附表 D — 数据处理协议
版本：v1.3
生效日期：2026 年 8 月 11 日
纳入：
Capafy 创作者协议
本附表 D 构成 CAPAFY PTE. LTD.（UEN：202619379G）（“我们”、“我方”、“Capafy”或“平台”）与创作者 （“你”或“创作者”）之间创作者协议的一部分。本附表规定双方就与云托管 Agent 相关处理的个人数据保护安排。
D.1 节规定本附表所涵盖的每一类数据及处理活动中双方数据保护角色的分配。在 Capafy 作为处理者或分处理者行事的范围内，本附表的处理者条款旨在满足 GDPR 第 28(3) 条及其他类似适用法律的相关要求。
目录
- D.1 范围与适用性
- D.2 定义
- D.3 指示与处理者合作方义务
- D.4 处理目的与限制
- D.5 保密与访问控制
- D.6 数据保留与删除
- D.7 技术和组织安全措施
- D.8 数据保护影响评估
- D.9 数据主体权利协助
- D.10 分处理者
- D.11 跨境数据传输
- D.12 期限、终止与数据删除
- D.13 责任
- D.14 GDPR 第 28(3) 条合规
- D.15 一般条款
- 附录 D-1 — 数据处理的主题事项和细节
- 附录 D-2 — 欧洲数据保护法的附加条款
D.1 范围与适用性
本附表适用于订阅和按小时计费的云托管访问，以及仅在审核处理个人数据的范围内适用于安全审核。本附表不适用于技能包下载后的使用，但 Capafy 自身的账户、付款、安全、合规及平台运营数据除外。
同一份个人数据可能因多个不同目的而被处理。双方的角色应针对下述每项处理活动分别确定。
| 处理类别 | 角色分配 | 适用安排 |
|---|---|---|
|
1. Agent 文件和实时 Agent 执行数据 本类别包括 Agent 文件、创作者托管的凭证，以及 Capafy 仅为按照创作者配置的 Agent 和书面指示托管并执行创作者 Agent、路由请求和响应及返回 Agent 输出而处理的用户–Agent 交互内容。 |
创作者：控制者。如创作者代表上游控制者行事，创作者为处理者。 Capafy：在适用情况下，为创作者的处理者，或上游控制者的分处理者。 |
D.3、D.4、D.5、D.6、D.7、D.8、D.9、D.10 和 D.14 节适用于本类别。 |
|
2. 执行日志和平台运营数据 本类别包括 Capafy 在执行后或执行期间留存的副本或记录，用于平台安全与完整性、防欺诈和滥用、争议解决、审计、法律合规、计费和结算支持，以及执行日志 90 天的留存期限。 |
Capafy：独立控制者。Capafy
决定该处理的目的和基本方式，包括留存期限、访问控制、安全审核及为所述平台目的的使用。 创作者：就其通过 Agent 或创作者选择的外部服务进行的单独处理，按照适用数据保护法要求的角色行事。本类别不赋予创作者取得执行日志或其他 Capafy 独立控制者数据的权利。 |
Capafy 对本类别的处理受创作者协议、Capafy 隐私政策及适用法律约束。本类别不受创作者指示或本附表处理者协助条款约束。 |
| 3. 用户账户、结账、付款、结算及一般平台运营数据 | Capafy：独立控制者。 | 该处理受创作者协议、Capafy 隐私政策及适用法律约束。 |
|
4. 创作者选择的外部服务 创作者选择或配置的外部 LLM 提供商、API、数据库、搜索提供商或其他外部服务，受创作者与该服务之间的关系及该处理适用的数据保护角色约束。Capafy 运营代理或中继基础设施本身并不会使该外部服务成为 Capafy 的分处理者，也不会使 Capafy 成为外部 LLM 推理服务的提供商或转售商。创作者必须按照创作者协议就每项此类外部数据流作出所需披露。 |
角色根据创作者与该外部服务之间的关系确定。 | 适用创作者选择的服务条款及数据保护法。 |
D.2 定义
Agent 文件 — 你提交给我们用于云托管执行的完整文件、提示词、脚本和配置集合。
实时 Agent 执行数据 — Capafy 仅为路由请求、执行创作者 Agent 并返回结果而短暂处理的用户–Agent 交互内容。不包括 Capafy 根据 D.1 节为其独立控制者目的作为执行日志或平台运营数据留存的副本或记录。
凭证代理 — 我们在运行时将你的托管 API 凭证注入 Agent 请求的机制。凭证以加密形式存储；任何人员，包括我们的工程师，均无法访问明文值。凭证代理仅适用于你通过创作者控制台注册为托管凭证的凭证。直接嵌入你的 Agent 文件中的凭证——包括写入环境变量声明、配置文件、提示模板或技能包任何其他组件中的凭证——不由我们管理、存储或保护，并完全不属于该机制的范围。
执行日志 — Capafy 为 D.1 节所述独立控制者目的（包括争议解决和审计）留存的 Agent 执行活动和用户–Agent 对话内容的结构化记录。执行日志按会话索引，在实例清理后保留 90 天，除非适用法律要求更长留存期限；执行日志不会通过创作者控制台或任何日常数据渠道向创作者提供。
指示 — 你就本附表项下个人数据处理向我们发出的指令，包括创作者协议中所述平台的配置和运营，以及你提供的任何其他书面指示。
处理者合作方 — 自身作为数据处理者并代表上游数据控制者行事的创作者。
创作者选择的外部服务 — 创作者为与 Agent 一起使用而选择或配置的外部 LLM 提供商、API、数据库、搜索提供商或其他服务。
审核沙盒 — 我们的审核团队用于在安全审核过程中评估 Agent 行为的隔离测试环境。审核沙盒设计为使我们的审核人员能够观察 Agent 行为，但无法访问你的原始 Agent 文件。
安全事件 — 任何涉及未经授权访问、披露、更改或毁坏个人数据的事件。
D.3 指示与处理者合作方义务
本节仅适用于 D.1 节所述的 Agent 文件和实时 Agent 执行数据，且仅限 Capafy 作为处理者或分处理者行事的情况。除非适用法律另有要求，Capafy 仅根据创作者的书面指示处理该等个人数据。创作者的指示载于本附表、创作者协议、创作者配置的 Agent 以及与上述文件一致的任何进一步书面指示中。
如果 Capafy 合理认为某项指示将违反适用的数据保护法，或适用法律阻止 Capafy 遵循该指示，Capafy 将及时通知创作者，并暂停受影响的处理者处理，直至问题解决。对于拒绝执行其合理认为违法的指示，Capafy 不构成违反本附表。
如果创作者是处理者合作方，创作者保证相关上游控制者已授权本附表所述处理，并已授权 Capafy 就适用处理类别担任分处理者。创作者必须将适用法律要求控制者接收的任何通知转交该控制者。
对于 D.1 节所述的执行日志、平台运营数据、账户、结账、付款、结算、安全及其他独立控制者处理，Capafy 根据其隐私政策和适用法律行事，而非根据创作者指示行事。
D.4 处理目的与限制
处理者处理。仅就 Agent 文件和实时 Agent 执行数据，Capafy 仅为以下目的处理个人数据：
- 托管并执行创作者的 Agent，并向相关用户交付其输出；
- 创建、维护和终止执行该 Agent 所需的会话；
- 通过 Capafy 的代理或中继基础设施路由请求和响应；
- 通过凭证代理注入创作者托管的 API 凭证；以及
- 提供保护该处理者处理所必需的安全措施。
独立控制者处理。Capafy 为平台安全与完整性、防欺诈和滥用、安全审核、争议解决、审计、计费和结算支持、法律合规，以及本附表、创作者协议和隐私政策所述留存期限，处理执行日志、平台运营数据及 D.1 节中的其他独立控制者类别。
消息安全。Capafy 可以筛查传入消息中的安全威胁，并过滤传出的 Agent 输出以防凭证泄露。如检测到凭证，Capafy 可以将其替换为删节标记，并通知创作者。
Capafy 不会：
- 使用 Agent 文件（包括提示词、逻辑和配置）训练 AI 模型或机器学习系统；
- 复制或改编 Agent 的功能逻辑以构建竞争性产品或服务；
- 向未经授权的第三方提供 Agent 文件；
- 联系用户以绕过创作者并建立独立的商业关系；或
- 允许在 Capafy 授权的争议、审计、安全及法律合规流程之外访问原始用户对话数据。
D.5 保密与访问控制
我们确保所有能够访问你的 Agent 文件或用户交互数据的人员均受适当保密义务约束。
- 对 Agent 代码和内容的访问受严格最小权限控制约束
- 我们的审核团队通过审核沙盒评估 Agent 行为，该沙盒旨在防止访问你的原始 Agent 文件
- 我们的技术人员访问原始用户对话数据需要双重批准，并且仅限于 Capafy 授权的争议、审计、安全及法律合规流程
- 你的 API 凭证以加密形式存储，与我们的一般业务系统隔离，任何人员均无法以明文访问
D.6 数据保留与删除
保留期限：
| 数据类型 | 角色 / 目的 | 保留期限 | 处置 |
|---|---|---|---|
| Agent 文件（代码、脚本和配置） | 处理者 / 分处理者处理 | 在创作者协议第 5.5 和 15.4 节允许的任何过渡期结束后 30 天内删除；如不适用过渡期，则在终止后 30 天内删除 | 安全删除，但受适用法律、法律保留和常规备份轮换约束 |
| 托管 API 凭证 | 处理者 / 分处理者处理 | 在创作者请求、撤回或撤销时立即删除；否则在创作者协议第 5.5 和 15.4 节允许的任何过渡期结束后 30 天内清除；如不适用过渡期，则在终止后 30 天内清除 | 立即安全删除 |
| 执行日志（包括用户–Agent 对话） | Capafy 为争议解决、审计、安全与完整性进行的独立控制者处理 | 实例清理后 90 天，除非法律要求更长期限或存在法律保留 | 自动安全删除 |
| 安全审核记录 | Capafy 的独立控制者处理 | 1 年 | 安全删除 |
| 安全事件记录 | Capafy 的独立控制者处理 | 7 年 | 安全删除 |
创作者发起的删除：
- 你可以随时通过创作者控制台移除或替换托管 API 凭证；替换在下一次容器启动时生效，删除立即生效。
- 将 Agent 下架会将其从市场移除并阻止新会话，但不会删除为活跃或待处理会话留存的 Agent 文件。
- 如需在注销时永久删除 Agent 文件，请联系 [email protected]。
数据主体删除请求：
涉及执行日志、平台运营数据、账户数据、付款数据或 Capafy 其他独立控制者处理的数据主体删除请求，由 Capafy 根据其隐私政策和适用法律处理。除非适用法律要求披露，Capafy 无需向创作者披露用户的 Capafy 账户电子邮箱地址、个人资料或原始用户对话日志。
如请求涉及 Capafy 作为处理者或分处理者处理的 Agent 文件或实时 Agent 执行数据，Capafy 将根据 D.9 节提供合理协助。必要时，Capafy 可以向创作者请求有限的事实信息，但仅提供必要的最少信息，且不会通过创作者控制台或其他日常渠道提供原始执行日志。
D.7 技术和组织安全措施
我们的安全措施：
存储安全：
- Agent 文件、执行日志和 API 凭证均进行静态加密
- API 凭证存储在专用、隔离的密钥存储中；任何人员（包括我们的工程师）均无法明文访问
- 不同创作者的 Agent 文件之间的访问严格隔离；不同用户的会话数据之间的访问严格隔离
- 人员访问生产数据需要双重批准
执行环境安全：
- 每个用户会话均在隔离环境中运行；一个用户会话的数据不能被另一个用户访问
- 用于安全审核和内部测试的会话与商业用户会话完全隔离；它们不会生成订单或收入记录
- Agent 环境的出站网络访问受到控制；凭证代理仅为发送至你的 Agent 中声明的 API URL 的请求注入 API 凭证
消息安全管线：
- 所有用户消息在到达你的 Agent 之前均通过安全筛查层
- 所有 Agent 输出在交付给用户之前均通过安全过滤器；包含检测到的凭证格式的输出会被遮盖
- 这些安全层在 Agent 执行环境之外运行，不能被 Agent 代码规避
传输安全：
- 所有传输中的数据均使用当前行业标准传输安全协议加密
持续安全：
- 我们持续对基础设施和代码进行内部安全测试，并将随着规模和风险状况的需要聘请独立第三方进行渗透测试
- 我们在基础设施和代码范围内运行持续自动化漏洞扫描，并在上架前及上架期间对 Agent 文件进行技能级静态和行为分析
- 我们维持或致力于维持行业认可的安全认证（例如 ISO 27001 或等同标准）；详情可通过书面请求获得
- 当我们在 Agent 中检测到恶意代码时，我们会立即下架该 Agent ，通知受影响用户，并发布安全通知
你的安全责任：
你负责：
- 以安全方式并根据创作者协议使用平台
- 维护你的创作者控制台凭证的安全性和保密性
- 根据你的使用场景适当配置 Agent 安全设置
- 在平台之外的系统上存储或处理的任何个人数据，包括你自己的服务器或你的 Agent 调用的第三方服务
- 确保你的 Agent 所需的任何凭证均通过创作者控制台注册为托管凭证。如果你将凭证 — 包括 API key、令牌或密钥 — 直接嵌入你的 Agent 文件（例如环境变量声明、配置文件或提示模板），这些凭证不在我们的控制或保护范围内。对于以这种方式嵌入的凭证发生任何暴露、泄露或误用，我们不承担任何责任
你确认，考虑到服务性质和技术发展水平，我们的安全措施为本附表项下处理的个人数据提供了适当保护水平。
D.8 数据保护影响评估
如果你根据适用数据保护法（包括 GDPR 第 35 条）需要就你使用平台进行数据保护影响评估，我们将在收到书面请求后通过提供以下内容协助你：
- 与评估相关的我们的数据处理活动和安全措施说明
- 关于我们的分处理者和数据传输机制的信息
- 我们安全文档中的相关摘录
我们将在合理时间内回应此类请求。
D.9 数据主体权利协助
本节仅适用于 D.1 节所述 Capafy 作为处理者或分处理者处理 Agent 文件或实时 Agent 执行数据的情况。考虑到该处理者处理的性质，Capafy 将在适用数据保护法要求的范围内，就回应有效的数据主体请求向创作者提供合理协助。
对于涉及执行日志、平台运营数据、账户数据、付款数据或 Capafy 其他独立控制者处理的请求，Capafy 根据其隐私政策和适用法律以自身角色回应。除非适用法律要求披露，创作者无权因该等请求取得原始执行日志、用户对话内容、用户的 Capafy 账户电子邮箱地址或个人资料。
对于处理者处理，Capafy 可以提供适当的状态信息，在法律要求时执行书面更正、限制或删除指示，并通过安全的、针对具体案件的流程协助回应。这不要求 Capafy 向创作者提供原始执行日志。
D.10 服务提供商与分处理者
对于 Capafy 作为处理者或分处理者处理的 Agent 文件和实时 Agent 执行数据，Capafy 可以使用以下分处理者，但须遵守本节的通知和异议流程：
| 类别 | 处理活动 | 数据类型 | 地区 |
|---|---|---|---|
| 云基础设施提供商 | 为处理者或分处理者处理提供托管、执行环境和加密存储 | Agent 文件、实时 Agent 执行数据和托管 API 凭证 | 欧盟（法兰克福）和美国（旧金山） |
Capafy 可以通过至少提前 30 天书面通知重大变更，为该等处理者或分处理者处理任命新的分处理者。创作者可在收到通知后 14 天内提出有理由的书面异议。如 Capafy 无法合理解决异议，创作者可提前 30 天书面通知终止受影响的处理者处理，且不承担罚金。
对于执行日志、平台运营数据及 Capafy 作为独立控制者处理的其他数据，Capafy 可以使用代表 Capafy 行事的服务提供商。该等服务提供商是 Capafy 的处理者，而不是创作者的分处理者，并受 Capafy 隐私政策和适用法律约束。
创作者选择的外部服务。仅因 Capafy 通过代理或中继基础设施向创作者选择的外部服务路由交互内容，该服务不会因此成为 Capafy 的分处理者。创作者负责选择、配置并与该服务签约，确定适用的数据保护角色，并按照创作者协议作出所需的数据流披露。本条不限制 Capafy 对其为自身处理活动独立聘用的处理者或分处理者所承担的责任。
D.11 跨境数据传输
当我们将个人数据传输至其收集司法辖区之外时，我们依赖以下机制：
本附表纳入的任何 SCC、英国 IDTA 或英国附录，或瑞士修改，仅适用于 D-2.4 节明确描述的传输及角色安排。
| 传输路径 | 机制 |
|---|---|
| 欧盟 / 英国 → 第三国 | 欧盟标准合同条款（2021 版）；适用时采用英国国际数据传输协议（IDTA） |
| 新加坡 → 其他国家 | PDPA 跨境传输规则 |
| 其他司法辖区 | 适用的当地传输机制 |
如果你认为我们依赖的某项传输机制不再提供充分保护，你可以书面通知我们。我们将与你善意合作，以确定替代机制。如果在 30 天内无法达成充分机制，你可以为便利原因终止本附表，且不受处罚。
D.12 期限、终止与数据删除
期限。本附表按照 D.15 节所述生效并适用。本附表持续有效，直至创作者注销创作者身份或创作者账户被终止。
终止时的数据删除：
在适用的处理者或分处理者处理结束时，Agent 文件将在创作者协议第 5.5 和 15.4 节允许的任何过渡期结束后 30 天内删除；如不适用过渡期，则在终止后 30 天内删除；上述各项均受适用法律、法律保留和常规备份轮换约束。
创作者可在删除前提出书面请求，要求 Capafy 以常用格式返还仅由 Capafy 作为处理者或分处理者处理的剩余个人数据，随后 Capafy 将删除其剩余的处理者副本，但适用法律要求保留的除外。
终止后保留的数据：
| 数据类型 | 保留期限 |
|---|---|
| 安全审核记录 | 1 年 |
| 执行日志 | 实例清理后 90 天 |
| 安全事件记录 | 7 年 |
持续义务：
我们关于你的 Agent 文件的保密义务在本附表终止后无限期继续有效。我们不得将你的 Agent 文件或衍生信息用于竞争目的的禁止义务是永久性的。
D.13 责任
创作者协议第 11 节的责任限制适用于因本附表引起或与本附表有关的索赔，但适用法律不得排除或限制的责任除外。
D.14 GDPR 第 28(3) 条合规
仅就 D.1 节所述 Capafy 作为处理者或分处理者处理 Agent 文件和实时 Agent 执行数据的范围，本附表旨在满足 GDPR 第 28(3) 条的适用要求。本附表不将 Capafy 的独立控制者处理定性为处理者处理：
| GDPR 第 28(3) 条要求 | 对应条款 |
|---|---|
| 仅根据有记录的指示进行处理 | §D.3 |
| 如果指示违反适用法律则发出通知 | §D.3 |
| 保密义务 | §D.5 |
| 技术和组织安全措施 | §D.7 |
| 分处理者管理 | §D.10 |
| 协助数据主体权利 | §D.9 |
| 协助 DPIA 和事先咨询 | §D.8 |
| 协助安全事件通知 | §D-2.7 |
| 终止时返还或删除数据 | §D.12 |
| 提供合规证据 | §D-2.8 |
| 处理记录（第 30 条） | §D-2.10 |
D.15 一般条款
本附表的修订。我们可以修订本附表：
- 为遵守适用数据保护法的变更或主管监督机关的具有约束力的决定；
- 为反映根据 §D.10 通知的分处理者变更；或
- 进行不会减少你的权利或扩大我们处理活动的非重大行政性变更。
对于重大修订，我们将根据 PA §14 发出通知。纳入本附表的标准合同条款只能按适用 SCC 框架明确允许的方式修改；本附表中的任何内容均不取代或修改任何 SCC 规定。
优先顺序。如果本附表与创作者协议正文在数据处理事项上存在冲突，以本附表为准。如果适用标准合同条款，则在任何冲突范围内，其优先于本附表其余部分。
管辖法律与争议。本附表受新加坡法律管辖。本附表项下产生的争议按照创作者协议的争议解决规定解决。
语言。英文是本附表唯一具有权威性的语言。任何译文仅供参考。
接受。本附表在创作者协议根据该协议第 2.2 或 2.3 节被接受时生效。D.3 至 D.10 节的处理者条款仅自 Capafy 开始根据 D.1 节作为处理者或分处理者处理 Agent 文件或实时 Agent 执行数据时适用。
附录 D-1 — 数据处理的主题事项和细节
本附录满足 GDPR 第 28(3)(a) 条的说明要求。
| 项目 | 细节 |
|---|---|
| 主题事项 | 平台代表创作者提供云托管 Agent 执行服务（订阅和按小时云托管访问） |
| 期限 | 本附表期限内，如 §D.12 所述 |
| 处理性质 | 对于处理者或分处理者处理：托管、临时执行、请求路由和中继、会话管理、凭证注入、Agent 文件的存储和删除，以及相关安全措施。执行日志和平台运营数据的独立控制者处理见 D.1 节，不属于本附录的第 28 条处理描述。 |
| 目的 | 如 D.4 节所述，且仅针对 Capafy 作为处理者或分处理者处理的 Agent 文件和实时 Agent 执行数据。 |
| 个人数据类型 | 用户消息和对话内容；用户提供的背景信息（如有）；会话使用数据； Agent 执行期间生成的元数据 |
| 数据主体类别 | 通过平台与创作者 Agent 交互的用户 |
| 创作者角色 | 创作者决定处理目的和方式时为控制者；创作者代表上游控制者行事时为处理者，详见 D.1 节 |
| Capafy 角色 | CAPAFY PTE. LTD.（UEN: 202619379G）：创作者为控制者时担任处理者；创作者作为处理者合作方代表上游控制者行事时，担任该上游控制者的分处理者，详见 D.1 节 |
附录 D-2 — 欧洲数据保护法的附加条款
D-2.1 适用
本附录适用于欧洲数据保护法管辖 D.1 节项下 Agent 文件和实时 Agent 执行数据的处理者或分处理者处理的情形。“欧洲数据保护法”视适用情况指：欧盟《通用数据保护条例》（GDPR 2016/679）；英国 GDPR 和 2018 年《数据保护法》；以及瑞士《联邦数据保护法》（FADP）。
如果本附录与本附表其余部分在受欧洲数据保护法管辖的事项上发生冲突，以本附录为准。如果 §D-2.4 项下适用标准合同条款，则在任何冲突范围内，SCC 优先于本附录和本附表其余部分。
D-2.2 附加定义
充分国家 — 根据适用欧洲数据保护法被认可为对个人数据提供充分保护水平的国家、地区或部门（就欧盟 GDPR 而言，包括欧洲委员会充分性决定所列国家）。
EEA — 欧洲经济区。
SCC — 根据欧盟 GDPR，由欧洲委员会通过 2021 年 6 月 4 日第 2021/914 号决定采纳的向第三国传输个人数据的标准合同条款，采用 §D-2.4 所列适用于该传输的模块。
UK IDTA — 英国信息专员办公室发布并不时修订的国际数据传输协议。
监督机关 — 适用欧洲数据保护法项下的主管数据保护监督机关。
D-2.3 处理者合作方（欧洲语境）
如果你是 §D.3 项下的处理者合作方且适用欧洲数据保护法，你还必须：
- 确保上游数据控制者已被告知并已授权本附表所述分处理，符合 GDPR 第 28(2) 条要求；并且
- 及时且无不当延迟地向相关数据控制者转发我们根据本附录向你提供且该控制者有权根据适用法律接收的任何通知。
D-2.4 向 EEA、英国或瑞士之外传输个人数据
本节仅适用于将 Agent 文件或实时 Agent 执行数据类别中的个人数据从 EEA、英国或瑞士传输至新加坡的 Capafy，且 Capafy 根据 D.1 节作为处理者或分处理者行事的情况。
欧盟委员会实施决定（EU）2021/914 采纳的欧盟标准合同条款纳入本附表，并适用于该等传输，具体如下：
| 参数 | 值 |
|---|---|
| 模块 | 模块二（控制者向处理者），创作者是相关传输的控制者时适用 |
| 模块 | 模块三（处理者向处理者），创作者作为处理者合作方代表上游控制者进行相关传输时适用 |
| 第 7 条（加入条款） | 不适用 |
| 第 9 条（分处理者） | 选项 2——一般书面授权，但受 D.10 节的通知和异议权约束 |
| 第 11 条（救济） | 不纳入可选措辞 |
| 第 17 条（适用法律） | 爱尔兰共和国法律 |
| 第 18 条（管辖权） | 爱尔兰共和国法院 |
| 数据出口方 | 创作者；就模块二作为控制者，或就模块三作为处理者，具体以附录 D-1 针对相关传输的标示为准 |
| 数据进口方 | CAPAFY PTE. LTD.（UEN：202619379G）；就模块二作为处理者，或就模块三作为分处理者 |
| 附录 I | 本附表附录 D-1，但限于相关处理类别 |
| 附录 II | 本附表 D.7 节 |
如 Capafy 作为独立控制者收集或留存执行日志、平台运营数据、账户、结账、付款或结算数据，本节不意图将模块二或模块三适用于该等独立控制者处理。如发生单独的控制者对控制者传输，必须根据适用于该具体传输的传输机制进行评估和记录。
对于本节范围内的英国传输，适用英国 IDTA 或欧盟 SCC 的有效英国附录，并根据附录 D-1、D.7 节和 D.10 节的信息完成。对于本节范围内的瑞士传输，SCC 应按照瑞士法律和适用指南要求的修改适用。
D-2.5 指示通知（欧洲语境）
如果根据我们的评估，你向我们发出的指示会违反欧洲数据保护法，我们将无不当延迟地通知你。我们将暂停受影响的处理，等待你的澄清或修订指示。本义务不影响 §D.3 项下我们的一般指示通知义务。
D-2.6 数据主体权利（欧洲语境）
考虑到处理性质，我们将通过 §D.9 所述方式协助你回应欧洲数据保护法项下的数据主体请求。当数据主体直接向我们提交请求时，Capafy 将确认收到请求，并在可行时验证身份。对于涉及 Capafy 作为独立控制者进行的处理的请求，Capafy 将根据其《隐私政策》和适用法律进行判断和处理。对于本附录范围内由 Capafy 作为处理者或分处理者进行的处理，Capafy 将按照 D.9 节所述提供协助，并可在适当情况下将数据主体转介给创作者，或向创作者请求有限的信息。除适用法律要求外，Capafy 无需向创作者披露数据主体的 Capafy 账户电子邮箱地址、个人资料或原始用户对话日志。
D-2.7 安全事件通知（欧洲语境）
当安全事件涉及受欧洲数据保护法保护的个人数据时：
- 我们将无不当延迟地通知你，并且在任何情况下均在足以使你履行 GDPR 第 33 条项下通知义务的时间内通知你（自你知悉个人数据泄露起 72 小时）；
- 我们的通知将在当时可获得的范围内包括：事件性质；受影响数据主体和记录的类别及大致数量；可能后果；以及已采取或拟采取的处理事件措施；
- 我们将与你合作，并提供为协助你通知相关监督机关以及在需要时通知受影响数据主体而合理请求的所有进一步信息。
D-2.8 合规信息（欧洲语境）
在适用欧洲数据保护法的情况下，我们将在收到你的书面请求后，向你提供合理必要的文件，以证明我们遵守 GDPR 第 28 条项下义务。我们主要通过书面文件履行此义务 — 包括我们的数据处理活动说明、§D.7 所述安全措施，以及我们持有的任何现有独立安全评估或认证。你同意将任何提供的文件作为保密信息处理。
D-2.9 分处理者（欧洲语境）
在适用欧洲数据保护法的情况下，我们确保每一分处理者均受书面合同约束，该合同施加与本附表中义务等同的数据保护义务，符合 GDPR 第 28(4) 条要求。我们在 §D.10 所列范围内仍就分处理者的履行向你承担责任。
D-2.10 处理记录（欧洲语境）
我们按照 GDPR 第 30(2) 条要求维护代表你开展的处理活动记录，并在主管监督机关要求时向其提供。为保持记录准确，我们可以要求你确认或更新你提供给我们的处理信息。
D-2.11 不修改 SCC
本附表（包括本附录）中的任何内容均不修改 SCC 或 UK IDTA，也不损害欧洲数据保护法项下数据主体的权利。如果 SCC 或 UK IDTA 与本附表任何其他条款发生冲突，以 SCC 或 UK IDTA（视适用情况而定）为准。
D-2.12 SCC 更新
当相关机关采纳新的或替代版本时，我们可以更新 §D-2.4 项下纳入的 SCC 模块或版本，前提是更新后的版本不会实质性降低给予数据主体的保护水平。我们将就任何此类更新向你发出合理通知。
本附表由 CAPAFY PTE. LTD.（UEN: 202619379G）发布
注册地址：60 PAYA LEBAR ROAD, #11-47, PAYA LEBAR SQUARE, SINGAPORE 409051