VibeMill 锻境数据处理协议

一、前言

双方同意，本数据处理协议（「DPA」）规定了双方与客户系统数据（包括其中涉及的个人信息）相关的处理和安全性相关的义务。双方还同意，除非存在单独的专门协议，否则「VibeMill 锻境」（以下简称「锻境」或「平台」）产品及功能服务中数据的处理和安全均受 DPA 约束。

如果 DPA 条款同其他与平台和服务相关的适用协议（以下简称「平台协议」）中的任何其他数据条款存在任何冲突或不一致，则应以 DPA 条款为准。DPA 条款将取代《VibeMill 隐私政策》中的任何冲突条款，这些冲突条款原本适用于此处定义的客户系统数据和个人信息的处理。

我们可能适时对 DPA 进行修订。对于涉及数据处理目的、方式、数据类型、保存期限、双方权利义务等实质性变更，我们将提前通知您并征得您的书面同意；对于非实质性变更（包括但不限于排版调整、错别字修正、不影响双方权利义务的技术性调整等），我们将在官网公布更新版本，并在更新后的条款生效前通过官方网站公告或其他适当的方式提醒您更新的内容。如您不同意修订后的 DPA，有权在修订生效日前书面通知我们终止本 DPA 及相关服务，双方互不承担违约责任；但您仍应支付截至终止之日已产生的服务费用，且双方应在终止后十五（15）个工作日内按照平台协议约定完成数据导出或删除，逾期未提出导出请求的，受托方有权直接删除相关数据且不承担任何责任。如您继续使用平台及相关服务，视为您接受修订后的 DPA 的全部内容。

二、用语释义

除上下文另有所指外，DPA 中下列词汇具有以下涵义：

三、数据及个人信息保护条款

1. 适用范围

DPA 条款适用于平台及相关服务。

为清楚起见，DPA 条款仅适用于在平台和平台的获准转委托方控制的环境中处理的数据，不包括保留在客户环境或客户选择的任何第三方操作环境中的数据（例如客户下载源码后自行部署的环境）。

2. 数据处理的性质及目的

客户权利及权益

平台将仅按照以下说明使用和以其他方式处理客户系统数据和个人信息，并在：(a) 根据客户记录的指令向客户提供平台及相关服务，以及 (b) 进行以向客户提供平台及相关服务为目的的经营活动时，遵守下述条款限制。在双方之间，客户拥有对客户系统数据所有权利和权益。除了 DPA 及/或平台协议中客户授予平台的权利之外，平台未获得有关客户系统数据的任何其他权利。本段不影响平台向客户提供的服务中包含的平台的权利。

平台将不会披露或允许任何人访问已处理的数据，除非：(a) 客户授权或指示；(b) 本 DPA 规定；或者 (c) 法律要求。就 DPA 而言，「已处理数据」指：(a) 客户系统数据（含个人信息）；以及 (b) 平台根据平台协议处理的与平台及相关服务相关的、属于客户机密信息的任何其他数据。所有已处理数据的处理都应遵守平台在平台协议中的保密义务。

平台不会向任何第三方提供以下内容：(a) 对已处理数据的直接、间接、全部或自由访问权限；(b) 用于保护已处理数据安全的平台加密密钥或破解此类加密的能力。

为履行本 DPA 项下服务所必需时，平台可向获准转委托方提供客户的基本联系信息，且以必要最小范围为限。

获准转委托方（次级处理者）

受托方承诺，除下列情形外，受托方不会使用客户系统数据训练或优化模型：（a）仅用于提升针对该类特定风险的安全防护能力，且不用于优化面向其他客户的通用基础模型，包括为履行法律法规合规要求而进行的内容安全审核、风险过滤机制及违法违规侵权内容特征库的建立和改进；（b）委托方主动使用受托方提供的排障工具或因提出服务请求而提供的数据，受托方仅在处理该项请求所必需的期限内使用；（c）为防范异常调用等安全风险而触发告警的数据的存储与审查，告警解除后五（5）个工作日内彻底删除该等数据。受托方可能定期对提供服务所形成的聚合数据进行统计分析，该等处理不使用委托方的原始业务数据。

为履行本 DPA 项下服务所必需，受托方可以委托其关联方、第三方模型服务商、云服务及其他基础设施供应商、技术支持与运维服务商作为获准转委托方处理客户系统数据。受托方应：（a）在平台页面或以其他合理方式告知委托方获准转委托方清单及其处理目的、数据类型与处理地域；（b）与获准转委托方签署不低于本 DPA 标准的数据处理条款，并要求其承担与本 DPA 同等的安全与保密义务；（c）对获准转委托方的处理行为向委托方承担责任。受托方变更获准转委托方清单的，应提前不少于三十（30）日通知委托方；委托方对此有合理异议的，可在收到通知后十五（15）个工作日内书面提出，双方应友好协商解决；协商不成的，仅当该转委托方变更实质影响数据安全或服务核心功能时，委托方有权终止受该项变更影响的相关服务，受托方将按照平台协议约定的退款规则结算已发生的服务费用；如平台协议未约定退款规则的，则仅退还未消耗部分的预付费金额，已消耗部分及已发生的第三方成本不予退还。

在经安全加密技术处理、严格去标识化且无法重新识别特定个人的前提下，受托方可能仅在为提供、维护和安全保障本服务所必需的范围内处理客户系统数据；该等处理不超出本 DPA 约定的处理目的及前述受托方承诺的例外情形范围，且不影响委托方对客户系统数据享有的权利和权益。

3. 个人信息保护

个人信息范围

所有由平台处理的与提供平台及相关服务相关的个人信息都将以以下形式获得：客户提供的数据或平台基于客户系统数据及提供服务及功能的场景生成、衍生或收集的数据，包括由于客户使用基于服务的功能而发送给平台的数据或平台提供的产品及服务中获取的数据。个人信息包括假名化或去标识化但不匿名的任何个人信息。匿名化信息不属于个人信息，其中匿名化是指个人信息经过处理无法识别特定自然人且不能复原的过程。

委托方和受托方的角色及责任

客户和平台同意，客户是个人信息的处理者和委托方，根据客户指示和目的，平台作为接受客户委托的受托方，但以下情况除外：(a) 由客户作为个人信息受托处理者，此时平台是客户的获准转委托方；或 (b) 特定产品或服务的条款或本 DPA 中另有规定的情况。

当平台作为个人信息的受托处理方或获准转委托方时，只能依照客户指示和目的处理数据，同时客户承诺其处理的个人信息来源合法合规，收集、使用、加工等处理行为已经获得相关个人信息主体合法授权，符合国家关于个人信息保护、数据安全相关法律法规，未侵犯任何第三人合法权益，同时客户承诺有权对个人信息进行转委托处理。

客户同意，平台协议（包括 DPA 条款和任何适用的更新）连同客户使用和配置平台相关功能的说明文档以及客户对服务的使用，系客户就个人信息的处理向平台作出的完整的指示。

委托方权利义务

委托方有权：

（a）得知或者发现受托方未遵守 DPA、平台协议及适用法律的规定处理个人信息，或受托方未能有效履行个人信息安全保护责任的，有权要求受托方停止相关行为，并采取或要求受托方采取有效补救措施控制或消除个人信息面临的安全风险；如该等违规行为系因受托方故意或重大过失导致的，由此产生的直接且合理的补救费用由受托方承担；

（b）除法律法规对于特定信息留存期限另有规定或为满足账单管理、争议解决、审计合规等正当目的所需外，当客户注销平台账户或永久停止使用平台服务后，平台将根据法律法规规定及平台协议约定对账户相关内容及信息以包括但不限于删除、匿名化等方式进行处理。

委托方承诺：

（a）获得个人信息主体授权：委托方保证其获取的个人信息均具有符合法律要求的合法性基础，以便在 DPA 期限和目的范围内合法地将 DPA 约定的个人信息提供给受托方以开展约定的个人信息处理活动；

（b）委托方应当遵守 DPA、平台协议及适用法律对于个人信息处理的相关规定；作为委托方，应当按照《个人信息保护法》等相关法律要求履行个人信息处理者的相关义务；

（c）委托方应当在受托方处理委托方提供的个人信息之前，进行个人信息保护影响评估，确保委托处理事宜及 DPA 目的合法合规，不侵犯任何第三方的合法权益。

（d）若因委托方提供的客户系统数据、个人信息或其处理指示侵犯任何第三方合法权益（包括但不限于知识产权、商业秘密、个人信息权益），导致受托方遭受第三方索赔、行政处罚或其他损失的，委托方应负责解决并使受托方免受损害，赔偿受托方因此遭受的全部损失（包括但不限于向第三方支付的赔偿金、行政罚款、合理的律师费及维权支出）。（e）委托方承诺其为依法设立并有效存续的法人或非法人组织，具备签订及履行本 DPA 的合法主体资格，未被列入失信被执行人名单，亦不存在可能影响其履约能力的重大行政处罚记录；如委托方使用本服务所涉业务依法需要取得特殊行业资质或许可，委托方已取得该等资质或许可且其在有效期内；如委托方涉及境外主体，委托方应提供其注册地及存续证明，并声明其注册地法律未对其签署本 DPA 及使用平台服务的签约能力设有限制，受托方有权核查该等限制。

受托方权利义务

若受托方有正当理由认为委托方关于个人信息处理活动的书面指示不满足个人信息安全需要或违反任何适用法律的规定，受托方应当及时通知委托方，并有权要求委托方停止相关行为，并采取或要求委托方采取有效补救措施控制或消除个人信息面临的安全风险，由此产生的费用由委托方承担，若委托方在合理期限内未解决本条所述风险和问题，则视为对 DPA 的实质性违约，受托方有权单方解除 DPA 及平台协议。

受托方承诺：

（a）受托方应当遵守 DPA、平台协议及适用法律对于个人信息处理的相关规定；作为受托处理方，应当按照《个人信息保护法》等相关法律要求履行受托者的相关义务；

（b）受托方应采取必要措施保障委托方提供的个人信息安全，并协助委托方履行法定义务；

（c）受托方应在 DPA 约定的范围内使用和处理个人信息；

（d）委托方可在实施本委托处理活动前对委托处理数据的行为进行个人信息安全影响评估，在不损害受托方及所有第三方的合法利益的前提下，受托方应根据委托方合理要求提供必要的协助；

（e）受托方承认并保证其将代表委托方进行个人信息处理活动，并会采取适当的措施以保证在其授权下访问个人信息的员工仅在委托方指示的范围内处理个人信息；

（f）受托方应当要求其所有参与个人信息处理活动的工作人员、任何第三方服务商，对受托处理的个人信息严格保密、接受过适当的培训并严格遵守 DPA 的规定；

（g）受托方不得超出 DPA 目的处理委托方提供的个人信息，DPA 不生效、无效、被撤销或者终止的，受托方应当将委托方提供的个人信息进行删除或做匿名化处理。

个人信息主体权利请求

DPA 双方将按照适用法律的规定及双方个人信息保护政策等规定及时响应并处理个人信息主体的法定权利请求，双方应给予对方必要的协助：（a）如受托方收到个人信息主体的权利请求，除非适用法律有禁止性规定，应当将该权利请求在合理期限内转交给委托方；（b）如果适用法律相关规定要求委托方作为主体响应个人信息主体的权利请求，受托方将与委托方展开充分的合作以保障个人信息主体的权利，委托方应给予受托方必要协助。

个人信息安全事件

如个人信息处理过程中发生个人信息安全事件的，双方应当：

（a）及时通知对方，告知对方：（i）该个人信息安全事件的性质，包括其涉及的个人信息的种类、规模；（ii）该个人信息安全事件可能的后果；（iii）已经采取的补救措施；

（b）协助对方调查该个人信息安全事件并提供所有相关的记录、文档、日志、报告及其他合理材料；

（c）依照应急预案及时采取必要的措施进行处置；

（d）如个人信息安全事件涉及个人信息泄露等问题，应遵守适用法律及时上报有关主管部门并履行法律法规要求的向个人信息主体的告知义务。

数据传输及位置

除非平台协议或者 DPA 条款中另有规定，否则客户应委托平台将客户系统数据或个人信息传输到中国大陆并在这一地点存储和处理客户系统数据和个人信息以提供产品。除非客户指定，否则平台不会将代表客户处理的客户系统数据和个人信息传输到中国大陆之外地理位置，或在该地理位置进行存储和处理。

安全技术及权限

平台将实施并维持适当的技术和组织措施来保护客户系统数据（包括其中涉及的个人信息），防止传输、存储或以其他方式处理的数据遭到意外或非法破坏、丢失、更改、未经授权的披露或访问。

对于服务活动所需的客户系统数据访问，采用了基于权限的访问控制，以确保只有在目的合理符合客户产品及服务需要的情况下方可访问。

客户责任

客户需自行负责独立确定产品和服务的技术和组织措施是否符合客户的要求，包括其在适用的数据保护要求下的任何安全义务。客户承认并同意，（考虑到技术现状、实施成本以及数据处理活动的性质、范围、情境和目的及对个人的风险）平台实施和维持的安全实践和政策能够提供与数据相关的风险相适应的安全级别。客户负责针对客户提供或控制的组件实施和维持隐私保护及安全措施。

安全事件通知

如果平台意识到存在导致意外或非法地破坏、丢失、更改、在未经授权情况下披露或访问平台处理的客户系统数据或个人信息的违反安全性规定的活动（以下均简称「安全事件」），平台应在确认安全事件性质后【72】小时内（但在任何情况下不迟于适用法律规定的最短时限）：(a) 向客户通知安全事件；(b) 在调查取得阶段性结论后，向客户提供与本次安全事件直接相关且不侵犯第三方合法权益或受托方商业秘密的已知事实信息，该等信息披露不构成对事件原因、责任归属或法律后果的最终认定；并 (c) 采取合理措施减缓影响并最大限度地减少安全事件导致的损坏，且不得出现不当延误。

安全事件通知将通过平台选择的任何方式（包括电子邮件）发送给客户。客户须自行负责确保客户就每项适用的产品和服务向平台提供准确的联系信息。客户须自行负责遵守并履行与任何安全事件相关的任何第三方通知义务。

如有任何可能的账户或身份验证误用或任何与平台及相关服务有关的安全事件，客户必须立刻通知平台。

数据保留及删除

受托方对数据的保存和处理期限不得超过为实现约定数据处理目的所需的必要期限，除非根据适用法律规定对个人信息保留期限有特殊规定。当客户注销平台账户或永久停止使用平台服务后，平台根据法律法规要求对账户相关内容及信息以包括但不限于删除、匿名化等方式进行处理。

若平台负有相关法律义务应在 DPA 所规定的期限之外保留个人信息，平台将在相关法律要求的保留期限结束后按照 DPA 规定尽快删除或匿名化处理相关个人信息。

数据处理期限届满或者数据留存相关法律义务到期之后，除非为满足以下目的：客户账单和账户管理，平台将不再响应客户的数据及个人信息处理及请求。

保密条款

（a）除为实现 DPA 目的所必须外或遵循国家法律法规规定或获得客户授权或个人信息主体的同意外，平台不会以任何形式向任何特定或不特定的第三方公开或披露，也不会以明示或默示的方式许可或授权任何特定或不特定的第三方使用。

（b）协议约定的个人信息只能在 DPA 目的所需的范围内使用，不得以公开、转委托等任何形式披露，但以下情形除外：（i）向需要知悉上述信息或委托方提供的个人信息以执行 DPA 目的的受托方的代理、代表、高管和员工及获准第三方披露的；（ii）DPA 任何一方被法院要求或基于相关法定义务披露该等信息或委托方提供的个人信息，但仅限于遵守该法院命令或法定义务所需的最低限度予以披露。

（c）双方确认，保密义务是相互的。客户应对其在合作过程中知悉的受托方商业秘密（包括但不限于平台技术参数、算法逻辑、源代码、产品规划、客户名单、定价政策、运营数据、财务信息等）予以保密，未经受托方书面同意不得向任何第三方披露，亦不得用于本 DPA 目的之外的任何用途；客户违反本条约定的，应赔偿受托方因此遭受的全部损失。本条约定的保密义务期限为永久，至保密信息丧失保密性而成为公开信息时终止，且不因本 DPA 或其他任何法律关系的变更、解除、终止而无效。

4. 服务内容、交付成果及验收标准

4.1 服务内容：平台作为受托方，依客户的指示和约定目的，提供与客户系统数据及个人信息相关的处理服务，处理环节包括收集、存储、使用、加工、传输、提供、公开、删除等，具体以客户通过平台发出的操作指令、平台协议及订单约定为准。

4.2 服务周期：平台提供数据处理及相关服务的周期，自客户开通平台账户之日起，至客户账户注销或平台协议终止之日止。

4.3 交付成果：客户通过平台生成的业务系统成果（包括可运行系统、源代码、开发文档等）的交付内容、交付方式及知识产权归属，按平台协议约定执行；其中系统成果的使用权和相应知识产权，在客户付清对应费用后归客户所有。除前述归属约定外，受托方不对系统成果的可版权性、新颖性、独创性、可专利性或不侵权性作出任何明示或暗示的陈述与担保，亦不对系统成果能否通过软件著作权登记、专利申请或其他形式的知识产权审查作出担保；若任何第三方主张客户使用或处分的系统成果侵犯其知识产权或其他合法权益，应由客户自行处理并承担全部法律责任与费用，受托方不承担任何责任；如受托方因此遭受损失的，客户应赔偿受托方遭受的全部损失。

4.4 验收：客户应在收到平台交付的系统成果后十五（15）个工作日内完成验收，并就存在的瑕疵或不符合约定之处向平台提出书面异议；逾期未提出书面异议的，视为验收合格。客户提出异议的，平台应在合理期限内进行修正。

4.5 服务费用及支付：数据处理及相关服务的费用与支付方式，以平台协议、订单或双方另行签署的书面协议约定为准；客户应在收到平台付款通知或发票后十五（15）个工作日内完成支付。客户逾期支付的，受托方有权暂停提供数据处理及相关服务，并有权要求客户自应付之日起按未付金额每日万分之五支付违约金；逾期超过三十（30）日的，受托方有权解除相关订单并终止服务，已支付费用的处理按该等订单的约定执行。

4.6 费用明确：前条所述服务费用，除另有明确注明外均为含税价格，依法应由受托方承担的增值税及其他税费已包含在该等价格之内，受托方不再向委托方另行收取；涉及分期付款的，各期金额及支付触发条件于订单中列明；涉及跨境支付的，汇率结算规则按付款通知所载明的方式执行。

四、效力及其他

终止及后果

（a）若委托方违反其在 DPA 项下或与受托方之间签署的任何其他协议项下的义务的，经受托方书面催告后在合理期限内仍未纠正的，受托方有权通过书面通知终止 DPA；若委托方发生实质性违约（包括但不限于严重违反数据安全义务、非法使用数据、破产清算或被吊销营业执照等），受托方有权随时通过书面通知立即终止 DPA。

（b）在委托方与受托方之间签署的与委托方要求受托方处理委托方提供的数据相关的最后一份协议期限届满或终止之日，DPA 自动终止，无需送达任何通知。平台协议及 DPA 终止后，双方应当继续履行各自的法定义务。

其他事宜

（a）无论平台协议及其部分条款的效力如何，当平台进行 DPA 规定的数据处理活动时，双方应依照 DPA 履行相应的权利及义务；

（b）任何由 DPA 引起或与之相关的争议，包括任何有关 DPA 的存续、有效性或终止的问题，双方约定由受托方所在地有管辖权的人民法院管辖。除有争议的条款外，在争议的解决期间，不影响 DPA 其它条款的继续履行；

（c）DPA 未规定事宜可以参照平台协议进行解释，如在数据处理及保护方面 DPA 与平台协议不一致，则应当以 DPA 为准。

（d）不可抗力：本 DPA 所称不可抗力，是指不能预见、不能避免且不能克服的客观情况，包括但不限于自然灾害、战争、疫情、政府行为、法律法规或监管政策的变更，以及基础电信或公共网络服务中断等。因不可抗力致使一方无法履行本 DPA 项下义务的，该方在不可抗力影响的范围内免于承担违约责任，并应在不可抗力发生后及时通知对方并在合理期限内提供相应证明；不可抗力持续超过三十（30）日的，任何一方均有权书面通知对方终止本 DPA，双方互不承担违约责任，但已发生的费用应按实际履行情况结算。