数据处理协议(DPA)

⚠️ 此翻译仅供参考。英文版本具有法律效力。

版本 1.0 · 最后更新日期:2026年4月29日 · 生效日期:2026年4月29日

本数据处理协议(以下简称"本DPA")构成 [ENTITY_NAME](以下简称"受托处理者"、"我们")与使用LIA服务的客户(以下简称"个人信息处理者"、"您")之间服务条款的一部分。本DPA适用于个人信息处理者设立于欧洲经济区(EEA)、英国或瑞士的情况,或GDPR对个人信息处理者的处理产生域外效力的情况。对于位于中国大陆的客户,适用《个人信息保护法》(PIPL)第21条关于委托处理的额外规定。但请注意,本服务尚未取得CAC颁发的相关跨境数据传输认证,因此暂未向中国大陆客户正式提供。

1. 定义

本DPA中使用的术语具有欧盟一般数据保护条例(EU)2016/679(以下简称"GDPR")和《个人信息保护法》(PIPL)中定义的含义。"个人信息"或"个人数据"指与已识别或可识别的自然人有关的任何信息。

2. 对象与期限

受托处理者仅为提供服务条款中所述的LIA服务,代表个人信息处理者处理个人信息。本DPA在服务合同期间及终止后任何数据保存期间内有效。

3. 处理的性质和目的

处理仅限于提供LIA服务所必需的操作:

用户账户管理(身份验证、计费)
发送至AI推理服务提供商的聊天消息
Bridge会话遥测(DAW名称、版本、时间戳)
客户支持通信

4. 个人信息及主体的类别

主体类别:个人信息处理者授权的用户(开发者、音乐家、承包商)。

个人信息类别:电子邮件地址、哈希处理的密码(Supabase Auth)、显示名称、支付元数据(不含卡片信息)、聊天消息、使用日志、IP地址(存储前哈希处理)。

5. 受托处理者的义务

仅根据个人信息处理者的书面指示处理个人信息(包括向第三国传输)(GDPR第28条第3款a项 / PIPL第21条)。
确保被授权处理个人信息的人员承担保密义务。
实施适当的技术和组织安全措施(GDPR第32条 / PIPL第51条): 见§9。
仅在事先取得书面一般授权的情况下使用再受托处理者(见§8)。
协助个人信息处理者响应主体的权利行使请求(GDPR第15-22条 / PIPL第44-50条)。
在发生个人信息泄露时,及时通知个人信息处理者(GDPR第33条 / PIPL第57条): 见§10。
根据个人信息处理者的选择,在服务结束后删除或返还所有个人信息(GDPR第28条第3款g项)。
提供证明合规所需的所有信息并允许审计(GDPR第28条第3款h项)。

6. 个人信息处理者的义务

个人信息处理者声明已为本DPA项下处理的个人信息取得所有必要的法律依据(GDPR第6条),并已根据GDPR第13/14条向主体进行通知。对于中国大陆个人信息处理者,需遵守PIPL第13条(处理的法律依据)、第17条(告知义务)及第38-43条(跨境传输要求)。

7. 国际数据传输

本服务托管于欧盟境内(德国法兰克福, Hostinger / supabase.com欧盟区域)。个人信息在EEA内处理。当再受托处理者在EEA外处理数据时(例如美国的AI推理服务提供商),传输受以下机制约束:

欧盟-美国数据隐私框架(DPF):接收方已认证的情况;
欧盟标准合同条款(SCC),模块2(从个人信息处理者到受托处理者),2021年欧盟委员会决定2021/914。

对于中国大陆个人信息处理者:由于本服务尚未取得CAC颁发的安全评估、标准合同备案或个人信息保护认证,暂不能合法处理向中国境外传输的中国大陆居民个人信息。如需此类合规,请在使用本服务前与我们联系并等待CAC认证完成。

8. 再受托处理者

个人信息处理者授权受托处理者使用再受托处理者。最新列表可在 /api/legal/subprocessors(已认证端点,GDPR第15条查阅权)上查阅。受托处理者将至少在30天前通知个人信息处理者任何预定的变更,以便处理者有合理的时间提出异议。

9. 安全措施(GDPR第32条 / PIPL第51条)

传输加密:所有客户端-服务器流量的TLS 1.3
存储加密:数据库存储的AES-256(由Supabase管理)
访问控制:基于角色,管理员访问的MFA
网络隔离:在可能的情况下,服务绑定到回环或Tailscale网络(纵深防御)
日志记录:所有管理操作的审计跟踪
事件响应:针对安全事件的文档化运行手册

10. 个人信息泄露通知

受托处理者在发生影响本DPA项下处理的个人信息的任何泄露时,将及时(无论如何在知悉后72小时内)通知个人信息处理者。通知将包括:

泄露的性质和大致范围
受影响的主体和记录的类别和大致数量
已采取或建议采取的减轻泄露的措施
用于进一步信息的隐私负责人的联系方式

11. 终止

在服务合同终止时,根据个人信息处理者的书面请求,受托处理者将删除或返还所有个人信息。备份副本将在下一个正常的备份轮换周期(最多90天)中删除。

12. 责任

本DPA项下的责任受服务条款中规定的限制约束,但当此类限制与GDPR第82条(赔偿请求权)冲突时除外。

13. 适用法律和管辖

本DPA受意大利共和国法律管辖。有管辖权的法院是个人信息处理者注册办事处的法院,如该办事处位于EEA之外,则为[SEDE_LEGALE]、意大利的法院。

14. 监管机构

关于个人信息处理的投诉可向有管辖权的监管机构提出。在中国大陆:国家互联网信息办公室(网信办,CAC),北京市西城区车公庄大街11号。

15. 联系方式

关于本DPA的所有事项:[email protected]