本译文仅为方便阅读而提供。如有任何不一致之处，以英文版本为准。

数据处理协议

本数据处理协议（「DPA」）构成你（「控制者」）与 Caliradi.ai 的运营方 Caliradi LLC（「处理者」）之间协议的一部分，适用于我们在提供 Caliradi 服务过程中代表你处理个人数据的情形。

1. 定义

本协议中未定义的大写术语，具有 GDPR（Regulation (EU) 2016/679）所赋予的含义：

• 控制者——你，即决定处理目的和方式的 Caliradi 客户。
• 处理者——Caliradi LLC，代表你处理个人数据。
• 数据主体——个人数据被处理的你的终端客户、员工或联系人。
• 子处理方——我们委托处理个人数据的任何第三方（见第 7 节）。

2. 范围与标的

我们仅为向你提供 Caliradi 服务并按你的指示处理个人数据。处理期限为你的套餐期限，加上法律要求的任何保留期。

3. 个人数据类别与数据主体

4. 处理者义务

我们将：

• 仅根据你的书面指示处理个人数据，包括涉及国际传输的处理。
• 确保获授权访问个人数据的人员负有保密义务。
• 实施适当的技术和组织安全措施（第 6 节）。
• 协助你响应数据主体的请求（查阅、删除、可携带等）。
• 协助你开展数据保护影响评估，以及与监管机构的事先协商。
• 发生个人数据泄露时，及时通知你，不得无故拖延，并在可行时于 72 小时内通知。
• 服务结束时返还或删除个人数据，法律要求保留的除外。
• 提供证明合规所需的全部信息，并允许审计（第 8 节）。

5. 控制者义务

你将：

• 依照适用法律处理个人数据。
• 对你指示的处理具备有效的法律依据（同意、合同、正当利益等）。
• 就处理提供准确、合法的指示。
• 告知数据主体其数据如何被处理，包括在相关时告知本 DPA。

6. 安全措施

我们实施并维护以下技术和组织措施：

• 加密。传输中 TLS 1.2 及以上，静态存储 AES-256。
• 访问控制。基于角色的访问权限、生产系统强制 MFA、最小权限原则。
• 网络安全。Cloudflare WAF、DDoS 防护、管理后台访问 IP 白名单。
• 监控。审计日志、入侵检测、异常自动告警。
• 备份。每日加密备份，保留 30 天，每季度测试可恢复性。
• 人员。背景调查、签署保密协议、强制安全培训。
• 供应商管理。对每一家子处理方进行安全评估并签订 DPA。
• 事故响应。成文的处置手册、7×24 值班、事后复盘。
• 合规。正在推进 SOC-2 Type II 认证。

7. 子处理方

你授权我们为所述目的委托以下子处理方：

我们会在新增或更换子处理方前至少 14 天通知你。你可基于合理的数据保护理由提出异议；如未能达成解决方案，你可以终止本服务中受影响的部分。

8. 审计

你可以每年一次、在至少提前 30 天书面通知后，审计我们对本 DPA 的遵守情况。我们可以通过提供近期的第三方审计报告（例如 SOC-2）来履行审计义务。审计须遵守保密要求，且不得干扰正常运营。

9. 国际传输

如果个人数据被传输到欧洲经济区、英国或瑞士以外，我们视情况依据欧盟标准合同条款（SCCs，模块 2——控制者至处理者）以及英国《国际数据传输附录》。这些文件通过引用纳入本 DPA。

10. 数据主体请求

如果数据主体直接联系我们，请求行使其权利，我们会将其转介给你并通知你。我们会合理协助你在法定时限内作出回应。

11. 责任

我们服务条款中的责任上限和赔偿条款适用于根据本 DPA 产生的索赔，但强制性数据保护法律另有规定的除外。

12. 期限与终止

只要我们代表你处理个人数据，本 DPA 即持续有效。拟在终止后继续有效的条款（保密、审计、责任、数据的返还/删除）在终止后继续有效。

13. 联系方式