数据处理附录
当我们代表您处理工作空间内容中的个人数据时所适用的 GDPR 第 28 条条款。
本文件以英文发布。译文仅供参考，具有法律效力的是英文版本。
1角色与适用范围
2处理详情（第 28 条第 3 款）
| 标的 | 向客户提供 Nodary 文档工作空间及其各项功能。 |
|---|---|
| 期限 | 客户使用本服务的整个期间。 |
| 性质与目的 | 按客户指示对内容进行托管、存储、显示、处理以及 AI 辅助编辑。 |
| 数据类别 | 客户选择纳入其内容的任何个人数据，通常包括身份与联系信息、职业信息及自由文本内容。 |
| 数据主体 | 客户的团队成员、协作者，以及内容中提及的任何个人。 |
3我们作为处理者的义务
AnkleBreaker 承诺：
- 仅按客户的书面指示处理客户个人数据，包括通过本服务发出的指示，法律另有要求的除外（在此情形下，除法律禁止外我们将通知您）；
- 确保获授权处理数据的人员负有保密义务；
- 实施适当的技术与组织安全措施（参见我们的安全页面）；
- 在考虑处理性质的前提下，协助客户回应数据主体的请求，并履行其在安全、数据泄露通知与数据保护影响评估方面的义务（第 32 条至第 36 条）；
- 在获悉涉及客户个人数据的个人数据泄露后，及时通知客户；
- 提供证明遵守第 28 条所必需的信息。
4次级处理者
客户授予 AnkleBreaker 一般性授权，以聘用我们隐私政策中列明的次级处理者（目前为 Amazon Web Services，包括 Amazon Bedrock 与 Amazon SES，以及 Stripe）。AnkleBreaker 对每一次级处理者施加不低于本 DPA 保护水平的数据保护义务，并对其履行承担责任。对于拟新增或更换次级处理者，我们将合理提前通知，您可基于合理的数据保护理由提出异议。
5国际传输
若客户个人数据被传输至欧洲经济区之外，该传输将依据 GDPR 认可的适当保障措施进行，特别是欧盟委员会的标准合同条款，并辅以包括传输中与静态加密在内的补充技术措施。
6协助行使数据主体权利
在考虑处理性质的前提下，AnkleBreaker 将在可能范围内通过适当的技术与组织措施，协助客户回应行使权利的数据主体请求。本服务提供自助工具（导出、删除、成员管理），使客户能够直接满足大多数此类请求。
7审计
在收到合理的事先书面请求时，且除监管机关要求外每年不超过一次，AnkleBreaker 将提供为证明遵守本 DPA 所合理必要的信息，其中可能包括我们基础设施供应商的最新第三方认证与审计报告。
8返还与删除
本服务终止时，AnkleBreaker 将按客户选择删除或返还客户个人数据，并删除现有副本，法律要求保存的除外。在账户处于活跃状态期间，客户可随时导出内容。常规备份中的残余副本将按正常备份周期删除（通常至多 30 天）。
9联系方式
依据本 DPA 提出的请求，包括索取双方签署的副本，可发送至 support@nodary.ai。