数据处理协议

本合同规范服务提供方在向事务所提供 ImmigraFlow 服务过程中，代表事务所处理个人数据的行为。本合同是条款和条件（第 11 条）的组成部分；首字母大写的用语（平台、用户、事务所客户、事务所数据）具有条款和条件所赋予的含义。

1. 当事方与合同形式

• 控制者：订购本平台的事务所，以其账户中记载的组织信息和开票信息确定身份（以下简称“事务所”）。
• 处理者：Antonio Samuel Martín Polo，以商业名称 Autonomio 经营，并以 ImmigraFlow 品牌提供服务。西班牙税号（NIF）：50555557Q。地址：Calle de las Laderas 16B, 28490 Becerril de la Sierra, Madrid, España。电子邮箱：hello@immigraflow.io（以下简称“服务提供方”）。

本合同以电子方式订立：事务所在注册或订购时接受条款和条件，即视为接受本合同，并在条款和条件持续有效期间受其约束。该电子形式符合欧盟第 2016/679 号条例（《通用数据保护条例》(GDPR)）第 28 条第 9 款规定的书面形式要求。

2. 处理的目的

服务提供方将代表事务所处理事务所、其用户或事务所客户录入本平台的个人数据，唯一目的是提供条款和条件所述的服务。本合同不涵盖服务提供方作为控制者处理的事务所账户及其用户的数据（订阅费开票、商业沟通、支持、数据分析），该等数据受隐私政策约束。

3. 期限

本数据处理的期限与条款和条件项下合同的期限相同；该合同终止后，本数据处理持续至服务提供方按照第 15 条保留数据期间为止。保密和安全义务在服务提供方保留任何事务所数据期间持续有效。

4. 处理的性质和目的

目的：通过本平台管理事务所的外国人事务案卷及其与客户的关系。

处理操作，视事务所使用的功能而定：

• 记录、托管、保存、整理、查阅和备份数据及文件。
• 利用人工智能自动读取文件，摘要案卷，查阅法规，起草文书草稿以及翻译消息。
• 通过客户门户、电子邮件以及事务所启用时的 WhatsApp 与事务所客户沟通。
• 生成表单和文件，对文件进行电子签名，以及使用 Mercurio 扩展程序填写电子政务网站的表单。
• 开具发票、收款，并在事务所启用该功能时，向西班牙税务局提交开票记录（VeriFactu）。
• 与事务所连接的服务进行同步（第 10.3 条）。
• 依照本合同删除和锁定数据。

5. 个人数据类型

事务所决定录入哪些数据。鉴于本平台的性质，可能处理以下数据：

• 身份和联系数据：姓名、外国人身份证号（NIE）、税号（NIF）、护照号码、出生日期和地点、国籍、性别、婚姻状况、父母姓名、住址、电话和电子邮箱。
• 身份和旅行证件：护照、外国人身份证、签证及其他官方证件的副本。
• 行政和移民身份状况：授权类型、入境和居留日期、市镇户籍登记（empadronamiento）、案卷、补正材料要求以及行政机关的决定。
• 家庭数据：配偶、子女（包括未成年人）及其他家庭成员的数据，以及证明亲属关系的文件。
• 职业和学历数据：劳动合同和工作邀约、职业履历、雇主企业及其员工的数据、学历证书和入学登记。
• 经济数据：经济能力证明、工资单、银行对账单、事务所向其客户开具的发票及收款记录。不处理银行卡数据（第 10 条）。
• 通信和签名：事务所与其客户之间的消息，以及文件电子签名的证据。
• 犯罪定罪和违法数据（《通用数据保护条例》(GDPR) 第 10 条）：众多手续所要求的无犯罪记录证明。
• 特殊类别数据（《通用数据保护条例》(GDPR) 第 9 条）：某些手续所要求的医疗证明和医疗保险中的健康数据，以及事务所选择上传的文件中出现的数据，例如国际保护案卷中的数据（政治观点、宗教信仰、族裔出身、性取向或健康状况）。
• 事务所用户的数据：姓名、电子邮箱、角色及在本平台上的活动，以及事务所为签署或提交文件而上传的电子证书。

6. 数据主体类别

• 事务所客户及其代理人。
• 事务所客户的家庭成员，包括未成年人。
• 事务所的企业客户及其联系人和员工。
• 填写事务所客户获取表单的人员。
• 文件的签署人以及在文件中出现的其他人员（雇主、出租人、担保人）。
• 事务所的用户（合伙人、律师、行政人员及合作人员）。

7. 事务所的义务

作为控制者，事务所应当：

• 决定处理哪些数据，并具备处理数据的合法依据，包括《通用数据保护条例》(GDPR) 第 9 条和第 10 条关于健康数据和犯罪记录数据的条件。
• 告知数据主体（《通用数据保护条例》(GDPR) 第 13 条和第 14 条），包括人工智能功能、WhatsApp 渠道及其连接的服务的使用情况。
• 向服务提供方发出指示。其指示为本条款和条件、本合同以及事务所在本平台上的配置（已启用的功能、集成、授予其用户和客户的访问权限）。任何其他指示均须以书面形式作出。
• 管理其用户和客户的访问权限，并妥善保管其凭据。
• 在适用情形下，进行数据保护影响评估和事前协商（《通用数据保护条例》(GDPR) 第 35 条和第 36 条）。
• 在服务提供方的协助下响应数据主体的权利（第 12 条）。

8. 服务提供方的义务

服务提供方承诺：

• 仅按照事务所书面记录的指示处理数据，包括在国际数据传输方面，除非欧盟法律或西班牙法律另有要求；在此情形下，服务提供方将在处理数据前告知事务所，除非该法律禁止告知。如认为某项指示违反数据保护法规，服务提供方将立即告知事务所。
• 不为自身目的处理数据，不将其用于训练人工智能模型，不向第三方披露数据，但按照第 10 条向再处理者披露或依法律义务披露的情形除外。
• 确保获授权处理数据的人员已书面承诺遵守保密义务，或已受到法定保密义务的约束。对事务所数据的访问仅限于提供服务、解决事故或响应事务所请求所必需的范围。
• 适用第 9 条规定的安全措施。
• 遵守第 10 条关于使用再处理者的条件。
• 协助事务所响应数据主体的权利（第 12 条），并协助其遵守《通用数据保护条例》(GDPR) 第 32 条至第 36 条（第 9、13 和 14 条）。
• 在服务终止时依照第 15 条删除或返还数据。
• 向事务所提供必要信息，以证明遵守本合同并允许开展审计（第 16 条）。
• 保存代表事务所开展的处理活动类别记录（《通用数据保护条例》(GDPR) 第 30 条第 2 款）。

9. 安全措施

服务提供方采取与风险相适应的技术和组织措施，并考虑到本平台处理身份证件、未成年人数据、健康数据和犯罪记录数据。目前实施的措施包括：

• 传输加密：与本平台的所有通信均通过 TLS 加密（强制使用 HTTPS，并启用 HSTS）。
• 静态加密：数据库和文件由托管服务提供商在静态存储时加密。此外，本平台使用 AES-256-GCM 对电子证书、已连接邮箱的密码以及事务所支付终端的密钥进行加密。
• 事务所之间的隔离：每家事务所构成一个独立的组织，数据库中适用于所有表的行级安全策略（RLS）可防止一家事务所访问另一家事务所的数据。
• 基于角色的访问控制：在事务所内部，每位用户按其角色访问数据；在包含该功能的套餐中，用户仅能访问分配给自己的案卷。每位事务所客户仅能访问事务所与其共享的内容。
• 私密文件：文件保存在非公开存储中，仅通过有效期短暂的签名链接对外提供。
• 存储地点：数据库和文件托管于欧盟境内（巴黎）。部分服务由欧盟境外提供（第 10 条和第 11 条）。
• 备份：托管服务提供商每日对数据库进行备份，保存 7 天；此外，服务提供方在西班牙的一台设备上对数据库和文件进行额外备份，其中数据库的每份备份保存 30 天。不再存在于主存储中的文件，将在 30 天后从该备份中移除。
• 不含身份识别数据的错误日志：记录技术错误前会先移除身份识别字段；错误发生时附带的会话录制会遮盖全部文本并屏蔽图像。
• 删除记录：每次删除某人的数据均会被记录，以便证明该请求已得到处理。
• 服务提供方的访问权限：本平台的管理权限仅限于服务提供方中负责该事务的人员。

服务提供方会审查上述措施，并可对其进行更新，但不得降低其所提供的保护水平。

10. 再处理者

10.1. 一般授权

事务所向服务提供方作出书面一般授权，允许其使用下表所列的再处理者。服务提供方通过合同对每一家再处理者施加与其在本合同项下承担的相同数据保护义务，并就其履行情况向事务所负责。

在新增或更换再处理者之前，服务提供方将通过电子邮件通知事务所的管理员，并至少提前 30 天更新本页面。事务所可在该期限内基于合理的数据保护理由提出异议。如无法找到解决方案，事务所可在变更生效前解除本合同，服务提供方将退还其已支付但因合同解除而无法享受的期间所对应的款项。

10.2. 再处理者名单

10.3. 事务所直接连接或订购的服务

以下服务并非服务提供方的再处理者，因为事务所以其自身账户订购或连接这些服务，其数据处理受事务所与各方所订立合同的约束。仅在事务所启用相应集成时，本平台才会向其发送或从其接收数据：

• Google（Google 云端硬盘、Google 日历及使用 Google 登录），使用事务所的 Google 账户。
• Microsoft 365 或其他邮件服务提供商，即事务所连接其邮箱，以便客户的邮件能够进入相应案卷。
• WhatsApp（Meta）：条款和条件第 9 条所述渠道使用事务所的 WhatsApp 号码和账户，消息通过 WhatsApp 的服务器传输，并受事务所与 WhatsApp 所订条件的约束。
• Stripe Connect 及银行支付终端（Redsys），使用事务所的收款账户。
• 西班牙税务局，依据事务所自身的法定义务接收事务所提交的开票记录（VeriFactu）。

11. 国际数据传输

服务提供方仅按照第 10.2 条所列条件，将数据传输至该条所列的欧洲经济区以外的再处理者：或基于欧盟委员会的充分性认定决定，例如欧盟-美国数据隐私框架；或依据《通用数据保护条例》(GDPR) 第 46 条规定的保障措施，例如标准合同条款。事务所在接受本合同时即授权此类传输。

12. 数据主体的权利

• 事务所客户及其他数据主体应向事务所行使其权利。如服务提供方直接收到相关请求，将不加延误地转交事务所，且不得自行答复，除非事务所另有指示。
• 事务所可通过本平台查阅、更正和下载其客户的数据，并删除文件；被删除的文件将在 30 天后被永久清除。
• 在面板中删除客户档案或案卷会将其归档并从视图中移除，但不会永久删除。如需永久删除某人的数据，事务所应致函 hello@immigraflow.io 提出请求，服务提供方将在最长 30 天内完成删除并留存记录。
• 服务提供方将提供事务所在期限内响应任何其他权利所需的额外协助。

13. 个人数据泄露

服务提供方将在不无故拖延的情况下，且无论如何自知悉之时起最长 48 小时内，就任何影响事务所数据的个人数据泄露事件通知事务所。通知将以电子邮件方式发送给事务所的管理员，并在已知范围内包含《通用数据保护条例》(GDPR) 第 33 条第 3 款所要求的信息：泄露的性质、受影响数据主体和记录的类别及大致数量、可能造成的后果、已采取或拟采取的措施，以及一个联系点。如无法一次性提供全部信息，则将分阶段提供。

事务所负责将该泄露事件通知西班牙数据保护局，并在适用情形下通知数据主体。服务提供方将为此提供其所需的协助。

14. 影响评估与事前协商

服务提供方将向事务所提供其为开展数据保护影响评估、并在适用情形下与监管机构进行事前协商所需的、有关本平台及其安全措施的信息。

15. 服务终止后数据的归宿

• 只读模式：订阅终止后，事务所账户将转为只读模式。事务所及其用户仍可登录并下载各案卷的文件以及发票导出内容。本平台将只读账户的数据在该状态下保留，并采取同样的安全措施，保留期限为自订阅终止之日起 12 个月。如事务所在此之前重新激活订阅，则不会删除任何数据。
• 返还：在删除之前，事务所可从本平台下载其数据；如提出要求，服务提供方还将向其提供以结构化、常用格式呈现的组织数据副本。
• 删除：上述 12 个月期满后，本平台将自动删除事务所组织的数据，但依据下一条予以锁定的内容除外。事务所可在此之前随时致函 hello@immigraflow.io 请求提前删除其组织的数据。服务提供方将在最长 30 天内执行删除，包括删除文件的外部副本，并以书面形式确认。托管服务提供商的每日备份将在其 7 天的周期结束后消失，外部副本中的数据库备份将在其 30 天的周期结束后消失。
• 予以锁定的内容：除非事务所另有指示，事务所自本平台开具的发票及其 VeriFactu 开票记录（事务所依照税务和商业法规负有保存义务）将自开具之日起锁定 6 年，此后予以删除。在锁定期间，该等数据仅提供给事务所、法官及法院、检察机关以及有权的公共行政机关（《LOPDGDD》第 32 条）。服务提供方基于其自身法定义务须保留的其他任何数据，亦适用相同规则，保留期限以该义务所规定的期限为准。

上述规则同样载于条款和条件第 6 条。

16. 信息与审计

服务提供方将向事务所提供证明其遵守本合同及《通用数据保护条例》(GDPR) 第 28 条所需的全部信息。事务所或其指定并承诺保密的独立审计人员可开展审计和检查。除非发生安全事件或监管机构要求，审计应至少提前 30 天提出申请，每年不得超过一次，并应优先以远程文件审查方式进行，不得影响其他事务所数据的安全，其费用由事务所承担。

17. 责任

各方依照《通用数据保护条例》(GDPR) 第 82 条对自身违反数据保护法规的行为承担责任。如服务提供方为自身目的处理数据或违反事务所的指示处理数据，则服务提供方将被视为该处理行为的控制者（《通用数据保护条例》(GDPR) 第 28 条第 10 款）。在法律允许的范围内，双方之间的关系适用条款和条件第 10 条规定的责任限制。

18. 优先适用、准据法与管辖

在数据保护事项上，本合同优先于条款和条件的其他任何规定。本合同受《通用数据保护条例》(GDPR)、西班牙 2018 年 12 月 5 日第 3/2018 号《个人数据保护及数字权利保障组织法》（LOPDGDD）以及西班牙法律管辖。因本合同产生的任何争议，双方均提交马德里（西班牙）法院管辖。

19. 联系方式

如对本合同、个人数据泄露事件或权利行使有任何疑问，请联系：hello@immigraflow.io。