数据处理协议
更新日期：2026年4月15日
生效日期：2026年4月22日
欢迎您使用 PieBox 软件及相关服务！
1. 引言
双方同意，本数据处理协议（以下简称“DPA”）规定了双方与开发者数据（包括其中涉及的个人信息）相关的处理和安全性相关的义务。双方还同意，除非另有约定，PieBox产品和服务中的数据处理和安全受本DPA约束。
如果本DPA的任何条款与PieBox网站和服务相关的其他适用协议（以下简称“PieBox协议”）中的任何其他数据条款存在冲突或不一致，则以本DPA为准。本DPA条款将取代PieBox隐私政策中的任何冲突条款，这些冲突条款原本适用于此处定义的开发者数据和个人信息的处理。
我们可能适时对本DPA进行修订，该等修订构成本DPA的一部分并具有等同于本DPA的效力。 本DPA更新后，我们会在官网或客户端内公布更新版本，并在更新后的条款生效前通过官方网站公告或其他适当的方式提醒您更新的内容，以便您及时了解DPA的最新版本。如您继续使用本软件及相关服务，视为您同意接受修订后的DPA的全部内容。
2. 术语和定义
除非上下文另有要求，DPA中的下列术语具有以下含义：
•
"开发者数据"指的是：（1）开发者在使用PieBox功能/服务获取或创建聊天机器人时上传的所有数据（例如，开发者上传的数据库信息、插件/API信息等）；（2）开发者发布聊天机器人后，PieBox在其运行过程中处理的所有数据，包括所有文本、音频、视频或图像文件和软件，以及开发者通过使用PieBox产品或服务独立控制和管理的数据（例如，配置数据、运维数据等）。
•
“个人信息”是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。提供特定服务过程中涉及的个人信息包括但不限于个人身份信息（姓名）、地址、联系电话、在线身份信息（包括账号名称、电子邮箱地址）、个人常用设备信息、位置信息等。
•
“个人信息处理”包括个人信息的收集、存储、使用、加工、传输、提供、公开、删除等。
•
“个人信息主体”是指由个人信息所标识的自然人。
•
“个人信息安全事件”是指非授权登录系统，非授权访问、读取、复制、修改、删除个人信息、发生系统漏洞、计算机病毒、网络攻击、网络入侵等造成个人信息泄露、丢失或者被窃取、篡改等事件。
•
“委托方”指在数据处理活动中独立决定数据处理目的和方式的组织或个人（单独、共同或与他人合作）。
•
“受托方”指代表委托方处理数据的任何组织或个人（不包括委托方的员工）；根据DPA，此处指PieBox。
•
“中国”指中华人民共和国大陆地区，不包括香港、澳门特别行政区和台湾地区。
•
“适用法律”包括但不限于中国网络安全法、个人信息保护法体系下各项法律法规及国家强制标准。
•
“数据保护要求”是指《中华人民共和国个人信息保护法》及《中华人民共和国网络安全法》有关数据保护的条款以及与个人信息处理与隐私相关的其他所有适用法律法规，包括适用的任何国家或地方监管机构颁布的指导意见、建议、通告和行业守则。
•
除非另有规定，DPA中的其他相关术语与PieBox协议中的定义方式相同。若未提供定义，则解释应依据法律、法规、行政规章和国家标准。
3. 数据和个人信息保护条款
3.1 适用范围
本DPA条款适用于所有PieBox网站和相关服务。
为明确起见，本DPA条款仅适用于在PieBox和PieBox的获准转委托方控制的环境中处理的数据，不包括保留在开发者环境或开发者选择的任何第三方操作环境中的数据。
3.2 数据处理的性质和目的
PieBox将仅按照以下所述使用和以其他方式处理开发者数据和个人信息，并将在以下情况下遵守本条款的限制：（1）根据开发者记录的指示向开发者提供网站和服务；（2） 为向开发者提供网站和服务而开展活动。在双方之间，开发者对开发者数据拥有所有权利和权益。除开发者根据DPA和/或PieBox协议授予PieBox的权利外，PieBox对开发者数据不拥有其他权利。本条款不影响PieBox在向开发者提供的服务中包含的权利。
PieBox不会披露或允许任何人访问已处理的数据，除非：（1） 获得开发者的授权或指示； （2）本 DPA 要求的；（3）法律法规要求的。就本 DPA 而言，“处理后的数据”指：（1）开发者数据（包括个人信息）；（2） PieBox根据PieBox协议处理的与官方网站和服务相关且构成开发者保密信息的任何其他数据。所有已处理数据的处理均应符合PieBox在PieBox协议项下的保密义务。
PieBox不会向任何第三方提供：（1）对已处理数据的直接、间接、全面或酌情访问权； （2）用于保护已处理数据的平台加密密钥，或破解此类加密的能力。
为遵守上述承诺，PieBox可能会向第三方提供开发者的基本联系信息。
PieBox可能会使用开发者数据来改进PieBox的功能，前提是这些数据已被安全加密、严格去标识化，且无法被重新识别为特定个人。
3.3 个人信息保护
3.3.1 个人信息范围
PieBox在提供官方网站和服务过程中处理的所有个人信息将通过以下形式获取：开发者提供的数据或PieBox基于开发者数据及提供服务及功能的场景生成、衍生或收集的数据，包括由于开发者使用基于服务的功能而发送给PieBox的数据或PieBox提供的产品及服务中获取的数据。个人信息包括假名化或去标识化但不匿名的任何个人信息。匿名化信息不属于个人信息，其中匿名化是指个人信息经过处理无法识别特定自然人且不能复原的过程。
3.3.2 受托方和委托方的角色与责任
开发者和PieBox同意，开发者是个人信息的处理者和委托方，PieBox作为受托方，按照开发者的指示和目的行事，但以下情况除外：（1）开发者作为个人信息的受托处理者行事时，在此情况下，PieBox是开发者的获准转委托方；或（2）特定产品或服务的条款或本DPA中另有规定的情况。
当PieBox作为个人信息的受托方或获准转委托方时，只能依照开发者指示和目的处理数据，同时开发者承诺其处理的个人信息来源合法合规，收集、使用、加工等处理行为已经获得相关个人信息主体合法授权，符合国家关于个人信息保护、数据安全相关法律法规，未侵犯任何第三人合法权益，同时开发者承诺有权对个人信息进行转委托处理。
开发者同意，PieBox协议（包括DPA条款及任何适用的更新），连同开发者关于使用和配置PieBox相关功能的文档以及开发者对专业服务的使用，构成开发者就个人信息处理向PieBox发出的完整指示。
3.3.3 委托方的权利和义务
•
委托方有权：
◦
如果委托方知悉或发现受托方未遵守DPA、PieBox协议以及有关个人信息处理的适用法律规定，或者受托方未能有效履行个人信息安全保护责任，委托方有权要求受托方停止相关行为，并采取或要求受托方采取有效补救措施，以控制或消除个人信息面临的安全风险。
◦
除非法律法规对特定信息的保存期限另有规定，当开发者注销其PieBox账户或永久停止使用PieBox服务时，受托方将依法依规对账户相关内容和信息进行处理，处理方式包括但不限于删除和匿名化。
•
委托方承诺如下：
◦
已获得个人信息主体授权：委托方保证其获取的所有个人信息均具有符合法律要求的合法性基础，以便在DPA期限和目的范围内合法地将DPA约定的个人信息提供给受托方以开展约定的个人信息处理活动。
◦
委托方应遵守DPA、PieBox协议及适用法律对于个人信息处理的相关规定；作为委托方，应按照相关法律要求履行个人信息处理者的相关义务。
◦
委托方应在受托方处理委托方提供的个人信息之前进行个人信息保护影响评估，以确保受托处理和DPA的目的合法合规，且不侵犯任何第三方的合法权益。
3.3.4 受托方的权利和义务：
若受托方有正当理由认为委托方关于个人信息处理活动的书面指示不符合个人信息安全要求或违反任何适用法律，受托方应及时通知委托方，并有权要求委托方停止相关行为，采取或要求委托方采取有效补救措施，以控制或消除个人信息安全风险。委托方应承担由此产生的费用。若委托方未能在合理期限内解决本条款所述风险和问题，则应视为严重违反DPA，受托方有权单方面解除和终止DPA和PieBox协议。
•
受托方承诺：
◦
受托方应遵守DPA、PieBox协议以及有关个人信息处理的适用法律；作为受托方，应当按照《个人信息保护法》等相关法律要求履行受托者的相关义务。
◦
受托方应采取必要措施保护委托方提供的个人信息安全，并协助委托方履行其法定义务。
◦
受托方应在DPA规定的范围内使用和处理个人信息。
◦
委托方可在实施委托数据处理活动前，对这些委托处理活动进行个人信息安全影响评估。在不损害受托方、其关联方及所有其他第三方合法权益的前提下，受托方应根据委托方的合理要求提供必要协助。
◦
受托方承认并保证，将代表委托方开展个人信息处理活动，并将采取适当措施确保被授权访问个人信息的员工仅在委托方指示的范围内处理个人信息。
◦
受托方应要求所有参与个人信息处理活动的员工以及任何第三方服务提供商严格对受托的个人信息保密，接受适当培训，并严格遵守DPA的规定。
◦
受托方不得超出 DPA 目的处理委托方提供的个人信息。若 DPA 无效、失效、被撤销或终止，受托方应删除或匿名化委托方提供的个人信息。
3.3.5 个人信息主体权利请求
DPA双方将按照适用法律的规定及双方个人信息保护政策等规定及时响应并处理个人信息主体的法定权利请求， 双方应给予对方必要的协助：（1）如受托方收到个人信息主体的权利请求，除非适用法律有禁止性规定，应当将该权利请求在合理期限内转交给委托方；（2）如果适用法律相关规定要求委托方作为主体响应个人信息主体的权利请求， 受托方将与委托方展开充分的合作以保障个人信息主体的权利，委托方应给予受托方必要协助。
3.3.6 个人信息安全事件
在处理个人信息过程中发生个人信息安全事件时，双方应当：
•
及时通知对方，告知其：（1）个人信息安全事件的性质，包括涉及的个人信息的类型和规模； （2）个人信息安全事件可能造成的后果；以及（3）已经采取的补救措施；
◦
协助对方调查个人信息安全事件，并提供所有相关记录、文件、日志、报告及其他合理材料；
▪
迅速采取必要措施，按照应急预案处理该事件；
•
如果个人信息安全事件涉及个人信息泄露等问题，各方应根据适用法律法规及时向相关主管部门报告，并按照法律法规要求履行告知个人信息主体的义务。
3.3.7 安全技术与权限
PieBox将实施并维护适当的技术和组织措施，以保护开发者数据（包括其中涉及的个人信息），防止数据在传输、存储或以其他方式处理过程中发生意外或非法的损坏、丢失、篡改、未经授权的披露或访问。
对服务活动所需的开发者数据的访问由权限控制，以确保只有当目的与开发者的产品和服务需求合理一致时才允许访问。
3.3.8 开发者职责
开发者独自负责独立确定其产品和专业服务的技术和组织措施是否符合其要求，包括适用的数据保护要求下的任何安全义务。开发者承认并同意，（考虑到当前技术水平、实施成本、数据处理活动的性质、范围、背景和目的以及对个人的风险）PieBox实施和维护的安全实践和政策提供了与数据相关风险相称的安全水平。开发者负责为其提供或控制的组件实施和维护隐私和安全措施。
3.3.9 安全事件通知
如果PieBox意识到存在导致意外或非法地破坏、丢失、更改、在未经授权情况下披露或访问PieBox处理的开发者数据或个人信息的违反安全性规定的活动（以下均简称“安全事件”），PieBox应立即：（1）向开发者通知安全事件；（2）调查安全事件并向开发者提供有关安全事件的详细信息；并 （3）采取合理措施减缓影响并最大限度地减少安全事件导致的损坏，且不得出现不当延误。
安全事件通知将通过PieBox选择的任何方式（包括电子邮件）发送给开发者。开发者须自行负责确保开发者就每项适用的产品和专业服务向PieBox提供准确的联系信息。开发者须自行负责遵守并履行与任何安全事件相关的任何第三方通知义务。
如有任何可能的账户或身份验证误用或任何与官网和服务有关的安全事件，开发者必须立刻通知PieBox。
开发者必须立即将任何潜在的账户或认证滥用情况，或与官方网站和服务相关的任何安全事件通知PieBox。
3.3.10 数据传输及位置
除非PieBox协议或者 DPA 条款中另有规定，否则开发者应委托PieBox将开发者数据或个人信息传输到中国大陆并在这一地点存储和处理开发者数据和个人数据以提供产品。除非开发者指定，否则PieBox不会将代表开发者处理的开发者数据和个人信息传输到中国大陆之外地理位置，或在该地理位置进行存储和处理。
3.3.11 数据保留和删除
受托方不得保留和处理数据的时间超过实现约定的数据处理目的所需的必要时间，除非适用法律对个人信息的保留期限另有规定。当开发者注销其PieBox账户或永久停止使用PieBox服务时，PieBox将按照法律法规要求处理与账户相关的内容和信息，包括但不限于删除和匿名化。
如果PieBox有法律义务在DPA规定的期限之外保留个人信息，PieBox将在法律要求的保留期限届满后，尽快按照DPA的规定删除或匿名化相关个人信息。在数据处理期限届满或与数据保留相关的法律义务到期后，PieBox将不再响应开发者对数据和个人信息处理的请求，但开发者计费和账户管理、补偿等目的除外。
3.3.12 保密条款
除为实现DPA目的所必需，或根据国家法律法规，或经开发者授权或个人信息主体同意外，PieBox不会以任何形式向任何特定或不特定第三方披露或透露此类信息，也不会明示或暗示授权或准许任何特定或不特定第三方使用此类信息。
本协议规定的个人信息仅可在DPA目的所需的范围内使用，且不得以任何形式披露，包括但不限于：（1）向需要知悉上述信息或委托方为执行DPA目的而提供的个人信息的受托方、代表、管理人员和员工，以及授权第三方披露； （2）当法院要求或基于相关法律义务时，任何一方对DPA进行披露，但仅限于遵守法院命令或法律义务所需的最低限度。
4. 效力及其他事项
4.1 终止及后果
如果委托方违反DPA或委托方与受托方之间订立的任何其他协议项下的任何义务，受托方有权随时通过书面通知立即终止DPA。
在委托方与受托方之间就委托方要求受托方处理委托方提供的数据的最后一份协议到期或终止之日，DPA将自动终止，无需任何通知。在PieBox协议和DPA终止后，双方应继续履行各自的法律义务。
4.2其他事项
无论PieBox协议及其条款是否有效，当PieBox按照DPA规定进行数据处理活动时，双方均应按照DPA履行各自的权利和义务。
因DPA产生或与之相关的任何争议，包括有关DPA的延续、有效性或终止的任何问题，双方同意该争议应提交至湖北省武汉市洪山区有管辖权的人民法院诉讼解决。除有争议的条款外，在争议解决过程中，DPA其他条款的继续履行不受影响。
DPA未涵盖的事项可根据PieBox协议进行解释。若DPA与PieBox协议在数据处理和保护方面存在任何不一致之处，应以DPA为准。