的每晚逻辑备份（数据库转储）：35 日；
• (c) 月度备份：自每份备份制作之日起 12 个月；
• (d) 已上传文件的早期版本：自其被替换或删除之日起 90 日。

适用于这些备份的规则：

• 每日和每月备份及其副本保存在备份保管库中，保管库的策略禁止任何人（包括 STAK 自己的员工）在保留期限届满前删除备份或更改该期限，且其在托管提供商合规模式下的锁定机制至少在备份最初的 35 天内阻止删除任何备份。
• 每晚的逻辑备份在其保留期限届满前受到保护，不得更改和删除。
• 即使应客户要求，STAK 也不会在保留期限届满前删除任何备份。
• 所有备份均处于不再使用的状态，仅用于技术恢复（受第 12.4 条约束）或法律要求的情形。
• 包含已删除数据的所有备份在上述期限届满时到期，即最长在 12 个月内到期，届时已删除的数据将被永久销毁。
• 应要求，STAK 告知客户最后一份包含已删除数据的备份的到期日期，以便客户告知数据主体。

12.4 如 STAK 在上述期限内恢复备份，则在数据可供使用之前，STAK 会利用其持有的相关操作记录，重新执行在该备份日期之后依第 8.1 条进行的删除以及依第 12.2 条进行的删除。

13. 政府要求

如 STAK 收到政府或司法机关要求披露客户个人信息的具有约束力的请求，除非法律禁止通知，否则将通知客户。STAK 将披露限制在请求所要求的最低限度。对于其合理认为非法的请求，STAK 将通过可用的法律途径提出异议。

14. 责任

各方依本《数据处理协议》承担的责任，包括依第 7.6 条标准合同条款对另一方承担的责任，在该等条款允许的范围内，受条款第 16 条责任限制规定的约束，且不影响数据主体依其享有的权利。

15. 期限与效力优先

15.1 本《数据处理协议》在 STAK 处理客户个人信息期间适用。

15.2 本《数据处理协议》与条款冲突的，在涉及客户个人信息的事项上以本《数据处理协议》为准。

15.3 适用数据保护法施加了比本《数据处理协议》更严格的强制性义务的，该义务在其范围内适用。

16. 数据保护联络人与处理记录

STAK 已任命数据保护联络人，可通过电子邮件 [email protected] 联系。STAK 保存其代表客户开展的处理活动的记录，并在法律要求时向有权监管机构提供。

附件 1：处理的详情

• 标的事项： 依条款向客户提供服务。
• 期限： 协议的期限、依第 12 条在协议之后的导出和删除期间、第 12.3 条的备份保留期限，以及附件 3 所列子处理者的保留期限。
• 性质和目的：
  • 存储和托管客户数据；
  • 处理销售、订单、预订和发票；
  • 管理库存、会计、人力资源和薪资；
  • 通过客户在已连接服务商处的自有账户，或在附件 3 列明后通过 STAK 使用的消息服务提供商，发送客户请求的消息；
  • 在使用 AI 功能时提供 AI 功能；
  • 备份、安全和支持。
• 数据主体的类别：
  • 客户的终端客户、宾客和患者；
  • 其员工和求职者；
  • 用户；
  • 其供应商及其联系人；
  • 司机和快递员。
• 个人信息的类别：
  • 身份和联系数据，例如姓名、电话、电子邮件、地址和配送地点；
  • 交易、订单、预订和发票的记录；
  • 与付款相关联的参考信息，不含完整银行卡号；
  • 会员数据、偏好和同意；
  • 客户员工的数据，例如公民身份证号、居留详情、薪资、国际银行账号 (IBAN)、考勤和休假；
  • 客户上传的照片和文件；
  • 消息日志和审计追踪。
• 敏感个人信息： 使用诊所应用时的健康和临床数据，但受第 7.7 条和条款第 13.4 条约束，依后者，患者记录功能不得用于在科威特国或阿拉伯联合酋长国接受医疗服务的患者；以及人力资源档案中的健康数据，例如病假条。临床记录和人力资源档案使用单独的密钥加密，且仅持有被授权查看的角色的用户才能看到这些数据。保险理赔和事先授权中的诊断和手术代码以及保险卡图像，受附件 2 中的数据库和存储加密保护。

附件 2：技术和组织措施

1. 加密：
   • 传输中的数据使用 TLS 1.2 或更高版本加密，且每次连接均验证数据库服务器的身份。
   • 数据库、磁盘、文件、备份和机密存储中的静态数据使用 AES-256 加密，密钥由 AWS Key Management Service (AWS KMS) 或托管提供商管理。
   • 人力资源档案和临床记录在应用内另以单独的密钥额外加密，已连接服务商的连接详情保存在单独的机密存储中，并以单独的密钥加密。
2. 每位客户数据的隔离： 客户数据的每条记录都带有其所属企业的标识符。数据库中的行级安全策略适用于应用的角色，且应用的角色无权绕过这些策略。复合键约束防止一家企业的记录与另一家企业的记录相关联。
3. 访问控制：
   • 访问权限依最小权限原则授予。
   • 对生产环境的访问仅限于指定的 STAK 员工，须使用多因素认证，且每次访问的开始均被记录。
   • 对服务器的管理访问仅通过 AWS Systems Manager 进行，不直接（SSH）登录。
4. 用户登录安全：
   • 对于用户，服务提供通行密钥、身份验证器应用以及发送至已验证手机的验证码。
   • 对于客户，它们提供可自定义的角色和权限、按分店限制的访问，并且在包含这些功能的套餐中，提供会话空闲规则以及新设备登录时向所有者发出的提醒。
5. 审计追踪： 保存一份任何用户均无法更改或删除的变更审计追踪。其记录操作人、时间、来源和 IP 地址。当客户依第 8.1 条删除终端客户的个人信息时，相关条目会失去该人员的身份识别信息，但保留所做的操作、操作人和时间。审计追踪依第 12 条随客户数据一并删除。会计分录以链式方式相互关联，任何篡改都会被发现。
6. 备份与恢复：
   • 自动连续备份可实现 35 天内的时间点恢复；
   • 每日备份保存 35 天，每月备份保存 12 个月，并复制到位于爱尔兰共和国的单独地理区域。备份保管库的策略禁止在其保留期限届满前删除备份或更改该期限，且合规模式锁定机制至少在备份最初的 35 天内阻止删除任何备份；
   • 每晚对数据库进行逻辑备份，并在防止更改和删除的存储中保存 35 天；
   • 每月测试从备份恢复数据库。
7. 支付数据： 服务的设计使 STAK 不存储完整的银行卡号。付款在支付服务提供商托管的页面上，或其经认证的刷卡终端和应用上进行。服务的屏幕上没有用于输入银行卡数据的字段，并且服务允许客户扫描自由文本字段，以查找误输入的银行卡号并将其删除。
8. 网络和基础设施： 数据库运行在无法公开访问的专用网络中，位于防火墙之后。Web 应用防火墙和防范拒绝服务攻击的保护通过 Cloudflare 提供。
9. 漏洞管理和安全开发： 每次发布之前，均审查代码并运行自动化测试。检查软件库，并及时应用安全更新。
10. 监控与事件响应：
    • 自动全天候监控云基础设施，并立即发出提醒；
    • 对云基础设施的每项管理操作均被记录，并通过专用 Amazon 服务（AWS CloudTrail、GuardDuty 和 IAM Access Analyzer）自动检测威胁和过度权限；
    • 适用书面程序，用于应对安全事件以及依第 9 条进行通知。
11. 业务连续性： 适用连续性和恢复计划，与《服务等级协议》中的恢复目标一致。
12. 人员： STAK 的员工和承包商受保密义务约束，并接受安全意识培训。
13. 安全删除： 数据依第 12 条删除，托管提供商依其标准销毁介质。

附件 3：子处理者

仅在开启时才使用的提供商。 STAK 已设置以下提供商，但目前不使用它们处理客户个人信息。仅在依第 6.3 条至少提前 30 天发出通知后，STAK 才开始使用其中任何一个，通知将说明该提供商在何处处理数据以及保留数据多长时间。

STAK 启用其自有 WhatsApp 号码后，Meta 将通过该号码向用户发送登录验证码，并向在公开页面验证手机号码的终端客户发送验证码。在此过程中，Meta 处理的是 STAK 依隐私政策作为控制者处理的数据，而非客户个人信息。

除上述提供商外，STAK 不使用短信、推送通知、数字钱包或地址查询、验证和地图服务提供商来处理客户个人信息。