1. 定义
"控制方"指决定个人数据处理目的和方式的客户。"处理方"指根据控制方指示处理个人数据的 Sourcai。"个人数据"指与已识别或可识别的自然人相关的任何信息。"处理"指对个人数据进行的任何操作或一组操作。
2. 优先效力
本 DPA 是您与 Sourcai 签订的 服务条款 的补充。如本 DPA 与服务条款之间存在冲突，就数据处理事项而言，以本 DPA 为准。
3. 处理标的
Sourcai 作为处理方，将按照控制方的指示处理个人数据，以提供审计自动化服务。处理的个人数据类型包括：用户账户信息、审计项目数据（如财务数据、凭证、函证）、通信记录及系统日志。
4. 控制方义务
控制方承诺：
- 确保其向 Sourcai 提供的个人数据的处理符合适用的数据保护法律；
- 已获得必要的同意或具备其他合法依据，以允许 Sourcai 按照本 DPA 处理个人数据；
- 及时通知 Sourcai 任何数据主体请求、监管机构查询或其他可能影响个人数据合规处理的事项。
5. 处理方义务
Sourcai 承诺：
- 仅按照控制方的书面指示处理个人数据；
- 确保处理个人数据的人员已承担保密义务；
- 采取适当的技术和组织措施保护个人数据的安全；
- 在控制方要求时，协助控制方履行其对数据主体的义务；
- 在合同终止后，按照控制方的选择删除或返还所有个人数据。
6. 子处理方
我们可能委托第三方子处理方执行特定的数据处理活动（如云存储、客户支持）。我们确保所有子处理方均受与本 DPA 实质等同的数据保护义务约束。完整的子处理方清单见附录 C。
7. 数据主体权利
我们将协助控制方响应数据主体的访问、更正、删除、限制处理、数据可携和反对处理请求。如我们直接收到数据主体请求，我们将在合理时间内转交控制方处理。
8. 数据泄露通知
如发生个人数据泄露，我们将在知悉后 72 小时内通知控制方，并提供已知的泄露详情、已采取或拟采取的补救措施。
9. 数据跨境传输
个人数据可能在中国大陆以外的司法管辖区进行处理和存储。我们将确保此类跨境传输符合适用的数据保护法律要求，并采用适当的安全保障措施。
10. 审计与核查
控制方有权要求 Sourcai 提供与本 DPA 履行相关的信息和文件。Sourcai 将配合控制方或其指定的审计师进行合理的合规审计，每年不超过一次。
11. 协议终止
本 DPA 随服务条款的终止而终止。终止后，Sourcai 将在合理期限内删除或返还所有个人数据，但法律法规要求保留的数据除外。
12. 责任限制
双方各自承担因其违反本 DPA 而导致的数据保护法律责任。对于因一方过错导致的损害，过错方应独立承担全部责任。
13. 通知
与本 DPA 相关的正式通知应发送至双方指定的联系人。任何一方变更联系方式应及时通知对方。
14. 适用法律
本 DPA 受中华人民共和国法律管辖，并依其解释。因本 DPA 引起的争议应首先通过友好协商解决。
附录 A：数据处理详情
处理的个人数据类型：用户账户信息（姓名、邮箱、电话、职位）、审计项目数据（财务数据、凭证、函证、系统日志）。处理目的：提供审计自动化服务。数据主体类别：审计项目涉及的最终用户及其关联方。保留期限：合同存续期间及法律要求的保留期。
附录 B：技术与组织措施 (TOMs)
Sourcai 实施以下 TOMs 保护个人数据：
- 加密：AES-256 端到端加密，TLS 1.3 传输协议；
- 访问控制：基于角色的细粒度访问控制（RBAC），最小必要权限原则；
- 审计日志：完整操作日志，支持 regulator 检查；
- 数据隔离：客户数据物理/逻辑隔离，绝不用于模型训练；
- 备份与恢复：定期数据备份，具备灾难恢复能力；
- 人员安全：员工背景审查，保密协议签署，定期安全培训。
附录 C：批准的子处理者清单
截至本 DPA 生效日，Sourcai 使用的主要子处理方包括：
- 云服务提供商（用于数据存储和计算基础设施）；
- 客户支持平台（用于处理支持请求和沟通记录）；
- 电子邮件服务提供商（用于发送服务通知和营销信息）。
我们将持续更新此清单，并在新增子处理方时通知控制方。