Reconstruct 数据处理附录

版本：2026年10月11日。

这是我们的标准数据处理附录（DPA）条款，适用于我们按其指示处理个人数据的客户。DPA 经双方签署后生效，并补充签署副本中指定的服务协议。浏览本页面不会使您成为 DPA 的签约方。请联系 [email protected]，为您的服务安排 DPA。

双方为已签署服务协议中指定的客户（“客户”）和 Cryptify Corporation，8 The Green, STE R, Dover, DE 19901, USA（“提供方”）。

1. 范围与角色

本 DPA 仅适用于提供方为交付约定服务而依据客户书面记录的指示所处理的个人数据（“客户个人数据”）。客户作为控制者，或经其控制者授权的处理者；提供方相应作为处理者或次级处理者。双方分别遵守适用于其角色的数据保护法律。

提供方独立开展的账户、账单、安全及公开目录活动受适用法律和隐私政策约束。根据本 DPA，提供方不得将客户个人数据用于自行发布目录、广告、通用模型训练或无关的产品改进。

2. 指示与保密

提供方仅依据书面记录的指示处理客户个人数据，包括有关国际传输的指示，除非法律另有要求。在法律未禁止的情况下，提供方会在处理前将该要求告知客户。如果提供方认为某项指示违反适用的数据保护法律，会及时告知客户，并在双方解决问题期间暂停执行受影响的指示。

客户负责确保合法收集、透明度及发出处理指示的权限。提供方确保获授权人员受保密义务约束，且仅在履职必要范围内访问数据。除非在附件A中明确评估并约定，客户不得提交特殊类别数据、刑事犯罪数据或儿童数据。

3. 安全

提供方实施附件B规定的、符合适用法律下风险水平的技术和组织措施，并且在协议期间不会实质降低约定保护水平。在实质改变输入、规模或处理方法前，双方会评估额外措施。

4. 次级处理者

客户对已填写附件C中列明的次级处理者给予一般性书面授权。提供方在新增或替换次级处理者前至少提前30天书面通知，使客户有机会基于合理的数据保护理由提出异议。双方寻求解决方案；若变更前无法解决，客户可结束受影响的处理／服务，并在遵守基础协议及强制性法律的前提下，按比例退还该服务未使用的预付费用。及时提出的异议尚未解决期间，提供方不会将受影响数据传给拟议的次级处理者。

提供方要求次级处理者承担实质等同的数据保护义务，并按适用法律要求，继续就其履行情况向客户负责。只有客户授权覆盖的次级处理者可以处理客户个人数据。

5. 协助与事件

考虑到处理性质和可用信息，提供方协助客户处理数据主体请求，并履行安全、泄露通知、影响评估和监管咨询义务。提供方会转交涉及客户个人数据的请求，除非依据指示或法律要求，否则不作实质性答复。

提供方知悉影响客户个人数据的个人数据泄露后，会在无不当延误的情况下通知客户。通知说明已知事实、受影响的数据／主体、可能后果、缓解措施及联系人；信息可分阶段提供，但不得无故拖延。提供方会配合控制、调查和补救；通知不构成承认责任。

6. 国际传输

双方在附件D中指明每项受限传输、角色和目的地，并在传输前实施有效机制。国际传输在适用时包括从其他国家访问，以及向次级处理者的后续传输。

在有要求时，双方将适用的欧盟委员会2021/914标准合同条款及任何适用的英国附录、国际数据传输协议或瑞士适配条款纳入已签署 DPA。相关模块、选项和附件与客户协定。这些传输文书另行签署，不会仅因浏览本页面而纳入。双方就传输评估和补充措施合作。强制性传输条款优先于本 DPA 或基础协议中的冲突条款。

7. 返还与删除

相关服务结束后，提供方按客户选择返还或删除客户个人数据，删除现有副本（法律要求保留的除外），并应请求提供确认。附件A规定导出格式、活动系统处理期限及备份到期时间。依法保留的数据将隔离，且仅为法定目的处理。恢复备份时必须重新应用删除。客户专属附件A至D属于已签署 DPA 的组成部分，界定约定处理、安全措施、次级处理者及传输。

8. 信息与审计

提供方提供证明合规所需的信息，并允许及协助客户或获授权独立审计员开展审计，包括检查。双方协调与风险相称的范围、保密及合理通知安排，但不妨碍强制审计权、紧急事件调查或监管机关访问。在充分时可使用现有证据。服务所依据的任何认证均在签署协议中指明。

9. 优先顺序与签署

本 DPA 优先于基础协议中冲突的处理条款；强制性传输文书优先于两者。任何内容均不限制数据主体的法定权利或机关的权力。商业责任条款仅在符合适用法律及传输文书的范围内适用。

DPA 由客户和提供方的授权代表签署。签署副本指明代表及签署日期。

附件A——处理说明与生命周期

附件B——约定的技术和组织措施

客户专属附件说明约定安全措施，包括访问及特权访问、租户隔离、传输与存储保护、密钥和秘密管理、最小化、日志与遮蔽、漏洞和补丁管理、备份与恢复、事件处理、员工保密、删除、次级处理者审查，以及对这些措施的验证。任何约定认证另行指明。

附件C——获授权次级处理者

签署副本列明每个次级处理者的法律实体、活动、数据类别、国家和传输机制。该清单涵盖获授权处理该客户数据的提供商，其范围可能小于公开提供商清单。

附件D——传输

签署副本指明每项传输、出口方和进口方、国家、传输文书及任何补充措施。传输仅限于约定附件和适用传输保障覆盖的项目。