1. 當事方
本協議由 Kwamle Media（資料處理者，或稱「處理者」）與使用 kwamlemedia.com / app.kwamlemedia.com 平台的客戶（資料控管者，或稱「控管者」）簽訂。
2. 定義
- 「個人資料」：任何與可識別自然人有關的資訊。
- 「處理」：對個人資料執行的任何操作（蒐集、儲存、使用、傳輸、刪除）。
- 「GDPR」：歐盟《一般資料保護規則》（法規 2016/679）。
- 「CCPA」：《加州消費者隱私法》。
- 「次處理者」：代表 Kwamle Media 處理資料的任何第三方。
3. 處理範圍
Kwamle Media 基於下列目的處理個人資料：
- 營運行銷自動化服務與智慧機器人。
- 管理 Meta 粉絲專頁與帳號，並與客戶的受眾互動。
- 產生分析與統計資料。
- 根據客戶的設定執行 AI 呼叫。
這些資料包括：姓名、電話號碼、電子郵件地址、Facebook/Instagram 識別碼、訊息內容與留言。
4. Kwamle Media 作為處理者的義務
- 僅依客戶的書面指示處理資料。
- 確保所有可存取該資料的員工均對其保密。
- 採取適當的安全措施（GDPR 第 32 條）。
- 協助客戶回應資料主體的請求。
- 於 72 小時內將任何資料外洩事件通知客戶。
- 未經客戶同意，不得聘用次處理者。
- 服務終止時，刪除或返還客戶的資料。
5. 安全措施
- 傳輸中（TLS）與靜態資料的加密。
- 以角色為基礎的存取控制（RBAC）與最小權限原則。
- 對客戶資料存取行為的稽核紀錄。
- 定期弱點掃描與安全測試。
- 對生產系統上的員工實施雙重驗證。
- 加密備份與生產系統分開存放。
- 弱點管理方案以及即時安全更新。
6. 次處理者
我們使用下列類別的次處理者。具名次處理者的現行清單（包含每家供應商所在地點）會在簽署前提供給客戶，並可依要求索取；如有任何變更，我們會通知客戶。
| 類別 | 目的 | 備註 |
|---|---|---|
| 主機代管與基礎架構 | 伺服器、資料庫、儲存空間與備份 | 列於目前清單中 |
| 內容傳遞與網路防護 | 內容傳遞網路、網域名稱系統與分散式阻斷服務防護 | 全球邊緣網路 |
| AI 模型提供者 | AI 功能，使用客戶自有的 API 金鑰 | 由客戶選擇並啟用 |
| 支付處理商 | 訂閱制計費 | 卡片資料絕不會傳送到我們的伺服器 |
| 電子郵件遞送 | 交易電子郵件（通知、發票） | 列於目前清單中 |
客戶可在收到通知後 30 天內反對新增次處理者。
7. 國際資料傳輸
將資料傳輸至歐洲經濟區以外時，我們依賴：
- 2021 年標準契約條款（SCCs）。
- 歐洲委員會核准國家的適足性決定。
- 需要時進行資料傳輸影響評估。
8. 資料外洩事件
偵測到外洩事件時：
- 於 72 小時內將事件細節通知客戶。
- 提供有關原因、範圍與已採取行動的完整報告。
- 在回應及向監管機關通報方面充分合作。
9. 稽核權
客戶有權：
- 要求我們提供技術與組織安全措施的說明。
- 在提前 30 天通知且自行負擔費用的情況下，進行年度稽核。
- 獲得合理安全問卷的回覆。
10. 服務終止時的資料刪除
- 協議終止後，Kwamle Media 會在 90 天內刪除所有個人資料。
- 帳務紀錄保留 7 年（會計要求）。
- 客戶可要求於刪除前取得其資料的 JSON 或 CSV 副本。