数据处理协议

本数据处理协议（"DPA"）是BrickGRC（"处理者"，"我们"）与客户（"控制者"，"您"）之间服务条款（"协议"）的一部分，管辖BrickGRC代表客户处理与BrickGRC平台相关的个人数据。本DPA根据《通用数据保护条例》（EU）2016/679（"GDPR"）第28条签订。

1. 定义

"控制者"指客户，即通过使用BrickGRC平台确定个人数据处理目的和方式的一方。

"处理者"指BrickGRC，代表控制者处理与服务提供相关的个人数据。

"数据主体"指根据本DPA处理其个人数据的已识别或可识别的自然人。

"个人数据"指与数据主体相关的任何信息，如GDPR第4条第1款所定义。

"处理"指对个人数据执行的任何操作或一组操作，无论是否通过自动化手段，如GDPR第4条第2款所定义。

"子处理者"指处理者为代表控制者处理个人数据而聘用的任何第三方。

"GDPR"指欧洲议会和理事会的《通用数据保护条例》（EU）2016/679。

本DPA中未定义的大写术语应具有协议或GDPR中赋予的含义（视情况而定）。

2. 范围与角色

客户作为控制者，BrickGRC作为处理者，处理通过服务处理的个人数据。BrickGRC仅根据控制者的书面指示处理个人数据，包括本DPA和协议中规定的指示，除非处理者所属的欧盟或成员国法律要求如此。在这种情况下，处理者应在处理前通知控制者该法律要求，除非该法律出于重要公共利益的原因禁止此类通知。

如果BrickGRC认为控制者的指示违反了GDPR或欧盟或成员国的其他适用数据保护规定，BrickGRC应立即通知控制者。

3. 处理的个人数据类型

根据本DPA处理的个人数据类别可能包括（取决于控制者对服务的使用）：

账户数据：访问平台的用户的姓名、电子邮件地址、职称、组织名称和认证凭据。

合规数据：包含在合规项目、工作项目、成熟度评估和相关记录中的信息，可能包含控制者组织内个人的个人数据。

上传文档：控制者上传的文件、政策、程序、证据文档和其他材料，可能包含个人数据。

AI交互数据：提交给AI驱动功能（如合规助手、文档智能和证据自动链接）的提示、查询和内容，可能包含来自控制者合规记录的个人数据。

员工目录数据：如果控制者使用员工目录同步集成（例如通过HR系统积木），可能处理员工姓名、电子邮件地址、部门、角色和相关组织数据。

审计日志：平台内用户操作的记录，包括时间戳、IP地址、用户标识符和执行活动的描述。

4. 处理目的

BrickGRC仅为提供协议中描述的BrickGRC平台服务而处理个人数据，包括：运营和维护平台；提供合规管理、文档智能、证据链接、成熟度评分和报告生成功能；提供AI驱动的合规协助；认证用户和执行访问控制；生成审计追踪；执行备份和确保服务连续性；以及提供客户支持。

BrickGRC不得为本DPA和协议中规定以外的任何目的处理个人数据，且不得出售、出租或以其他方式商业利用个人数据。

5. 处理期限

BrickGRC应在协议期间处理个人数据，加上控制者导出其数据和BrickGRC根据本DPA第12节完成删除所需的任何保留期。处理应在协议到期或终止时停止，但须遵守本文规定的数据删除和返还条款。

6. 子处理者

控制者授予BrickGRC一般授权，可聘用子处理者协助提供服务。当前的子处理者列表在我们的隐私政策中维护。BrickGRC应确保每个子处理者受到不低于本DPA中规定的数据保护义务的约束。

BrickGRC应在任何预定的子处理者添加或替换前至少30天通知控制者，向控制者提供足够的信息以评估变更。通知应通过电子邮件发送到与控制者账户关联的地址。

控制者可在收到通知后14天内书面通知BrickGRC，反对新子处理者的任命。反对必须基于与数据保护相关的合理理由。收到反对后，BrickGRC应与控制者善意合作以解决问题。如果双方在30天内无法解决反对，控制者可通过书面通知无罚金终止受影响的服务。

BrickGRC仍然对每个子处理者在本DPA项下义务的履行向控制者承担全部责任。当子处理者未能履行其数据保护义务时，BrickGRC应对该子处理者的作为和不作为向控制者承担责任，如同这些是BrickGRC自己的行为一样。

7. 安全措施

BrickGRC实施和维护适当的技术和组织措施，以保护个人数据免受未经授权或非法处理、意外丢失、损毁或损坏。这些措施包括但不限于：

静态加密：敏感凭据和密钥使用AES-256-GCM加密进行加密。数据库存储在文件系统级别进行加密。

传输加密：客户端与服务之间传输的所有数据使用TLS 1.2或更高版本进行保护。与第三方子处理者的API通信在传输中进行加密。

密码安全：用户密码使用scrypt密钥派生函数进行哈希和加盐处理。明文密码永远不会被存储或记录。

基于角色的访问控制：平台执行基于角色的访问控制（RBAC），具有五个不同的角色——所有者、管理员、审计员、编辑者和查看者——每个角色都有细粒度的权限，确保用户只能访问数据和执行与其角色相适应的操作。

逻辑租户隔离：每个组织的数据在平台内进行逻辑隔离。所有数据库查询和API操作都限定在已认证的组织范围内，防止跨租户数据访问。

账户锁定：用户账户在连续5次认证失败后会被临时锁定，以防止暴力破解攻击。

双因素认证：平台支持使用基于时间的一次性密码（TOTP）的双因素认证（2FA），提供额外的账户安全层。

安全审查：BrickGRC定期对其基础设施、应用代码和访问控制进行安全审查，以识别和修复潜在漏洞。

加密备份：数据库和文件存储备份经过加密并安全存储。备份程序定期测试以确保数据可恢复性。

BrickGRC应定期评估这些措施的充分性，并根据需要进行更新，以应对不断变化的安全风险和技术发展，同时考虑最新技术水平、实施成本以及处理的性质、范围、上下文和目的，以及对数据主体的风险。

8. 数据主体权利

BrickGRC应协助控制者履行其回应数据主体根据GDPR行使权利的请求的义务，包括访问权、更正权、删除权、限制处理权、数据可携带权和反对权。此类协助应通过适当的技术和组织措施提供，在可能的范围内。

如果BrickGRC直接从数据主体收到关于控制者数据的请求，BrickGRC应立即通知控制者该请求，除非得到控制者授权或适用法律要求，否则不应直接回复数据主体。

9. 违规通知

BrickGRC应在得知影响控制者数据的个人数据违规后不迟于72小时内通知控制者。通知应发送到与控制者账户关联的电子邮件地址，并在可用时通过平台的通知系统发送。

违规通知应在合理可用的范围内包括：个人数据违规性质的描述，包括受影响的数据主体和个人数据记录的类别和大致数量；BrickGRC联系人的姓名和联系方式以获取更多信息；违规可能后果的描述；以及为解决违规而采取或建议采取的措施的描述，包括减轻其可能不利影响的措施。

当初始通知时无法提供所有信息时，BrickGRC应分阶段提供信息，不再有不当延误。BrickGRC应与控制者合作，并采取合理的商业步骤协助调查、缓解和补救违规。

10. 国际数据传输

BrickGRC的主要基础设施托管在欧盟内，具体位于德国的Hetzner数据中心。个人数据默认在欧盟/欧洲经济区内存储和处理。

当个人数据被传输到位于欧盟/欧洲经济区以外的子处理者（例如，用于AI驱动功能的AI提供商）时，BrickGRC应确保根据GDPR第五章制定了适当的保障措施，包括使用欧盟委员会通过的标准合同条款（SCC）、充分性决定或其他经批准的传输机制。

当控制者通过积木系统配置自己的第三方AI提供商时，控制者确认向该提供商的数据传输受控制者与提供商之间的协议管辖，控制者有责任确保适当的传输保障措施到位。

11. 审计权利

BrickGRC应向控制者提供所有必要的信息，以证明遵守本DPA中规定的义务，并允许和配合由控制者或控制者委托的审计师进行的审计，包括检查。

审计应遵守以下条件：控制者应至少提前30天书面通知其进行审计的意图；审计应在BrickGRC正常工作时间内进行；控制者及其审计师应在审计前签订适当的保密义务（NDA）；审计应以最小化对BrickGRC运营干扰的方式进行；控制者应承担审计费用，除非审计揭示了BrickGRC的重大不合规。

BrickGRC可通过向控制者提供相关认证、审计报告或独立第三方评估摘要（如果可用）来满足审计请求，控制者可自行决定接受这些作为现场审计的替代。

12. 数据删除与返还

在协议到期或终止后，BrickGRC应向控制者提供30天的期限，在此期间控制者可使用可用的导出工具从平台导出所有个人数据。BrickGRC应根据请求做出合理努力协助控制者进行数据导出。

在30天导出期限届满后，BrickGRC应在90天内删除所有个人数据，包括存储在生产系统、备份和灾难恢复环境中的所有副本，除非适用的欧盟或成员国法律要求保留。当法律要求保留时，BrickGRC应告知控制者法律依据，并将处理限制在该法律义务所要求的范围内。

BrickGRC应根据控制者的请求提供数据删除的书面确认。

13. 保密性

BrickGRC应确保被授权处理个人数据的人员已承诺保密义务或受适当的法定保密义务约束。对个人数据的访问应限于需要访问以执行与服务提供相关的职责的人员。

14. 数据保护影响评估

BrickGRC应根据GDPR第35和36条的要求，在考虑处理的性质和BrickGRC可获得的信息的情况下，向控制者提供关于数据保护影响评估和与监管机构事先咨询的合理协助。

15. 适用法律

本DPA受葡萄牙共和国法律和GDPR的适用条款管辖并据其解释。因本DPA产生的任何争议应提交至葡萄牙里斯本法院的专属管辖，不影响GDPR下数据主体或监管机构的权利。

16. 联系方式

如有关于本数据处理协议或数据保护事宜的问题，请通过[email protected]联系我们。