法律資訊
資料處理協議
最後更新日期：2026 年 11 月 1 日
本翻譯版本僅供方便您閱讀。具法律效力者為英文版本，兩者若有不一致，以英文版本為準。閱讀英文版本。
本資料處理協議（以下稱「DPA」）構成訂閱方與 Astrizon Technology Solutions Private Limited（一家在印度註冊的公司）（以下稱「處理者」）之間服務條款的一部分。每當處理者透過 Zolensa 代表訂閱方處理個人資料時，本協議即適用。若訂閱方是為其自身客戶擔任處理者，則處理者為其次級處理者，且本條款相應適用。
1. 定義
「資料保護法」是指適用於處理活動的法律，包括歐盟《一般資料保護規則》(GDPR)、《英國一般資料保護規則》(UK GDPR) 與《2018 年資料保護法》、《瑞士聯邦資料保護法》、印度《2023 年數位個人資料保護法》(DPDP Act)，以及美國各州法律，例如《加州消費者隱私法》(CCPA)。「個人資料」、「控制者」、「處理者」、「資料當事人」、「個人資料外洩事件」與「處理」之意義，與 GDPR 所定者相同。「訂閱方個人資料」是指處理者透過本服務為訂閱方處理的個人資料。
2. 角色與指示
訂閱方是控制者（或為其客戶行事的處理者），處理者僅依訂閱方的書面指示處理訂閱方個人資料。服務條款、本 DPA，以及訂閱方對本服務的使用與設定，即為這些指示。若處理者認為某項指示違反資料保護法，應告知訂閱方。處理的詳細內容載於附件一。
3. 保密
處理者確保所有獲授權處理訂閱方個人資料的人員均受保密義務約束，且僅擁有其職務所需的存取權限。
4. 安全
處理者實施附件二所列、與風險相稱的技術與組織措施，並得更新這些措施，只要整體保護水準不降低。
5. 次級處理者
訂閱方對列於次級處理者頁面的次級處理者給予一般授權。處理者將於新增次級處理者前至少 30 天，透過更新該頁面並以電子郵件通知工作區擁有者。訂閱方可於該期間內，基於合理的資料保護理由提出異議；若雙方無法就解決方案達成一致，訂閱方得終止受影響的服務，並就剩餘期間已預付的費用獲得退款。處理者對每一位次級處理者課予的資料保護義務，其保護程度不低於本 DPA，且仍須對其負責。
6. 國際傳輸
處理者在印度代管本服務，部分次級處理者位於其他國家。就來自歐洲經濟區的個人資料傳輸，雙方同意採用歐盟執行委員會執行決定 (EU) 2021/914 所通過的標準契約條款，包括第二模組（控制者對處理者），以及在訂閱方為處理者時的第三模組（處理者對處理者），並以引用方式納入，且作以下選擇：第 7 條不適用；第 9 條適用選項 2（一般授權），通知期為 30 天；第 11 條的選用文字不適用；第 13 條依訂閱方的所在地；第 17 條與第 18 條適用愛爾蘭的法律與法院；本 DPA 的附件一和附件二補充條款附件。就來自英國的傳輸，適用資訊專員發布的《國際資料傳輸附錄》；就瑞士而言，適用條款，並將其中的引用解讀為對瑞士法律的引用。若這些條款與本 DPA 衝突，以條款為準。
7. 協助訂閱方
考量處理的性質，處理者協助訂閱方（主要透過本服務的功能）回應資料當事人的請求，並在安全、外洩通報、資料保護影響評估以及與主管機關的諮詢方面提供協助。若資料當事人直接聯絡處理者，處理者會將該請求轉交訂閱方，而不予回覆，但法律另有要求者除外。
8. 個人資料外洩事件
處理者在得知影響訂閱方個人資料的個人資料外洩事件後，應不無故延遲地通知訂閱方，且無論如何應在 48 小時內通知，並提供訂閱方履行自身義務所需的資訊，隨著更多情況明朗，持續讓訂閱方掌握最新進展。處理者將採取合理措施，控制外洩事件並降低其影響。
9. 刪除與返還
訂閱方可隨時透過本服務匯出並刪除訂閱方個人資料，並設定每項研究的保存期限。協議終止時，處理者將在服務條款所定的匯出期間結束後 30 天內，刪除所有訂閱方個人資料，包括儲存空間中的檔案，但法律要求其保留部分資料者除外；在此情況下，處理者會對該資料保密，並僅為該目的處理。
10. 稽核
處理者提供合理所需的資訊，以證明其遵守本 DPA。訂閱方可每年進行一次稽核，或委託受保密義務約束的獨立稽核人員進行，須提前 30 天通知，於工作時間內進行，不得干擾本服務或其他客戶的資料，費用由訂閱方自行負擔；若發生個人資料外洩事件或主管機關要求，則可更頻繁地進行。
11. 美國各州隱私法
在《加州消費者隱私法》或類似法律適用的情況下，處理者為服務提供者，不會出售或分享訂閱方個人資料，不會在直接業務關係之外或為本服務以外的任何目的保留、使用或揭露該資料，也不會將其與其他個人資訊結合，但這些法律允許者除外。若處理者無法再履行這些義務，將告知訂閱方。
12. 責任與效力順序
每一方在本 DPA 下的責任，均受服務條款所定限制的約束，但資料保護法不允許這些限制者除外。若本 DPA 與服務條款在資料保護方面有衝突，以本 DPA 為準。
13. 附件一：處理的詳細內容
| 控制者 | 訂閱方（市調公司），如其工作區所載。聯絡人：工作區擁有者。 |
|---|---|
| 處理者 | Astrizon Technology Solutions Private Limited，印度班加羅爾。聯絡方式：support@astrizon.com。 |
| 資料當事人 | 訂閱方邀請的研究參與者；使用本服務的訂閱方人員和客戶。 |
| 資料類別 | 身分與聯絡資料（姓名、電子郵件、手機號碼）、語言和時區、同意紀錄、研究回答、影片、照片和錄音、訊息、裝置與連線資訊、登入與稽核紀錄。 |
| 敏感資料 | 本服務不要求提供。視訂閱方的研究而定，錄影內容可能揭露特殊類別的資料（例如健康、宗教或族裔出身）；是否蒐集此類資料由訂閱方決定，並由其負責其合法依據。保護措施：附件二所列者。 |
| 性質與目的 | 代管、儲存、為播放而轉換媒體、向獲授權的使用者顯示、傳送邀請、提醒和訊息、翻譯研究文字、錄影的逐字轉錄和翻譯、訂閱方使用時對回答進行的 AI 分析、匯出和刪除，以向訂閱方提供本服務。 |
| 頻率 | 持續進行，於協議期間內。 |
| 保存期限 | 由訂閱方為每項研究設定，且最遲至協議終止後的刪除為止（第 9 節）。 |
| 次級處理者 | 如次級處理者頁面所列，用於代管、電子郵件傳送，以及在使用時的翻譯、逐字轉錄、AI 分析、付款和簡訊。 |
14. 附件二：技術與組織措施
- 所有連線均以 TLS 進行傳輸加密；錄影檔以私有方式儲存，並透過會過期的簽章連結提供。
- 密碼以 Argon2id 雜湊；工作區擁有者和平台人員須使用雙重驗證；供應商金鑰和雙重驗證密鑰在儲存時加密。
- 每個工作區內採用角色型存取控制；客戶只能以代碼看到參與者；聯絡資料僅限研究團隊取得。
- 在應用程式中依工作區區隔客戶資料；每項請求都會對照使用者的工作區和角色進行檢查。
- 對登入、邀請和上傳設定速率限制；防範跨網站請求偽造；安全標頭。
- 登入、邀請、同意、匯出、下載和刪除的稽核紀錄。
- 資料最少化：從照片中移除位置資料；依類型和大小檢查上傳內容；下載連結於七天後過期。
- 由訂閱方設定每項研究的保存期限；可刪除參與者、研究和整個工作區，包括檔案。
- 伺服器強化、定期安全更新、防火牆，以及由代管供應商保存的備份。
- 可存取資料的人員受保密義務約束，存取範圍限於其工作所需。
- 用於偵測、評估個人資料外洩事件，並在 48 小時內通報的程序。