数据处理协议
GeneX 如何代表客户处理个人数据——双方角色、子处理方、安全措施与 GDPR 框架下的国际数据传输。本 DPA 构成 GeneX 服务条款的一部分。
本页为《GeneX 数据处理协议》的简体中文参考译本，仅供阅读便利之用。协议以英文原版为唯一权威文本；本译本与英文版如有任何不一致，概以英文版为准。
本数据处理协议（“DPA”）构成您（“客户”）与 EASTAR ASSET MANAGEMENT LIMITED（“GeneX”、“我们”）之间《服务条款》的一部分，适用于 GeneX 因提供服务而代表您处理个人数据的情形。如本 DPA 与《服务条款》就数据保护事项存在冲突，以本 DPA 为准。
1. 双方角色。
就客户数据（您通过服务处理的对话、联系人与内容）中所含的个人数据，您为数据控制者，GeneX 为数据处理者，仅按您的指示行事。就您的账户、账单与网站访问数据（例如您的账户电子邮箱、IP 地址与营销归因参数），GeneX 依据我们的《隐私政策》作为独立控制者行事。
2. 处理详情。
- 处理事项：通过 GeneX 平台托管、传输与处理客户数据。
- 处理目的：依《服务条款》提供、保障与支持服务。
- 数据主体类别：您的客户与联系人（“终端用户”）、您的员工（“坐席”）。
- 数据类别：联系标识信息（姓名、电话号码）、消息与对话内容、媒体文件、设备与使用元数据，以及坐席账户数据。
- 特殊类别：未经我们事先书面同意，您不得通过服务提交特殊类别个人数据（健康、生物识别、政治观点、宗教信仰等类似数据）。
3. 处理指示。
我们仅为提供服务而处理客户数据，如《服务条款》、本 DPA 与您的产品配置所载明。如我们认为某项指示违反适用的数据保护法律，将告知您。
4. 保密。
处理客户数据的人员均受保密义务约束，并严格按“知所必需”原则获得访问权限。
5. 安全措施。
我们维持的技术与组织措施包括：传输中数据加密（TLS）与静态数据加密；基于角色的访问控制，以及管理性访问的多因素认证；管理操作审计日志；分析与营销归因记录中的 IP 地址截断；未注册线索数据 90 日内自动删除；最小权限与安全开发实践；以及加密备份。我们可能不时更新上述措施，但不会实质降低其总体保护水平。
6. 子处理方。
您给予我们聘请子处理方的一般性书面授权。我们在附录 A 中维护现行清单，并会在新增或更换处理客户数据的子处理方前至少提前 30 日通知您；您可以基于合理的数据保护理由提出异议，我们将与您善意协商；如异议无法解决，您可终止受影响的服务，并就预付费用获得按比例退款。子处理方履行上述义务的责任由我们承担，如同其为我们自身的履行；我们并对每一子处理方施加至少与本 DPA 具有同等保护水平的数据保护条款。
7. 数据主体请求。
如我们收到您的终端用户或坐席就客户数据中其个人数据提出的请求，我们将（在法律未禁止的范围内）通知您，并在可行时引导该个人与您联系。我们提供访问、更正、导出与删除的自助工具，并将就此类请求提供其他合理协助。
8. 个人数据泄露。
在知悉影响客户数据的个人数据泄露后，我们将毫不迟延地通知您（可行时在 72 小时内），内容包括我们已知的泄露性质、受影响的记录与个人的类别及大约数量、可能的后果，以及已采取或拟采取的措施。我们将采取合理步骤，协助您履行自身的通知义务。
9. 国际数据传输。
我们将客户数据与账户数据托管于新加坡的安全服务器，并设有加密备份。新加坡已获欧盟委员会的充分性认定。如个人数据被传输至位于欧洲经济区、英国或瑞士以外的服务商（例如我们位于美国的邮件投递服务商），则适用欧盟标准合同条款（欧盟委员会第 2021/914 号实施决定；您为控制者时适用模块二，您为处理者时适用模块三），就英国则适用国际数据传输附录（IDTA），上述条款通过引用并入本协议。我们第 5 条所列的安全措施，以及可应合理要求提供的传输影响评估，构成补充措施。
10. 审计与认证。
我们在集团层级维持第三方认证，包括 ISO/IEC 27001。应合理要求并在保密前提下，我们将提供我们的安全文档与适用的审计报告。如适用法律赋予您的义务无法通过上述文档满足，我们将事先与您约定审计程序。
11. 数据的删除与返还。
订阅期内，您可以使用产品内的工具导出客户数据。服务终止或到期后，您有 30 日的导出窗口；此后我们在 90 日内删除客户数据，但备份除外（备份按不超过 90 日的常规轮换周期删除），法律要求保留的数据亦除外。可应要求向您确认删除情况。
12. 处理记录。
我们按 GDPR 第 30 条第 2 款的要求，就相关服务维持处理活动记录，并应合理要求向您提供相关信息。
13. 优先顺序。
就数据保护事项：标准合同条款（如适用）优先于本 DPA；本 DPA 优先于《服务条款》。
14. 联系方式。
数据保护问题：[email protected]。
附录 A. 子处理方。
可能处理客户数据或账户数据中所含个人数据的现行子处理方（以本 DPA 生效日期为准）：
- Alibaba Cloud（阿里云）——托管我们生产系统的云基础设施（ECS）。处理地点：新加坡。数据处理条款：阿里云数据处理附录（含欧盟标准合同条款与英国附录）。
- Resend, Inc.——事务性与通知类邮件投递。处理地点：美国。数据处理条款：Resend 数据处理协议（含欧盟标准合同条款；通过 SOC 2 Type II 认证）。
支付服务商。我们使用第三方支付服务商处理付款。该等服务商并非客户数据的子处理方：
- Airwallex (Hong Kong) Limited——支付处理。就付款人账户与交易数据，Airwallex 作为独立控制者行事（用于防欺诈、合规与支付网络目的）；就我们提供的指令与账单数据，则作为处理者行事，均依其数据处理附录（双模块：控制者对控制者与控制者对处理者）。
- PayPal——支付处理。就其自身的防欺诈、合规与支付网络目的，PayPal 就付款人数据作为独立控制者行事，详见其支付处理产品数据保护附录。
说明。（i）我们的域名注册与 DNS 服务商（Namecheap）及 TLS 证书颁发机构（Let's Encrypt）不处理终端用户个人数据，此处列出仅为透明起见。（ii）核心服务组件（数据库、缓存与 Web 服务）为运行于上述基础设施上的自托管开源软件。（iii）GeneX 产品系统（包括 genex.eastarasset.com）由 EASTAR ASSET MANAGEMENT LIMITED 自行运营，不属于第三方子处理方。如我们日后聘请任何集团成员公司或其他服务商处理客户数据，将按第 6 条相同的通知与异议权利将其加入本清单。
生效日期：2026 年 10 月 13 日 · EASTAR ASSET MANAGEMENT LIMITED