INVIE

数据处理协议（DPA）

版本 1.0 · 生效日期：2026年11月15日

本文件为未经法律审核的参考译本。如本译本与越南语版本或英语版本存在差异，以越南语版本为准。

本数据处理协议（“DPA”）构成客户与Lê Bùi Hoàng Viên（“INVIE”）之间服务条款的组成部分。本 DPA 适用于 INVIE 在提供本服务过程中代表客户处理个人数据的情形，并自客户接受服务条款之时起生效。需要双方签署版本的企业客户可联系legal@invie.net。

1. 定义

“客户个人数据”是指 INVIE 代表客户处理的客户内容中的个人数据。“数据保护法律”是指适用的个人数据保护法律，包括欧盟《通用数据保护条例》（GDPR）（在其适用时）及越南第13/2023/ND-CP号法令。“分处理者”是指 INVIE 委托的、可能处理客户个人数据的第三方。其他术语具有数据保护法律所赋予的含义。

2. 角色

就客户个人数据而言，客户为控制者（或代表其自身控制者行事的处理者），INVIE 为处理者。就账户数据、计费数据和技术数据而言，INVIE 依据隐私政策担任独立控制者。由 INVIE 自行收集的公开市场数据不属于本 DPA 的范围。

3. 指示

INVIE 仅根据客户的书面指示处理客户个人数据。服务条款、本 DPA 以及客户对本服务的使用和配置构成完整的指示。如 INVIE 认为某项指示违反数据保护法律，将告知客户，但法律禁止告知的除外。客户应确保其输入本服务的数据具有合法依据，并负责向数据主体发出所需的通知及取得所需的同意。

4. 保密

INVIE 确保经授权处理客户个人数据的人员负有保密义务，且仅在运营和支持本服务所必需或应客户要求时方可访问该等数据。

5. 安全

INVIE 采取附件 2 所列的技术和组织措施，并可对其进行更新，前提是整体保护水平不降低。

6. 分处理者

7. 协助

在合理范围内，INVIE 协助客户处理数据主体请求（访问、更正、删除、限制处理、数据可携带）、开展数据保护影响评估以及与主管机关沟通。如 INVIE 直接收到客户的数据主体提出的请求，INVIE 将把该请求转交客户，不自行答复，但经客户授权或法律要求的除外。

8. 个人数据泄露

INVIE 将无不当延迟地，并在确认发生影响客户个人数据的泄露后 48 小时内通知客户，同时提供现有的相关信息，包括泄露的性质、所涉数据的类别和大致数量、可能造成的后果以及已采取或拟采取的措施。INVIE 将予以配合，以便客户履行其自身的通知义务（例如依据 GDPR 及第13/2023/ND-CP号法令须在 72 小时内履行的通知义务）。

9. 删除或返还

协议终止时，客户可使用本服务的导出功能导出项目数据，或在 30 天内提出导出请求。此后，INVIE 将在 30 天内从生产系统中删除客户个人数据。备份将轮换并在其后 30 天内删除，但法律要求更长保留期限的除外。

10. 审计

经合理请求（除发生事件或主管机关要求外，每年不超过一次），INVIE 将提供证明其遵守本 DPA 所需的信息，例如安全措施说明及对安全问卷的答复。任何现场审计的范围、时间、保密事项和费用均须事先协商一致。

11. 跨境传输

数据可能按照隐私政策所述在客户所在国家以外进行处理。在数据保护法律要求时，双方将依赖有效的传输机制（例如欧盟委员会的标准合同条款），且 INVIE 将完成越南法律所要求的跨境传输手续。

12. 责任与优先适用

各方在本 DPA 项下的责任受服务条款所规定的限制约束，但法律不允许该等限制的除外。如本 DPA 与服务条款在个人数据保护方面存在冲突，以本 DPA 为准。

附件 1——处理详情

处理事项为提供市场研究服务而存储和处理客户内容
期限本服务的存续期间，另加第 9 节规定的删除期限
性质与目的存储、展示、搜索、汇总和导出；应客户要求进行 AI 处理；备份
数据主体客户的工作区成员；出现在客户所添加内容中的个人（例如评论作者、上传文件中的人员）
数据类别姓名、电子邮箱、角色；评论文本和笔记；客户上传的图片、视频和 PDF 文件；客户选择添加的其他数据
特殊类别数据预计不涉及。客户不应将敏感个人数据添加至本服务。

附件 2——技术和组织措施