本数据处理协议（“DPA”）构成Linguise by DXT ONE（“处理者”）与使用”）之间服务协议的一部分。 Linguise 网站翻译服务的客户（“控制者

1. 定义

• “适用数据保护法” 指本协议项下适用于个人数据处理的所有法律和法规，包括《通用数据保护条例》(EU) 2016/679（“GDPR”）、瑞士《联邦数据保护法》（“nFADP”）以及英国《2018年数据保护法》/英国GDPR。
• “GDPR” 指欧洲议会和欧盟理事会第 (EU) 2016/679 号条例。
• “个人数据” 是指 GDPR 中定义的与已识别或可识别的自然人相关的任何信息，以及瑞士 nFADP 的同等条款。
• “处理” 是指对个人数据执行的任何操作或系列操作，无论是否通过自动化方式。
• “标准合同条款”（“SCCs”） 指欧盟委员会根据 2021 年 6 月 4 日 (EU) 2021/914 号实施决定批准的标准合同条款，本文依据模块 2（控制者到处理者）纳入。
• “子处理者” 指由 Linguise 聘请的、与服务相关处理个人数据的任何第三方处理者。

2. 双方与范围

2.1 双方

数据处理器： Linguise by DXT ONE，EIN：922291269，注册地址为美国加利福尼亚州达纳角市金灯笼街B 32565号191室，邮编92629。
数据控制者： 订阅或使用 Linguise 翻译服务的客户。

2.2 标的与期限

本 DPA 适用于 Linguise 在提供自动网站翻译和内容交付服务时对个人数据的处理。其效力在双方服务协议期限内持续有效。.

3. 处理详情

3.1 处理目的

Linguise 处理网站内容，仅用于向控制者提供自动机器翻译、神经翻译和 AI 辅助语言本地化服务。.

3.2 个人数据类别

所处理的个人数据可能包括控制者提交翻译的网站 HTML 内容中包含的任何个人信息。控制者可以配置 Linguise URL 模式和 DOM 选择器，以排除私人或敏感区域（例如用户账户、购物车、结账表单和信用卡字段）。.

3.3 数据主体类别

数据主体可能包括控制者的网站访客、客户、最终用户、员工，或其个人信息出现在控制者公开或指定网页上的任何个人。.

3.4 子处理者名单

控制者授权 Linguise 聘用以下子处理者，用于服务基础设施、业务管理及自动化翻译活动：

4. 处理者的义务

4.1 Linguise 应：

• a) 仅根据控制者的书面指示处理个人数据，包括将个人数据传输至第三国的情况；
• b) 确保获授权处理个人数据的人员已承诺保密，或受适当的法定保密义务约束；
• c) 实施适当的技术和组织措施 (TOM)，以确保与风险相适应的安全水平，包括：
  • 传输过程中个人数据的加密（TLS 1.2 / TLS 1.3，采用严格的现代加密套件）；
  • 使用 AES-256 对静态缓存的翻译和持久数据库进行加密；
  • 访问控制、最小权限原则以及强制多因素身份验证（MFA）；
  • 自动化防火墙、速率限制以及定期评估安全有效性；
• d) 遵守第5节中规定的聘用次级处理者的条件；
• e) 通过适当的技术和组织措施，协助控制者响应数据主体根据适用数据保护法行使权利而提出的请求；
• f) 协助控制者确保遵守安全义务、数据泄露通知和数据保护影响评估；
• g) 在服务提供结束后，删除或向控制者返还所有个人数据，并删除现有副本，除非适用法律要求保留；
• h) 向控制者提供证明其遵守GDPR第28条所规定义务所需的所有信息，并允许进行审计。

5. 子处理者条件与 AI 推理承诺

5.1 控制者特此向 Linguise 提供一般书面授权，以聘用 Google Cloud Platform、Fireworks AI 以及第 3.4 节所列的服务子处理者。.

5.2 Linguise 应至少提前 14 天通过仪表板通知或电子邮件，将有关新增或更换子处理者的任何预期变更告知控制者，使控制者有机会基于合理的数据保护理由对此类变更提出异议。.

5.3 Linguise 应对任何子处理者施加至少与本 DPA 中所规定的保护程度相同的数据保护义务。.

6. 数据传输、SCC 及瑞士附录

6.1 Linguise 只有在具备充分保障措施并严格遵守适用数据保护法律的情况下，方可将个人数据传输至欧洲经济区（EEA）或瑞士以外的国家。.

6.2 当个人数据从欧洲经济区传输至 Linguise （由 DXT ONE 或位于第三国的第三方子处理者提供）时，双方同意受欧盟委员会 标准合同条款（第 (EU) 2021/914 号决定，模块 2：控制者至处理者） 的约束，该条款在此通过引用纳入，并附有以下具体规定：

• 第 7 条（加入条款）： 已纳入可选的加入条款；
• 第9条（分包处理者的使用）： 适用选项2（一般书面授权），通知期为14天；
• 第11条（救济）： 可选的独立争议解决机制被省略；
• 第17条（适用法律）： 控制者所在欧盟成员国的法律，若控制者设立于欧盟以外，则适用法国法律；
• 第18条（法院选择）： 第17条所指定司法管辖区的有管辖权的法院。

6.3 瑞士附录（受瑞士 nFADP 约束的数据传输）：
对于受《瑞士联邦数据保护法》(nFADP) 约束的个人数据传输，欧盟 SCC 在采纳时包含瑞士联邦数据保护与信息专员 (FDPIC / PFPDT) 认可的修订内容：

• 对 GDPR 的引用应解释为包括瑞士 nFADP；
• “ 成员国 ”一词包括瑞士，确保瑞士境内的数据主体能够在有管辖权的瑞士法院行使并强制执行其权利；
• 附件 I.C 项下的主管监督机构为 瑞士联邦数据保护与信息专员（FDPIC）。

7. 数据泄露通知

7.1 Linguise 在知悉经确认的个人数据泄露后，应不无故拖延地（且在任何情况下于48小时内）通知控制者。.

7.2 通知至少应包含：

• 描述违规行为的性质，包括涉及的数据主体和记录类别及大致数量；
• 告知数据保护联系人的姓名和联系方式；
• 描述该违规行为的可能后果和潜在风险；
• 描述已采取或拟采取的措施，以处理和缓解该违规行为。.

8. 数据主体权利

8.1 Linguise 应在法律允许的范围内，在收到数据主体根据适用数据保护法行使其权利的请求时，及时通知控制者。.

8.2 Linguise 应向控制者提供合理的技术协助，以便控制者回应此类请求。.

9. 数据保留与删除

9.1 翻译记忆缓存： 翻译后的字符串存储在 Linguise 缓存服务器（托管于 Google Cloud Platform）上，直到控制者更新原始语言的内容、通过仪表板清除翻译缓存，或直到控制者的会员资格到期。

9.2 AI推理数据丢弃： 路由至AI推理模型的数据在零数据保留原则下运行，并在翻译调用完成后立即从易失性内存中清除。

9.3 终止删除： 服务终止后， Linguise 应在三十（30）天内删除或向控制者返还所有个人数据和缓存的翻译，并删除现有副本，除非适用法律要求保留。

10. 审计权

10.1 控制者可在正常营业时间内，在提前发出合理书面通知（至少 30 天）并遵守适当保密义务的前提下，审计 Linguise对本 DPA 的遵守情况，且不得干扰运营系统。.

11. 责任

11.1 各方应根据主服务协议中规定的责任条款，对其自身违反本DPA或适用数据保护法所造成的损害承担责任。.

12. 一般条款

12.1 优先效力： 若本 DPA 与双方之间的其他协议存在任何冲突，就双方的数据保护义务而言，以本 DPA 为准。

12.2 修订： 对本 DPA 的任何修订均应以书面形式作出，并通过更新已发布的条款或签署附录予以记录。

12.3 可分割性： 如果本 DPA 的任何条款无效或不可执行，本 DPA 的其余部分应继续有效并具有完全效力。