数据处理协议 (DPA)：分析

QR Branding API — GDPR 第 28 条

---

1. AI 生成：两种模式

1.1 QR Branding 自己的提供商账户

qr-branding.com 上的 AI 设计器和市场托管端点（POST /api/qr/ai/generate-managed）通过内部回退链，使用 QR Branding 自己在 Groq、Google（Gemini）和 OpenAI 处的 API 密钥。对于这些请求：

• QR Branding 是数据控制者，这些提供商作为其处理者，并列于子处理者页面。
• 只将设计提示词和生成参数发送给提供商；不发送电子邮件、账单数据、IP 地址或客户标识符。

1.2 BYOK（Bring Your Own Key，自带密钥）模式

市场端点 POST /api/qr/ai/generate 采用 BYOK 模式。这意味着：

• 对于这些请求，QR Branding 不使用自己的账户或 API 密钥。
• 客户在每次请求时提供自己的 API 密钥（llmApiKey）并选择提供商：OpenAI、Anthropic、Google、Mistral、Cohere、Groq、xAI、DeepSeek 或 Qwen，或客户自己的 OpenAI 兼容端点（local）。
• QR Branding 作为技术中介，使用客户的密钥将设计提示词转发给提供商。
• 客户的 API 密钥既不存储，也不记录日志，在 HTTP 请求结束时即被丢弃。

对 GDPR 的影响

在 BYOK 模式下，与 LLM 提供商的合同关系是客户与提供商之间的直接关系。因此：

• 对于 BYOK 请求，相对于 LLM 提供商，QR Branding 不是数据控制者。
• 如果处理个人数据，需要与 LLM 提供商签订 DPA 的是客户本人。
• 对于 BYOK 请求，QR Branding 不需要与提供商签订 DPA。

---

2. QR Branding 需要的 DPA

QR Branding 需要与其直接提供商签订 DPA（完整列表见子处理者页面）。与 API 和 AI 生成相关的有：

---

3. 客户的责任（BYOK 端点）

API 文档和隐私政策告知客户：

1. 使用 BYOK AI 端点时，其提示词会通过客户自己的 API 密钥发送给客户选择的 LLM 提供商。
2. 与 LLM 提供商的关系受客户自己与该提供商之间的条款约束。
3. 如果客户通过 BYOK AI 端点处理个人数据，与 LLM 提供商签订相应协议（DPA）是客户的责任。
4. QR Branding 建议客户查阅所选 LLM 提供商的隐私政策。

支持的提供商（供客户参考）

BYOK 端点还支持 xAI、DeepSeek 和 Qwen，以及客户自己的 OpenAI 兼容端点。客户应直接查阅这些提供商的数据处理条款。

---

4. 保护客户 API 密钥的技术措施

虽然我们不存储客户的 API 密钥，但仍采取以下保护措施：

---

本文件更新于 2026-10-07。2.0 版本仅描述了 BYOK 模式；本版本增加了使用 QR Branding 自己的提供商账户进行的 AI 生成（网站和托管端点）。