数据处理协议 — ChinaSiteReady

生效日期：2026-05-26 · 版本 1.0

本 DPA 的适用。本页是我们向 ChinaSiteReady 服务客户提供的标准数据处理协议。客户接受我方 EULA 并使用服务，且法律有要求时（通常是 GDPR、UK GDPR 或类似框架），本 DPA 在客户（控制者）与曲速引擎（Warp Engine Tech，处理者）之间适用，覆盖交付服务过程中对个人数据的处理。如果你所在的司法管辖区要求签署书面版本，请发邮件至 chinasiteready@autoinfra.cn，我们会提供。

1. 定义

"个人数据"、"处理"、"控制者"、"处理者"、"数据主体"等术语具有 (EU) 2016/679（GDPR）规定的含义；其他适用数据保护法律中的等同术语具有对应含义。"服务"、"客户素材"、"提供方"、"客户"等术语含义详见 EULA。

2. 标的与期限

提供方仅为按 EULA 所述交付服务而代表客户处理个人数据。本 DPA 在提供方代表客户处理个人数据期间持续有效；终止后，只要根据 EULA 的退出条款仍持有个人数据，本 DPA 即继续有效。

3. 处理的性质与目的

处理活动包括：接收客户网站内容；对选定页面进行镜像；向来自中国大陆的访客提供中国镜像站；收集运营日志与聚合分析数据；以及运营中国镜像站，包括法律要求的合规沟通。

4. 数据主体与个人数据类别

本服务针对静态信息类营销内容。所处理的个人数据限于：

访客 IP 地址及由此推断的大致地理信息。
标准 HTTP 头中包含的浏览器、设备、操作系统标识。
客户或其代理在指向客户网站的链接中放置的对外触达编码与 URL 参数（如 ?biz=、?source=、?utm_*）。
客户主动嵌入镜像页面内容中的任何个人数据（例如页脚中的具名联系人）。此类嵌入的合法性由客户负责。

本服务不用于处理特殊类别个人数据（GDPR 第 9 条）、支付数据、身份认证凭证、健康数据或生物特征数据。除非另行签署协议，否则客户不得通过本服务传输此类数据。

5. 提供方作为处理者的义务

提供方应：

仅按客户书面指示处理个人数据，包括跨境传输事项；法律要求处理的除外，此情形下提供方应在处理前告知客户该要求，除非法律禁止此类告知。
确保保密。获授权处理个人数据的人员受保密义务约束。
实施恰当的技术与组织措施（详见安全页面），并考虑技术现状、实施成本以及对数据主体的风险。
协助客户在可能范围内，通过恰当的技术与组织措施履行其响应数据主体请求的义务。
提供所有合理必要的信息以证明对本 DPA 的合规，并允许并配合客户或其授权审计方进行的审计与现场检查（受第 9 条约束）。
不无故拖延地通知客户影响客户数据的个人数据泄露事件，目标是在确认后 72 小时内首次告知。

6. 次级处理者

客户授权提供方在交付服务所需的范围内聘用次级处理者。当前的次级处理者清单按客户请求提供，并在发生重大变更时更新。提供方应：

对每一次级处理者施加不弱于本 DPA 的合同义务。
对每一次级处理者义务的履行向客户承担完全责任。
在新增或更换次级处理者前合理提前通知客户（通常 30 天），允许客户基于合理理由提出异议。客户合理异议时，提供方应尽商业上合理的努力提供可行替代；若无法提供，客户可基于该原因终止受影响的服务。

7. 跨境传输

提供方位于中国大陆，并使用位于美国、欧盟及其他地区的次级处理者。对于从欧洲经济区、英国或瑞士传输至提供方或不具备充分性认定的国家的数据，双方援引欧盟委员会 2021/914 通过的 标准合同条款（模块 2：控制者至处理者）（如有更新一并适用）。在适用时，英国国际数据传输附录（IDTA）或瑞士的等同适配条款随附适用，并按对应法律与监管机构。

客户接受：本服务的交付本身涉及中国大陆托管。在客户所在司法管辖区，针对客户访客的任何跨境传输披露、同意或备案义务，仍由客户承担。

8. 数据主体权利

提供方将在商业合理条件与技术可行范围内，协助客户响应经核实的数据主体请求，包括对本 DPA 项下处理的个人数据的访问、更正、删除、限制处理、可携带等。数据主体请求应首先指向客户，由客户作为与数据主体的主要对接方。

9. 审计

客户每 12 个月不超过一次，并提前至少 30 天书面通知，可要求提供方提供本 DPA 合规的书面证据。提供方可通过提供近期第三方报告（如有）、标准问卷（如 SIG 或 CAIQ）的回复或书面说明来满足此义务。现场审计由客户承担费用，在正常工作时间内进行，范围合理并受保密义务约束。如涉及其他客户数据或次级处理者合同未授权访问的设施，提供方可拒绝访问，并将就客户的合理关切作出替代安排。

10. 退还或删除

服务终止后，按客户书面选择，提供方应在 90 天内退还或删除本 DPA 项下处理的全部个人数据，但（a）法律要求提供方保留的个人数据除外，此类数据继续按本 DPA 保护；（b）已匿名化或聚合至无法再识别数据主体的数据除外。

11. 责任

各方在本 DPA 项下的责任，适用 EULA 中规定的总责任上限及对间接损失的排除。在适用法律要求不同分配的范围内，相关法律以最小必要程度优先于本节。

12. 冲突与优先顺序

在涉及个人数据处理事项上，本 DPA 与 EULA 冲突的，以本 DPA 为准。如本 DPA 与针对本服务的客户专属签署版 DPA 冲突，以客户专属签署版 DPA 为准。

13. 适用法律

本 DPA 适用 EULA 指定的法律。如数据主体所在司法管辖区的强制性数据保护法授予本 DPA 无法变更的权利，这些权利继续适用。

如何签署

大多数客户无需纸面签署。在采购时接受 EULA 或指示我们开工，即构成本 DPA 成为合同的一部分。

如需要纸面或电子签署版本（DocuSign 或同类工具），请发邮件至 chinasiteready@autoinfra.cn，标题写"DPA request"，并附上你偏好的模板（如有）。我们会在 5 个工作日内返回已签署版本。签署本 DPA 不另行收费。