法律声明
数据处理协议
当我们为您托管网站时，其中的个人数据仍归您所有——您是控制者，我们是您的处理者。本协议规定了我们如何根据英国和 EU GDPR 代表您处理该数据。
关于本协议
最后更新于：2026年7月22日。
本数据处理协议（“DPA”）构成您（“客户”）与 Zinn Digital® Ltd（公司编号：16385785，增值税号：GB 526 5236 92，地址：71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom；以下简称“Zinn Digital®”、“我们”）之间服务条款的一部分。它适用于我们在提供托管及相关服务过程中代表您处理个人数据的情形——主要是指您托管于我们平台的网站和应用程序中包含的个人数据。
本内容体现了 UK GDPR 和 EU GDPR 第 28 条的规定。对于由我们担任控制者的个人数据——您的账户、账单以及我们自身网站访客的数据——适用我们的《隐私政策》而非本 DPA。如果贵机构需要将本 DPA 作为独立文件签署，请联系我们，我们将予以安排。
1. 定义与角色
诸如个人数据、处理、控制者、处理者、转处理者、数据主体、个人数据泄露和监管机构等术语，均具有适用数据保护法（UK GDPR、EU GDPR 和 UK Data Protection Act 2018）中所赋予的含义。
- 对于您托管的网站和应用程序内的个人数据（“客户个人数据”），您是控制者，Zinn Digital® 是处理者。
- 若您自身最终用户的数据由您所代表的第三方控制，您确认您拥有代表其向我们发出指示的授权。
- Zinn Digital® 仍是账户、账单以及我们自身网站分析数据的控制者，受我们的《隐私政策》约束。
2. 适用范围、期限以及我们的指示
我们处理客户个人数据，仅用于提供、保护、支持和维护您所购买的托管服务及相关服务，并严格按照您的书面指示进行——这包括您对服务的配置以及对各项功能的使用。使用本服务本身即构成指示我们出于上述目的处理其所包含的数据。
标的物为您托管服务的运作；期限为您的协议期限加上第 9 条中的任何收尾期。处理的性质和目的为托管、存储、传输、备份、安全保障和支持。数据类型和数据主体类别为您选择在服务上放置并由您控制的任何内容。如果依我们之见，某项指令违反了数据保护法，我们将通知您，并且我们不会将客户个人数据用于我们自己的目的或用于训练模型。
3. 保密条款
我们确保获授权处理客户个人数据的人员均受适当保密义务的约束，并将访问权限限制为交付或支持服务所需的人员。对生产系统的访问遵循最小权限原则并记录日志。
4. 安全措施
我们根据风险程度采取适当的技术和组织措施，以保护客户的个人数据免遭意外或非法的破坏、丢失、篡改，以及未经授权的披露或访问。这些措施包括：
- 在我们各项服务中使用 TLS 对传输中的数据进行加密。
- 按租户进行隔离，确保一个客户的环境无法访问另一个客户的环境，并通过行级安全性强制执行至数据库层面。
- 最小权限访问控制，机密信息保存在专用的机密管理器中，而非代码或配置文件中。
- 特权和管理操作的可审计跟踪记录。
- 持续监控、恶意软件扫描，以及用于检测、处理和报告安全事件的明确流程。
- 根据您方案的保留期限，定期进行备份并附带恢复测试。
5. 次级处理者
您授予我们聘用次级处理者以协助提供服务的一般性授权。我们对每个次级处理者施加的数据保护义务均不低于本 DPA 的保护力度，并且我们仍就其履行情况向您承担责任。我们目前在以下类别中使用次级处理者：
- 托管该平台及其数据的基础设施和云服务提供商。
- 支付服务提供商，用于收取款项和防止欺诈（其接收账单数据，而非您网站的内容）。
- 事务性电子邮件服务提供商，用于发送账户和服务消息。
- 产品分析服务提供商（PostHog），仅在我们的自有网站上使用，且仅在获得访问者同意的情况下使用。
- 域名注册局以及 DNS、CDN 和安全服务提供商（如果您的套餐包含使用这些服务）。
6. 境外/次级数据处理者的变更
我们保持上述类别的最新状态，并会根据要求提供特定子处理者的列表。如果我们打算增加或更换处理客户个人数据的子处理者，我们将为您提供知情途径以及基于正当数据保护理由提出异议的合理机会。如果我们无法解决合理的异议，您可以终止受影响的部分服务。
7. 协助您处理数据主体的权利
考虑到处理的性质，我们通过在服务中提供适当的技术和组织措施以及工具，在可能的最大范围内，协助您响应数据主体行使其权利（访问、更正、删除、限制、可移植性和反对）的请求。
如果我们直接收到来自您任一数据主体的请求，除非得到您的指示或法律要求，否则我们不会自行对其进行答复；在我们能够确定该请求与您的数据相关的情况下，我们会将其转交给您。
8. 个人数据泄露
我们维持着一套明确的事件处理流程。一旦获悉影响客户个人数据的个人数据泄露事件，我们将毫不延误地通知您，并提供您向监管机构和数据主体履行自身通知义务所合理需要的信息——包括泄露的性质、可能的后果以及已采取或拟采取的措施。我们还将在考虑自身掌握的信息的前提下，协助您履行确保处理安全、开展数据保护影响评估以及在必要时咨询监管机构的义务。
9. 跨境传输
我们的总部位于英国，并倾向于将数据保留在英国和欧洲经济区。如果客户的个人数据被转移到英国或 EEA 境外——无论是通过我们还是次级处理商——我们将依赖合法的转移机制，例如充分性认定、英国《国际数据转移协议》或《附录》，或是 EU 《标准合同条款》，并在需要时辅以额外的保障措施，以确保数据保持实质上同等水平的保护。
10. 终止后的归还与删除
在服务终止时，根据您的选择，我们会在合理期限内向您提供客户个人数据以供导出，随后予以删除或归还并删除现有副本，除非法律要求我们予以保留。备份中保存的数据将按照常规备份到期周期予以删除。在法律要求保留的情况下，我们仅保留法律所要求的范围，并依据本 DPA 继续予以保护。
11. 审计与合规证明
我们提供合理必要的资料以证明我们遵守本 DPA，并允许并协助由您或您委派的审计员进行的审计（包括现场核查）。为保护共享平台及其他客户的安全与保密性，审计须在合理的事先通知下、以合理的频次且在遵守保密规定的前提下进行；我们亦可通过提供我们的文档、安全描述以及我们持有的任何第三方报告来满足审计请求。
12. 责任与效力优先
各方在本数据处理协议（DPA）项下的责任均受服务条款中责任限制与免责条款的约束。如果本 DPA 与服务条款在客户个人数据处理方面存在冲突，以本 DPA 为准；如果本 DPA 与标准合同条款（如适用）存在冲突，以标准合同条款为准。
13. 如何联系我们
本 DPA 项下的数据处理者为 Zinn Digital® Ltd（公司编号：16385785，增值税号：GB 526 5236 92），地址为 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom。
如有任何数据保护问题、行使您的权利，或索取作为已签署独立文件的本 DPA，请通过 zinndigital.com/contact 上的联系页面与我们联系，或发送电子邮件至 office@zinndigital.com。我们会将数据保护请求转交给相关负责人。
常见问题
本 DPA 何时适用？隐私政策何时适用？
本数据处理协议（DPA）适用于您托管在我们这里的网站和应用程序内的个人数据，在这些数据中，您是控制者，我们是您的处理者。我们的隐私政策适用于我们自行控制的数据——您的账户、您的账单以及我们自己网站的访客分析数据。
我需要签署任何文件吗？
本 DPA 已成为您服务条款的一部分，因此无需单独签署即可生效。如果您所在组织的采购部门需要将其作为独立文件签署，请与我们联系，我们将予以安排。
谁是您的受托处理者？
我们在明确界定的类别中使用次级处理者——基础设施与云服务、支付、交易类电子邮件、产品分析（仅在我们的自有网站上），以及当您的方案使用它们时的域名/DNS/CDN/安全提供商。我们将根据要求提供具体清单，并为您提供获悉变更及提出异议的途径。
您是否使用我托管的数据来训练人工智能模型？
不。我们仅根据您的书面说明处理您网站内的个人数据，以运行托管服务。我们不会出于自身目的使用这些数据，也不会将其用于训练模型。
如果我终止服务，我的数据会怎样？
我们会在合理期限内开放导出，随后将其删除或退还并删除我们的副本，但法律要求保留的内容除外。备份将根据其正常到期周期进行删除。