数据处理附录

• 适用数据保护法律指适用于本协议项下客户个人数据处理活动的所有法律，可能包括 GDPR、UK GDPR、瑞士《联邦数据保护法》以及《加利福尼亚州消费者隐私法》等美国各州隐私法律。
• 客户个人数据指客户内容中包含的、由 Zurelay 为提供服务而代表客户处理的个人数据。
• 次级处理者指 Zurelay 委托处理客户个人数据的第三方，包括基础设施提供商。
• 个人数据泄露指 Zurelay 控制的系统发生安全事件，导致客户个人数据被意外或非法销毁、丢失、篡改、未经授权披露或访问。
• SCCs指欧盟委员会通过第 (EU) 2021/914 号决定批准的标准合同条款。
• 控制者、处理者、数据主体、个人数据、处理、企业和服务提供商的含义，以适用数据保护法律中的定义为准。

对于客户个人数据，客户是控制者（或代表其自身客户行事的处理者），Zurelay 是处理者（或次级处理者）。本 DPA 不适用于 Zurelay 作为独立控制者处理的个人数据，例如账户、账单、支持、安全和网站相关数据；这些数据由我们的隐私政策涵盖。

3.1 指示。 Zurelay 仅会为提供、保障和支持服务，按照本协议、本 DPA 以及客户对服务的使用和配置处理客户个人数据，或按法律要求进行处理。上述内容共同构成客户完整的书面指示。如法律要求进行超出这些指示范围的处理，Zurelay 会事先告知客户，除非法律禁止告知。

3.2 路由即指示。 客户指示 Zurelay 将客户内容发送给 Zurelay 选择的基础设施提供商，并根据生成输出的需要，在这些提供商之间重试请求、重新路由及进行故障转移。

3.3 违法指示。 如果 Zurelay 认为某项指示违反适用数据保护法律，会告知客户。Zurelay 无义务对客户指示进行法律审查。

客户负责确保本协议项下的客户个人数据处理具有合法依据，并提供所有必要通知、取得所有必要同意。除非双方另行签署书面协议予以允许，否则客户不得发送受限数据，包括特殊类别的个人数据和儿童个人数据。客户负责将输入中包含的个人数据限制在其使用服务所必需的范围内，并负责判断本服务是否适合处理其数据，包括基础设施提供商按照第 7 条所述的自有条款进行的处理；Zurelay 不披露这些提供商的身份。

Zurelay 将确保其授权处理客户个人数据的人员承担适当的保密义务，且仅在提供服务所需的范围内访问这些数据。

Zurelay 将实施并维护附件 II 所述的技术和组织措施，以保护 Zurelay 所控制系统中的客户个人数据。Zurelay 可以更新这些措施，但不得实质性降低整体保护水平。

7.1 一般授权. 客户向 Zurelay 授予一般授权，允许其聘用以下类别的次级处理者：(a) 托管、数据库、存储和网络服务提供商；(b) 支付、电子邮件和支持服务提供商，仅限其处理客户个人数据的情况；以及 (c) 提供模型服务的基础设施提供商，包括模型开发商、云平台、独立转售商及其他模型算力提供商。

7.2 基础设施提供商的身份. Zurelay 的基础设施提供商身份属于商业机密，Zurelay 不予披露。第 7.1 条中的客户授权按类别涵盖基础设施提供商，无需披露其身份。应客户书面请求，Zurelay 将提供其他现有次级处理者的名单，客户须遵守协议规定的保密义务。如果客户的法律义务要求其在向任何次级处理者发送个人数据前知悉该处理者的身份，客户不得在客户内容中包含此类个人数据。

7.3 变更. 为保持服务可用，Zurelay 可以随时新增、移除或更换基础设施提供商。Zurelay 将通过更新本 DPA，通知客户任何新增的次级处理者类别。如果客户基于合理的数据保护理由提出异议，双方将本着诚信原则协商；如无法解决，客户唯一的救济方式是停止使用受影响的服务并终止协议。

7.4 次级处理者条款. 在 Zurelay 能够协商次级处理者条款的情况下，Zurelay 将要求其承担实质上不低于本 DPA 保护水平的数据保护义务，但仅限于与该次级处理者所提供服务相关的范围。部分基础设施提供商仅按其标准条款提供服务。客户确认，对于这些提供商，其对客户内容的处理受其标准条款约束，且 Zurelay 可能无法获得其额外承诺。

7.5 责任. Zurelay 在适用数据保护法律要求的范围内，仍对其次级处理者承担责任，但受协议中的责任限制条款约束。

Zurelay 将根据处理活动的性质，为客户响应数据主体行使权利的请求提供合理协助。如果 Zurelay 收到涉及客户个人数据的此类请求，且能够确定对应客户，将引导请求者联系客户；除确认已引导请求者联系客户或法律要求的情况外，Zurelay 不会自行答复。对于超出服务现有功能范围的协助，客户应支付 Zurelay 产生的合理费用。

Zurelay 将在知悉个人数据泄露后及时通知客户，不得无故拖延，并提供其合理可获得且客户履行自身通知义务所需的信息。Zurelay 将采取合理措施控制并调查泄露事件。发出通知不代表承认过错或责任。客户负责按要求通知监管机构和数据主体。如果基础设施提供商向 Zurelay 通报影响客户个人数据的安全事件，Zurelay 将转达其收到的相关信息。

10.1 协助. Zurelay 将根据处理活动的性质及其掌握的信息，为客户开展适用数据保护法律要求的数据保护影响评估及事先向监管机构咨询提供合理协助；如协助超出最低限度，相关费用由客户承担。

10.2 信息. 应客户书面请求，Zurelay 将书面答复合理的安全与隐私问卷，并提供证明其遵守本 DPA 所合理必需的其他信息，每 12 个月内不超过一次。

10.3 审计. 如果适用的数据保护法律要求开展超出上述信息范围的审计，客户可自费进行审计，但每 12 个月内最多一次，且须至少提前 30 天发出书面通知，在正常工作时间内进行，遵守适当的保密义务，并由不与 Zurelay 存在竞争关系的审计方执行。审计不提供对其他客户数据、基础设施提供商系统的访问权限，也不披露基础设施提供商的身份，除非对 Zurelay 具有管辖权的法院或监管机构要求如此。

Zurelay 在处理完通过 API 发送的聊天和文本请求后，不存储其内容。Playground 聊天记录仅为发起聊天的用户保留，直至该用户将其删除 (每个工作区保留该用户最新的 300 条聊天记录)，且不保留附件。在 Playground 中添加的图片保存在工作区中，并在 30 天后删除。生成的图片和视频、对应的提示词和参考图片，以及生成失败时的错误详情，均在 30 天后删除。本协议终止后 90 天内，Zurelay 将删除其控制的系统中所有剩余的客户个人数据，但依法必须保留的副本及备份中的副本除外，备份中的副本将按常规计划删除。基础设施提供商处理的客户个人数据按其各自的条款保留。

12.1 授权. 客户授权 Zurelay 及其次级处理者在美国及其开展业务的其他国家传输和处理客户个人数据。

12.2 欧洲数据传输. 如果客户个人数据受 GDPR 约束，且被传输至未获充分性认定的国家，则标准合同条款 (SCCs) 按以下方式纳入本数据处理协议 (DPA): 客户为控制者时适用模块二，客户为处理者时适用模块三；适用第 7 条中的可选加入条款；第 9 条适用选项 2, 并按第 7.3 节的规定发出通知；不适用第 11 条中的可选表述；第 17 条中，SCCs 受爱尔兰法律管辖；第 18 条中，爱尔兰法院具有管辖权。本 DPA 的附件 I 和附件 II 补充构成 SCCs 的相应附件。

12.3 英国与瑞士. 对于受英国 GDPR 约束的个人数据，适用经英国信息专员发布的《国际数据传输附录》修订后的 SCCs。对于受瑞士法律约束的个人数据，适用 SCCs, 其中的相关引用应相应调整为指向《瑞士联邦数据保护法》, 且主管机关为瑞士联邦数据保护和信息专员。

12.4 优先顺序. 如果 SCCs 与本 DPA 存在冲突，则在冲突范围内以 SCCs 为准。

在美国各州隐私法适用的范围内，Zurelay 是客户个人数据的服务提供商或处理者。Zurelay 不会出售或共享客户个人数据；不会为本协议规定的业务目的以外的任何目的，或在 Zurelay 与客户的直接业务关系之外保留、使用或披露该数据；除非这些法律允许，否则不会将该数据与其他来源的个人数据合并。Zurelay 将遵守这些法律的适用义务，在无法继续履行这些义务时通知客户，并赋予客户采取合理措施以制止和纠正未经授权使用客户个人数据的权利。

在客户个人数据保护事项上，本 DPA 优先于服务条款适用。其他事项适用服务条款，包括其中的责任限制、适用法律和争议解决条款，但适用的数据保护法律或 SCCs 另有要求的除外。Zurelay 可更新本 DPA, 以反映法律、服务或其次级处理者的变化，并将就重大变更通知客户。本 DPA 随本协议终止而终止，但依其性质应继续有效的义务除外。

• 加密: 服务收发的数据在传输过程中使用 TLS 加密；静态数据加密由 Zurelay 的托管服务提供商提供。
• 凭据: API 密钥仅以单向哈希值形式存储；使用一次性验证码登录；通过工作区角色控制密钥和账单的管理权限。
• 访问控制: 仅允许有需要的人员访问生产系统和数据。
• 数据最小化: 通过 API 发送的聊天和文本内容仅在内存中处理，不予存储；Playground 聊天记录仅为发起聊天的用户保留，且不保留附件；在 Playground 中添加的图片在 30 天后删除；生成的文件、对应的提示词及错误详情在 30 天后删除；请求发送给基础设施提供商之前，会移除其中的客户终端用户标识符。
• 监控：持续监控服务及基础设施提供商的可用性和运行状况，并记录和调查事件。
• 韧性：在基础设施提供商之间自动重试和故障转移。
• 事件响应：按照第 9 节的说明，对个人数据泄露事件进行调查、遏制并通知客户。
• 供应商监督：在使用前及使用期间测试基础设施提供商，例如检查其是否提供所请求的模型以及服务的可靠性，并移除未通过 Zurelay 检查的提供商。这些检查针对服务质量，不涉及基础设施提供商自身的安全性；后者由其依据自身条款管理。