数据处理协议

1. 标的、当事方与效力顺位

本协议旨在规范 AXPA Systems S.L.U.（西班牙税号 B26941039，注册地址：西班牙拉科鲁尼亚 15008 CR. Baños de Arteixo, 33；下称“AXPA”或“处理者”）代表使用本平台的客户组织（下称“客户”或“控制者”）处理个人数据的条件。本协议适用于依据《使用条款与条件》以及任何援引该条款的合同、订单或订阅所提供的全部服务。就代表客户处理的个人数据而言，本协议与《条款》相冲突的，以本协议为准；其余事项《条款》继续完全有效。客户与 AXPA 另行签署经协商的数据处理协议的，以该协议优先于本协议。

2. 各方角色与不在本协议范围内的处理活动

对于客户、其成员或其集成系统在业务过程中上传至本平台的第三方个人数据，AXPA 作为“处理者”：包括组织的飞手与员工、客户之最终客户的联系方式、可关联到可识别个人的飞行日志与遥测数据、资质与培训记录，以及客户选择存储的其他任何内容。客户为该等数据的控制者，并保证其就该等处理具备有效的法律依据且已告知数据主体。相反，对于账户数据、计费、平台安全、支持服务、产品分析及营销通讯，AXPA 作为“独立控制者”，该等处理不在本协议范围之内，而受《隐私政策》规范。此项区分并非形式：它决定了客户可以指示与不可以指示的处理范围。

3. 处理委托的期限

处理委托自客户首次将第三方个人数据上传至本平台之时起算，并在合同关系存续期间持续有效，另加《条款》第 26 条规定的宽限期与保存期。主合同终止即导致本协议终止，但依其性质应当继续有效的义务不受影响，特别是保密义务及第 13 条项下的义务。

4. 控制者的书面记录指示

AXPA 仅按照客户的书面记录指示处理个人数据，包括涉及国际传输的指示，但欧盟法或成员国法另有要求的除外；在该等情形下，AXPA 应在处理前将该法律要求告知客户，除非该法律基于重大公共利益理由予以禁止。下列内容构成客户的书面记录指示：本协议、《使用条款与条件》、客户在本平台上所作的配置及其对各项功能的使用，以及客户以书面形式提交给数据保护官的任何补充指示。若 AXPA 认为某项指示违反 GDPR 或其他数据保护规定，应告知客户，并可在客户确认、修改或撤回该指示前暂停执行。

5. 处理者的一般义务

AXPA 承诺：(a) 仅为所订购服务之目的处理数据，绝不用于自身目的；(b) 未经客户明示、单独且可撤回的同意，不将客户的个人数据用于训练、微调或评估人工智能模型、算法或功能，亦不用于统计或产品改进目的，此与《条款》第 22 条保持一致；(c) 除第 8 条所列次级处理者外，非经客户指示或法律义务，不向第三方披露数据；(d) 依据 GDPR 第 30 条第 2 款，就代表客户开展的各类处理活动保存书面记录；(e) 指定并维持一个数据保护联系点，即第 18 条所列的数据保护官。

6. 授权人员的保密义务

AXPA 保证，获授权代表客户处理个人数据的人员已以书面形式明确作出保密承诺，或负有法定的保密义务，且该义务在其与 AXPA 的关系结束后继续有效。访问权限依照最小权限原则与知悉必要原则授予，仅限于为提供服务或支持而确有需要的人员，并在该必要性消失时予以撤销。AXPA 另保证该等人员已接受必要的数据保护培训。

7. 处理安全

考虑到技术发展水平、实施成本以及处理的性质、范围、背景和目的，并考虑到对自然人权利与自由所构成的可能性和严重程度不同的风险，AXPA 采取 GDPR 第 32 条所要求的适当技术与组织措施。该等措施载于本协议“附件二”。AXPA 可为纳入技术改进而更新该等措施，但在本协议有效期内不得降低整体安全水平。客户确认，由其自行控制的配置——成员与角色管理、组织单元范围、设备与会话策略，以及其选择上传的内容——构成整体安全的一部分，并由其自行负责。

8. 次级处理者与一般授权

客户依 GDPR 第 28 条第 2 款之含义，向 AXPA 授予“一般书面授权”，允许其使用本协议“附件三”所列的次级处理者。AXPA 应通过合同要求各次级处理者承担与本协议相同的数据保护义务，并就次级处理者履行其义务的情况对客户承担全部责任。AXPA 拟新增次级处理者或替换现有次级处理者的，应至少提前三十（30）个自然日，通过更新附件三并在平台上发布通知或以电子邮件方式告知客户。在该期间内，客户可基于合理且有据可查的数据保护理由提出异议；双方未能达成解决方案的，客户可无需承担违约责任而终止受影响部分的服务，并就未使用期间按比例获得退款。

9. 国际传输

处理活动通常在欧洲经济区内进行：计算部署于法兰克福区域，数据库与对象存储位于各自供应商的欧洲区域。但部分供应商为设立于欧洲经济区之外的实体，其人员可能出于支持、工程与安全目的远程访问该等系统，此即构成国际传输。每一项传输均依托 GDPR 第五章所规定的机制，并在“附件三”中逐一供应商予以标明：目的地国适用的充分性决定（第 45 条）、《欧盟—美国数据隐私框架》，或经《欧盟第 2021/914 号实施决定》批准的标准合同条款（第 46 条第 2 款 c 项），并在适当情形下辅以补充措施。未经客户事先指示或授权，AXPA 不得进行上述范围之外的传输。

10. 协助行使数据主体权利

AXPA 应考虑处理活动的性质，通过适当的技术与组织措施协助客户履行其对访问权、更正权、删除权、限制处理权、可携权与反对权，以及不受自动化决策约束之权利的响应义务。本平台提供自助功能——查询、编辑、导出与删除记录——使客户能够直接处理其中大部分请求。若数据主体将请求提交给 AXPA 而非客户，AXPA 不得自行答复：应不无故迟延地转交客户，且无论如何应在收到后五（5）个工作日内转交。

11. 协助安全、影响评估与事先咨询

AXPA 应考虑处理活动的性质及其所掌握的信息，就 GDPR 第 32 条至第 36 条项下义务的履行向客户提供合理协助：处理安全、向监管机构及数据主体通报个人数据泄露、数据保护影响评估以及向监管机构的事先咨询。该等协助如系提供已编制完成的文档或安全措施相关信息，不另行收费；如需专门开发或投入额外资源，可在事先通知客户并经其接受后，按现行费率收费。

12. 个人数据泄露

AXPA 在知悉代表客户处理的个人数据发生安全泄露后，应“不无故迟延”地通知客户，且无论如何应在四十八（48）小时内，通过向组织所有者的联系邮箱发送电子邮件并在平台上发布通知的方式告知。通知应说明泄露的性质、受影响数据主体与记录的类别及大致数量、可能的后果、已采取或拟采取的补救与减轻影响的措施，以及数据保护官的联系方式。无法同时提供全部信息的，应不无故迟延地分阶段提供。作为控制者，由“客户”决定并实施向监管机构及数据主体的通报；除非有明确指示，AXPA 不代其进行通报。

13. 终止时数据的返还或删除

服务提供终止时，由客户选择，AXPA 应删除或返还代表其处理的个人数据，并删除现有副本，但欧盟法或成员国法要求保存的除外。客户可在服务有效期内及其后的宽限期内随时行使返还选择权，方式为使用平台的导出功能或向数据保护官申请数据提取；该期间届满后，AXPA 将依据《条款》第 26 条进行删除。备份将在数据库供应商的常规轮换周期中被覆盖：在该期间内数据处于封存状态，除存储外不作任何其他处理。

14. 审计与信息提供

AXPA 应向客户提供为证明其遵守 GDPR 第 28 条所定义务而必需的全部信息，并允许并配合客户或其委托的审计人进行审计（包括现场检查）。客户应至少提前三十（30）个自然日发出通知，每个自然年度至多进行一次审计——但已证实发生安全泄露或监管机构有此要求的除外，该等情形下不受此限——并应在工作时间内进行且不干扰业务运营，同时要求审计人作出保密承诺。审计人不得为 AXPA 的竞争对手。AXPA 可通过提供有效的认证证书、第三方审计报告或已填写的安全问卷来满足该等请求，但该等材料应合理涵盖审计标的。审计费用由客户承担，但审计揭示出可归责于 AXPA 的重大违约的除外。

15. 控制者的义务

客户保证：(a) 其所指示的处理具备有效的法律依据，并符合 GDPR 第 5 条的各项原则，特别是数据最小化原则；(b) 其已依据第 13 条与第 14 条告知数据主体，并在适用情形下取得其同意；(c) 其指示合法，且不会要求 AXPA 违反适用规定；(d) 其持续更新本组织的成员名单及其权限，并及时撤销不再必要的访问权限；(e) 未与 AXPA 事先书面约定，其不得将 GDPR 第 9 条所称特殊类别数据或第 10 条所称与刑事定罪和犯罪有关的数据上传至本平台，因为本平台的设计与规格均不适于处理该等数据。

16. 责任

各方就违反 GDPR 的处理所造成的损害，依第 82 条的规定承担责任。AXPA 因本协议产生的责任，适用《条款》第 29 条约定的相同金额上限与免责事由，但适用法律不允许该等限制的除外；且不影响其对数据主体或监管机构所负的责任，后者依 GDPR 规定。因缺乏法律依据、未告知数据主体或其指示不合法而引发的索赔，客户应使 AXPA 免受损害。

17. 期限、修改与终止

本协议自处理委托开始之时生效，并在处理活动持续期间保持有效。AXPA 可为适应法规变化、监管机构的决定或指引，或服务架构的变更而修改本协议，方式为在同一网址发布注明新日期的更新版本并通知客户。实质性削弱客户保障的修改，客户有权在通知后三十日内无需承担违约责任而终止受影响部分的服务。附件三的更新适用第 8 条规定的专门程序。

18. 适用法律、监管机构与联系方式

本协议受西班牙法律及《欧盟第 2016/679 号条例》管辖，争议提交《条款》第 37 条所约定的法院解决。就 AXPA 而言，主管监管机构为西班牙数据保护局（www.aepd.es），但不影响就客户而言具有管辖权的机构。与本协议有关的一切通讯——索取签署正本、补充指示、对次级处理者提出异议、审计请求及各类通知——均应发送至 AXPA Systems S.L.U. 的数据保护官 Pablo Menéndez-Ponte Alonso，邮箱 admin@axpa.app。

附件二 — 技术与组织措施

AXPA 依据 GDPR 第 32 条所采取的措施。以下描述反映本平台的实际架构，并随架构变化而更新，但在本协议有效期内整体安全水平不得降低。

• 传输加密：与本平台的全部通讯均通过采用 TLS 的 HTTPS 进行，不提供任何明文接入点。
• 静态加密：数据库与对象存储采用各自供应商所管理的加密。密码绝不以明文存储，而以加盐后的密码学摘要形式保存。
• 租户隔离：每条记录均归属于某一组织，数据层的访问规则在每次查询时均按组织过滤，因此隔离并不依赖界面隐藏数据，而依赖查询本身不返回该数据。
• 细粒度访问控制：授权模型基于按功能域划分的权限，而非角色层级，同时包含系统角色与各组织自有角色。具有内部层级的组织还可将各成员限定于其所属单元或子树。
• 强身份认证：支持第二因素与联合身份。平台管理面板的访问仅限全局管理员，并强制要求第二因素，无法绕过。
• 会话与设备管理：会话会过期、逐一记录并可远程撤销。同时在线的设备与会话数量按套餐设限，从而限制凭据泄露的影响范围。
• 对敏感接口——身份认证、验证与一次性验证码——实施速率限制，以遏制暴力破解与枚举攻击。
• 自动化静态安全审计，作为质量门禁同时嵌入代码评审与生产构建：出现严重或高危问题即在部署触及数据库之前将其中止。
• 可追溯性：记录邮件发送、活动会话与账户生命周期事件，并予以留存，以便对事件进行调查。
• 备份与恢复由数据库供应商管理，可在其套餐的保留窗口内进行时间点恢复。
• 最小化与目的分离：未经明示且单独的同意，客户内容不用于训练模型或改进产品，此与第 5(b) 条一致。
• 组织措施：按最小权限原则授予访问权限、授权人员签署书面保密承诺、数据保护培训，并指定数据保护官作为唯一联系点。