数据处理协议

1) 当事方与角色划分

本数据处理协议（“DPA”）构成以下双方服务层关系的一部分：

• 客户：在其决定本协议项下个人数据处理目的和方式的范围内，作为控制者；以及
• EU Returns Hub — Dzianis Vislavus：在其代表客户、并与双方约定的退货运营服务层相关的范围内处理个人数据时，作为处理者。

本 DPA 仅在双方进入涉及代表客户处理个人数据的真实服务关系时才具有适用性。它并不用于规范普通网站浏览行为或单独的数字产品购买行为。

2) 处理事项与期限

本协议项下的处理事项为履行已约定的退货运营服务，例如收货登记、记录支持、证据处理、检查支持、客户决策流转支持、出口流程支持、与计费相关的运营记录，以及与该服务关系有关的沟通活动，只要该等活动涉及代表客户处理的个人数据。

处理期限限于相关基础服务关系存续期间，以及法律要求的保存期、事件处理期、记录保存期和合理的退出交接期。

3) 基于书面指示的处理

处理者仅依据控制者的书面指示处理个人数据，包括与国际传输有关的指示；除非适用法律另有要求。在适用法律要求处理的情况下，处理者应在法律允许的范围内事先通知控制者。

书面指示可来源于适用的服务协议、onboarding 材料、双方接受的服务流程、运营工单、决策记录、通过批准的工作流渠道提交的客户指令，或其他与服务关系合理相关的书面或系统化记录指示。

若处理者认为某项指示违反适用的数据保护法律，可通知控制者并暂停执行相关指示，直至获得澄清。

4) 保密义务

处理者应确保被授权处理个人数据的人员承担保密义务，或受适当的法定保密义务约束。

对个人数据的访问应限制在为履行、维护或保护相关服务关系而确有必要的人员、运营人员及支持提供方范围内。

5) 安全措施

处理者应根据处理的性质、范围、背景、目的以及对自然人风险发生的可能性和严重性，采取适当的技术与组织措施，以确保达到与风险相称的安全水平。

这些措施可包括但不限于：

• 基于角色的访问限制；
• 密码保护与账号管理；
• 对运营系统和记录的受控访问；
• 在适当情况下对内部工作区和服务记录进行逻辑隔离；
• 相称的安全监控、日志记录与事件审查；
• 在适用情况下的备份、恢复与业务连续性措施；
• 适用于处理服务层记录环境的合理物理与组织控制。

更详细内容见附件 2。

6) 子处理者

控制者在合理必要的范围内，概括性授权处理者使用子处理者，以支持服务关系的履行，包括托管服务商、基础设施服务商、通信工具、存储服务商、工作流工具、文档系统及类似支持提供方。

处理者仍应负责确保子处理者承担与其所支持服务相适应的数据保护义务。

在商业上和运营上可行的情况下，处理者应在真实服务关系背景下，于合理请求时提供有关重要类别子处理者的信息。

7) 对控制者的协助

考虑到处理的性质以及处理者可获得的信息，处理者应在合理范围内协助控制者履行以下事项：

• 数据主体请求的响应；
• 安全和泄露相关义务；
• 与处理者执行的处理活动相关的数据保护影响评估；
• 在适用且合理必要时，与监管机构进行沟通或事前咨询。

此类协助应限于结合实际服务关系和处理者角色所合理、相称的范围内。

8) 个人数据泄露处理

如果处理者发现影响本 DPA 项下所处理个人数据的个人数据泄露事件，处理者应在充分知悉事件后，不无故拖延地通知控制者。

在合理可行的范围内，该通知应包括：

• 事件性质；
• 已知的受影响数据类别；
• 已知的潜在影响；
• 已采取或拟采取的应对措施。

初步通知可随着更多信息可用而补充更新。

9) 返回与删除

在相关服务关系终止或届满后，处理者应根据控制者的选择（在适用且合理可操作的情况下）删除或返回代表控制者处理的个人数据，除非法律要求保留，或为了建立、行使或抗辩法律主张、事件处理、计费核对、防欺诈或监管记录保存而有合理必要继续保留。

删除可通过计划性保留控制、受保护归档到期、账户下线或其他与服务环境相适应的合理内部程序来完成。

10) 信息提供与审计权

处理者应向控制者提供为证明其遵守本 DPA 所合理必要的信息，并在适当情况下允许采取合理的核查方式，包括基于文件的审查。

任何审计或核查活动均应符合合理通知、相称性、保密、安全控制、运营可行性，以及对其他客户、系统和保密信息的保护要求。

现场检查如有必要，应属于例外情况，并应事先充分协调。

11) 国际传输

如果本 DPA 所涉个人数据被传输至 EEA/UK 或其他相关受保护司法辖区之外，处理者应在法律要求的情况下，确保该等传输有适当的传输机制作为依据。

双方认可，根据当时使用的技术栈，一些运营或支持提供方可能在多个司法辖区中处理数据。

12) 责任与优先顺序

本 DPA 构成相关客户服务层文档的一部分。在本 DPA 与适用于普通网站使用或数字产品销售的一般网站条款之间存在冲突时，本 DPA 仅在其所适用的服务层处理关系范围内优先适用。

本 DPA 中的任何内容均不意味着 EU Returns Hub 对外承担超过双方在基础服务关系中实际约定的 live service 义务。

附件 1 — 处理说明

附件 2 — 技术与组织措施

处理者根据服务环境维持与风险相称的措施，可包括：

• 基于角色的访问控制与账号权限限制；
• 凭证保护与管理权限限制；
• 在适当情况下，对系统、文件与运营记录进行逻辑隔离；
• 合理的设备、浏览器和会话安全管理；
• 为网站与工作流组件提供安全托管或受管基础设施；
• 对服务相关记录进行受控共享；
• 合理的保存与删除流程；
• 事件识别、升级处理及泄露响应协调。