数据处理协议 (Data Processing Agreement)
本数据处理协议（“DPA”）补充并构成 MySiteSure 使用条款的一部分，规定了 MySiteSure（“处理者”）代表客户（“控制者”）处理个人数据时双方的权利与义务。 如本 DPA 与主协议存在冲突，就数据处理事项以本 DPA 为准。企业客户如需盖章版或补充条款， 可联系 support@mysitesure.com 获取。
1. 目的与适用范围
本 DPA 适用于 MySiteSure 在提供网站扫描、报告生成、AI 摘要与订阅计费服务过程中， 代表客户处理的与最终用户或客户员工相关的个人数据。不适用于客户提交的、与个人数据无关的 纯技术性网站检测数据（如公开的响应头、Lighthouse 性能指标）。
2. 定义
- 个人数据：与已识别或可识别的自然人相关的任何信息，含义与 GDPR 第 4(1) 条一致。
- 处理：对个人数据进行的任何操作，如收集、存储、使用、传输或删除。
- 控制者 / 处理者：含义分别与 GDPR 第 4(7) 条、第 4(8) 条一致。
- 子处理商：MySiteSure 委托处理个人数据的其他处理者。
3. 处理说明
- 处理性质与目的：提供账户认证、网站扫描调度、报告生成与存储、AI 摘要生成、订阅计费与客户支持。
- 数据类型：账户联系方式（邮箱、昵称）、登录与设备元数据（IP、User-Agent）、 账单信息（经 Stripe 处理，MySiteSure 不接触完整卡号）、以及客户主动提交的网站相关信息。 账户密码与登录凭证由 Clerk 托管，MySiteSure 不存储、不接触密码。
- 数据主体类别：客户账户下的用户及其管理的团队成员。
- 处理期限：与主服务协议存续期间一致，账户注销后按隐私政策第 4 条约定的留存期限清除（Free：仅保留当天扫描记录；Pro：90 天；Ultra：长期保留，账户删除后 30 天内清除）。
4. 双方角色
就客户账户下用户的个人数据而言，客户为数据控制者， MySiteSure 为数据处理者，仅依据客户指示（包括主服务协议与本 DPA）处理个人数据， 不会将数据用于本 DPA 约定之外的目的。
5. 子处理商
MySiteSure 当前使用以下子处理商，均已与其签订符合 GDPR 要求的数据处理条款：
| 子处理商 | 用途 | 处理的数据 |
|---|---|---|
| Clerk | 账户注册、登录与身份验证 | 邮箱、密码（加密存储）、登录会话、设备与多因素认证信息 |
| Stripe | 订阅计费、发票与退款 | 邮箱、账单地址、支付方式令牌（不含完整卡号） |
| SMTP / Resend | 报告解锁链接、账单与产品邮件投递 | 收件邮箱地址、邮件内容 |
| OpenAI | 生成扫描报告的 AI 摘要 | 仅确定性扫描证据，不含账户信息 |
| Cloudflare R2 / AWS S3 | 页面截图与导出报告的对象存储 | 页面截图、PDF / Markdown 导出文件 |
若新增或更换会处理个人数据的子处理商，我们将提前通过邮件或站内公告通知企业客户， 客户有权在合理期限内提出异议。
6. 安全措施
- 账户认证与密码存储由 Clerk 托管，密码经加密存储，会话由 Clerk 签发的令牌管理；
- 所有数据传输均通过 HTTPS/TLS 加密，对象存储数据静态加密；
- 高风险登录与密码重置操作实施速率限制与二次验证；
- 数据库与对象存储均实施访问控制，遵循最小权限原则；
- 关键操作保留审计日志，用于异常检测与安全事件排查。
7. 数据主体权利协助
MySiteSure 将在合理时间内协助客户响应数据主体提出的访问、更正、删除、限制处理、 数据可携带或反对处理请求。客户可通过隐私政策第 9 条列明的 联系方式，或直接联系 privacy@mysitesure.com转交相关请求。
8. 数据泄露通知
如 MySiteSure 发现涉及客户个人数据的安全事件，将在确认后不晚于 72 小时内以邮件方式通知客户， 并说明已知的事件性质、影响范围、已采取及计划采取的补救措施。
9. 国际数据传输
如处理活动涉及跨境传输个人数据，MySiteSure 将采用适当的传输机制（如标准合同条款 SCC 或同等效力的合规机制），确保传输后的保护水平不低于原始司法辖区的要求。
10. 审计权
企业客户可每年一次要求 MySiteSure 提供安全问卷、SOC 类型摘要或同等合规文件； 如需现场或第三方审计，双方将另行协商时间、范围与费用承担方式。
11. 数据删除与返还
主服务协议终止后，MySiteSure 将在 30 天内删除或匿名化客户的个人数据， 除非适用法律要求继续保留。客户可在终止前申请导出其账户与扫描数据。
12. 期限、责任与联系方式
本 DPA 的效力期间与主服务协议一致，责任限制、赔偿等条款以使用条款为准。如需签署盖章版 DPA 或有任何数据保护相关问题， 请联系我们的隐私团队：privacy@mysitesure.com。
本页内容为标准化数据处理条款，不构成法律意见；企业客户在正式签署前建议自行寻求法律顾问审阅。