数据处理协议

本数据处理协议（“DPA”）构成客户（订阅 LetsBot 的企业，“您”）与 BOT FOR DIGITAL SOLUTIONS LIMITED（一家在英格兰和威尔士注册的公司，注册号为 15477940，地址为 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, United Kingdom；“LetsBot”“我们”）之间条款与条件的一部分。

接受条款与条件即表示您同时订立本 DPA，包括以引用方式纳入附件 IV 至 VI 的传输条款。上述条款自接受之时起自动适用于每一位客户，先于任何客户个人数据的传输，无需签署。

签署副本及定制文件。如您发送请求至 support@letsbot.net，我们将提供经我方会签的本 DPA 副本，或贵组织所需的定制协议或文件，例如已填写完整的传输条款。

优先顺序。如有冲突，以附件 IV 至 VI 中的传输条款为准，其次为本 DPA，再次为条款与条件。

语言。本 DPA 以英文版本为准；阿拉伯文版本仅为方便参考而提供。就巴西 ANPD 标准条款而言，以官方葡萄牙文文本为准。

• 客户个人数据：我们在提供服务过程中代表您处理的个人数据，包括您的联系人详情、消息、媒体和订单。详见附件 I。
• 子处理者：我们委托处理客户个人数据的任何第三方。
• 个人数据泄露：导致客户个人数据遭意外或非法销毁、丢失、篡改、未经授权披露或访问的安全事件。
• 数据保护法律：适用于该处理活动的法律，包括欧盟 GDPR、英国 GDPR 及《2018 年数据保护法》、沙特《个人数据保护法》及其条例、巴西 LGPD，以及埃及 2020 年第 151 号法律及其实施条例。
• “控制者”“处理者”“数据主体”和“处理”具有数据保护法律中的含义。“处理者”包括 LGPD 下的“operador”。

1. 您是客户个人数据的控制者（或代表其他控制者行事的处理者），我们是处理者。
2. 我们仅根据您的书面指示处理客户个人数据，包括向其他国家传输数据。您的指示包括条款与条件、本 DPA、您在面板中选择的设置（如渠道、集成、AI 功能和保留期限），以及双方书面约定的任何其他指示。
3. 如法律要求我们在您的指示之外处理客户个人数据，我们将在处理前告知您，除非该法律禁止告知。
4. 如我们认为某项指示违反数据保护法律，将立即告知您。
5. 您负责合法收集数据，并确保具备向联系人发送消息的合法依据，包括 Meta 或法律要求的任何同意。
6. 我们不会将客户个人数据用于自身目的，不会出售，也不会用于训练 AI 模型。

只有为提供、支持或保障服务安全而需要访问的员工和承包商才能访问客户个人数据，且所有人员均负有保密义务。

可访问客户个人数据的人员主要在埃及工作，隶属于我们的关联公司 Bot for Digital Solutions LLC（«بوت للحلول الرقمية» ش.ذ.م.م），按照我们的指示、并依据保护水平不低于本 DPA 的条款开展工作。

我们采用附件 II 所列的技术和组织措施，定期审查，并且在您的订阅期内不会降低整体保护水平。

此外，我们承诺：

• 对工作区数据库进行加密备份：付费、试用和赠送工作区每晚备份，其他工作区按 10 天轮换备份，另外每日备份中央账户数据库。备份保存在与生产服务器分离的私有存储中，位于美国的 Google Cloud（us-east1），保留 30 天后删除；
• 会话中交换的媒体文件保存在无法浏览或列出的存储中，并通过难以猜测的长随机链接提供（联系人头像除外）。任何持有确切链接的人都可以打开该文件。我们正在将媒体迁移至有时效的签名链接；
• 将每一次进入工作区的支持访问以及每一次登录，记录在该工作区的安全日志中。

1. 一般授权。您授权我们委托子处理者页面（附件 III）所列的子处理者。
2. 事先通知。在新增或更换子处理者之前，我们将至少提前 30 天发出通知，方式为向所有订阅者发送电子邮件并更新该页面。如需订阅，请发送邮件至 support@letsbot.net，主题为“Subprocessor updates”。
3. 异议。您可在通知期内基于合理的数据保护理由以书面形式提出异议。我们将尽力解决您的异议，例如不使用该子处理者处理您的数据。如无法解决，您可以终止受影响的服务部分，并获得剩余期间已预付费用的退款。
4. 紧急更换。如为保护服务的安全性或连续性而必须立即更换子处理者，我们将尽快告知您，您仍享有同等的异议权。
5. 同等义务。我们通过书面合同约束每一个第三方子处理者，其数据保护义务的保护水平不低于本 DPA，且我们仍就其履约情况对您承担责任。
6. 您选择的集成，例如 Meta（WhatsApp、Messenger、Instagram）、电商平台和 CRM，不属于我们的子处理者。这些集成由您连接，并根据其与您之间的条款处理数据。

1. 对于影响客户个人数据的任何个人数据泄露，我们将在知悉后不无故拖延地通知您，且无论如何不晚于 24 小时。这是我们在所有国家执行的统一标准。
2. 我们会将通知发送至账户所有者的电子邮件地址，并在可能的情况下通过面板发送。在信息可获得的范围内，通知将说明：泄露的性质和原因；受影响数据主体和记录的类别及大致数量；可能造成的后果；为控制泄露已采取或拟采取的措施；以及我们的联系人。
3. 如我们无法一次性掌握全部信息，将不无故拖延地分阶段提供，并定期向您更新，直至事件结束。
4. 我们将协助您履行向主管机关和数据主体通知的义务，包括欧盟、英国和沙特阿拉伯的 72 小时时限，以及巴西的三个工作日时限。
5. 发出通知不构成对过错或责任的承认。

1. 如我们收到数据主体关于客户个人数据的请求，将在 48 小时内转交给您，未经您授权不会作出答复，仅告知对方我们已转交。
2. 您可通过面板导出、更正和删除联系人、会话及消息。如这些工具不足以满足需求，我们将提供合理协助。
3. 我们的协助会考虑您的法定期限，包括埃及规定的六个工作日。

我们将向您提供开展数据保护影响评估、传输风险评估或与主管机关进行事先咨询所合理需要的信息。如法律要求您与我们共享相关影响评估，我们将予以接收。

1. 在您的订阅期内，您可以随时通过面板导出数据、删除任一会话（其消息和媒体随之清除）或删除整个工作区。说明理由为可选项。
2. 服务终止时，您的数据在 30 天内仍可导出。工作区被删除后，我们将在 30 天内从在线系统中删除客户个人数据，包括媒体、归档副本、存放于我们 AI 服务提供商处的文件和已存储的回复，以及我们二维码连接服务所保存的消息。备份中的副本将在随后 30 天内过期。
3. 我们仅保留法律要求保留的数据，并在删除前继续依据本 DPA 予以保护。
4. 如您提出请求，我们将以书面形式确认删除。

1. 我们将提供证明我们遵守本 DPA 所需的信息，并回答合理的安全问卷。
2. 如上述信息不足，您或受保密义务约束的独立审计师可每 12 个月对我们审计一次，需提前 30 天通知，在工作时间内进行，且不得使其他客户的数据面临风险。在发生个人数据泄露后或主管机关要求审计时，该限制不适用。
3. 各方自行承担费用，除非审计发现我方存在重大违约。
4. 我们将在主管监管机构（包括沙特数据与人工智能管理局 SDAIA）提出要求时予以配合。

1. 数据处理地点。客户个人数据托管于美国的 Google Cloud（us-east1 区域），由我们主要通过关联公司在埃及工作的员工远程访问，并由子处理者在其页面所示地点处理。我们所有的服务器和备份均位于美国；我们不提供任何其他区域的托管服务。
2. 传输机制。附件 IV（欧盟和英国）、附件 V（巴西）和附件 VI（沙特阿拉伯）中的条款对每一位客户均构成本 DPA 的一部分，并适用于相应法律所规制的每一次传输。
3. 我们受其约束的外国法律。我们是一家受英国法律约束的英国公司。数据由一家美国服务商托管，美国当局可依据美国法律（包括《CLOUD 法案》和《外国情报监视法》第 702 条）要求美国服务商披露数据。我们在埃及的关联公司受埃及法律约束。我们未发现上述任何法律妨碍我们履行本 DPA，如情况发生变化，我们将及时告知您。
4. 公共机关的请求。如我们收到公共机关要求披露客户个人数据的具有约束力的请求，我们将告知您（法律禁止的除外），要求该机关直接与您联系，对非法或过度的请求提出异议，并仅披露所需的最低限度数据。

1. 当您开启 AI 回复、AI 智能体、语音消息转写或 AI 工具时，我们会将该功能所需的数据发送给我们的某一家 AI 服务提供商（均为位于美国的子处理者）：消息、会话历史、语音消息、知识文件和产品目录，以及在功能需要时使用的联系人姓名和号码。
2. 我们的 AI 服务提供商包括：OpenAI，为默认提供商，始终负责语音消息转写以及知识文件的存储和检索；以及 Anthropic（Claude）和 Google（Gemini API），我们可能将 AI 任务改为交由它们处理或作为备用，或发送有限的请求样本以比较回答质量。用于比较的回答绝不会发送给您的客户。提供商列表及传输机制见我们的子处理者页面。
3. 根据其商业条款，上述提供商均不会使用通过其 API 发送的数据训练模型（参见 OpenAI 商业条款、Anthropic 商业条款和 Gemini API 附加条款），且我们未选择加入任何训练用途。各提供商根据其条款保留临时副本用于滥用监控，OpenAI 还会根据其 API 数据政策保留其生成的回复。
4. 我们不会使用客户个人数据训练任何模型。“从历史中学习”功能所学习的内容仅保留在您的工作区内。
5. 这些功能均为可选，您可随时关闭。删除工作区时，我们会删除为其存储在 OpenAI 的文件。
6. 如法律有此要求，您有责任告知您的客户，回复可能由 AI 生成。

1. 我们的支持人员仅为提供支持而进入您的工作区。
2. 每一次进入都会记录在您工作区的安全日志中，供您查阅。
3. 如您为工作区开启了双重身份验证，我们的人员仅在获得您明确批准后方可进入。

各方在本 DPA 项下的责任受条款与条件中的限制约束，但依法不得限制的责任除外，且不影响数据主体依据附件 IV 至 VI 传输条款享有的权利，本 DPA 或条款与条件中的任何内容均不限制该等权利。

1. 只要我们处理客户个人数据，本 DPA 即持续适用。
2. 我们可能为跟进法律或服务的变化而更新本 DPA。任何重大变更我们都将提前 30 天通知，且在您的付费订阅期内，任何变更均不会降低保护水平。
3. 本 DPA 受英格兰和威尔士法律管辖，由其法院行使管辖权；但附件 IV 至 VI 中的每一套传输条款，受其各自指定的法律和法院管辖。

就《个人数据保护法》及其实施条例（第 17 条）而言：

• 处理的目的、数据类别和期限见附件 I。
• 我们会不无故拖延地在 24 小时内向您通知泄露事件（第 7 节）。
• 我们受其约束的外国法律及其影响，见第 12 节。
• 如沙特法律要求我们进行披露，我们将通知您。
• 子处理者及其他接收方列于附件 III，任何变更前我们都会通知您，您享有异议权（第 6 节）。
• 我们在 48 小时内转交数据主体的请求（第 8 节），并接受评估和审计（第 11 节）。
• 传输条款：附件 VI。

就 LGPD 而言，我们作为“operador”行事：

• 我们根据您的指示处理数据（第 39 条），并保存处理活动记录（第 37 条）。
• 我们采用附件 II 所列的安全措施，且我们的安全义务在处理结束后继续有效（第 46 条和第 47 条）。
• 我们在 24 小时内向您通知泄露事件，以便您在三个工作日内通知 ANPD 和数据主体（第 48 条）。
• 处理结束时，我们依据第 10 节删除数据（第 16 条）。
• 如 LGPD 规定我们对数据主体承担责任，本 DPA 中的任何内容均不限制该责任。
• 传输条款：附件 V。如您提出请求，我们将提供一份关于国际传输的葡萄牙文摘要，供您向客户公布。

根据 2020 年第 151 号法律及其实施条例：

• 我们在埃及的关联公司为 Bot for Digital Solutions LLC（«بوت للحلول الرقمية» ش.ذ.م.م），商业登记号 223572（开罗投资登记处），地址：Tower 22, 3rd floor, Masaken Sidi Abdel Rahim, Seger, Tanta 1st, Gharbia, Egypt。
• 在依赖任何许可或批准开展处理及跨境传输之前，我们会先取得法律要求的该等许可或批准，并任命一名在个人数据保护中心登记的数据保护官。
• 除在 24 小时内通知您之外，若法律要求我们作为处理者履行通知义务，我们将与您协调，在 72 小时内就数据泄露事件通知个人数据保护中心。
• 我们与您合作，在六个工作日内答复数据主体的请求。
• 在法律要求的情况下，您负责取得数据主体的同意，包括对向埃及境外传输数据的同意。

本 DPA 包含欧盟 GDPR 和英国 GDPR 第 28(3) 条所要求的条款：指示（第 3 节）、保密（第 4 节）、安全（第 5 节及附件 II）、子处理者（第 6 节）、协助处理数据主体请求（第 8 节）以及协助处理安全、数据泄露和评估事宜（第 5、7 和 9 节）、删除与返还（第 10 节），以及信息提供与审计（第 11 节）。

我们的设立地英国已获得欧盟委员会的充分性认定。尽管如此，附件 IV（欧盟标准合同条款及英国附录）仍适用于每一位客户，并约束欧盟 GDPR 或英国 GDPR 未另行允许的任何客户个人数据传输，包括我们向美国的再传输。

以下措施目前均已实施：

• 传输加密：在 Cloudflare 边缘采用 TLS 1.3 并启用 HSTS，源服务器亦部署 TLS 证书。
• 静态加密：磁盘和存储桶采用 Google Cloud 默认加密及 Google 管理的密钥；此外，渠道访问令牌、集成与 Webhook 密钥、双因素认证密钥、问卷答案和同意记录均在应用层加密。
• 密码和令牌：密码使用 bcrypt 哈希；API 令牌以哈希形式存储。
• 隔离：每个工作区使用独立的数据库。
• 网络：数据库和缓存无法从互联网访问；采用 Cloudflare DDoS 防护和 Web 应用防火墙；公开表单启用 Turnstile 机器人防护。
• 服务器加固：CageFS 账户隔离、Imunify360 防火墙与恶意软件扫描，以及内核安全热补丁（KernelCare）。
• 访问控制：按用户设置角色和权限，内部管理工具使用单独的登录守卫，每个工作区均可启用双因素认证，并支持登录 IP 限制。
• 日志记录：每个工作区均有安全日志，涵盖登录及失败尝试、双因素认证和角色变更、支持人员访问以及 API 密钥轮换。
• 集成：对来自 Meta、Salla 和 Zid 的传入数据进行签名验证，并为每个新的外发 Webhook 使用单独的签名密钥。
• 私有存储：文档、电子邮件附件、通话录音、备份和已归档的工作区均保存在私有存储桶中，并禁止公开访问。
• 会话媒体：保存在无法浏览或列出的存储中，并通过难以猜测的长随机链接提供（联系人头像除外）；目前正在迁移至限时签名链接。
• 备份：付费、试用和赠送工作区的数据库每晚备份，其他工作区按 10 天轮换备份，中央账户数据库每日备份；备份在美国（us-east1）的私有存储中保留 30 天。
• 删除：每位客户都可以在面板中删除整个工作区，包括其媒体、归档副本以及存放在 OpenAI 的 AI 文件；删除会话会同时清除其消息和媒体。
• 数据最小化：默认情况下，平台传入的数据载荷在 14 天后删除，服务器日志在 14 天后删除，通话录音在 90 天后删除。
• 监控：外部可用性监控，以及对内存、数据库、会话和队列的内部监控与实时告警，告警中的电话号码和电子邮件地址均已脱敏。

子处理者的最新名单（包括其处理的数据、所在地及传输保障措施）发布在我们的子处理者页面上，并构成本 DPA 的一部分。

经欧盟委员会实施决定 (EU) 2021/914 通过的标准合同条款以引用方式纳入本协议：

• 您作为控制者时适用模块二（控制者至处理者）；您作为他人的处理者时适用模块三（处理者至处理者）。
• 第 7 条（加入条款）：适用。
• 第 9(a) 条：选项 2（一般书面授权），提前 30 天通知。
• 第 11(a) 条：可选措辞不适用。
• 第 13 条：主管监管机构根据您的情况依第 13(a) 条确定。
• 第 17 条：选项 1，适用爱尔兰法律。第 18 条：爱尔兰法院。
• 附件 I.A：第 1 节所列各方（您为数据输出方，我们为数据输入方）。附件 I.B：本 DPA 附件 I。附件 I.C：依第 13 条确定。附件 II：本 DPA 附件 II。附件 III：本 DPA 附件 III。

对于受英国法律管辖的传输，英国信息专员办公室（ICO）的欧盟标准合同条款国际数据传输附录以引用方式纳入本协议：表 1 为上述各方；表 2 为上述所选条款；表 3 为附件 I 至 III；表 4 为任何一方均可按该附录第 19 节的规定终止该附录。

对于受 LGPD 管辖的国际数据传输，双方通过接受《条款与条件》，完整且不作任何修改地采纳CD/ANPD 第 19/2024 号决议附件 II 中的标准合同条款。以官方葡萄牙语文本为准。

• 第 I 节：您为输出方（控制者），我们为输入方（操作者）；传输情况详见附件 I。
• 第 III 节（安全措施）：附件 II。
• 第 IV 节：无附加条款。

本 DPA 或《条款与条件》中的任何其他条款均不得排除、修改或违背上述条款。

对于向沙特王国境外传输个人数据，双方通过接受《条款与条件》，不作修改地采纳沙特数据和人工智能管理局（SDAIA）发布的个人数据传输标准合同条款模板 2（控制者至处理者）。

• 各方：您为输出方，我们为输入方。
• 模板附录 1 至 3：本 DPA 第 1 节、附件 I 和附件 II。
• 依照条款规定，上述条款受沙特阿拉伯王国法律管辖，并由其法院行使管辖权。
• 我们在 24 小时内向您通知数据泄露，在 48 小时内转交数据主体请求，并在任何审计中配合 SDAIA。
• 我们会告知您哪些位于沙特王国境外的子处理者已加入上述条款，以及在我们依赖其处理您的数据之前哪些尚未加入。