数据处理协议

Botpress 数据处理协议（DPA）

本 DPA 是Botpress 集团在服务条款中确定的实体与客户之间协议的补充，并构成该协议的组成部分。本 DPA 通过引用方式纳入该协议后即生效。

1定义

1.a 本协议中未定义的术语具有本协议赋予的含义。

1.b 在本 DPA 中 ：

(a) "协议"具有服务条款中赋予该术语的含义。

(b)"Botpress 集团"指Botpress 及其任何关联公司。

(c) "加州个人信息"指受 CCPA 保护的个人数据。

(d) "加拿大数据保护法"是指《个人信息保护和电子文件法》（SC 2000，c 5）和《私营部门个人信息保护法》（CQLR c P-39.1），可能会被修订、取代或替换。

(e) "CCPA"指《加州民法典》第 1798.100 节及以下各节（又称《2018 年加州消费者隐私法》）。

(f) "消费者"、 "企业"、"销售"和 "服务提供商"具有 CCPA 赋予的含义。

(g) "控制者"指单独或与他人共同决定处理个人数据的目的和方式的任何人。

(h) "数据保护法"是指适用于本 DPA 一方的与数据保护和隐私相关的所有全球适用 法规，包括但不限于欧洲数据保护法、加拿大数据保护法和 CCPA，在每种情 况下，经不时修订、废止、合并或替换。

(i) "数据当事人"是指与个人数据有关的个人。

(j) "欧洲"指欧洲联盟、欧洲经济区和/或其成员国、瑞士和英国。

(k) "欧洲数据保护法"指适用于欧洲的数据保护法，可能会被修订、取代或替换。

(l) "欧洲数据"指受欧洲数据保护法保护的个人数据。

(m) "获准关联方"指以下任何客户关联方：(i) 根据协议获准使用软件服务；(ii) 符合Botpress 所处理个人数据的控制方资格；(iii) 遵守欧洲数据保护法。

(n) "人"应作广义解释，包括任何个人、公司、有限责任公司、有限合伙企业、公司、协会、合伙企业、信托或遗产、合资企业、政府实体或其政治分支机构或任何其他实体。

(o) "个人数据"系指与已识别或可识别的个人有关的任何信息。

(p) "处理"或 "处理"系指处理者对个人数据进行的任何操作或一系列操作，无论是否采用自动方式；

(q) "处理人"指代表控制人处理个人数据的人。

(r) "监管机构"指（如适用）对与提供或接受服务有关的个人数据处理的全部或任何部分具有监管、监督或政府权力（无论是否根据法定计划或其他方式）的任何个人或执法机构或其他机构，包括但不限于欧洲数据保护监管机构；

(s) "安全漏洞"指违反安全规定，导致Botpress 和/或次处理方在提供服务时传输、存储或以其他方式处理的个人数据遭到意外或非法破坏、丢失、篡改、未经授权披露或访问，但不包括不危及个人数据安全的事件，包括尝试登录失败、ping、端口扫描、拒绝服务攻击以及对防火墙或网络系统的其他网络攻击。

(t) "服务"指Botpress 集团的任何实体向客户或其关联公司提供的软件服务或专业服务。

(u) "标准合同条款"系指 2021 年 6 月 4 日欧盟委员会第（EU）2021/914 号决定所附的标准合同条款；可对其进行修订、取代或替换。

(v) "分处理器"是指Botpress 或Botpress 关联公司为协助履行Botpress 根据本协议提供服务的义务而聘用的任何处理器。子处理方可能包括第三方或Botpress 关联公司，但不包括Botpress 雇用或聘用的个人。

(w) "第三国"系指：(i) 未被欧盟委员会认定可为个人数据提供充分保护的司法管辖区或接收方；(ii) 未被有关当局或法院认定可为个人数据提供充分保护的适当框架所覆盖的司法管辖区或接收方；

(x) "使用数据"是指与授权用户使用本软件有关的数据，其中可能包含个人数据（如有 必要识别单个用户），但不包括任何对话数据。使用数据可能包括客户员工和承包商的个人数据，但不包括与客户机器人交互的最终用户的个人数据。

2. 各方的作用

2.a 在通过服务处理对话数据时，双方承认并同意客户为控制方，Botpress 为处理方。

2.b 如果客户代表控制方担任处理方，Botpress 应被视为客户的次级处理方。

2.cBotpress 是使用数据的控制方。

3 遵守数据保护法

3.a 各方在处理个人数据时均应遵守所有适用的数据保护法。

3.bBotpress 不负责遵守任何适用于客户或客户所在行业的数据保护法律，这些法律一般不适用于Botpress 。

3.c 如果Botpress 意识到，由于任何适用法律规定的法律要求，其无法按照客户的指示处理个人数据，则Botpress 将 (i) 在适用法律允许的范围内，立即通知客户该法律要求；以及 (ii) 在必要时，停止所有处理（仅存储和维护受影响个人数据的安全除外），直至客户根据适用法律发出新指示。如果本条款被援引，Botpress 合理确定客户的指示合法之前，Botpress 将不因未能履行适用的软件服务或专业服务而根据协议对客户承担任何责任。

4.Botpress 义务

4.aBotpress 处理个人数据的目的仅限于本 DPA 所述目的，或在收到客户合法指示的范围内另行商定的目的，除非适用法律另有规定。

4.bBotpress 应实施并维护适当的技术和组织措施，以保护个人数据免受安全事故的影响，包括本 DPA 附表 2 中所述的措施（"安全措施"）。Botpress 可自行决定修改或更新安全措施，但前提是此类修改或更新不会导致安全措施所提供的保护出现实质性下降。

4.cBotpress 应将个人数据视为客户的机密信息，并确保其任何获准访问或处理个人数据的员工或联络人对该个人数据承担适当的保密义务（无论是合同义务还是法定义务）。

4.dBotpress 将在协议终止或到期时删除或归还根据本 DPA 处理的所有个人数据。在适用法律要求的情况下，或在个人数据已在备份系统中存档的情况下，Botpress 可能会保留个人数据的副本，这些数据将被安全隔离和保护，不再进行任何处理，并根据适用的删除惯例进行删除。

5. 客户的义务

5.a 客户有责任确保其对软件服务或软件的使用符合所有适用的数据保护法，包括确保：(i) 客户有权根据本 DPA 委托Botpress 代表其处理个人数据；(ii) 客户有权根据协议条款（包括本 DPA）将个人数据传输或提供给Botpress 进行处理；(iii) 确保客户有关个人数据处理的指示符合适用法律，包括数据保护法；

5.b 如果客户有理由相信或已被告知客户通过服务对个人数据的处理违反或可能违反适用法律（包括数据保护法），客户应立即书面通知Botpress 。

5.c 客户有责任确定Botpress 实施的安全措施是否足以履行客户在适用数据保护法下的义务。客户也有责任确保其对软件服务的访问是安全的，并仅限授权人员访问。

6. 安全漏洞

6.aBotpress 一旦发现任何安全漏洞，将立即通知客户，并及时提供已知的或客户合理要求的与此类安全漏洞有关的信息。

6.b 根据要求，Botpress 将及时向客户提供必要的合理协助，以便客户向监管机构和/或受影响的数据主体通报安全漏洞，如果数据保护法要求进行此类通报的话。

7 次级处理器

7.aBotpress 可聘用次级处理商处理个人数据。目前的次级处理商列于附表 3，次级处理商的任何变更都将通知客户。

7.bBotpress 选择提供至少与本 DPA（包括（如适用）标准合同条款）中规定的个人数据保护水平相同的数据保护承诺的子处理方，但以适用于该子处理方所提供服务的性质为限。Botpress 对每个子处理方遵守本 DPA 的义务以及该子处理方导致违反Botpress在本 DPA 下的任何义务的任何行为或疏忽承担责任。

7.c 如果Botpress 代表客户处理欧洲数据，客户可以基于数据保护的合理理由反对新的次级处理商。如果收到此类反对通知，Botpress 同意真诚地讨论此事，以达成商业上合理的解决方案。如果无法达成上述解决方案，Botpress 可以选择放弃任命新的分处理器，或者允许客户终止订购依赖于该新分处理器的那部分软件服务，而无需对任何一方承担任何责任（但不影响终止前产生的任何费用）。

7.d 如果法律或《标准合同条款》有要求，Botpress 将尽合理努力向客户提供有关Botpress与子处理商签订的协议的必要信息。客户同意，此类协议中的某些信息可能会被编辑或在保密的基础上提供。

8. 个人资料的转让

8.aBotpress 集团实体对欧洲数据以外的个人数据的处理将在隐私管辖区适用法律允许的任何司法管辖区进行。

8.b 对欧洲数据的处理应仅限于......：

a) 欧洲内部；

b) 根据欧盟委员会基于适用数据保护法做出的决定，提供充分保护的司法管辖区；

c) 在任何司法管辖区，由提供适当保障的组织或实体提供，包括通过标准合同条款；

d) 在任何司法管辖区，经客户或相关数据当事人书面同意。

8.c 在第三国处理欧洲数据时，双方应被视为仅就相关个人数据和相关处理签订了标准合同条款。双方同意，就标准合同条款而言 ：

a) 如果客户是控制方，而Botpress 是处理方，则适用模块 2（控制方到处理方）。

b) 如果客户是处理器，而Botpress 是子处理器，则适用模块 3（处理器到处理器）。

c) 对于使用数据，将适用模块 1（控制方对控制方）。

d) 在《标准合同条款》第 7 条中，选择性停靠条款将不适用；

e) 在《标准合同条款》第 9 条中，选项 2 适用，分包商变更的事先书面通知期限为 10 天；

f) 在《标准合同条款》第 11 条中，选择性语言将不适用；

g) 在第 17 条（选项 1）中，标准合同条款将受爱尔兰法律管辖；

h) 在《标准合同条款》第 18(b)条中，争议将在爱尔兰法院解决；

i)Botpress 将是 "数据导入者"，客户将是 "数据导出者"（代表其自身和允许的关联方）；

j) 本 DPA 附表 1 和附表 2 中列出的相关信息应被视为包含在标准合同条款的附件中；

k) 如果标准合同条款与本 DPA 的任何规定相冲突，则以标准合同条款为准。

8.d 瑞士和英国转让。如果客户与Botpress 和/或次级处理商之间的个人数据传输受瑞士或英国数据保护法的管辖，则应视为对标准合同条款进行了修订，以反映适用的瑞士和英国数据保护法的要求，包括对立法、适用法律和主管当局及法院的引用。

CCPA 处理

9.a 在根据客户的指示处理加州个人信息时，双方承认并同意，就 CCPA 而言，客户是企业，而Botpress 是服务提供商。双方同意，Botpress 作为服务提供商处理加州个人信息的目的仅限于执行协议规定的软件服务和专业服务（"业务目的"）或 CCPA 允许的其他目的。

10. 第三方请求

10.a 客户应负责处理数据当事人或监管机构就其个人数据提出的任何要求，客户应使用可用的软件服务功能检索有关个人数据处理的相关信息。

10.b 如果客户无法独立处理数据主体或监管机构的请求（"请求"），Botpress 将向客户提供合理的协助，以回应与根据本协议处理个人数据有关的任何此类请求。除非请求是基于Botpress 未遵守本 DPA 规定的义务，否则客户应向Botpress 补偿其向客户提供任何协助的合理费用。

10.c 如果有关根据协议处理个人数据的请求或其他通信是直接向Botpress 提出的，Botpress 将立即通知客户，并建议数据主体或监管机构直接向客户提交其请求。客户将全权负责对涉及个人数据的任何此类请求或通信作出实质性回应。

与个人数据有关的审计

11.a 在向Botpress 提出要求并发出合理通知后，客户有权自费进行必要的核查，以确保Botpress 代表客户处理的个人数据是按照客户的指示处理的。应客户要求，Botpress 应允许对Botpress 所进行的处理进行审计和检查。此类审核可由客户和/或代表客户行事的第三方（由客户选定并经Botpress 合理接受）进行。 客户应采取一切必要措施，避免对Botpress 集团实体的场所、设备、人员和业务造成任何损害或干扰。

11.b 客户和Botpress 应事先就客户任何审计的性质、范围和持续时间达成一致，客户应向Botpress 补偿与此类审计相关的所有合理费用，这些费用可在审计开始前根据客户的要求进行估算。在可能的范围内，客户的任何审计要求应通过Botpress 提供的第三方审计报告（如果有的话）来满足。

11.c 如果Botpress 代表客户处理欧洲数据，Botpress 将应客户的合理要求（在保密的基础上）向客户提供：(i) 其安全测试报告的摘要副本；(ii) 对客户为确认Botpress 是否遵守本 DPA 而提出的所有合理信息要求的书面答复，但客户每个日历年行使此权利的次数不得超过一次，除非客户有合理的理由怀疑Botpress不遵守 DPA。

12 责任限制

12.aBotpress及其关联公司因本 DPA（以及双方之间的任何其他 DPA）和标准合同条款（如适用）引起的或与之相关的责任，无论是合同责任、侵权责任还是任何其他责任理论下的责任，合计总额将限于客户在导致责任发生之前的 12 个月内为获得服务而支付给Botpress 的费用总额。

13 管辖权

除非适用的数据保护法另有规定，否则本 DPA 应受适用于本协议的法律管辖并根据其进行解释，与本协议有关的任何争议应由建议书中指明的司法管辖区的主管法院解决。

在数据保护法要求本 DPA 受欧盟成员国法律管辖的范围内，本 DPA 应受爱尔兰法律管辖，与本协议有关的争议应由爱尔兰法院解决。

14. 一般性问题

14.a优先权。 如果本 DPA 的任何规定与本协议的任何其他规定有任何不一致之处，本 DPA 的规定始终优先，除非明确规定本协议的另一规定优先或本 DPA 的某一规定应被搁置或修改。

14.b修订。 Botpress 可修订本 DPA，以反映其数据处理实践的变化。 除澄清措辞的修改（将定期通知客户）外，任何修改都将提交给客户，除非客户接受，否则将不适用。如果适用法律要求修改本 DPA，客户将

可选择接受此类修改或终止订购软件服务。

14.c可分割性。如果本 DPA 的任何个别条款被认定为无效或不可执行，本 DPA 其他条款的有效性和可执行性不受影响。

附表 1 - 处理详情

控制器的识别

客户

联系人：客户接受的建议书中确定的人员。处理人身份

如果客户位于加拿大：TechnologiesBotpress Inc.

如果客户位于其他地方：Botpress, Inc.

联系人：

让-贝尔纳-佩龙

[email protected]

资料当事人类别

客户在使用软件服务的过程中可能会提交个人数据，其范围由客户自行决定和控制，但须遵守适用的服务条款，其中可能包括但不限于与以下各类数据主体相关的个人数据：

• 代表客户使用软件的个人
• 客户机器人的最终用户

个人资料类别

客户可向软件服务提交个人数据，也可允许最终用户向软件服务提交个人数据，提交范围由客户自行决定和控制，但须遵守适用的服务条款。

软件服务并非为处理敏感数据而设计，客户应负责确定软件服务是否适合处理敏感数据。

Botpress 将处理授权用户的联系信息（姓名、电子邮件、电话）以及产品使用情况和行为数据，用于技术支持和统计目的。

加工性质

• 存储和其他必要的处理，以提供、维护和改进向客户提供的服务；
• 根据协议（包括本 DPA）和/或适用法律的要求进行披露；
• Botpress 将根据协议提供服务的需要以及客户在使用服务时的进一步指示处理个人数据。
• Botpress 处理使用数据以提供技术支持和用于统计目的（用于产品改进和开发）。

个人资料的保存期限

根据Botpress删除数据或将数据归还客户的义务，Botpress 将在协议有效期内处理个人数据，除非另有书面约定。

附表 2 - 安全措施

1. 治理

Botpress 实施有关个人数据的适当政策和程序，包括

• 信息安全程序；
• 个人数据使用政策 ；
• 安全和隐私事件报告程序 ；
• 风险评估机制；
• 内部审计程序 ；
• 合同措施；

2. 用户访问

• 明确规定了Botpress 用户和用户配置文件在访问个人数据和信息系统方面的职能和责任。
• Botpress 采取措施，让用户了解影响其履行职责的安全规则以及违反这些规则的后果。
• 明文协议不用于访问或传输个人数据。这些操作只接受 SSL 协议。
• Botpress 确保处理或处置可能包含个人数据的物理介质或设备的流程和程序的安全。
• 个人数据在物理上与其他Botpress 数据分离，如果个人数据在数据库或虚拟环境中，则在逻辑上与其他 数据分离。如果个人数据未与其他与客户无关的数据、系统或应用程序进行物理隔离，Botpress 将采取适当的安全控制措施，包括访问控制。

3 访问控制

Botpress 在安全的数据中心维护存储个人数据的服务器、相关数据库和其他硬件和/或软件组件，并对其访问进行控制和监控，仅允许授权人员进入。

Botpress 在用于创建、传输或处理个人数据的所有系统上采用有效的逻辑访问控制措施，这些措施包括但不限于

• 用户身份验证，用户必须使用唯一的标识符（"用户 ID"）和名称。
• 足够复杂和强大的密码策略。

• 用户对包含个人数据的信息资源的访问权/权限，必须根据用户的职责和责任，在需要知情的基础上授予。
• 一旦用户离职，或如果用户更换工作而新工作不需要访问权限，则应立即删除用户对 允许访问个人资料的计算机系统的访问权限。
• 必须更改用于支持个人数据的第三方产品/应用程序的默认密码和安全设置。
• 第三方服务提供商在处理个人数据时，应遵守与Botpress 授权用户同等的安全要求和义务。
• 每年重新验证用户账户和相关的个人信息访问授权的合理性。

网络安全架构

Botpress 在用于创建、传输或处理个人数据的所有系统上采用有效的网络访问控制措施，这些措施包括但不限于

• 防火墙始终处于运行状态，安装在Botpress 内部（专用）网络和公共网络（互联网）之间的网络边界。
• 在Botpress 网络上使用适当配置和监控的入侵检测和防御系统。
• 在用于处理个人数据的数据库和其他信息系统上，只启用执行常规程序所需的服务/进程和端口。主机上的所有其他服务/进程均被禁用。
• 所有用于处理个人数据的信息系统、存储库和其他系统都必须实际位于受控数据中心环境中，并用于保护信息系统。
• 与Botpress 数据中心的通信必须始终使用安全通道（如 TLS、SFTP、SSH、IPSEC 等）。

5 漏洞管理控制

Botpress 对用于创建、传输或处理个人数据的所有系统采用有效的漏洞管理控制，此类措施包括但不限于

• 部署网络预防和检测设备，在网络钓鱼邮件和恶意软件到达Botpress 管理的工作站并直接或间接访问个人数据之前，帮助过滤这些邮件和恶意软件。
• 在Botpress 管理和处理个人数据的所有工作站上部署防病毒和防恶意软件。
• 保持标准的补丁管理流程和做法，确保用于访问、处理或存储个人数据的所有设备得到保护。

• 包含个人数据的设备和文件必须能够识别所访问的信息，并进行清点，只有根据安全文件授权访问数据的用户才能访问。
• 采取措施防止个人数据在传输和转移过程中被盗、丢失或未经授权的访问。

6 数据备份、恢复和可用性

Botpress 实施以下灾难恢复和业务连续性计划，最大限度地减少停机时间和数据丢失。

• Botpress 实施灾难恢复功能，以便在双方商定的时间内恢复包含个人数据的系统的功能，如无法恢复，则根据个人数据的性质在合理的时间内恢复。
• Botpress 应系统地确保除经授权的Botpress 人员外，其他人员无法访问个人数据（例如，应系统地加密外部备份）。
• 为降低环境威胁、危险和未经授权进入设备的机会所带来的风险，应将设备安装在远离环境风险概率高的地点，并在合理距离内安装冗余设备作为补充。
• 应实施安全机制和冗余，以保护设备免受公用事业服务中断（如停电、网络中断等）的影响。
• 应制定数据保留和存储的政策和程序，并实施备份或冗余机制，以确保符合监管、法定、合同或业务要求。应按计划间隔测试磁盘或磁带备份的恢复情况。

7 安全审计

Botpress 对用于创建、传输或处理个人数据的所有系统进行控制，这些控制包括但不限于

• 第三方对包含个人数据的对外（公共）基础设施设备进行漏洞扫描或审计。
• 对存储和处理个人数据的Botpress 系统进行第三方渗透测试。
• 在应用程序或流程支持财务信息的情况下，定期进行第三方评估。
• Botpress 承诺处理渗透测试中发现的所有漏洞，并将补救措施通知客户。

8. 培训和提高认识

Botpress 为与处理个人数据的系统互动的员工和服务提供商实施安全意识计划，包括

• Botpress 应确保其工作人员了解与Botpress 服务有关的信息风险管理威胁和问题以及相关的信息风险管理政策。
• Botpress 工作人员应接受标准风险管理分类计划和适当程序的相关信息风险管理政策和程 序的培训，并定期接受更新。
• 分包商工作人员应了解Botpress 的信息风险管理分类计划和适当的程序。
• 应制定政策和程序，以便在无人看管工作区时清除包含敏感数据的可见文件，并在一段不活动时间内强制注销工作站会话。

附表 3 - 次级处理程序 除非另有说明，否则处理地点为 ：美国。

亚马逊网络服务

• AWS 托管我们的云服务和所有客户数据。
• AWS 处理有关Botpress 云服务使用情况的分析信息。

Google Analytics

• Google Analytics 处理有关Botpress 云服务使用情况的分析信息。

Freshdesk

• Freshdesk 提供服务台服务。
• Freshdesk 处理用户为技术支持目的提供的所有数据。

Hotjar

• 我们在服务中使用 Hotjar 服务。
• Hotjar 提供有关服务访问者行为的信息。

OpenAI

• OpenAI 用于处理用户文本输入，生成文本回复。

Mixpanel

• Mixpanel 用于收集产品和网站使用情况分析，以改进服务。

Intercom

• Intercom 用于为服务和网站的访问者提供实时支持。