草稿，尚未经律师审阅。译文与英文版不一致时，以英文版为准。生效日期：正式上线时确定。
本数据处理协议（DPA）构成客户（以下称"控制者"）与 Hibira（一位位于台湾的个体经营者（独资）所使用的商号，以下称"处理者"；经营者姓名可应请求及时提供）之间 Hibira Live Chat 服务条款的一部分。处理者代控制者处理客户数据中的个人信息时适用本协议。本协议与服务条款冲突时，以本协议为准。
1. 处理范围
| 处理事项 | 托管控制者的网站和 App 访客与其客服之间的在线聊天，以及控制者开启的功能 |
| 期限 | 服务条款的有效期，加上第 8 节规定的删除期 |
| 性质 | 接收、存储、传递、搜索和归档对话；在开启时根据控制者的知识库生成 AI 回复和建议回答；自动过滤垃圾信息和滥用；统计用量 |
| 数据主体 | 控制者的访客和客户；控制者的客服和管理员 |
| 数据类别 | 消息和附件；访客提供的姓名、邮箱及其他信息；控制者为已登录访客传入的客户 ID 和属性；IP 地址、大致位置、浏览器、语言和页面网址；客服姓名和邮箱；知识库内容 |
| 敏感个人信息 | 无意处理。除非控制者已评估风险且双方书面同意，控制者不得向访客索取此类信息 |
| 存储 | 对话和附件在控制者套餐的历史保存期内保存，或保存至控制者将其删除。30 天后转入位于香港的归档存储。知识库内容及其搜索索引保存至控制者将其移除 |
2. 处理者的义务
处理者将：
- 仅按照控制者的书面指示处理数据，即服务条款、本协议以及控制者对本服务的配置；如认为某项指示违反法律，将告知控制者；
- 按照服务条款第 3 条对对话保密，并确保经营者及任何有访问权限的外包人员均受保密义务约束；
- 不使用客户数据为控制者以外的任何人训练 AI 模型，也不出售客户数据；
- 采取附件 A 中的安全措施；
- 在合理可能的范围内，协助控制者回应数据主体的请求（后台允许管理员查找、导出和删除访客的对话），并协助其开展影响评估和事先咨询；
- 提供证明合规所需的信息，并按照第 7 节允许审计。
3. 控制者的义务
控制者负责：具备合法依据；告知其访客聊天由处理者代其提供以及是否使用 AI 回复；确保其收集数据的准确性与合法性；以及妥善保管其访客身份密钥和单点登录密钥。
4. 分处理者
- 控制者授权附件 B 中列出的分处理者。
- 处理者将至少提前 30 天通过邮件和在 chat.hibira.io 上通知新增分处理者。控制者可基于合理的数据保护理由提出异议；双方无法解决的，控制者可终止受影响的服务，并按比例获得退款。
- 处理者要求每个分处理者遵守保护程度不低于本协议的数据保护条款，并对其履行承担责任。
5. 跨境传输
处理者位于台湾，在香港（AWS ap-east-1）和新加坡（Neon，基于 AWS ap-southeast-1）处理数据；仅对开启 AI 回复或知识库搜索的控制者，还会在日本处理数据（Amazon Bedrock，AWS 东京 ap-northeast-1，东京繁忙时使用大阪 ap-northeast-3）。Cloudflare 的网络可能会通过最近的边缘节点转发连接。如传输需要保障措施，双方同意适用欧盟标准合同条款（视情况适用模块 2 或模块 3）、英国附录，或控制者所在国家或地区法律要求的同等合同（例如韩国 PIPA 标准合同或中国个人信息出境标准合同），上述文件通过引用并入本协议。
6. 个人信息泄露
处理者在知悉影响控制者数据的个人信息泄露后，将不作不当延迟地通知控制者，且无论如何不晚于 48 小时。通知将说明泄露的性质、已知受影响的数据和数据主体、可能的后果以及已采取的措施。
7. 审计
处理者将回答合理的安全问卷，并在有条件时提供第三方审计报告或认证。如这些不足以证明合规，控制者可每年进行一次审计，费用自理，提前 30 天通知，在工作时间内进行，遵守保密义务，且不得访问其他客户的数据。
8. 返还与删除
工作区存续期间，控制者可以从后台导出对话。如由处理者终止工作区，控制者可在 30 天内导出；控制者自行删除的工作区会立即删除。之后，处理者删除剩余的控制者数据（包括归档），并在 35 天内删除备份，法律要求保留的部分除外。
9. 责任
各方在本协议项下的责任受服务条款中责任限制的约束，但适用的数据保护法律不允许限制的除外。
附件 A：安全措施
- 所有聊天组件、收件箱、API 和 Webhook 流量均使用 TLS 1.2 或更高版本；访客身份签名（HMAC 或 JWT）和单点登录令牌有效期短，并具备防重放保护。
- 登录令牌和会话仅以 SHA-256 哈希值存储；密钥绝不写入日志。
- 每次查询都将各工作区的数据彼此隔离；客服只能看到自己所在工作区的数据。
- 数据存储和归档静态加密，仅通过私有网络或经过身份验证的 TLS 访问；经营者和外包人员按最小权限访问，并使用多因素认证。
- 在边缘实施频率限制、人机验证（Turnstile）和 DDoS 防护。
- 加密备份、监控与告警，以及事件响应流程。
- 定期更新依赖项并修复漏洞。
附件 B：分处理者
| 分处理者 | 目的 | 所在地 |
|---|---|---|
| Amazon Web Services | 托管本服务、附件和归档对话；邮件（Amazon SES） | 香港（AWS ap-east-1） |
| Amazon Web Services（Amazon Bedrock） | AI 回复、建议回答和知识库搜索，仅限开启这些功能的控制者 | 日本（AWS 东京 ap-northeast-1；大阪 ap-northeast-3） |
| Neon | 工作区、对话和知识库索引的数据库 | 新加坡（AWS ap-southeast-1） |
| Cloudflare | DNS、边缘网络、DDoS 防护、人机验证 | 全球 |
Creem（我们的经销商和记录商户）和 Google Workspace（邮箱）仅处理处理者自身关于其客户的数据（例如账号和账单信息），不处理本协议所称的"客户数据"，因此列在 Live Chat 隐私政策中，而不在此列出。