Anysite 服务的 GDPR 合规数据处理条款
最后更新日期：2025年11月4日
本数据处理附录（以下简称"DPA"）构成 anysite.io 通用条款和条件的一部分并纳入其中，和/或纳入 Anysite, Inc.（一家特拉华州公司，主要营业地点位于美国特拉华州，以下简称"Anysite"、"我们"或"处理者/服务提供商"）与适用协议中确定的客户（以下简称"客户"或"控制者/企业"）之间单独签署的任何主服务协议（各方单独称为"一方"，统称为"双方"）。本 DPA 规定了 Anysite 代表客户处理与 anysite.io 平台和相关服务（以下简称"服务"）相关的个人数据的条款。
如果本 DPA 与协议之间存在任何冲突，就其主题事项而言，本 DPA 将优先适用。本文中未定义的术语具有协议中或适用数据保护法律中的含义。
数据保护法律是指与数据隐私、数据保护、数据安全、违规通知或适用于一方履行本 DPA 的个人数据处理相关的所有法律和法规，包括适用的：欧盟通用数据保护条例（2016/679 号条例，"GDPR"）、2018 年英国数据保护法和英国 GDPR，以及经加利福尼亚隐私权法修订的加利福尼亚消费者隐私法（合称"CCPA/CPRA"）。
欧盟标准合同条款是指欧盟委员会根据 2021 年 6 月 4 日的委员会实施决定（EU）2021/914 通过的向第三国传输个人数据的标准合同条款，经修订或替换。
英国附录是指由英国信息专员办公室发布的欧盟委员会标准合同条款国际数据传输附录（2022 年 3 月 21 日生效的 B1.0 版本），经修订或替换。
个人数据、控制者、处理者、企业、服务提供商、出售、共享、数据主体、处理及相关术语具有适用数据保护法律赋予的含义。对于 CPRA，"共享"包括用于跨情境行为广告的传输，即使没有金钱交换。
就本 DPA 下的处理而言，客户作为控制者/企业，Anysite 作为处理者/服务提供商。
Anysite 将仅在以下情况下处理个人数据：
客户负责其提供的个人数据和指示的合法性，包括提供任何必要的通知和获取有效的法律依据（例如同意、合法利益）以及尊重数据主体权利。
除非双方明确书面同意并实施适当的保障措施，否则客户不得向 Anysite 提供特殊类别数据（GDPR 第 9 条）、犯罪定罪/犯罪数据（第 10 条）、HIPAA 下的 PHI、PCI-DSS 数据、需要父母同意制度的儿童数据、FERPA 数据或其他行业特定的受管制数据。
除了作为处理者的处理外，Anysite 可能会作为自己的控制者处理某些个人数据（例如账户配置和管理、计费、滥用检测、遵守法律义务以及创建汇总的、去标识化的分析以规划容量和改进服务）。此类处理在 Anysite 隐私政策中描述，不属于本 DPA 的范围。
Anysite 将确保被授权处理个人数据的人员受到具有约束力的保密义务的约束，并且仅在执行服务所必需时访问个人数据。
Anysite 实施并维护适当的技术和组织措施，旨在保护个人数据免受意外或非法破坏、丢失、更改、未经授权的披露或访问，同时考虑到技术水平、成本以及处理的性质、范围、背景和目的（参见附表 D——安全措施）。
Anysite 将定期审查和更新其安全措施，以维持适当的保护水平。
在得知影响 Anysite 代表客户处理的个人数据的已确认安全事件后，Anysite 将在不无故延迟且不迟于确认后 72 小时内通知客户，并将提供合理可用的信息以协助客户履行其自身的通知义务。
Anysite 将采取合理措施控制、调查和修复安全事件。
事件通知不构成对过错或责任的承认。
客户授权 Anysite 在美国和 Anysite 运营的其他司法管辖区传输、存储和处理个人数据，但须遵守本节中的传输保障措施。
如果客户的个人数据受 GDPR 约束并传输到没有充分性决定的国家的 Anysite，则欧盟标准合同条款通过引用纳入，并按附表 A 的规定完成（通常为模块二：控制者 → 处理者；如果客户是处理者，则可能适用模块三）。如果本 DPA 与欧盟标准合同条款之间存在冲突，以欧盟标准合同条款为准。
对于受英国 GDPR 约束的个人数据，英国附录纳入并按附表 A 的规定完成。
在需要时，双方将善意合作实施补充措施并完成传输影响评估。
根据书面请求（在任何 12 个月期间不超过一次），Anysite 将提供合理必要的信息以证明符合本 DPA（例如安全控制摘要、第三方合规报告或证书（如有））。
如果此类信息不能合理证明合规性，客户可以在合理的保密、时间、范围和成本补偿参数下，在正常营业时间内，对 Anysite 的相关系统和设施进行（或由双方同意的独立审计师进行）现场或远程审计，每 12 个月不超过一次。
Anysite 将合理配合主管监管机构就本 DPA 下进行的处理进行的工作。
在终止时或根据书面请求，Anysite 将删除或返还个人数据（由客户选择），除非法律要求保留（在这种情况下，Anysite 将继续按照本 DPA 保护数据，并在法律允许后尽快删除）。
考虑到处理的性质，Anysite 将通过适当的技术和组织措施向客户提供合理协助，使客户能够响应数据主体请求（访问、删除、可携带性、反对、限制等）。如果请求直接向 Anysite 提出，Anysite 将在不响应的情况下将其重定向给客户（除非法律要求）。
Anysite 将在数据保护法律要求时，考虑到处理的性质和 Anysite 可获得的信息，向客户提供合理协助，以进行数据保护影响评估和与监管机构的咨询。
客户使用服务必须遵守 Anysite 可接受使用政策和隐私政策，两者均通过引用纳入。
在 Anysite 代表客户处理受 CCPA/CPRA 约束的个人信息的范围内，Anysite 将作为服务提供商，不得：
各方根据本 DPA 产生或与之相关的责任受协议中规定的限制和排除条款约束。
如有冲突：欧盟标准合同条款/英国附录（附表 A）优先于本 DPA；本 DPA 优先于协议。
本 DPA 自协议生效日期（或客户接受的日期，以较晚者为准）起生效，并在 Anysite 代表客户处理个人数据期间保持有效。
Anysite 可能会更新本 DPA 以反映法律或运营变化，并根据协议和适用法律通知客户。
本 DPA（不包括欧盟标准合同条款/英国附录，它们指定了自己的管辖法律/审判地）受美国特拉华州法律管辖，专属审判地如协议所述。
DPO/隐私联系方式：privacy@anysite.io（或我们网站上更新的联系方式）。
欧盟标准合同条款（2021/914）通过引用纳入，并视为双方之间已执行，如下：
对于受英国 GDPR 约束的个人数据，英国附录（2022 年 3 月 21 日生效的 B1.0 版本）纳入并完成如下：
如果双方后来采用替代或额外的传输工具（例如充分性决定或认证计划），它们可以通过书面协议取代或补充上述内容。
服务提供商。 Anysite 在代表客户处理个人信息时作为服务提供商（加州民法典第 1798.140 条）。
不出售/共享。 Anysite 不会出售或共享个人信息，包括不会用于跨情境行为广告，也不会在提供服务的商业目的之外保留、使用或披露个人信息，除非 CCPA/CPRA 允许。
协助。 Anysite 将提供合理协助，使客户能够尊重消费者权利请求、退出信号，并实施删除/保留义务。
分包商。 Anysite 将对任何分包商施加服务提供商级别的限制，并对其合规性负责。
证明。 根据客户的书面请求，Anysite 将证明其符合本附表 B。
数据输出方： 客户（名称和联系方式如协议或账户资料中所述）。角色：控制者（或处理者，如适用）。
数据输入方： Anysite, Inc.（美国特拉华州）；联系方式：privacy@anysite.io。角色：处理者。
持续或由客户使用决定。
Anysite 维护以下技术和组织措施（非详尽列表，可能会进行合理更新）：
治理和访问控制： 基于角色的访问；唯一凭证；特权访问的多因素认证；最小权限和需知原则；定期访问审查；及时撤销。
数据安全： 传输中加密（TLS）和静态加密（行业标准）；具有限制访问的密钥管理；数据隔离/租户隔离；强化存储。
网络和基础设施： 防火墙和网络分段；基线强化；系统补丁节奏；漏洞扫描和基于风险的修复；DDoS 保护。
监控和日志记录： 集中日志记录；安全事件监控和警报；管理操作的审计跟踪；时间同步。
应用程序安全： 安全 SDLC；代码审查；依赖项管理；密钥管理；定期安全测试（包括适当的第三方测试）。
业务连续性和灾难恢复： 记录的备份和恢复程序；关键组件的冗余；与服务层级一致的恢复目标。
事件响应： 记录的计划；定义的角色；分类/控制/消除步骤；事后审查；客户沟通工作流程（参见第 5 节）。
人员安全和培训： 在合法的情况下进行背景调查；保密承诺；定期安全和隐私培训。
供应商管理： 安全尽职调查；义务的合同传递；与风险一致的持续监控。
物理安全： 由信誉良好的托管提供商提供的数据中心控制；访客管理；访问日志。
隐私设计/默认： 最小化；目的限制；可配置的保留；可行时的去标识化/汇总。
变更管理： 记录的变更控制；紧急变更程序；回滚计划。
这些安全控制与 DPA 中通常引用的安全控制类别相当。
如对本数据处理附录有任何疑问，请通过以下方式联系我们：