数据处理附录

本数据处理增补协议 (DPA) 补充了 Lasques, Inc. 与客户之间的服务条款，其中 Lasques 代表客户处理用户内容中的个人数据，且适用法律要求提供处理者条款。它不涵盖 Lasques 为其自身账户、计费、安全或法律管理目的而控制的信息，此类信息在隐私政策中另有说明。

1. 角色与范围

客户应确定其在工作区内容中提交的个人数据的目的和合法依据，并作为控制者，或作为其自身控制者授权的处理者运行。Lasques 作为该内容的处理器或分处理者运行。客户必须拥有提供内容及使用服务所需的权利、通知、许可和指令。

处理持续时间为提供服务所需的时间以及适用的删除期或法律要求的保留期。处理内容包括托管、组织、检索、搜索、嵌入、传输、分析、执行经授权的研究工作流、生成输出结果，以及根据客户使用需要进行的删除。

2. 处理详情

数据主体可包括客户的授权用户、协作者、其数据被合法包含的研究参与者，以及客户提供的内容中识别出的个人。数据可包括姓名、联系详情、成员身份和归属详情，以及文档、数据集、提示词、代码或研究输出结果中包含的个人数据。

未经明确书面协议，客户不得提交条款允许范围之外的禁止性敏感信息、受保护的健康信息或数据。服务并非处理特殊类别数据或受监管研究数据的概括性授权。

3. 书面指令与保密义务

除非法律另有规定，否则 Lasques 将根据客户的书面指令处理涵盖的个人数据，包括客户对服务的配置和授权使用。在法律允许的情况下，Lasques 将就法律要求的偏差告知客户，并在指令似乎违反适用数据保护法时通知客户。

获授权处理涵盖数据的人员必须承担适当的保密义务。访问权限仅限于授权的服务、支持、安全及法律用途。

4. 安全与事件

Lasques 将维持与处理风险相适应的措施，包括相关的访问控制、租户授权、凭证保护，以及用于运行服务的隔离和存储安排。任何条款均不主张未经核实的认证或绝对的安全保证。

Lasques 在意识到影响涵盖数据的个人数据泄露后，应及时通知客户，提供可用的相关信息，并配合合理的缓解措施及法律要求的通知工作。初始信息可能会随着调查的进展而予以补充。

5. 分处理者

客户授权根据启用功能的需要，使用分处理器列表中所述的提供商。Lasques 将对处理涵盖数据的分处理器施加适当的数据保护义务，并在适用法律要求的范围内对其处理行为负责。

在适用法律要求的情况下，Lasques将在新的处理活动开始前，就拟议的增加或替换内容提供通知，并提供提出合理数据保护异议的机会。双方应寻求合理的解决方案；若无法达成方案，则受影响的处理活动不得在非法基础上继续进行。

6. 协助与问责

考虑到处理的性质和现有信息，Lasques将合理协助客户处理数据主体请求、安全义务、违规响应、影响评估以及必要的咨询。在适当情况下，Lasques会将涉及客户控制数据的请求定向至客户，除非根据指令或法律要求，否则不会独立披露该数据。

Lasques将提供证明合规性合理必需的信息，并允许适用法律要求的比例适度的审计或检查，同时应采取措施保护其他客户的数据、安全、机密性，并避免不必要的干扰。任何另行约定的审计安排不得剥夺法定权利。

7. 国际传输

受涵盖的传输必须符合适用的传输法律。在基于该法律进行处理之前，双方应按要求建立适用的合法保障措施。本数据处理协议（DPA）并不主张已签署未指定的传输工具、供应商已在特定框架下获得认证，或数据将保留在特定国家。有关拟议用途相关的处理和传输详情，请联系 [email protected]。

8. 返回与删除

在涵盖的服务结束时，Lasques将根据适用法律的要求，按照客户的选择返回或删除涵盖的个人数据，但须遵守法定保留要求及适用的备份删除生命周期。公共许可和研究溯源记录不得凌驾于强制性的个人数据权利之上。

客户必须在关闭工作区之前导出其所需的内容，并解决所有权和访问要求。在允许的情况下，Lasques将就任何因法律要求的保留而无法立即删除的情况进行沟通。

9. 优先顺序与联系方式

就其数据处理事项而言，本 DPA 的优先级如《条款》中所述，但须受任何适用的已签署协议和强制性传输条款的约束。本协议不授权非法指令，也不得凌驾于强制性的数据保护权利。关于客户处理、分处理者或权利请求，请联系 [email protected]。