1. 当事方
本协议由 Kwamle Media（数据处理者，简称“处理者”）与使用 kwamlemedia.com / app.kwamlemedia.com 平台的客户（数据控制者，简称“控制者”）签订。
2. 定义
- “个人数据”：与可识别的自然人有关的任何信息。
- “处理”：对个人数据执行的任何操作（收集、存储、使用、传输、删除）。
- “GDPR”：欧盟《通用数据保护条例》（第 2016/679 号条例）。
- “CCPA”：《加州消费者隐私法案》。
- “子处理者”：代表 Kwamle Media 处理数据的任何第三方。
3. 处理范围
Kwamle Media 出于以下目的处理个人数据：
- 运营营销自动化服务和智能机器人。
- 管理 Meta 主页和账户，并与客户的受众互动。
- 生成分析和统计数据。
- 根据客户的设置执行 AI 调用。
这些数据包括：姓名、电话号码、邮箱地址、Facebook/Instagram 标识符、消息内容和评论。
4. Kwamle Media 作为处理者的义务
- 仅根据客户有记录的指示处理数据。
- 确保所有可访问数据的人员对数据保密。
- 采取适当的安全措施（GDPR 第 32 条）。
- 协助客户响应数据主体请求。
- 在 72 小时内将任何数据泄露通知客户。
- 未经客户同意，不得委托子处理者。
- 服务结束时删除或归还客户数据。
5. 安全措施
- 对传输中的数据（TLS）和静态数据进行加密。
- 基于角色的访问控制（RBAC）和最小权限原则。
- 记录客户数据访问情况的审计日志。
- 定期漏洞扫描和安全测试。
- 工作人员访问生产系统时采用双重身份验证。
- 与生产系统分开存储的加密备份。
- 漏洞管理计划以及即时安全更新。
6. 子处理者
我们使用以下类别的子处理者。当前子处理者名单及各提供商所在地会在签署前提供给客户，也可应要求提供；如有任何变更，我们会通知客户。
| 类别 | 目的 | 备注 |
|---|---|---|
| 托管与基础设施 | 服务器、数据库、存储和备份 | 在当前列表中列明 |
| 内容分发和网络防护 | CDN、DNS 和 DDoS 防护 | 全球边缘网络 |
| AI 模型提供商 | 使用客户自有 API 密钥的 AI 功能 | 由客户选择并启用 |
| 支付处理商 | 订阅计费 | 银行卡信息绝不会传至我们的服务器 |
| 邮件投递 | 事务性邮件（通知、发票） | 在当前列表中列明 |
客户可在收到通知后 30 天内反对新增子处理者。
7. 国际数据传输
将数据传输至欧洲经济区以外时，我们依据以下机制：
- 2021 年标准合同条款（SCC）。
- 欧盟委员会针对获认可国家作出的充分性决定。
- 在有要求的情况下进行传输影响评估。
8. 数据泄露
检测到数据泄露时：
- 在 72 小时内将事件详情通知客户。
- 提供关于原因、范围和已采取措施的全面报告。
- 充分配合事件应对工作及向监管机构报告的工作。
9. 审计权
客户有权：
- 要求我们提供技术和组织安全措施的说明。
- 提前 30 天通知后，自费开展年度审计。
- 获得对合理安全问卷的答复。
10. 服务结束时的数据删除
- 协议终止后，Kwamle Media 在 90 天内删除所有个人数据。
- 账单记录保留 7 年（会计要求）。
- 应要求，客户可在删除前获得其数据的 JSON 或 CSV 副本。