数据处理协议(DPA)

此翻译仅供参考。英文版本具有法律效力。

版本 1.1 · 最后更新日期:2026年11月10日 · 生效日期:2026年11月10日

本数据处理协议(以下简称"本DPA")构成 Jacopo Di Loreto (AFTERTOUCH LABS DI DI LORETO JACOPO),地址:Via Europa 18, 66020 San Giovanni Teatino (CH),意大利,增值税号IT02882890698(以下简称"受托处理者"、"我们")与为其自身用户使用LIA的企业客户(以下简称"个人信息处理者"、"您",例如学校、工作室或唱片公司)之间服务条款的一部分。本DPA适用于个人信息处理者设立于欧洲经济区(EEA)、英国或瑞士的情况,或GDPR适用于个人信息处理者的处理的情况。对于为自己使用LIA的个人,我们是个人信息处理者,适用我们的隐私政策。对于位于中国大陆的客户,适用《个人信息保护法》(PIPL)第21条关于委托处理的额外规定。但请注意,本服务尚未取得CAC颁发的相关跨境数据传输认证,因此暂未向中国大陆客户正式提供。

1. 定义

本DPA中使用的术语具有欧盟一般数据保护条例(EU)2016/679(以下简称"GDPR")和《个人信息保护法》(PIPL)中定义的含义。"个人信息"或"个人数据"指与已识别或可识别的自然人有关的任何信息。

2. 对象与期限

受托处理者仅为提供服务条款中所述的LIA服务,代表个人信息处理者处理个人信息。本DPA在服务合同期间以及合同终止后的保存期间(§11)内有效。

3. 处理的性质和目的

处理仅限于提供LIA服务所必需的操作:

账户管理:登录、计划和支付;
聊天(书面输入、语音输入或在Talk Mode中口述的)及AI服务提供商对其进行的处理;
通过LIA应用和LIA Bridge读取打开的Ableton Live工程和已安装插件的列表,并将所要求的工作写入Live;
聊天记忆、任务记录、计划用量、语音时长(分钟数)和语音输入秒数;
社区和支持;
安全、错误监控和备份。

4. 个人信息及主体的类别

主体类别:个人信息处理者授权使用LIA的用户(例如学生、员工、音乐人、承包商)。

个人信息类别:电子邮件地址,以及用户使用其他账户登录时该服务传给我们的标识符、姓名、用户名和头像;仅由身份验证服务提供商以单向哈希形式保存的密码;个人资料名称和在设置中选择的名字;计划、订阅、已兑换的代码和支付元数据(不含卡片信息),撤回合同的请求和所使用的合作伙伴代码(如有),以及支付服务提供商通知中的姓名、电子邮件和账单地址;用户在应用中接受服务条款和隐私政策或要求立即开始某个计划时,该接受或请求的记录;聊天消息,包括Talk Mode通话的文字以及用户发送的语音输入消息;从Live工程读取的数据(速度、调性、轨道及其名称、设备及其参数、调音台和电平、片段及其MIDI音符、定位标记、预设名称)和插件列表;聊天记忆、任务记录和用量计数器,包括语音时长和语音输入秒数;社区帖子、评论、投票、举报和处罚;支持消息和截图;通知偏好设置以及「用我的聊天来改进 LIA」许可;技术数据,例如应用版本、系统和语言,错误以及模型调用技术追踪;与账户关联的网站和邮件统计(浏览的页面;邮件的送达、打开和点击);IP地址(连同国家和浏览器或应用版本),在服务器访问日志中完整保存约30天,在登录和安全记录中完整保存12个月。受托处理者不保存任何音频:Talk Mode的音频从应用直接发送给语音服务提供商,语音输入的音频只为转换成文字而经过LIA服务器。

本服务不适用于特殊类别的个人数据(GDPR第9条)。个人信息处理者不得要求其用户在LIA中输入此类数据。

5. 受托处理者的义务

仅根据个人信息处理者的书面指示处理个人信息(包括向第三国传输)(GDPR第28条第3款a项 / PIPL第21条)。服务条款、本DPA以及个人信息处理者在应用中使用的设置构成个人信息处理者的指示。
确保被授权处理个人信息的人员承担保密义务。
实施适当的技术和组织安全措施(GDPR第32条 / PIPL第51条): 见§9。
仅在取得个人信息处理者的一般书面授权后使用再受托处理者(见§8)。
考虑到处理的性质,协助个人信息处理者响应主体的请求(GDPR第15-22条 / PIPL第44-50条),并协助其履行GDPR第32-36条规定的义务。
在发生个人信息泄露时,及时通知个人信息处理者(GDPR第33条 / PIPL第57条): 见§10。
根据个人信息处理者的选择,在服务结束时删除或返还所有个人信息(GDPR第28条第3款g项),见§11。
提供证明遵守GDPR第28条所需的信息,并允许审计;审计应在合理的事先通知后、在工作时间内进行,且不得访问其他客户的数据(GDPR第28条第3款h项)。

6. 个人信息处理者的义务

个人信息处理者确认:其对本DPA项下处理的个人信息具有合法依据(GDPR第6条);已根据GDPR第13/14条告知主体;如用户未满16周岁,已在允许其使用LIA之前征得其父母的同意。对于中国大陆个人信息处理者,需遵守PIPL第13条(处理的法律依据)、第17条(告知义务)及第38-43条(跨境传输要求)。

7. 数据处理地点和国际数据传输

LIA服务器运行在位于德国的一台租用虚拟服务器上(Hostinger),数据库和身份验证位于Supabase的欧盟区域。部分再受托处理者在EEA以外处理数据,特别是AI服务提供商(OpenAI,美国)。对于中国大陆个人信息处理者:由于本服务尚未取得CAC颁发的安全评估、标准合同备案或个人信息保护认证,暂不能合法处理向中国境外传输的中国大陆居民个人信息。如需此类合规,请在使用本服务前与我们联系并等待CAC认证完成。这些传输受以下机制约束:

欧盟-美国数据隐私框架(DPF):接收方已认证的情况;
否则,适用欧盟委员会决定(EU)2021/914通过的标准合同条款(SCC),模块3(受托处理者到再受托处理者)。

8. 再受托处理者

个人信息处理者一般授权受托处理者使用再受托处理者。当前的再受托处理者及其所在国家载于我们隐私政策的§4和§5。包含传输依据和每个再受托处理者的数据处理协议的完整列表可应要求提供,请发送邮件至privacy@liaplugin.com:我们将在7天内发送。受托处理者将至少提前30天告知个人信息处理者任何预定的变更;个人信息处理者可以基于与数据保护相关的合理理由提出异议,如果找不到解决方案,可以无违约金地终止服务。受托处理者对每个再受托处理者施加与本DPA同等的数据保护义务,并继续对其负责。

9. 安全措施(GDPR第32条 / PIPL第51条)

网站、应用和服务器的传输加密(TLS)。
由Supabase管理的数据库,静态加密;服务器和数据库的每晚备份在发送到备份存储(Backblaze,美国)之前即在服务器上加密。
对发往LIA服务器的每个请求验证登录,并设有按账户的限制;数据库规则使每位用户只能看到自己的数据。
服务器内部服务只能从服务器本身或我们的私有网络访问;管理访问只能使用SSH密钥,或通过受专用登录保护的管理面板进行。
访问日志不含查询字符串,也不含携带密钥或令牌的请求头;日志和追踪记录在保存期限结束时自动删除。

10. 个人信息泄露通知

受托处理者在知悉影响本DPA项下处理的个人信息的任何泄露后,将及时通知个人信息处理者,无论如何不晚于知悉后48小时,以便个人信息处理者能够遵守其72小时的期限。通知将在当时已知的范围内包括:

泄露的性质和大致范围;
受影响的主体和记录的类别和大致数量;
可能的后果以及已采取或建议采取的措施;
用于获取更多信息的联系方式:privacy@liaplugin.com。

11. 服务结束

服务合同结束时,根据个人信息处理者的书面请求,受托处理者将删除或返还所有个人信息,但依法必须保存的数据(例如付款和税务记录)除外。已删除的数据会在63天内从加密备份中消失。

12. 责任

本DPA项下的责任依照服务条款确定,但如此会限制主体根据GDPR第82条享有的权利的除外。

13. 适用法律和管辖

本DPA受意大利共和国法律管辖。有管辖权的法院是个人信息处理者注册办事处的法院,如该办事处位于EEA之外,则为Abruzzo、意大利的法院。关于个人信息处理的投诉可向有管辖权的监管机构提出。在中国大陆:国家互联网信息办公室(网信办,CAC),北京市西城区车公庄大街11号。

14. 联系方式

关于本DPA的所有事项:privacy@liaplugin.com