1 定义

• “适用数据保护法” — 适用于个人数据处理的所有隐私和数据保护法律，包括 GDPR（欧盟）、UK GDPR、瑞士 FADP 以及 CCPA/CPRA（加利福尼亚州）。
• “授权子处理者” — DeepCerebra 聘请的任何处理客户个人数据的第三方，如附表 1 所列。
• “控制者” — 确定个人数据处理目的和方式的实体。
• “客户个人数据” — DeepCerebra 代表客户处理的任何个人数据，包括账户数据（姓名、电子邮件）、为完成请求而传输的提示和代码上下文、使用和计量数据以及技术数据（IP 地址、设备信息）。
• “数据主体” — 个人数据所关联的已识别或可识别的自然人。
• “个人数据泄露” — 导致客户个人数据意外或非法销毁、丢失、更改或未经授权披露的安全漏洞。
• “处理” — 对个人数据执行的任何操作，包括收集、存储、使用、传输和删除。
• “标准合同条款（SCCs）” — 欧盟委员会实施决定 2021/914 SCCs、英国国际数据传输附录以及瑞士 FDPIC 认可的条款（如适用）。

2 个人数据处理：角色与范围

2.1 双方角色

关于客户个人数据，客户作为数据控制者（或作为代表控制者行事的处理者），DeepCerebra 作为数据处理者。DeepCerebra 将仅代表客户并根据客户的书面指示处理客户个人数据。

2.2 处理范围与目的

DeepCerebra 仅为提供 服务说明中所述的服务以及附表 1 中进一步记录的服务而处理客户个人数据。路由至大型语言模型的提示和代码上下文根据零数据保留（ZDR）条款进行处理，除严格要求返回响应所需外，不会被保留，也不会用于训练基础模型。

2.3 DeepCerebra 作为控制者

DeepCerebra 可能作为独立的控制者，为自身的合法商业目的处理某些个人数据，包括账单和账户管理、使用计量、安全监控和欺诈预防、遵守法律义务以及使用聚合和匿名数据改进服务。

3 DeepCerebra 作为处理者的义务

3.1 处理指示

DeepCerebra 将仅根据客户的书面指示处理客户个人数据，除非适用法律另有要求；如果 DeepCerebra 认为某项指示违反适用数据保护法，将及时通知客户。

3.2 保密性

DeepCerebra 将确保所有获授权处理客户个人数据的人员均受适当保密义务的约束。

3.3 安全措施

DeepCerebra 实施并维护适当的技术和组织措施以保护客户个人数据：

• 浏览器内保密存储： 项目文件保存在客户端，最大程度减少发送到服务器或存储在服务器上的数据。
• 零数据保留路由： 路由到模型的提示和代码上下文在请求完成后不予保留，也不用于模型训练。
• 传输中加密： 所有 API 和网络通信均采用 TLS 1.2+ 加密。
• 静态加密： 存储的账户数据使用行业标准算法加密；密码进行不可逆哈希处理。
• 访问控制： 基于角色的访问控制和最小权限访问到生产系统。
• 速率限制与监控： API 速率限制以及对安全事件和异常活动的持续监控。

3.4 子处理者

客户授予 DeepCerebra 聘用授权子处理者的普遍授权。DeepCerebra 将维护一份最新列表（附表 1），将通知客户拟增加或替换的子处理者，将对授权子处理者施加同等的数据保护义务，并将在协议规定的范围内对其行为和不作为承担责任。

3.5 数据主体权利协助

如果 DeepCerebra 收到数据主体行使其权利的请求，将及时通知客户，并通过提供必要的工具和信息协助客户回应。

3.6 个人数据泄露通知

DeepCerebra 将在知悉影响客户个人数据的个人数据泄露后，立即（并在 72 小时内）通知客户，包括泄露的性质、受影响数据主体的类别和大致数量、可能造成的后果以及已采取的应对措施。

4 客户义务

客户负责确保其对服务的使用符合适用数据保护法，包括在通过服务处理数据主体的个人数据之前提供所有必要的通知并获得所有必要的同意，确保客户个人数据和任何提交的源代码均合法收集和使用，并管理其连接到服务的密钥、存储库和第三方工具。

5 国际数据传输

如果 DeepCerebra 将客户个人数据从 EEA、英国或瑞士传输到未被认可提供足够数据保护水平的第三国，此类传输将受适当保障措施的约束，包括适用的标准合同条款（SCCs），这些条款特此通过引用并入本 DPA。

6 数据删除与返还

协议终止后，DeepCerebra 将根据客户的选择并在合理的时间范围内，返还或安全删除其系统及其授权子处理者持有的客户个人数据，但适用法律要求保留的除外。由于项目文件保存在浏览器内保密存储中，它们仍由客户控制。DeepCerebra 将根据客户请求提供删除的书面确认。

7 审计权利

根据客户的合理书面请求（每年不超过一次），DeepCerebra 将提供合理必要的信息以证明符合本 DPA，并将在合理的保密义务和提前通知的前提下，允许并协助进行审计。

8 责任

各方因本 DPA 引起或与之相关的责任，无论是合同、侵权还是任何其他责任理论下的责任，均受服务条款中规定的责任限制的约束。因此，DeepCerebra 因本 DPA 和协议引起或与之相关的所有索赔的总累计责任不得超过 两百美元 (US $200)，在适用法律允许的最大范围内。

9 联系信息

如需任何隐私相关咨询、数据主体请求或报告个人数据泄露，请联系：