ScribeFlash 数据处理协议

2. 适用范围与双方角色

本 DPA 适用于 ScribeFlash 为履行主协议而代表客户处理“客户个人数据”的活动，包括上传、存储、转码、转录、编辑、检索、证据编码、AI 辅助分析、报告生成、导出、保留与删除。附件一描述处理事项、期限、性质、目的、数据类型和数据主体。

客户是适用法律下的个人信息处理者、数据控制者或企业；ScribeFlash 是受托人、数据处理者或服务提供商。若客户本身是代表另一控制者行事的处理者，ScribeFlash 作为次级处理者处理数据，客户应确保其有权发出指示并订立本 DPA。

ScribeFlash 为账户管理、服务安全、反欺诈、用量计量、计费、支持和履行自身法定义务而独立决定处理目的与方式时，ScribeFlash 可能作为独立个人信息处理者或控制者；这些活动不属于本 DPA，受隐私政策约束。

3. 定义与适用法律

“客户个人数据”指客户或其授权用户通过服务提交、生成或使 ScribeFlash 代表客户处理，并与已识别或可识别自然人有关的信息；不包括已不可逆匿名化的数据。

“适用数据保护法”指适用于相关处理活动的个人信息与数据保护法律，包括在适用范围内的《中华人民共和国个人信息保护法》《网络数据安全管理条例》、欧盟《通用数据保护条例》（GDPR）、英国 GDPR 以及美国州隐私法律。“处理”“个人数据”“控制者”“处理者”“受托人”“数据主体”“个人信息安全事件”等术语按适用法律解释。

若本 DPA 使用的术语与强制性适用法律冲突，以该法律的定义和要求为准。

4. 客户指示与处理限制

ScribeFlash 仅根据客户的有记录指示处理客户个人数据，包括主协议、本 DPA、产品设置、管理员操作、API 请求、支持请求以及客户另行书面确认的指示。指示包括为提供服务所必需的跨境传输。

ScribeFlash 不得超出约定目的访问、获取、留存、使用、关联分析、披露或提供客户个人数据，也不得出售客户个人数据或为跨情境行为广告共享该数据。除非客户另行作出明确书面指示并具备合法依据，ScribeFlash 不使用客户个人数据训练面向公众的通用生成式 AI 模型。

如果 ScribeFlash 认为某项指示违反适用数据保护法，将及时通知客户并可暂停执行相关部分，直至客户确认、修改或撤回指示。法律要求 ScribeFlash 在无客户指示的情况下处理时，ScribeFlash 将在处理前告知客户，法律因重大公共利益禁止告知的除外。

5. 客户的责任

客户负责确保其处理及向 ScribeFlash 提供客户个人数据具有合法、正当、必要和透明的依据，并负责向数据主体作出告知、取得所需同意、响应权利请求、确定保留期限、配置访问权限以及评估转录和 AI 功能是否适合其场景。

客户应确保其指示合法，且客户个人数据与目的相称、准确并限于必要范围。涉及录音、儿童、健康、财务、生物识别、精确位置或其他敏感个人信息时，客户应取得适用的单独或明确同意，并采取额外保护措施。

客户负责授权用户和账户凭证安全，并确保其上游控制者已授权客户委托 ScribeFlash。客户不得要求 ScribeFlash 以违反法律或他人权利的方式处理数据。

6. 保密与人员管理

ScribeFlash 将确保获准处理客户个人数据的人员承担适当的法定或合同保密义务，只在履行职责所需范围内访问数据，并接受与其职责相称的数据保护和安全培训。

ScribeFlash 将基于最小权限和工作需要授予、审查并撤销访问权限。除客户授权、本 DPA 允许或法律要求外，ScribeFlash 不向第三方披露客户个人数据。

7. 技术与组织安全措施

考虑技术发展、实施成本、处理性质、范围、场景与目的，以及对个人权利的风险，ScribeFlash 将维持附件二所述并与风险相称的技术和组织措施。措施旨在保护客户个人数据免遭未经授权或违法的访问、使用、披露、变更、丢失或破坏。

ScribeFlash 可随着技术和风险变化更新措施，但不会在主协议期间实质降低服务的整体安全水平。客户承认其应正确配置成员权限、保留期限、导出与共享，并对自身环境和终端安全负责。

8. 子处理方

客户给予 ScribeFlash 一般书面授权，可聘用提供云基础设施、对象存储、转录、AI 模型、邮件、监控和支持能力的子处理方处理客户个人数据。ScribeFlash 将与子处理方签订书面协议，要求其承担与本 DPA 实质相同的数据保护、安全、保密、删除和协助义务，并对其代表 ScribeFlash 履行处理义务负责。

现有类别及已确认服务商见附件三。ScribeFlash 将通过产品通知、账户邮箱、子处理方页面或双方约定渠道，至少提前 15 天通知新增或替换涉及客户个人数据的实质性子处理方；紧急安全、可用性或法律原因无法提前通知时，将在合理可行时尽快通知。

客户可在收到通知后 15 天内基于合理的数据保护理由提出书面异议。双方将善意寻找商业上合理的替代方案。若无法解决，客户可停止受影响功能；当变更会显著提高客户个人数据风险且没有合理替代方案时，客户可终止受影响的订单，并就终止后未使用的预付服务获得按比例退款。

9. 跨境传输

ScribeFlash 仅在客户指示、提供服务所必要且符合适用数据保护法的情况下跨境处理客户个人数据。双方将采用适用的合法机制，例如充分性决定、认证、标准合同条款、主管部门批准的合同或其他有效保障。

对于受 GDPR 约束且从欧洲经济区向未获得充分性认定的国家传输，适用时双方同意纳入欧盟委员会 2021/914 号决定的标准合同条款：客户作为控制者且 ScribeFlash 作为处理者时适用模块二；客户作为处理者时适用模块三。选择一般书面授权聘用子处理方，监督机构、成员国和可选条款按客户主要设立地及订单信息确定。

英国或瑞士法律适用时，相关 SCC 自动按主管机构认可的附录或必要修改适用。涉及中国境内个人信息出境时，双方将配合完成适用的单独同意、个人信息保护影响评估、标准合同、认证或安全评估；客户负责确定并满足其作为个人信息处理者的出境前提，ScribeFlash 提供合理必要的信息和协助。

10. 数据主体权利请求

考虑处理性质，ScribeFlash 将通过适当技术与组织措施合理协助客户响应查阅、复制、更正、补充、删除、限制、反对、可携带、撤回同意及了解自动化处理等权利请求。产品内的检索、编辑、导出、保留和删除功能构成此类协助的一部分。

若 ScribeFlash 直接收到与客户个人数据有关的请求，将及时转交客户，不代表客户实质回复，法律要求或客户书面授权的除外。客户负责核实请求者身份、确定适用例外并作出最终回复。超出服务标准功能且需要大量额外工作的协助，可在事先说明后按合理费用收取。

11. 合规、影响评估与监管协助

结合处理性质和 ScribeFlash 可获得的信息，ScribeFlash 将合理协助客户履行处理安全、个人信息保护影响评估、数据保护影响评估、事前咨询、处理活动记录和监管问询义务。

ScribeFlash 将按合理请求提供与服务相关的安全、架构、数据流、保留、子处理方和跨境机制信息，但可对商业秘密、其他客户信息、安全敏感细节和第三方保密信息作适当删减或施加保密限制。客户仍对其自身合规判断和评估结论负责。

12. 个人信息安全事件

ScribeFlash 确认发生影响客户个人数据的个人信息安全事件后，将在无不当延迟的情况下通知客户；如 GDPR 适用，目标是在确认后 48 小时内提供初次通知。延迟不影响 ScribeFlash 持续调查、控制和补充信息，也不应解释为承认责任。

在可获得且法律允许的范围内，通知将说明事件性质、可能受影响的数据和数据主体类别及大致数量、可能后果、已采取或拟采取的措施，以及后续联系渠道。信息无法一次提供时可分阶段提供。

ScribeFlash 将采取合理措施控制、缓解、补救并防止类似事件，保存必要记录，并配合客户履行适用通知义务。除非法律要求，未经客户书面同意，ScribeFlash 不代表客户通知数据主体或监管机构。

13. 政府和第三方请求

除非法律禁止，ScribeFlash 在收到要求披露客户个人数据的政府、法院或执法请求时会通知客户，并将请求者引导至客户。ScribeFlash 仅在具有法律约束力的范围内披露，并在有合理依据时质疑明显违法、范围过宽或不相称的请求。

ScribeFlash 将记录请求和披露的基本信息，并在法律允许的范围内采取数据最小化、传输安全和访问限制措施。

14. 返还、保留与删除

在服务期间，客户可使用产品功能导出、删除项目和设置媒体保留期限。主协议终止或客户提出合法书面请求时，ScribeFlash 将依客户选择返还或删除客户个人数据，并删除现有副本，除非适用法律要求继续保存。客户未在终止前选择时，ScribeFlash 可按照当时公布的保留规则删除。

删除会先停止生产访问，再通过后台队列清理媒体、文字稿、证据、报告、导出和缓存。隔离的灾难恢复备份将在正常轮换周期内覆盖，在此期间不得恢复用于正常业务处理。依法必须保留的数据将被隔离、限制访问且仅用于法定目的，期限届满后删除。

客户应在终止或删除前导出所需数据。ScribeFlash 可应合理请求提供删除完成的书面确认。

15. 信息提供与审计

ScribeFlash 将向客户提供证明履行本 DPA 所合理需要的信息，并允许由客户或其独立、合格且受保密义务约束的审计方进行审计。客户应优先使用最新的第三方审计报告、认证、安全问卷和远程文档审查。

现场审计通常每 12 个月不超过一次，客户应至少提前 30 天书面通知，在正常工作时间进行，不得干扰运营、访问其他客户数据或暴露不必要的安全信息。发生已确认的重大事件、监管要求或有合理证据表明严重违约时，不受年度次数限制。

客户承担常规审计成本；审计发现 ScribeFlash 重大违反本 DPA 时，ScribeFlash 将承担合理的纠正成本。双方可就超出标准材料且需要大量资源的协助预先约定合理费用。

16. 责任、期限与优先顺序

本 DPA 自客户受主协议约束之日起生效，并持续至 ScribeFlash 不再处理客户个人数据。双方依据本 DPA 产生的责任受主协议中的责任限制和排除约束，但适用法律不允许限制的数据保护责任除外。

文件冲突时，优先顺序为：适用的跨境标准合同条款、签署的 DPA 或企业协议特别条款、本 DPA、订单、主协议、隐私政策。标准合同条款仅对其覆盖的传输优先。

本 DPA 的适用法律和争议解决方式与主协议一致，但强制性数据保护法、监管机构权限和数据主体不可放弃的权利不受影响。

附件一：处理活动详情

处理主题与期限：为提供客户订购的访谈研究服务而处理客户个人数据，自上传、生成或接收之日起，持续至客户删除、主协议终止并完成约定清理，或适用法律要求的更长期限。

处理性质与目的：接收、上传、传输、托管、组织、检索、转码、转录、翻译、编辑、标注、证据关联、AI 辅助分析、摘要、生成研究结论与报告、展示、导出、备份、安全监控、支持、保留及删除。目的仅为按客户指示提供、保护和支持服务。

• 数据主体：客户授权用户、员工、承包商、研究员、访谈参与者、客户或潜在客户、研究对象，以及客户内容中提及的其他个人。
• 个人数据：姓名、邮箱、职位、公司、账户标识；声音、图像和录音；IP 地址和技术标识；访谈回答、文字稿、说话人、时间戳；研究问题、标签、备注、证据、结论、报告和编辑历史。
• 敏感数据：仅在客户选择上传时，可能包括健康、残障、族裔、宗教、政治观点、工会、性生活或性取向、财务、儿童、身份及其他受保护信息。服务不以唯一识别为目的处理生物识别模板。
• 处理频率：由客户使用服务的频率决定，可能为持续或按需处理。
• 保留：按照客户的产品设置、套餐、订单和本 DPA 第 14 条；原始媒体可选择处理后删除或保留 7、30、90、365 天等当时可用选项。

附件二：技术与组织措施

ScribeFlash 根据服务范围、部署配置和风险维持以下控制；具体实施细节可在保密条件下提供：

• 身份与访问：服务端鉴权、受保护的会话 Cookie、基于角色和最小权限的访问、管理员权限控制、会话撤销及定期权限审查。
• 传输与存储：生产环境 HTTPS/TLS、签名或短期上传地址、受控对象存储、密钥和凭证与代码分离、适当的静态加密能力。
• 隔离与最小化：项目和账户范围授权、仅向处理任务提供必要上下文、不在浏览器可访问日志中记录令牌或完整 OAuth 凭证。
• 安全开发：代码审查、依赖与配置管理、输入和上传地址校验、鉴权边界测试、漏洞与补丁管理。
• 日志与监控：安全和错误事件记录、敏感字段脱敏、异常监控、访问记录保护和有限保留。
• 可用性与恢复：备份、恢复与业务连续性流程、队列状态管理、故障隔离和合理的恢复测试。
• 事件响应：发现、分级、遏制、调查、补救、通知和复盘流程，以及相关人员职责。
• 生命周期：媒体保留设置、项目和账户删除、后台清理队列、缓存与导出清理、隔离备份轮换。
• 供应商管理：处理前风险评估、合同数据保护条款、最小必要数据访问、变更和终止管理。
• 人员措施：保密承诺、职责分离、入离职访问管理和与岗位相称的安全培训。

附件三：子处理方与变更通知

当前代码与产品配置确认使用 Cloudflare R2 或等效 Cloudflare 基础设施提供对象存储和媒体上传能力，可能处理上传的媒体、对象键、内容类型和传输元数据。实际存储区域取决于部署与账户配置。

转录、AI 模型、托管、邮件、监控和支持服务商可能因部署环境、客户区域或企业配置而不同。为避免在公开协议中列出错误实体，具有法律效力的完整子处理方名称、服务地点、处理目的和通知订阅方式，以订单、企业协议或应客户请求提供的最新子处理方清单为准。ScribeFlash 在启用会处理客户个人数据的新服务商前，应完成合同和安全审查。

Google 登录和支付结账服务商通常针对其直接收集的身份验证或付款信息作为独立控制者处理；仅在其代表 ScribeFlash 处理客户个人数据的范围内，才作为本 DPA 下的子处理方。