資料處理協議
生效日期：2026 年 10 月 26 日
1. 範圍與角色
本資料處理協議（"DPA"）適用於企業客戶（"客戶"，作為控制者）使用帶 PeopleAI 賬戶的 PAI Workstation、且人民中科香港有限公司（"PeopleAI"，作為處理者）代表客戶處理個人資料的情形。本協議僅涵蓋在 PeopleAI 控制的伺服器上處理的資料：賬戶資料、許可證資訊、支援記錄及雲端同步的通道開通資料。儲存在客戶裝置本地的資料（訊息、日曆條目、AI 模型 API 金鑰）不由 PeopleAI 處理，不在本協議範圍內——這是 PAI Workstation 本地優先架構的直接結果。
2. 標的事項、期限與類別（附件一）
標的事項：提供與支援 PAI Workstation 賬戶及通道投遞。期限：客戶賬戶存續期間。性質與目的：賬戶管理、許可證管理、即時通訊通道開通（WhatsApp Business API / LINE 經 EASTAR 集團通道雲）及技術支援。資料主體類別：客戶的授權用戶及聯絡人。資料類別：姓名、電子郵件地址、許可證後設資料、通道識別符號及支援通訊內容。
3. 僅按指示處理
PeopleAI 僅按客戶的書面指示處理個人資料，不得為自身目的處理，除非適用法律要求——在此情形下，除法律禁止外，PeopleAI 將告知客戶。
4. 保密性與安全
PeopleAI 確保獲授權處理個人資料的人員受保密義務約束。PeopleAI 採取 GDPR 第 32 條項下的技術與組織措施，包括：TLS 1.2+ 傳輸加密、靜態資料加密、基於角色的訪問控制、最小許可權管理、審計日誌，以及 PAI Workstation 的本地優先架構——該架構從設計上最大限度減少了到達 PeopleAI 控制系統的個人資料量。
5. 子處理者
客戶授予 PeopleAI 使用子處理者的一般書面授權。現行清單釋出於 paistation.com/subprocessors，包括：Alibaba Cloud（新加坡）——雲託管；Cloudflare, Inc. —— CDN 與安全；Airwallex —— 支付執行；EASTAR 集團關聯公司 —— 即時通訊通道投遞。PeopleAI 將提前至少 30 天通知客戶擬議變更，客戶可在該期間提出合理異議。
6. 資料主體權利與協助
考慮到處理的性質，PeopleAI 在適當情況下協助客戶履行 GDPR 第 12–22 條項下回應資料主體請求的義務。
7. 個人資料洩露通知
在獲悉影響客戶個人資料的洩露事件後，PeopleAI 將毫不遲延地通知客戶，且最遲不超過 48 小時，並在可獲得範圍內提供 GDPR 第 33(3) 條要求的資訊。
8. 刪除與返還
客戶賬戶終止後，PeopleAI 將在 90 天內刪除或返還代表客戶處理的全部個人資料，除非適用法律要求保留。
9. 審計
PeopleAI 提供證明其遵守本 DPA 所合理必需的全部資訊，並允許並配合客戶進行審計（包括檢查）——須提前合理通知。在可獲得的情況下，PeopleAI 可以透過提供第三方審計報告（如 SOC 2）或已完成的安全問卷來履行本義務，以替代現場檢查。
10. 國際傳輸
在個人資料自 EEA 或英國傳輸至新加坡、美國或其他司法轄區時，傳輸依據歐盟委員會標準合同條款（模組二與模組三）及英國國際資料傳輸附錄，並在需要時附傳輸影響評估。在適用情況下，Cloudflare 的歐盟-美國資料私隱框架認證提供補充保障。
11. 責任
雙方在本 DPA 項下的責任適用 GDPR 第 82 條及適用的使用條款或企業協議中的責任條款。
12. 新加坡 PDPA
客戶受新加坡《個人資料保護法 2012》（PDPA）約束時，PeopleAI 作為資料中介，承諾以合理的安全安排保護客戶的個人資料，並僅按客戶的指示處理，符合 PDPA 第 3 條及第 4 條的要求。
13. 聯絡
資料保護查詢及 DPA 簽署請求：[email protected]。