数据处理附录

本数据处理附录（"DPA"）构成 Proyecta Labs, Inc.（"Proyecta"、"我们"或"我方"）与接受服务条款（"条款"）的客户（"客户"或"您"）之间的条款的一部分。只要 Proyecta 代表您处理个人数据，本 DPA 即适用，并适用于所有客户，无论其位于何处。本 DPA 中未定义的术语具有条款所赋予的含义。

无需另行签署。 本 DPA 通过引用并入条款：您通过接受条款签署本 DPA，Proyecta 通过在此发布本 DPA 签署本 DPA。您可以下载或打印本页面作为您的签署副本。本 DPA 自您接受条款之日或 2026 年 9 月 22 日（以较晚者为准）起生效。

1. 定义

• "适用数据保护法" 指适用于根据条款处理客户个人数据的所有法律，在适用的情况下包括：欧盟《通用数据保护条例》2016/679（"GDPR"）；纳入英国法律的 GDPR 以及英国《2018 年数据保护法》（"英国 GDPR"）；瑞士《联邦数据保护法》（"FADP"）；经 CPRA 修订的《加利福尼亚州消费者隐私法》（"CCPA"）及其他美国州隐私法；墨西哥《私人持有个人数据保护联邦法》（Ley Federal de Protección de Datos Personales en Posesión de los Particulares，"LFPDPPP"）；以及巴西《通用数据保护法》（Lei Geral de Proteção de Dados，"LGPD"）。
• "客户个人数据" 指 Proyecta 在提供服务时代表客户处理的、如附件一所述的个人数据，包括您的已发布应用程序最终用户的个人数据。
• "控制者"、"处理者"、"数据主体"、"个人数据"、"处理"和"监管机构" 具有 GDPR 所赋予的含义。其他适用数据保护法下的同等术语（例如 CCPA 下的"企业"（business）和"服务提供商"（service provider），或 LFPDPPP 下的"responsable"和"encargado"）应据此理解。
• "个人数据泄露" 指导致客户个人数据被意外或非法销毁、丢失、篡改、未经授权披露或访问的安全事件。
• "子处理者" 指 Proyecta 委托处理客户个人数据的任何第三方。
• "标准合同条款" 或 "SCC" 指欧盟委员会第 (EU) 2021/914 号实施决定批准的标准合同条款。

2. 角色与范围

2.1. 客户为控制者；Proyecta 为处理者。 就客户个人数据而言，您是控制者（或代表您自己的控制者行事的处理者），Proyecta 是您的处理者（或子处理者）。这与条款第 28.3 条一致。

2.2. 本 DPA 不涵盖的内容。 对于 Proyecta 为经营自身业务而处理的个人数据——您的账户和账单信息、您对构建器的使用、安全日志以及我们自己的营销——Proyecta 是独立的控制者。该等处理在我们的隐私政策中说明，而非在本 DPA 中。

2.3. 您作为控制者的责任。 您对您所指示的处理的合法性负责，包括向您的最终用户提供隐私通知、具备处理的合法依据、获取所需的任何同意，以及确保您或您的最终用户提交的数据可以通过服务合法处理。

2.4. 已发布应用程序中的分析。 已发布应用程序的内置分析功能不会在最终用户的浏览器中存储 Cookie 或任何其他标识符。Proyecta 在其服务器上使用假名标识符统计访客，该标识符根据请求（IP 地址和浏览器详细信息）以及一个每天更换并在 48 小时内删除的随机值计算得出，因此不同日期之间的标识符无法相互关联。IP 地址不会与分析数据一起存储。使用早期版本分析功能构建的已发布应用程序在更新之前仍可能设置第一方 Cookie（_pry_vid）；Proyecta 已不再使用其值。对于您的已发布应用程序在最终用户浏览器中存储的任何其他内容（第三方嵌入内容、像素、聊天小组件），取得同意仍是您作为控制者的责任。

3. 按您的指示进行处理

3.1. 除非法律另有要求，Proyecta 仅会根据您的书面指示处理客户个人数据，包括向第三国传输。在法律另有要求的情况下，我们将在处理前告知您该法律要求，除非法律基于重要的公共利益理由禁止告知。

3.2. 您的指示包括：(a) 条款和本 DPA；(b) 您配置和使用服务的方式，包括您的已发布应用程序收集的内容和执行的操作；以及 (c) 您向我们发出的、与条款一致的任何其他合理书面指示。会改变服务范围的指示可能需要另行签订协议。

3.3. 如果我们认为某项指示违反适用数据保护法，我们将及时通知您。我们没有义务执行违法的指示。

4. 保密

Proyecta 将确保其授权处理客户个人数据的每一个人均负有合同或法定的保密义务。访问权限仅限于为提供、支持或保护服务而需要访问的人员。

5. 安全

5.1. Proyecta 将按照 GDPR 第 32 条的要求，在考虑现有技术水平、实施成本以及处理的性质、范围、背景和目的的基础上，实施并维持适当的技术和组织措施以保护客户个人数据。现行措施载于附件二。

5.2. 我们可以不时更新这些措施，但更新不得实质性降低整体保护水平。

6. 子处理者

6.1. 一般授权。 您授予 Proyecta 委托子处理者的一般授权。当前清单（包括每个子处理者的用途和所在地）发布于 /subprocessors。

6.2. 通知与异议。 我们通过更新该页面及其"最后更新"日期的方式，告知您新的子处理者。您可以在该更新后 30 天内基于合理的数据保护理由，书面致信 privacy@proyecta.dev 提出异议。届时我们将本着诚信与您协商替代方案。如果无法合理找到替代方案，您可以终止受影响的服务，我们将退还终止后期间的任何预付平台费用。

6.3. 义务传递与责任。 我们将通过书面合同约束每个子处理者，使其承担不低于本 DPA 保护水平的数据保护义务。我们仍就子处理者履行该等义务的情况对您承担责任。

7. 对您的协助

7.1. 数据主体请求。 考虑到处理的性质，Proyecta 将通过适当的技术和组织措施，协助您回应数据主体行使其权利的请求。服务在您的已发布应用程序的管理控制台中提供工具，用于访问、更正、导出和删除您的最终用户的数据。如果数据主体就客户个人数据直接联系我们，我们将把请求转发或引导给您，除非您指示我们答复，否则我们不会自行答复。

7.2. 其他协助。 考虑到我们可获得的信息，我们将合理协助您履行有关安全、个人数据泄露通知、数据保护影响评估以及与监管机构事先协商的义务（GDPR 第 32 条至第 36 条）。对于超出我们向所有客户提供的信息范围的协助，我们可以收取合理费用。

8. 个人数据泄露

8.1. Proyecta 在知悉个人数据泄露后，将不无故拖延地通知您，并在可行的情况下于 72 小时内通知您。通知将发送给您的账户联系人。

8.2. 通知将在当时已知的范围内说明：泄露的性质，包括所涉数据主体和记录的类别及大致数量；其可能造成的后果；以及为应对泄露并减轻其影响已采取或拟采取的措施。如果无法一次性提供上述全部信息，我们将在不再无故拖延的情况下分阶段提供。

8.3. 我们将采取合理措施控制和补救泄露。我们的通知不构成对过错或责任的承认。

9. 返还与删除

9.1. 服务终止时，您可以按照条款第 21.5 条的规定，在 30 天内导出您的客户个人数据。该期限届满后，除非法律要求我们保留，Proyecta 将从其活动系统中删除该等数据。

9.2. 备份中保存的副本将随备份按正常轮换周期到期而删除。在此之前，这些副本仍受本 DPA 保护，且不会用于任何其他目的。

9.3. 在服务有效期间，您也可以随时删除客户个人数据：在管理控制台中删除记录、取消发布已发布应用程序或关闭您的账户。

10. 审计与信息

10.1. Proyecta 将提供证明遵守本 DPA 及 GDPR 第 28 条所合理必需的全部信息。该等信息包括本 DPA、附件二中的安全措施、子处理者清单，以及对合理的安全问卷的书面答复。

10.2. 如果上述信息不足以证明合规，或监管机构提出要求，您可以通过负有保密义务的独立审计师对我们的合规情况进行审计，包括现场检查。审计在任何 12 个月期间内限于一次（个人数据泄露后或应监管机构要求的除外），须提前至少 30 天发出书面通知，须在营业时间内进行且不得不合理地干扰我们的运营，费用由您承担。审计仅涵盖处理客户个人数据的系统。

11. 国际传输

11.1. Proyecta 位于美国，客户个人数据可能在美国以及 /subprocessors 所列我们的子处理者开展业务的其他国家被处理。

11.2. 欧洲经济区传输。 在受 GDPR 约束的客户个人数据被传输至未获充分性认定的国家的范围内，SCC 通过引用并入本 DPA，并按以下方式适用：

• 您为控制者时适用模块二（控制者至处理者），您为处理者时适用模块三（处理者至处理者）。您是"数据输出方"，Proyecta 是"数据输入方"。
• 适用第 7 条（加入条款）。
• 第 9 条：适用选项 2（一般书面授权），通知期限依本 DPA 第 6.2 条。
• 第 11 条：可选措辞不适用。
• 第 13 条：主管监管机构为依第 13(a) 条确定的机构。如果您未在欧洲经济区设立机构，则为您的欧盟代表所在成员国的监管机构；如果您没有欧盟代表，则为奥地利数据保护机构（我们的第 27 条代表所在的成员国）。
• 第 17 条：SCC 受爱尔兰法律管辖。第 18 条：争议由爱尔兰法院解决。
• SCC 的附件一和附件二由本 DPA 的附件一和附件二补全。附件三由 /subprocessors 的清单补全。

11.3. 英国传输。 对于受英国 GDPR 约束的传输，SCC 按英国信息专员发布的《国际数据传输附录》（B1.0 版）修订后适用，该附录通过引用并入。其表格以第 11.2 条以及本 DPA 附件一和附件二中的信息补全，任何一方均可按该附录第 19 条的规定终止该附录。

11.4. 瑞士传输。 对于受 FADP 约束的传输，SCC 经以下修改后适用：对 GDPR 的引用应理解为对 FADP 的引用；瑞士联邦数据保护和信息专员是该等传输的主管监管机构；"成员国"一词不妨碍瑞士的数据主体在其惯常居所地提出索赔。

11.5. 数据隐私框架。 如果接收方已根据欧盟-美国数据隐私框架（或其英国扩展或瑞士-美国框架）获得认证，则该传输可以依赖该认证而非 SCC。

11.6. 政府访问。 如果 Proyecta 收到公共机构针对客户个人数据的具有法律约束力的请求，除非法律禁止，我们将及时通知您，并给予您寻求保护令的机会。对于我们合理认为不合法的请求，我们将提出异议，并且仅披露该请求所需的最少数据。

12. 美国州隐私法

如果 Proyecta 根据 CCPA 或其他美国州隐私法，作为您的"服务提供商"、"承包商"或"处理者"处理客户个人数据，Proyecta：

• 不会出售或共享客户个人数据（该等术语按 CCPA 的定义）；
• 不会为条款和本 DPA 规定的商业目的以外的任何目的，或在您与我们之间的直接业务关系之外，保留、使用或披露客户个人数据；
• 除该等法律允许的情况外，不会将客户个人数据与其从任何其他人处或代表任何其他人收到的个人数据，或其自行收集的个人数据相结合；
• 将遵守该等法律对服务提供商规定的义务，并提供该等法律所要求的同等水平的隐私保护；
• 如果确定其无法再履行该等义务，将通知您；并且
• 同意您可以采取合理且适当的措施，制止和补救对客户个人数据的任何未经授权的使用。

我们证明我们理解并将遵守上述限制。

13. 墨西哥和巴西

13.1. 墨西哥。 对于受 LFPDPPP 约束的客户个人数据，您是"responsable"（控制者），Proyecta 是"encargado"（处理者）。Proyecta 将仅根据您的指示处理客户个人数据，不会将其用于自身目的，将对其保密，将采用附件二中的安全措施，将按照第 9 条的规定将其删除，并且仅会作为第 6 条下的子处理者向第三方传递该数据，这构成该法律下的"remisión"（委托传输）。如果客户个人数据包含敏感个人数据（例如健康档案中的健康数据），您有责任取得 LFPDPPP 所要求的任何明示同意。

13.2. 巴西。 对于受 LGPD 约束的客户个人数据，您是"controlador"（控制者），Proyecta 是"operador"（处理者），本 DPA 相应适用。

14. 一般条款

14.1. 优先顺序。 就客户个人数据的处理而言，本 DPA 优先于条款中任何相冲突的规定。在适用 SCC 的情况下，SCC 优先于本 DPA。

14.2. 责任。 各方在本 DPA 项下的责任受条款中责任限制和排除条款的约束，但适用数据保护法或 SCC 不允许该等限制的情况除外。

14.3. 期限。 只要 Proyecta 代表您处理客户个人数据（包括第 9 条规定的导出和删除期间），本 DPA 即持续有效。

14.4. 变更。 我们可以更新本 DPA 以反映法律、我们的子处理者或服务的变化，并按照条款第 25 条的规定发出通知。除非法律要求，更新不会实质性降低本 DPA 对客户个人数据的保护。

14.5. 语言。 本 DPA 可能以多种语言提供。如有冲突，以英文版本为准。

14.6. 联系方式。 数据保护问题：privacy@proyecta.dev。法律通知：legal@proyecta.dev。我们根据 GDPR 第 27 条指定的欧盟代表为 iuro Rechtsanwälte GmbH t/a Prighter, Schellinggasse 3, 1010 Vienna, Austria（https://app.prighter.com/portal/proyecta）。

附件一 — 处理详情 {#annex-1}

各方。

• 数据输出方/控制者： 客户，以其账户识别。活动：使用服务构建和运营网站及应用程序。联系方式：账户所有者的电子邮件。
• 数据输入方/处理者： Proyecta Labs, Inc., 2803 Philadelphia Pike, Suite B 1708, Claymont, DE 19703, United States。活动：服务提供商。联系方式：privacy@proyecta.dev。

数据主体类别。

• 您的已发布应用程序的最终用户：访客、顾客和买家、进行预约的人、提交表单或销售线索的人、会员和已登录用户、新闻通讯订阅者，以及通过已连接渠道（例如 WhatsApp 或电子邮件）向您的企业发送消息的人
• 您通过服务为其保存健康档案的、您企业的客户和患者
• 您的团队成员以及您邀请加入您的组织或您的已发布应用程序管理控制台的其他用户
• 您或您的最终用户向服务提交其个人数据的任何其他个人

个人数据类别。

• 身份和联系数据：姓名、电子邮件地址、电话号码、邮寄或收货地址
• 最终用户的账户和登录数据：用户标识符、登录方式、一次性验证码、关联的第三方登录标识符
• 交易数据：订单、预约、订阅、发票和付款状态（银行卡数据由您连接的支付提供商处理，Proyecta 不予存储）
• 最终用户提交的内容：表单回复、消息及其媒体、评价、文件和上传内容
• 通信数据：电子邮件和消息内容、送达和退订状态
• 分析和技术数据：每日假名访客标识符和每次访问的会话标识符、访问的页面、来源页、UTM 参数、浏览器、操作系统和设备类型以及页面性能指标。IP 地址仅为计算访客标识符和保护服务免遭滥用而被临时处理，不会与分析数据一起存储
• 健康档案数据（如您使用健康档案）：健康问卷回答（视您使用的表单而定，可能包括病史、过敏、禁忌症、用药和身体测量数据）；到访记录及其早期版本；已签署的同意书，包括签署人姓名、手写签名、时间、IP 地址和浏览器详细信息；临床照片和文件；以及谁在何时打开或更改了档案的日志
• 您选择通过您的已发布应用程序收集的任何其他个人数据

特殊类别数据。 健康档案旨在保存健康数据，即 GDPR 第 9 条规定的特殊类别个人数据和 LFPDPPP 规定的敏感个人数据。对于注册时的回答表明从事健康或临床工作的企业，健康档案默认开启，并可随时在"日程"设置中开启或关闭。作为控制者，您决定是否使用健康档案以及您的表单询问哪些内容。您有责任具备合法依据和 GDPR 第 9 条规定的条件（或其他适用数据保护法下的同等条件），取得法律要求的任何明示同意，并按法律为您规定的任何最短期限保存临床记录：服务不会代您在该期限内保存这些记录，删除您的已发布应用程序即会删除这些记录。每份档案均可打印或保存为 PDF。服务向您的客户展示的表单会显示您的隐私通知（如果您未自行撰写，则显示默认通知），客户接受之前无法提交。健康档案的额外保障措施列于附件二。在健康档案之外，服务并非专门为特殊类别个人数据或与刑事定罪相关的数据而设计。如果您的已发布应用程序在其他地方收集此类数据（例如预约表单中的健康问题），您有责任具备合法依据，并判断附件二中的措施是否适当。

传输频率。 在服务使用期间持续进行。

处理的性质。 托管、存储、检索、传输、展示、整理、为向您报告而进行的分析、备份和删除。如果您使用 AI 功能（例如回答您的客户的 AI 助手），还包括由 AI 模型提供商为生成回复而进行的处理。

处理的目的。 向您提供服务：托管和运营您的已发布应用程序及其数据、电子邮件和消息传递、商务和预约、分析、您的最终用户的登录、您启用的 AI 功能、支持以及保障服务安全。

期限和保留。 在条款有效期内，此后直至根据本 DPA 第 9 条删除为止。

子处理者。 如 /subprocessors 所列，用于其中所述的目的并位于其中所述的地点。

附件二 — 技术和组织安全措施 {#annex-2}

• 加密。 数据在传输过程中（包括与我们数据库的连接）使用 TLS 1.2 或更高版本加密，在静态存储时由我们的云基础设施提供商加密。
• 租户隔离。 已发布应用程序的数据保存在多租户数据库中，每一次读取和写入都限定在其各自的租户范围内，内容记录采用数据库级行安全。代码在隔离的沙箱运行时环境中运行，无法访问其他客户的数据。
• 网络保护。 生产数据库没有公共 IP 地址，只能从我们的私有网络内部访问。管理访问须经过身份感知网关。已发布应用程序通过具备 DDoS 防护的边缘网络提供服务。
• 访问控制。 对生产系统和客户个人数据的访问仅限于需要访问的人员，基于最小权限角色，并使用受强身份验证保护的个人账户。日常调查使用只读访问权限。
• 日志记录与监控。 我们的员工在我们管理工具中执行的操作会被记录，包括员工每次登录客户账户。对健康档案的每一次读取和更改均按下文所述被记录。错误和异常受到监控并会触发告警。
• 可用性与弹性。 具备每日自动备份和过去 7 天时间点恢复功能的托管数据库，以及在版本控制中以代码形式管理的基础设施。
• 安全开发。 在代码变更提交前进行的自动化静态检查（代码规范检查和类型检查），以及自动化测试。
• 密钥管理。 凭据和 API 密钥保存在托管的密钥存储中，绝不写入源代码。已发布应用程序使用可轮换或撤销的按应用程序分配的密钥进行身份验证。
• 事件响应。 根据第 8 条检测、控制、调查和通知个人数据泄露的书面流程。
• 人员。 对所有有权访问客户个人数据的人员施加保密义务。
• 健康档案。 除上述措施外：
  • 在管理控制台中，访问权限仅限于账户的管理员以及所有者授权的团队成员。仅限访问自己日历的团队成员只能访问在这些日历上预约的客户的档案。前台角色只能看到表单是否待填写以及过敏或禁忌症标记，绝不能看到回答内容；共享的柜台终端无法访问。
  • 通过管理控制台或 API 对档案的每一次读取和更改，都会在返回任何数据之前写入该档案的访问日志；如果无法写入日志，则不显示任何内容。Proyecta 员工的访问也以同样方式记录，并保存在我们自己的记录中，应要求可提供给该账户。账户的管理员可以查看其本团队的条目，这些条目记录谁在何时做了什么，但绝不包含档案的内容。
  • 照片和文件保存在私有存储中，不会出现在媒体库和任何其他文件路径中，只能通过短时有效的签名链接打开。照片在上传时会重新编码，从而移除 EXIF 和位置数据等嵌入的元数据。
  • 健康档案不向服务的 AI 功能开放：任何 AI 工具都不会读取或写入其内容。
  • 在 Proyecta 应用中显示档案的界面不会被纳入会话录制。
  • 健康问卷和到访记录的早期版本会连同其作者和时间一并保留。
• 子处理者尽职调查。 子处理者依据其安全实践进行遴选，并根据第 6.3 条受到约束。
• 数据最小化与删除。 通过服务支持数据主体请求，并根据第 9 条删除数据。