最后更新: 2026年9月21日
本数据处理协议（“DPA”）构成 VARANTECH ENERJİ SAN. TİC. LTD. ŞTİ.（“Quote3D”、“我们”、“处理者”）与客户（“客户”、“您”、“控制者”）之间《服务条款》的组成部分。凡我们代表您处理个人数据时，均适用本协议。本协议以电子形式订立，符合 GDPR 第 28 条第 9 款的书面形式要求。
本 DPA 的任何条款与《服务条款》冲突的，就个人数据的处理而言，以本 DPA 为准。本 DPA 的任何内容均不减损数据主体依强制性法律享有的权利。
我们以两种不同身份行事，而适用哪一种身份很重要，因为义务并不相同。
作为控制者，由我们决定目的和方式：您本人的账户数据、您的计费资料、您的支持往来函件，以及我们的安全和滥用日志。该等处理适用我们的《隐私政策》，而非本 DPA。
作为处理者，由您决定目的和方式，我们按您的指示行事。本 DPA 涵盖的正是此类处理：
当您将挂件嵌入您的网站时，就您最终用户的数据而言，您是控制者，我们是您的处理者。您仍须对收集行为的合法性、对告知您的最终用户以及对取得任何适用的同意负责。
此为 GDPR 第 28 条第 3 款首句所要求。
我们不将本 DPA 项下处理的个人数据用于任何其他目的。特别是，我们不将其用于训练机器学习模型，不将其用于广告，也不将其用于跨情境行为广告。
个人数据类型：身份识别与联系数据；订单与报价参考数据；IP 地址、用户代理和会话标识符等技术数据；文件内容与文件元数据；以及您选择通过 API 发送的任何其他数据。
数据主体类别：您的最终客户、代表您使用本服务的员工与承包商，以及其个人数据包含在提交给我们的文件中的任何个人。
本服务并非为接收 GDPR 第 9 条意义上的特殊类别个人数据而设计。若您的使用场景涉及解剖、牙科、义肢或其他与健康相关的几何数据，请在发送前告知我们，以便我们评估能否合法处理以及需附加何种条件。未就特殊类别数据订立书面协议前，请勿发送此类数据。
除非我们所适用的法律要求我们进行处理，否则我们仅依据您书面记载的指示处理个人数据，包括就向第三国传输而言。适用此类法律时，我们将在处理前告知您该项法律要求，但该法律基于重大公共利益理由禁止告知的除外。
您的指示包括：本 DPA、《服务条款》、您在账户中所作的配置，以及您随每次 API 请求发送的参数。任何其他指示须以书面约定，对于需要在既定服务配置之外另行开展工作的指示，我们可能收取费用。
若我们认为某项指示违反 GDPR 或其他适用的数据保护法律，我们将立即告知您。我们设有内部升级通道，以确保这是一项真实的检查而非流于形式。
本 DPA 涵盖的处理，其目的和方式并非由我们决定。若我们某日作出此种决定，就该处理而言，我们即依 GDPR 第 28 条第 10 款成为控制者；届时我们会告知您，而不会任由身份在无声中改变。
凡经我们授权在本 DPA 项下处理个人数据的人员，均负有保密义务，无论该义务源于合同还是同等的法定义务。该义务在其任职结束后继续有效。访问权限按“必需知悉”原则授予，并在需要消失时收回。
我们实施附件 1（第 16 节）所述的技术与组织措施，其设计目标是满足 GDPR 第 32 条，并提供《加州消费者隐私法》对企业所要求的隐私保护水平。
我们精确而非笼统地陈述所采取的措施，因为夸大的安全声明本身就是一项法律风险。特别是：我们对静态文件的加密保护的是存储介质。它并不使您的数据对我们不可读。服务必须先解密模型才能进行分析，因此我们能够访问文件内容，您不应向您的最终用户作出相反的表述。
您向我们授予聘用次级处理者的一般性书面授权。现行名单公布于 /legal/subprocessors，并构成本 DPA 的组成部分。
在新增或更换次级处理者之前，我们将更新该名单，并至少提前 30 天通过您账户登记的电子邮件地址通知您。您可在该期间内基于合理的数据保护理由提出异议。若我们无法解决您的异议，您可无需承担违约金而终止受影响的服务部分，并就未使用期间已预付的费用获得按比例退款。
我们通过合同向每一位次级处理者施加同样的数据保护义务，在适用的情形下包括第 13 节的加州条款。若某一次级处理者未履行该等义务，我们仍就其履行对您承担全部责任。
考虑到处理的性质，我们在可能的范围内以适当的技术与组织措施协助您履行义务，回应依 GDPR 第三章行使数据主体权利的请求，以及依《加州消费者隐私法》提出的知悉、删除与更正请求。
若数据主体就我们代表您处理的数据直接与我们联系，我们不作实体答复。我们会告知其与您联系，并毫不迟延地通知您。
我们将在 5 个工作日内确认收到协助请求，并在 15 个工作日内提供协助；若您自身的法定期限要求更早，则提前提供。请求发送至 [email protected]。
考虑到处理的性质以及我们所掌握的信息，我们协助您确保遵守 GDPR 第 32 条至第 36 条。这包括在数据保护影响评估以及向监管机构事先咨询方面提供协助。
若我们获知发生影响我们代表您处理的个人数据的泄露事件，我们将毫不迟延地、并在任何情况下于获知后 24 小时内通知您。适用美国州泄露通知法的，我们将在发现后立即通知您，此为该等法律对处理者的要求。
我们的通知将包含当时已知的下列信息，并随着我们掌握更多情况而补充：
除非您指示我们，或我们所适用的法律另有要求，否则对于影响您数据的泄露，我们不会代表您通知数据主体或任何监管机构。您仍须对自身的通知决定和期限负责。
由于我们在欧盟境内没有营业机构，“一站式”机制对我们不适用。若泄露影响多个成员国的数据主体，可能须在每一受影响成员国分别通知，我们将相应地协助您。
在服务提供结束时，由您选择我们是删除还是返还个人数据。选择权在您，不在我们。
请在终止后 30 天内告知我们您的选择。若您选择返还，我们将以结构化、通用且机器可读的格式提供数据。若您选择删除，或在该 30 天内未作任何表示，我们即行删除。
删除涵盖在线记录、文件存储和派生缓存。加密备份无法逐条选择性修改；备份副本按其正常轮换周期被覆盖，并不迟于删除请求后 35 天予以删除。在此之前，备份保持加密状态，且除灾难恢复外不用于任何其他目的。
在该时点之后，仅在我们所适用的法律要求保存时，我们才继续保留数据，且仅保留该法律所要求的期间。若您询问，我们将告知适用何种保存期限。
几何分析的派生结果存放于以文件内容哈希值为键的共享缓存中，以便相同文件无需重复计算。该等记录保存的是测量数值而非文件内容，且在文件被删除时，与您账户的关联即被移除。
我们向您提供证明遵守 GDPR 第 28 条所需的全部信息，并允许并协助由您或您委托的其他审计人员开展的审计，包括现场检查。
在实务中，我们请您先从我们的书面安全文档和已填写的问卷入手；该等材料应请求提供，且通常已足够。若仍不足够，您可按下列合理条件开展审计或检查：提前 30 天书面通知；任何 12 个月内不超过一次，但发生个人数据泄露之后或监管机构要求的除外；在工作时间内进行；受保密义务约束；不得访问其他客户的数据；费用由您承担，但审计揭示我方存在实质性违约的，由我们承担。
此外，按照《加州消费者隐私法》的要求，您可至少每 12 个月采取合理且适当的措施，核验我们对个人信息的使用与您的义务相一致，包括人工审查、自动化扫描、定期评估以及其他技术与运营测试。
上述安排是对审计如何开展的实务限制。它们并不取消您进行实际检查的权利。
Quote3D 设立于土耳其。截至本 DPA 生效之日，且在欧盟委员会作出充分性决定之前，土耳其并无充分性决定。若您设立于欧洲经济区或英国并向我们发送个人数据，则您为出口方，我们为进口方。
就该等传输，我们订立经欧盟委员会第 2021/914 号实施决定核准的标准合同条款，采用模块二（控制者至处理者）；若您本身系为第三方担任处理者，则采用模块三（处理者至处理者）。就英国而言，我们订立该等条款的《国际数据传输附录》。该等条款以援引方式并入本 DPA，且在冲突时优先于本 DPA。
我们保存支持该等条款第 14 条 (d) 项所要求的传输影响评估的文档，涵盖土耳其与公权力机关访问相关的法律框架，并应请求向您提供。
当我们将个人数据继续传输给欧洲经济区或英国境外的次级处理者时，我们与该次级处理者落实第五章规定的适当保障措施，并就此对您承担责任。
为完整起见，且因为此点常被错误表述：欧洲经济区内的个人直接与我们联系并向我们发送其本人数据的，并不构成第五章意义上的受限传输，因为数据主体并非出口方。该等条款所涵盖的，是从您到我们、以及从我们向下游的数据流动。
本节条款适用于：依《加州消费者隐私法》及其实施细则，您为“企业”（business）而我们为“服务提供者”（service provider）或“承包方”（contractor）的情形。所定义术语的含义依《加州民法典》第 1798.140 条确定。
我们通过合同向每一位次级处理者施加同样的条款。若您将我们指定为承包方而非服务提供者，我们确认理解上述限制并将予以遵守。
适用第 6698 号《个人数据保护法》的，就该法而言，您为数据控制者，我们为数据处理者。该法第 12 条第 2 款规定控制者与处理者对该条所要求的安全措施承担共同责任；本 DPA 及附件 1 阐明我们如何履行自身的那一部分。
我们向境外传输个人数据的，依据该法第 9 条可用的机制进行，并在适用规章规定的期限内完成任何所需的备案。
本 DPA 的任何内容均不限制数据主体依该法第 11 条享有的权利，亦不限制您依该法第 10 条承担的义务。
本 DPA 自您接受《服务条款》或首次向我们发送个人数据之时（以较早者为准）生效，并在我们代表您处理个人数据期间持续有效。
除适用法律不允许该等限制者外，各方在本 DPA 项下的责任受《服务条款》中责任限制条款的约束。我们之间的责任限额不影响数据主体的权利或监管机构的职权。
在法律、我们的次级处理者或服务发生变化时，我们可更新本 DPA。若某项变更实质性减损您的权利，我们将通过您账户登记的电子邮件地址至少提前 30 天通知，您可在该期间内无需承担违约金而终止受影响的服务部分。以此处公布、载有上述生效日期的版本为现行有效版本。
以下为实际已实施的措施，其描述足够具体，可供核查。
上传的模型文件采用信封加密在静态状态下加密。
对生产数据的访问受到限制并留有记录。
针对第 32 条第 1 款 (b) 项和 (c) 项的措施。
针对第 32 条第 1 款 (d) 项的措施。
现行次级处理者名单载明每一次级处理者的名称、职能、其所接收的个人数据类别及其所在地，公布于 /legal/subprocessors，并构成本 DPA 的组成部分。通知与异议程序见第 7 节。
就本 DPA 项下的任何事项，包括审计请求、协助请求以及对次级处理者的异议，请联系 [email protected]。
若您的采购流程要求提供双方签署的副本，或要求将标准合同条款作为单独文件签署，请与我们联系，我们将予以提供。