数据处理协议

控制者：签署栏中所列的企业客户（“客户”）。

处理者：Eckhardt Media Solutions S.R.L.，地址：Strada Harmanului 24h, Tarlungeni, Romania，税务识别码 (CUI) 50306295，运营 Unfictive（“Unfictive”）。

Unfictive 依据服务条款处理个人数据以提供 Unfictive 服务，处理期限为客户使用该服务期间，直至数据依本协议被删除或返还为止。

性质与目的：存储并结构化需求简报和文件、AI 辅助处理、准备供应商请求、按客户指示开展供应商联络，以及呈现报价、样品和订单。

个人数据类型：姓名、商务联系方式，以及需求简报、上传的文件、消息、报价和订单记录中所含的其他个人数据。

数据主体：客户的员工和联系人，以及客户材料中提及的供应商联系人。

Unfictive 仅依据客户的书面指示处理个人数据，包括发布客户已批准的供应商请求。获授权处理数据的人员须承担保密义务。Unfictive 实施附件中的技术和组织措施，协助客户处理数据主体请求并履行其在《通用数据保护条例》(GDPR) 第 32 条至第 36 条项下的义务，并在发生个人数据泄露时不得无故拖延地通知客户。

客户授权 Unfictive 分处理者页面上所列的分处理者。Unfictive 在新增或更换分处理者之前会通知客户，客户可基于合理理由提出异议。Unfictive 对每一分处理者施加与本协议相当的数据保护义务。

供应商请求按客户的指示发送给中国的工厂。Unfictive 在中国上海的团队成员访问已提交的项目，以开展联络和核实工作。向美国分处理者的传输受其数据处理协议中的标准合同条款保障，以及（如提供商已获认证）欧盟-美国数据隐私框架。供应商请求按客户的指示发送至中国，因为这是履行客户所要求服务所必需的（GDPR 第 49(1)(b) 条）。中国的团队成员代表 Unfictive 行事，遵循其指示并承担保密义务；其访问权限按附件所述受到限制。

服务终止时，Unfictive 按客户的选择删除或返还个人数据，但法律要求保留的除外。Unfictive 提供证明合规所需的信息，并允许在事先通知后进行合理的审计。责任依服务条款确定。

• 传输中的数据使用 TLS 加密；项目数据和文件存储在德国法兰克福的私有存储中。
• 客户只能读取其所在公司的数据；数据库函数仅通过服务器运行，并在每次调用时重新校验访问权限。
• Unfictive 员工的访问须使用列入许可名单的个人员工账户，且仅限于已提交请求的项目。
• 标记为私密的字段（例如目标价格）默认不向供应商披露；发布内容为冻结的、经授权的快照。
• 供应商的报价和更新在客户看到之前，会经过审阅并被明确发布。
• 公开表单的防滥用保护仅存储经哈希处理的网络标识符。
• 产品使用事件不含客户内容，并在十二个月后到期。

客户：名称、地址、签署人、日期。

Unfictive：Eckhardt Media Solutions S.R.L.，由董事总经理 Vincent Eckhardt 代表，日期。