数据处理协议

Botpress 数据处理协议（DPA）

本 DPA 为补充协议，并构成 Botpress 集团在服务条款中所述实体与客户之间协议的组成部分。本 DPA 通过引用纳入该协议后生效。

1. 定义

1.a 未在本协议中定义的首字母大写术语，其含义以主协议中的定义为准。

1.b 在本 DPA 中：

(a) “协议”指服务条款中对该术语的定义。

(b) “Botpress 集团”指 Botpress 及其任何关联公司。

(c) “加州个人信息”指受 CCPA 保护的个人数据。

(d) “加拿大数据保护法”指《个人信息保护与电子文件法》（SC 2000, c 5）及《私人部门个人信息保护法》（CQLR c P-39.1），包括其后续修订、替代或更改。

(e) “CCPA”指加利福尼亚州民法典第1798.100条及后续条款（即《2018年加州消费者隐私法》）。

(f) “消费者”、“企业”、“出售”和“服务提供商”的定义以 CCPA 为准。

(g) “控制者”指单独或与他人共同决定个人数据处理目的和方式的任何个人或实体。

(h) “数据保护法”指适用于本 DPA 各方的所有全球范围内的数据保护与隐私相关法律，包括但不限于欧洲数据保护法、加拿大数据保护法和 CCPA，以及其不时修订、废止、整合或替代的版本。

(i) “数据主体”指与个人数据相关的个人。

(j) “欧洲”指欧盟、欧洲经济区及/或其成员国、瑞士和英国。

(k) “欧洲数据保护法”指适用于欧洲的数据保护法律，包括其后续修订、替代或更改。

(l) “欧洲数据”指受欧洲数据保护法保护的个人数据。

(m) “允许的关联方”指 (i) 根据协议被允许使用软件服务的客户关联方，(ii) 符合 Botpress 处理的个人数据控制者资格，且 (iii) 受欧洲数据保护法约束的关联方。

(n) “主体”应作广义解释，包括任何个人、公司、有限责任公司、有限合伙企业、公司、协会、合伙企业、信托或遗产、合资企业、政府实体或其政治分支机构，或任何其他实体。

(o) “个人数据”指与已识别或可识别个人相关的任何信息。

(p) “处理”或“处理操作”指由处理者对个人数据进行的任何操作或一系列操作，无论是否通过自动化方式进行；

(q) “处理者”指代表控制者处理个人数据的个人或实体。

(r) “监管机构”指（如适用）对与服务相关的个人数据处理拥有监管、监督或政府权力的任何个人、执法或其他机构（无论依据法定计划或其他方式），包括但不限于欧洲数据保护监管机构；

(s) “安全事件”指因安全漏洞导致的个人数据在传输、存储或其他由 Botpress 及/或子处理者处理过程中意外或非法的毁损、丢失、更改、未经授权披露或访问，但不包括未危及个人数据安全的事件，如登录失败尝试、ping、端口扫描、拒绝服务攻击及对防火墙或网络系统的其他网络攻击。

(t) “服务”指 Botpress 集团任何实体向客户或其关联方提供的软件服务或专业服务。

(u) “标准合同条款”指欧洲委员会 2021年6月4日第 (EU) 2021/914 号决定所附的标准合同条款，包括其后续修订、替代或更改。

(v) “子处理者”指由 Botpress 或 Botpress 关联方聘请，协助履行 Botpress 根据协议提供服务义务的任何处理者。子处理者可以包括第三方或 Botpress 关联方，但不包括 Botpress 雇佣或聘用的个人。

(w) “第三国”指：(i) 未被欧盟委员会认定为为个人数据提供充分保护水平的司法管辖区或接收方；且 (ii) 未被相关主管部门或法院认定为为个人数据提供充分保护水平的合适框架所涵盖的司法管辖区或接收方；

(x) “使用数据”指与授权用户使用软件相关的数据，其中在需要识别个人用户时可能包含个人数据，但不包括任何会话数据。使用数据可能包含关于客户员工和承包商的个人数据，但不包含与与客户 Bot 互动的终端用户相关的数据。

2. 双方角色

2.a 在通过服务处理会话数据时，双方确认并同意客户为控制者，Botpress 为处理者。

2.b 若客户作为控制者的处理者，Botpress 应视为客户的子处理者。

2.c Botpress 对于使用数据为控制者。

3. 遵守数据保护法

3.a 各方应在处理个人数据时遵守所有适用的数据保护法律。

3.b Botpress 不负责遵守仅适用于客户或客户所属行业、而非普遍适用于 Botpress 的任何数据保护法律。

3.c 若 Botpress 因适用法律的法律要求而无法按照客户指示处理个人数据，Botpress 将 (i) 在法律允许的范围内，及时通知客户该法律要求；(ii) 如有必要，暂停所有处理（仅限于存储和维护受影响个人数据的安全），直至客户发出符合法律的新指示。如适用本条，Botpress 对于未能履行相关软件服务或专业服务不承担责任，直至 Botpress 合理认定客户指示合法为止。

4. Botpress 的义务

4.a Botpress 仅为本 DPA 所述目的或在客户合法指示范围内处理个人数据，除非适用法律另有要求。

4.b Botpress 应实施并保持适当的技术和组织措施，以防止个人数据发生安全事件，包括本 DPA 附录2（“安全措施”）中所述的措施。Botpress 可自行决定修改或更新安全措施，但不得导致安全保护水平实质性降低。

4.c Botpress 应将个人数据视为客户的机密信息，并确保其任何被授权访问或处理个人数据的员工或承包商均受适当的保密义务（无论是合同还是法定）约束。

4.d Botpress 在协议终止或到期时将删除或返还根据本 DPA 处理的所有个人数据。若适用法律要求，或个人数据已被归档至备份系统，Botpress 可保留个人数据副本，此类数据将被安全隔离并受到保护，并将按照适用的删除规范进行删除。

5. 客户的义务

5.a 客户有责任确保其对软件服务或软件的使用符合所有适用的数据保护法律，包括确保：(i) 客户有权授权Botpress根据本DPA代表其处理个人数据，(ii) 客户有权根据协议（包括本DPA）条款将个人数据转移或提供给Botpress进行处理，(iii) 客户就个人数据处理所作的指示符合适用法律，包括数据保护法律；

5.b 若客户有理由相信或已被通知其通过服务处理的个人数据可能违反适用法律（包括数据保护法律），应及时以书面形式通知Botpress。

5.c 客户有责任判断Botpress实施的安全措施是否充分满足客户在适用数据保护法律下的义务。客户还需确保其对软件服务的访问安全，并仅限授权人员使用。

‍6. 安全漏洞

6.a 若Botpress发现任何安全漏洞，将及时通知客户，并在获知或客户合理要求时，及时提供与该安全漏洞相关的信息。

6.b 根据客户请求，Botpress将及时为客户提供合理协助，以便客户在数据保护法律要求下向监管机构和/或受影响的数据主体通报安全漏洞。

7. 分包处理方

7.a Botpress可委托分包处理方处理个人数据。当前的分包处理方列于附表3，任何分包处理方的变更将通知客户。

7.b Botpress选择的分包处理方需提供至少与本DPA中相同水平的个人数据保护承诺（包括在适用情况下的标准合同条款），以适应其所提供服务的性质。Botpress仍对每个分包处理方遵守本DPA的义务负责，并对该分包处理方导致Botpress违反本DPA义务的任何行为或疏忽承担责任。

7.c 若Botpress代表客户处理欧洲数据，客户可基于数据保护的合理理由反对新增分包处理方。如收到此类反对通知，Botpress同意本着诚信原则协商，以达成商业上合理的解决方案。如无法达成解决方案，Botpress可选择放弃任命该分包处理方，或允许客户终止依赖该分包处理方的软件服务部分的订阅，双方均不承担责任（但不影响终止前已产生的费用）。

7.d 若法律或标准合同条款要求，Botpress将尽合理努力向客户提供有关Botpress与分包处理方协议的必要信息。客户同意部分信息可能会被编辑或以保密方式提供。

8. 个人数据的转移

8.a 除欧洲数据外，Botpress集团实体对个人数据的处理将在适用隐私司法管辖区法律允许的任何司法管辖区进行。

8.b 欧洲数据的处理应仅限于：

a) 欧洲境内；

b) 在欧洲委员会根据适用数据保护法律认定为提供充分保护水平的司法管辖区；

c) 在任何司法管辖区，由提供适当保障措施的组织或实体进行，包括通过标准合同条款；

d) 在任何司法管辖区，经客户或相关数据主体书面同意。

8.c 当欧洲数据在第三国进行处理时，双方应视为仅就相关个人数据和相关处理签署标准合同条款。双方同意，关于标准合同条款：

a) 若客户为控制者，Botpress为处理者，则适用模块2（控制者到处理者）；

b) 若客户为处理者，Botpress为分处理者，则适用模块3（处理者到处理者）；

c) 关于使用数据，适用模块1（控制者到控制者）；

d) 标准合同条款第7条中的可选对接条款不适用；

e) 标准合同条款第9条中，适用选项2，分包处理方变更的书面提前通知期限为10天；

f) 标准合同条款第11条中的可选内容不适用；

g) 第17条（选项1），标准合同条款受爱尔兰法律管辖；

h) 第18(b)条，争议将在爱尔兰法院解决；

i) Botpress为“数据进口方”，客户为“数据出口方”（代表其自身及被许可关联方）；

j) 本DPA附表1和附表2中列明的相关信息视为已包含在标准合同条款的附件中；

k) 如标准合同条款与本DPA任何条款冲突，以标准合同条款为准。

8.d 瑞士和英国的数据转移。若客户与Botpress和/或分包处理方之间的个人数据转移受瑞士或英国数据保护法律约束，标准合同条款应视为已根据适用的瑞士和英国数据保护法律进行修订，包括对相关立法、适用法律及主管机关和法院的引用。

9. CCPA处理

9.a 在根据客户指示处理加利福尼亚个人信息时，双方确认并同意，客户为CCPA意义下的“企业”，Botpress为“服务提供商”。双方同意，Botpress作为服务提供商，仅为履行协议下的软件服务和专业服务之目的（“Business Purpose”），或CCPA允许的其他目的，处理加利福尼亚个人信息。

10. 第三方请求

10.a 客户有责任处理数据主体或监管机构关于其个人数据的任何请求，并应利用软件服务中可用的功能检索与个人数据处理相关的信息。

10.b 若客户无法独立处理数据主体或监管机构的请求（“请求”），Botpress将为客户提供合理协助，以便客户回应与协议下个人数据处理相关的此类请求。除非请求因Botpress未履行本DPA义务而产生，客户应补偿Botpress为协助客户而产生的合理费用。

10.c 若有关协议下个人数据处理的请求或其他沟通直接提交给Botpress，Botpress将及时通知客户，并建议数据主体或监管机构直接向客户提交请求。客户将全权负责对涉及个人数据的此类请求或沟通作出实质性回应。

11. 与个人数据相关的审计

11.a 经客户提出请求并提前合理通知 Botpress 后，客户有权自费进行必要的核查，以确保 Botpress 代表客户处理的个人数据符合客户的指示。根据客户要求，Botpress 应允许客户对其所进行的数据处理进行审计和检查。该审计可由客户及/或客户选定并经 Botpress 合理接受的第三方代表客户进行。客户应采取一切必要措施，避免对 Botpress 集团实体的场所、设备、人员及业务造成任何损害或干扰。

11.b 客户与 Botpress 应事先就客户进行的任何审计的性质、范围和持续时间达成一致，且客户应补偿 Botpress 因该审计产生的所有合理费用，相关费用可在审计开始前根据客户要求进行预估。在可能的情况下，客户的审计要求应通过 Botpress 提供的第三方审计报告予以满足（如有）。

11.c 如 Botpress 代表客户处理欧洲数据，Botpress 将在客户合理请求下（并在保密基础上）向客户提供：(i) 其安全测试报告的摘要副本，以及 (ii) 针对客户为确认 Botpress 遵守本 DPA 而提出的所有合理信息请求的书面答复，但客户行使此权利的频率不得超过每个日历年一次，除非客户有合理理由怀疑 Botpress 未遵守本 DPA。

12. 责任限制

12.a Botpress 及其关联公司的责任总额，无论基于合同、侵权或其他任何责任理论，因本 DPA（及双方之间的任何其他 DPA）以及标准合同条款（如适用）引起或与之相关的，均以客户因服务在发生责任事件前 12 个月内向 Botpress 支付的费用总额为限。

13. 司法管辖权

除适用的数据保护法律另有要求外，本 DPA 应受协议适用法律管辖并据其解释，且与本协议相关的任何争议应由提案中指定的司法管辖区有管辖权的法院解决。

在数据保护法律要求本 DPA 受欧盟成员国法律管辖的范围内，本 DPA 应受爱尔兰法律管辖，且与本协议相关的争议应由爱尔兰法院解决。

14. 一般条款

14.a 优先权。 如本 DPA 的任何条款与协议的其他条款存在不一致时，除非明确规定协议的其他条款优先或本 DPA 的某条款被废止或修改，否则本 DPA 的条款始终优先适用。

14.b 修订。 Botpress 可根据其数据处理实践的变化对本 DPA 进行修订。除为澄清语言而进行的变更（将定期通知客户）外，任何其他修订将提交客户，且须经客户接受后方可生效。如适用法律要求对本 DPA 进行修改，客户可选择接受该修改或终止其对软件服务的订阅。

14.c  可分割性。如果本数据处理协议中的任何条款被认定为无效或不可执行，本协议其他条款的有效性和可执行性不受影响。‍

‍

附表 1 – 处理详情

控制者身份

客户

联系人：在客户接受的提案中指定的人员。

处理者身份

如客户位于加拿大：Technologies Botpress Inc.；如客户位于其他地区：Botpress, Inc.

联系人：

Jean-Bernard Perron [email protected]

数据主体类别

客户可在使用软件服务过程中提交个人数据，其范围由客户自行决定和控制，受适用服务条款约束，可能包括但不限于与以下数据主体类别相关的个人数据：

• 代表客户使用软件的个人
• 客户 Bot 的终端用户

个人数据类别

客户可向软件服务提交个人数据，也可允许终端用户向软件服务提交个人数据，其范围由客户自行决定和控制，受适用服务条款约束。

该软件服务并非专为处理敏感数据而设计，客户应自行负责判断软件服务是否适合处理敏感数据。

Botpress 将处理授权用户的联系信息（姓名、邮箱、电话）以及产品使用的使用和行为数据，用于技术支持和统计目的。

处理性质

• 为向客户提供、维护和改进服务所需的存储及其他处理；
• 根据协议（包括本 DPA）和/或适用法律要求进行的数据披露；
• Botpress 将根据协议为提供服务所必需，并根据客户在使用服务过程中的进一步指示处理个人数据。
• Botpress 处理使用数据以提供技术支持及用于统计目的（产品改进和开发）。

个人数据的保留期限

根据 Botpress 在协议下删除或返还数据的义务，Botpress 将在协议有效期内处理个人数据，除非另有书面约定。

‍

‍附录二 – 安全措施‍

1. 治理

Botpress 实施了关于个人数据的适当政策和程序，包括：

• 信息安全程序；
• 个人数据使用政策；
• 安全与隐私事件报告程序；
• 风险评估机制；
• 内部审计程序；
• 合同措施；

‍2. 用户访问

• Botpress 用户及其有权访问个人数据和信息系统的用户角色的职能和职责被明确定义。
• Botpress 采取措施告知其用户有关影响其职责履行的安全规则及违反这些规则的后果。
• 访问或传输个人数据时不使用明文协议。仅接受 SSL 协议进行此类操作。
• Botpress 确保处理或处置可能包含个人数据的物理介质或设备的流程和程序的安全性。
• 个人数据在物理上与其他 Botpress 数据分离，或如在数据库或虚拟环境中则进行逻辑分离。如个人数据未与其他数据、系统或与客户无关的应用物理分离，Botpress 会采取适当的安全控制措施，包括访问控制。

3. 访问控制

Botpress 在安全的数据中心维护存储个人数据的服务器、相关数据库及其他硬件和/或软件组件，且仅允许授权人员进入，并对其进行监控。

Botpress 在所有用于创建、传输或处理个人数据的系统上实施有效的逻辑访问控制措施，包括但不限于：

• 对用户进行身份验证，用户必须使用唯一标识符（“用户 ID”）和姓名。
• 足够复杂且强健的密码策略。
  
• 对包含个人数据的信息资源的用户访问权限/特权，必须根据用户的职责和责任按需授予。
• 一旦用户离职或岗位变动且新岗位不再需要访问个人数据，其对计算机系统的访问权限应立即被删除。
• 用于支持个人数据的第三方产品/应用程序，必须更改默认密码和安全设置。
• 第三方服务提供商在处理个人数据时，应遵守与Botpress授权用户等同的安全要求和义务。
• 每年需重新验证拥有访问个人信息权限的用户账户及相关授权的合理性。

‍4. 网络安全架构

Botpress在所有用于创建、传输或处理个人数据的系统上实施有效的网络访问控制措施，包括但不限于以下内容：

• 防火墙始终处于运行状态，并安装在Botpress内部（私有）网络与公共网络（互联网）之间的网络边界。
• 在Botpress网络上使用经过正确配置和监控的入侵检测与防御系统。
• 仅启用数据库及其他用于处理个人数据的信息系统上运行常规程序所需的服务/进程和端口，主机上的其他服务/进程均被禁用。
• 所有用于处理个人数据的信息系统、存储库及其他系统，必须物理放置在受控的数据中心环境中，并专用于信息系统保护。
• 与Botpress数据中心通信时，必须始终使用安全通道（如TLS、SFTP、SSH、IPSEC等）。

5. 漏洞管理控制

Botpress在所有用于创建、传输或处理个人数据的系统上实施有效的漏洞管理控制措施，包括但不限于以下内容：

• 部署网络防护和检测设备，帮助在钓鱼邮件和恶意软件到达由Botpress管理并直接或间接访问个人数据的工作站之前进行过滤。
• 在所有由Botpress管理并处理个人数据的工作站上部署防病毒和反恶意软件的防护与检测软件。
• 维护标准的补丁管理流程和实践，以确保所有用于访问、处理或存储个人数据的设备得到保护。
  
• 包含个人数据的设备和文件必须能够识别所访问的信息，进行登记，并且仅允许有权限的用户根据安全文件访问数据。
• 采取措施防止在传输和转移过程中个人数据被盗、丢失或未经授权访问。

6. 数据备份、恢复与可用性

Botpress实施以下灾难恢复和业务连续性计划，以最大限度减少停机时间和数据丢失。

• Botpress实施灾难恢复功能，旨在于双方约定的时间内，或如无约定则根据个人数据性质在合理时间内，恢复包含个人数据的系统功能。
• Botpress应系统性地确保除授权Botpress人员外，个人数据不可被访问（例如，外部备份应始终加密）。
• 为降低环境威胁、风险及未经授权访问的机会，设备应远离高环境风险区域，并配备合理距离的冗余设备。
• 应实施安全机制和冗余措施，以防止因公用事业服务中断（如断电、网络中断等）对设备造成影响。
• 应制定数据保留和存储的政策与流程，并实施备份或冗余机制，以确保符合法规、法律、合同或业务要求。应按计划间隔测试磁盘或磁带备份的恢复。

7. 安全审计

Botpress在所有用于创建、传输或处理个人数据的系统上实施控制措施，包括但不限于以下内容：

• 对包含个人数据的外部（公共）基础设施设备进行第三方漏洞扫描或审计。
• 对存储和处理个人数据的Botpress系统进行第三方渗透测试。
• 当应用程序或流程支持财务信息时，定期进行第三方评估。
• Botpress承诺处理所有渗透测试发现的漏洞，并将补救措施通知客户。
  

8. 培训与意识

Botpress 为其接触处理个人数据系统的员工和服务提供商实施了安全意识培训计划，包括：

• Botpress应确保其员工了解与Botpress服务相关的信息风险管理威胁和关注事项，以及相关的信息风险管理政策。
• Botpress员工应接受有关标准风险管理分类方案及相关政策和流程的培训，并定期更新。
• 分包商员工应了解Botpress的信息风险管理分类方案及相关流程。
• 应制定政策和流程，确保在工作区无人时清理含有敏感数据的可见文件，并在工作站长时间无操作时强制注销会话。

‍

附表3 – 子处理方

Botpress在其信任中心维护最新的子处理方名单。除非另有说明，所有数据均在美国处理。