数据处理协议

生效声明：本协议为正式生效的法律文本，自页脚所示版本对应的发布日期起生效。文中「受托方」指上海连百科技有限公司（平台），「委托方」指在平台注册并开通企业空间的企业或其他组织。

生效版本：见页脚版本号 · 在注册开通企业空间时勾选同意，即表示委托方已阅读并接受本协议当前版本。

本《数据处理协议》（下称「本协议」）依据《中华人民共和国个人信息保护法》第二十一条关于委托处理个人信息的规定订立，构成《服务条款》（下称「主服务协议」）不可分割的组成部分。委托方无需另行签署即适用本协议；需要一份单独签署、可下载留档的文件的，可由企业管理员在「企业管理 → 平台数据协议」发起电子签署。

一、定义与角色

「个人信息」，指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
「处理」，指个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。
「委托方」，指决定个人信息处理目的与处理方式的一方，即作为个人信息处理者的租户（相当于境外法域下的「控制者」）。
「受托方」，指接受委托方委托处理个人信息的一方，即平台（相当于境外法域下的「处理者」）。

二、委托处理的范围、目的与期限

受托方仅在为委托方提供平台服务所必需的范围内处理个人信息。
处理目的限于服务履约、系统运维、安全防护与法律规定的用途；处理方式限于实现前述目的所必需的存储、传输、展示、备份等系统性处理。
受托处理的个人信息种类包括：委托方成员的账号信息（姓名、登录名、邮箱或手机号等），以及委托方录入平台的业务数据中包含的个人信息。
委托处理期限与主服务协议的服务期一致；主服务协议终止的，本协议项下的委托同时终止（善后处理见第六条）。
未经委托方书面同意，受托方不得超出上述范围、目的与方式处理个人信息。

三、受托方的义务

按照委托方的合法指示处理个人信息，不得超出授权范围；发现指示违反法律法规的，有权拒绝并告知委托方。
采取符合网络安全等级保护要求的技术与管理措施（包括访问控制、传输保护、审计留痕、数据隔离等），保障个人信息安全。
对处理个人信息的人员进行保密管理与最小授权，确保其承担保密义务。
发生或者可能发生个人信息泄露、篡改、丢失时，立即采取补救措施，及时（原则上不迟于知悉后 72 小时）通知委托方，说明事件情况、可能的影响与已采取的措施，并配合处置与依法履行的报告义务。
未经委托方同意不得再委托第三方（次级受托方）处理个人信息。委托方同意受托方为实现云存储、短信发送等功能委托主服务协议《隐私政策》所列明的服务商进行必要处理；该等服务商发生变更的，受托方应事先通知委托方，委托方有权提出异议。受托方应确保次级受托方承担不低于本协议的保护义务，并对其处理行为负责。
接受委托方对其处理个人信息活动的监督：委托方有权了解受托方履行本协议的情况，受托方应予以合理配合与说明。

四、协助数据主体行使权利

受托方应协助委托方响应个人信息主体提出的查阅、复制、更正、补充、删除、撤回同意及要求解释说明等请求；平台提供的数据导出、数据权利（DSAR）等功能视为该等协助的组成部分。

五、存储地域与跨境

个人信息存储于中华人民共和国境内。受托方不向境外提供受托处理的个人信息；确需跨境提供的，双方应事先协商，并在依法完成安全评估、告知与单独同意等法定义务后方可进行。

六、协议终止后的处理

本协议或主服务协议终止后，受托方应按照委托方的要求及主服务协议《隐私政策》载明的期限，删除或匿名化受托处理的个人信息并停止处理，法律、行政法规要求留存的除外；委托方可在留存期内通过导出功能取回数据。

七、责任、适用法律与争议解决

因受托方违反本协议或法律规定处理个人信息造成损害的，应依法承担相应责任；因委托方指示违法或委托方自身原因造成损害的，由委托方承担相应责任。
本协议适用中华人民共和国法律。因本协议引起的争议，双方应友好协商解决；协商不成的，任何一方均可向受托方住所地有管辖权的人民法院提起诉讼。
本协议自委托方勾选同意之日起生效，无需另行签署。委托方另行以可靠电子签名（依据《中华人民共和国电子签名法》）签署本协议签署文本的，签署文本与本协议不一致之处以签署文本为准。本协议未尽事宜，适用主服务协议及《隐私政策》的约定。

版本 1.4-20261021