QR Code AI 数据处理协议

数据处理协议（DPA）

最后更新于2026年3月2日

本数据处理协议（“DPA”）构成 服务条款（“主协议”）的一部分，由 Supernovae 与同意本 DPA 的实体订立。Supernovae 是一家在法国注册的公司，地址为 27 Rue Wurtz, Juvisy-sur-Orge 91260，增值税号为 FR67948452891（“数据处理者”“我们”）；同意本 DPA 的实体称为“数据控制者”或“您”。上述主体合称“双方”。

当我们在提供 QR Code AI 服务（包括通过 API 提供的服务）时代表您处理个人数据，本 DPA 即适用。

1. 定义

• “个人数据” 指与已识别或可识别的自然人有关的任何信息，定义见 GDPR 第4(1)条。
• “处理” 指对个人数据执行的任何操作或一组操作，定义见 GDPR 第4(2)条。
• “数据主体” 指个人数据所涉及的已识别或可识别的自然人。
• “次级处理商” 指数据处理者聘用的、代表数据控制者处理个人数据的任何第三方。
• “GDPR” 指欧洲议会和理事会第（欧盟）2016/679号条例。
• “英国 GDPR” 指适用于英国法律、并结合《2018年数据保护法》（Data Protection Act）解读的英国《通用数据保护条例》。
• “SCC” 指欧盟委员会批准的、用于将个人数据传输至第三国的标准合同条款。
• “数据泄露” 指导致个人数据遭到意外或非法销毁、丢失、篡改、未经授权披露或访问的安全事件。

2. 适用范围与角色

2.1 数据控制者与数据处理者

就本 DPA 而言：

• 您（数据控制者）： 您在使用我们的服务时决定个人数据处理的目的和方式，尤其是在使用我们的 API 为您自己的客户生成二维码，或将我们的服务集成到您的产品中时。
• 我们（数据处理者）： 我们按照您的指示，代表您处理个人数据，具体如本 DPA 和主协议所述。

2.2 本 DPA 的适用情形

本 DPA 适用于以下情形：

• 您使用 QR Code AI API 生成处理终端用户数据的二维码，例如包含个人信息的 URL、vCard 数据或编码在二维码中的联系方式。
• 您使用 QR Code AI 的跟踪和数据分析功能，收集终端用户的扫描数据。
• 我们作为数据处理者代表您处理个人数据的任何其他情形。

如果您作为个人用户，为自己的目的使用 QR Code AI，我们将作为独立数据控制者，数据处理受我们的 隐私政策约束。

3. 数据处理详情

3.1 处理事项与期限

我们在主协议有效期间处理个人数据，以提供 QR Code AI 服务，包括二维码生成、跟踪、数据分析和相关功能。

3.2 处理性质与目的

• 根据数据控制者提供的输入数据生成二维码
• 跟踪二维码扫描并收集分析数据
• 存储二维码配置及相关元数据
• 处理使用 AI 生成艺术二维码的请求
• 提供报告和数据分析面板

3.3 个人数据类型

所处理的个人数据类型可能包括：

• 编码在二维码中的联系信息，如姓名、电子邮箱地址和电话号码
• URL 和网站地址
• 来自二维码扫描的位置数据
• 来自二维码扫描的设备信息和 IP 地址
• 为 AI 二维码生成提供的文本提示词和图像
• 数据控制者选择编码在二维码中的任何其他数据

3.4 数据主体类别

• 扫描数据控制者所创建二维码的终端用户
• 联系信息被编码在二维码中的个人
• 与二维码互动的数据控制者产品或服务的用户

4. 数据处理者的义务

4.1 处理指示

我们只根据您已记录的指示处理个人数据，除非我们所适用的欧盟或成员国法律要求进行处理。在这种情况下，我们会在处理前告知您该法律要求，除非法律基于重要的公共利益理由禁止提供此信息。

如果我们认为某项指示违反 GDPR 或其他适用的欧盟或成员国数据保护规定，我们会立即通知您。

4.2 保密

我们确保获授权处理个人数据的人员已承诺保密，或承担适当的法定保密义务。

4.3 安全措施

我们实施适当的技术和组织措施，确保提供与风险相适应的安全水平，包括：

• 对传输中的个人数据加密（TLS/HTTPS），并对存储中的敏感信息进行静态加密
• 内部系统的访问控制和基于角色的身份验证
• 定期安全评估和漏洞扫描
• 由 Scaleway 和 DigitalOcean 托管基础设施，具体安全与合规措施取决于提供商及托管服务
• DDoS 防护和 Web 应用防火墙（Cloudflare）
• 定期备份，并使用加密存储
• 记录和监控对个人数据的访问

4.4 次级处理商

我们使用 次级处理商页面所列的次级处理商。对于任何计划新增或替换次级处理商的情况，我们会主动向您发出书面通知，让您自通知之日起有30天时间，在变更生效前提出异议。您可在该期限内通过 [email protected] 联系我们提出异议。如果您提出异议，而我们无法合理满足您的异议要求，任何一方均可终止受影响的服务部分。

我们只会根据书面合同（包括适用的电子条款），聘用次级处理商代表您处理个人数据。该合同须规定 GDPR 第28(4)条要求的数据保护义务。我们将按照该条的要求继续对次级处理商承担责任。

4.5 数据主体权利

我们会协助您回应数据主体根据适用数据保护法律行使权利的请求，包括访问、更正、删除、限制处理、数据可携带和反对权。如果我们直接收到数据主体的请求，除非另有指示，我们会及时引导其向您提出请求。

4.6 合规协助

我们会考虑处理的性质以及我们掌握的信息，协助您履行 GDPR 第32至36条规定的义务。

5. 数据泄露通知

5.1 通知期限

我们会在获悉数据泄露后及时通知您，不作无故拖延，且无论如何不迟于获悉后 72小时。通知将发送至与您账号关联的电子邮箱地址。

5.2 通知内容

在相关信息可获得的范围内，通知将包括：

• 数据泄露性质的说明，包括受影响的数据主体和记录的类别及大致数量。
• 我们的数据保护联系人的姓名及联系方式。
• 数据泄露可能后果的说明。
• 已采取或拟采取的应对措施说明，包括减轻其潜在不利影响的措施。

5.3 持续合作

我们会与您合作，提供合理协助，以调查、减轻和补救任何数据泄露，并协助您向监管机构或数据主体发出您依法必须发出的通知。

6. 国际数据传输

6.1 数据所在地

个人数据主要在欧盟境内存储和处理：

• 通过 Scaleway 在 法国（欧盟） 存储和处理
• 通过 DigitalOcean 在 荷兰（欧盟） 存储和处理

6.2 向欧盟／欧洲经济区以外传输

我们的部分次级处理商位于欧盟／欧洲经济区以外，主要位于美国。对于这些传输，我们依赖：

• 欧盟—美国数据隐私框架： 在适用情况下，用于向获得该框架认证的美国提供商传输数据。
• 标准合同条款（SCC）： 如果数据隐私框架不适用，我们会在与欧盟／欧洲经济区以外次级处理商的协议中纳入欧盟委员会批准的 SCC，即委员会第（欧盟）2021/914号实施决定所规定的条款。

6.3 传输影响评估

我们对向第三国的数据传输开展传输影响评估，并在必要时采取补充措施，以确保适当的数据保护水平。

7. 审计与检查

7.1 审计权利

您有权审计我们对本 DPA 的遵守情况。我们会向您提供证明合规所需的全部信息，并允许及协助您或您委托的审计人员开展审计，包括检查。

7.2 审计流程

以下安排仅在不限制适用数据保护法律规定的权利或义务的范围内适用于审计：

• 您须至少提前30天发出书面审计通知。
• 审计每年最多进行一次，除非监管机构要求，或在发生数据泄露后进行。
• 审计须在正常营业时间内进行，且不得不合理地干扰我们的运营。
• 您承担审计费用，除非审计发现我们严重违反本 DPA。
• 审计期间不得披露我们其他客户的保密信息。

8. 数据保留与删除

8.1 主协议有效期间

在主协议有效期间，我们会在提供服务所必需的范围内保留个人数据。

8.2 主协议终止时

主协议终止或收到您的书面请求后：

• 根据您的选择，我们会在 30天 内删除个人数据，或将其返还给您并删除我们活动系统中的剩余副本。
• 备份档案中的个人数据将在 6个月 内清除。在此之前，数据将继续受到保护，且不用于其他目的，除非适用法律另有要求。
• 我们可在适用法律要求的范围内保留个人数据，例如为履行税务或会计义务。在这种情况下，我们会隔离并保护此类数据，将后续处理限于法律要求的范围。

8.3 确认

应您的请求，我们会提供书面确认，说明个人数据已按本节规定删除。

9. 责任

各方在本 DPA 下的责任受主协议所列责任限制条款约束。本 DPA 的任何内容均不限制任何一方根据适用数据保护法律对数据主体或监管机构承担的责任。

10. 适用法律

本 DPA 受法国法律管辖。GDPR 和英国 GDPR 在处理活动属于各自法律适用范围时适用。本 DPA 引起的任何争议，均按主协议中的争议解决条款处理。

11. 如何接受本 DPA

本 DPA 已纳入 服务条款，并构成其一部分。使用 QR Code AI 服务即表示您同意本 DPA。

如果您需要单独签署的本 DPA 副本用于存档，请通过 [email protected] 联系我们，我们将在10个工作日内提供。

12. 联系方式

如对本 DPA 或我们的数据处理实践有疑问，请联系：

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 法国 [email protected]