本数据处理协议("DPA")构成您("控制者")与Juan José Camacho("处理者")之间服务条款的一部分,适用于处理者在交付 QR Branding 服务过程中代表您处理个人数据的所有情形。
1. 当事方
控制者:已同意本服务条款的自然人或法人。处理者:Juan José Camacho,注册地址 04005, Almería, 西班牙,联系方式 support@qr-branding.com。
2. 主题与期限
处理者仅为运营 QR Branding 服务而处理个人数据:账户管理、QR 生成、API 访问、账务对账与客户支持。处理在控制者账户存续期间持续进行,并加上第 11 条所述的保留期。
3. 处理的性质与目的
为渲染 QR 码、交付付费下载、认证 API 调用、发送事务性邮件及支付推广佣金所必需的个人数据的存储、检索、传输与删除。
4. 数据主体与数据类别
- 数据主体:控制者的最终用户、控制者的员工以及控制者本人。
- 类别:电子邮件地址、IP 地址、浏览器语言、国家/地区(由 IP 推断)、购买元数据、推广标识符。
5. 控制者指示
处理者仅按照控制者的书面指示处理个人数据,包括有关向第三国的传输。本条款、隐私政策及发送至 support@qr-branding.com 的任何书面指示均构成书面指示。
6. 保密义务
被授权处理个人数据的人员承担与 GDPR 第 28(3)(b) 条等效的保密义务。
7. 安全措施
处理者依据 GDPR 第 32 条采取适当的技术与组织措施,包括传输中加密(TLS 1.2+)与静态加密(AES-256)、最小权限访问控制、审计日志、密钥轮换以及对供应商认证(在可用时为 SOC 2 / ISO 27001)的定期审查。
8. 子处理者
控制者授权以下类别的子处理者。完整的具名清单(含法律实体和地区)发布于 /subprocessors,并在子处理者变更时随时更新:
- 我们的 Merchant of Record(在欧盟注册的支付服务商) — 计费、退款、税款代缴。
- 我们的事务性邮件服务商 — 发送收据和账号邮件。
- 我们的 CDN + 边缘运行时服务商 — 前端托管、资源 CDN、对象存储。
- 我们的托管 Postgres 数据库服务商(美国区域) — 订单和额度账本。
- 我们的托管缓存 + 速率限制计数服务商 — 缓存、速率限制、Webhook 幂等。
- 我们的无服务器函数托管服务商(Microsoft Azure 西欧) — 引擎计算和应用遥测。
- 第三方 LLM 服务商(仅在最终用户明确选择 AI 生成时调用) — 每次请求所用的服务商会被记录以便成本核对。
每个子处理者均通过书面协议承担与本 DPA 等效的数据保护义务。处理者将至少提前 30 天通过 /subprocessors 页面通知控制者任何拟议的子处理者变更,并允许控制者基于合理理由提出异议。
9. 国际传输
若个人数据被传输至欧洲经济区(EEA)以外,处理者依赖欧盟委员会的标准合同条款(2021/914 决定)以及适用的补充措施。
10. 数据主体请求
处理者协助控制者及时回应数据主体的请求(访问、更正、删除、可携、反对),并提供完成该请求所需的工具与信息。
11. 违规通报
处理者在知悉个人数据泄露后将不无故拖延地、并在任何情况下不晚于 72 小时内通知控制者,并提供 GDPR 第 33(3) 条所要求的信息。
12. 审计、期限与终止
控制者可在每个公历年最多一次、自费审计本 DPA 的合规情况,方式为查看供应商认证或由双方共同同意的第三方审计师在保密前提下进行。本 DPA 在基础服务条款终止时自动终止;终止后,除法律要求保留外,处理者将在 90 天内删除或返还全部个人数据。