法律資訊

QR Code AI資料處理協議

本協議說明 QR Code AI 代表您處理個人資料的方式，以及雙方的角色、安全措施與義務。

資料處理協議（DPA）

最後更新日期：2026年3月2日

本資料處理協議（「DPA」）是服務條款（「主協議」）的一部分，由 Supernovae 與同意本 DPA 的實體訂立。Supernovae 是一家在法國註冊的公司，地址為 27 Rue Wurtz, Juvisy-sur-Orge 91260，增值稅號碼為 FR67948452891（「資料處理者」、「我們」）；同意本 DPA 的實體稱為「資料控管者」或「您」。上述主體合稱「雙方」。

當我們在提供 QR Code AI 服務（包括透過 API 提供的服務）時代表您處理個人資料，本 DPA 即適用。

1. 定義

「個人資料」 指與已識別或可識別的自然人有關的任何資訊，定義見 GDPR 第4(1)條。
「處理」 指對個人資料執行的任何作業或一組作業，定義見 GDPR 第4(2)條。
「資料當事人」 指個人資料所涉及的已識別或可識別的自然人。
「次處理者」 指資料處理者委任、代表資料控管者處理個人資料的任何第三方。
「GDPR」 指歐洲議會及理事會第（歐盟）2016/679號規則。
「英國 GDPR」 指依英國法律適用，並與《2018年資料保護法》（Data Protection Act）一併解讀的英國《一般資料保護規則》。
「SCC」 指歐盟執委會核准、用於將個人資料傳輸至第三國的標準契約條款。
「資料外洩事件」 指導致個人資料遭意外或非法毀損、遺失、變更、未經授權揭露或存取的安全事件。

2. 適用範圍與角色

2.1 資料控管者與資料處理者

就本 DPA 而言：

您（資料控管者）： 您在使用我們的服務時決定個人資料處理的目的與方式，尤其是在使用我們的 API 為自己的客戶產生 QR Code，或將我們的服務整合至您的產品時。
我們（資料處理者）： 我們依照您的指示，代表您處理個人資料，具體如本 DPA 及主協議所述。

2.2 本 DPA 的適用情形

本 DPA 適用於以下情形：

您使用 QR Code AI API 產生處理終端使用者資料的 QR Code，例如包含個人資訊的 URL、vCard 資料或編碼在 QR Code 中的聯絡資料。
您使用 QR Code AI 的追蹤及分析功能，蒐集終端使用者的掃描資料。
我們以資料處理者身分代表您處理個人資料的其他任何情形。

如果您以個人使用者身分，為自己的目的使用 QR Code AI，我們會擔任獨立資料控管者，資料處理受我們的隱私權政策規範。

3. 資料處理詳情

3.1 處理事項與期間

我們在主協議有效期間處理個人資料，以提供 QR Code AI 服務，包括 QR Code 產生、追蹤、分析及相關功能。

3.2 處理性質與目的

根據資料控管者提供的輸入資料產生 QR Code
追蹤 QR Code 掃描並蒐集分析資料
儲存 QR Code 設定及相關中繼資料
處理以 AI 產生藝術 QR Code 的請求
提供報告與分析儀表板

3.3 個人資料類型

處理的個人資料類型可能包括：

編碼在 QR Code 中的聯絡資訊，如姓名、電子郵件地址及電話號碼
URL 及網站位址
來自 QR Code 掃描的位置資料
來自 QR Code 掃描的裝置資訊及 IP 位址
為 AI QR Code 產生功能提供的文字提示與圖片
資料控管者選擇編碼在 QR Code 中的任何其他資料

3.4 資料當事人類別

掃描資料控管者所製作 QR Code 的終端使用者
聯絡資訊被編碼在 QR Code 中的個人
與 QR Code 互動的資料控管者產品或服務使用者

4. 資料處理者的義務

4.1 處理指示

我們僅依您已記錄的指示處理個人資料，除非我們所適用的歐盟或成員國法律要求進行處理。在此情況下，我們會在處理前告知您該法律要求，除非法律基於重要公共利益理由禁止提供此資訊。

如果我們認為某項指示違反 GDPR 或其他適用的歐盟或成員國資料保護規定，我們會立即通知您。

4.2 保密

我們確保獲授權處理個人資料的人員已承諾保密，或承擔適當的法定保密義務。

4.3 安全措施

我們採取適當的技術及組織措施，確保安全程度與風險相稱，包括：

對傳輸中的個人資料加密（TLS/HTTPS），並對儲存中的敏感資訊進行靜態加密
內部系統的存取控制及以角色為基礎的身分驗證
定期安全評估及弱點掃描
由 Scaleway 及 DigitalOcean 託管基礎設施，安全與合規措施依供應商及託管服務而異
DDoS 防護及網頁應用程式防火牆（Cloudflare）
定期備份並採用加密儲存
記錄及監控對個人資料的存取

4.4 次處理者

我們使用次處理者頁面所列的次處理者。對於任何計畫新增或更換次處理者的情形，我們會主動向您發出書面通知，讓您自通知日起有30天的時間，在變更生效前提出異議。您可在該期間內透過 [email protected] 聯絡我們提出異議。如果您提出異議，而我們無法合理滿足您的異議要求，任一方均可終止受影響的服務部分。

我們僅會依書面契約（包括適用的電子條款），委任次處理者代表您處理個人資料。該契約須規定 GDPR 第28(4)條要求的資料保護義務。我們將依該條要求，繼續對次處理者負責。

4.5 資料當事人權利

我們會協助您回應資料當事人依適用資料保護法律行使權利的請求，包括存取、更正、刪除、限制處理、資料可攜及反對權。如果我們直接收到資料當事人的請求，除非另有指示，我們會迅速引導其向您提出請求。

4.6 合規協助

我們會考量處理的性質及我們掌握的資訊，協助您履行 GDPR 第32至36條規定的義務。

5. 資料外洩事件通知

5.1 通知期限

我們會在知悉資料外洩事件後通知您，不作不當延誤，且無論如何不遲於知悉後 72小時。通知將寄至與您帳號連結的電子郵件地址。

5.2 通知內容

在相關資訊可取得的範圍內，通知將包括：

資料外洩事件性質的說明，包括受影響資料當事人及紀錄的類別與大致數量。
我們的資料保護聯絡人的姓名及聯絡方式。
資料外洩事件可能後果的說明。
已採取或擬採取的因應措施說明，包括減輕其潛在不利影響的措施。

5.3 持續合作

我們會與您合作，提供合理協助，以調查、減輕及補救任何資料外洩事件，並協助您向監管機關或資料當事人發出您依法必須發出的通知。

6. 國際資料傳輸

6.1 資料所在地

個人資料主要在歐盟境內儲存及處理：

透過 Scaleway 在 法國（歐盟） 儲存及處理
透過 DigitalOcean 在 荷蘭（歐盟） 儲存及處理

6.2 傳輸至歐盟／歐洲經濟區以外

我們的部分次處理者位於歐盟／歐洲經濟區以外，主要位於美國。對於這些傳輸，我們依據：

歐盟—美國資料隱私框架： 在適用情況下，用於向取得該框架認證的美國供應商傳輸資料。
標準契約條款（SCC）： 如資料隱私框架不適用，我們會在與歐盟／歐洲經濟區以外次處理者的協議中，納入歐盟執委會核准的 SCC，即執委會第（歐盟）2021/914號執行決定所規定的條款。

6.3 傳輸影響評估

我們針對向第三國的資料傳輸進行傳輸影響評估，並在必要時採取補充措施，以確保適當的資料保護程度。

7. 稽核與檢查

7.1 稽核權利

您有權稽核我們遵守本 DPA 的情形。我們會向您提供證明合規所需的全部資訊，並允許及協助您或您委任的稽核人員進行稽核，包括檢查。

7.2 稽核程序

以下安排僅在不限制適用資料保護法律規定的權利或義務的範圍內，適用於稽核：

您須至少提前30天發出書面稽核通知。
稽核每年最多進行一次，除非監管機關要求，或在發生資料外洩事件後進行。
稽核須在正常營業時間內進行，且不得不合理地干擾我們的營運。
您承擔稽核費用，除非稽核發現我們存在重大違反本 DPA 的情事。
稽核期間不得揭露我們其他客戶的機密資訊。

8. 資料保留與刪除

8.1 主協議有效期間

在主協議有效期間，我們會在提供服務所必要的範圍內保留個人資料。

8.2 主協議終止時

主協議終止或收到您的書面請求後：

依您的選擇，我們會在 30天 內刪除個人資料，或將其返還給您，並刪除我們運作中系統內的其餘副本。
備份封存中的個人資料將在 6個月 內清除。在此之前，資料將持續受到保護，且不作其他用途，除非適用法律另有要求。
我們可在適用法律要求的範圍內保留個人資料，例如為履行稅務或會計義務。在此情況下，我們會隔離並保護此類資料，將後續處理限於法律要求的範圍。

8.3 確認

應您的請求，我們會提供書面確認，說明個人資料已依本節規定刪除。

9. 責任

各方依本 DPA 承擔的責任，受主協議所列責任限制條款規範。本 DPA 的任何內容，均不限制任何一方依適用資料保護法律對資料當事人或監管機關承擔的責任。

10. 準據法

本 DPA 以法國法律為準據法。GDPR 及英國 GDPR 在處理活動屬於各自法律適用範圍時適用。本 DPA 所生的任何爭議，均依主協議的爭議解決條款處理。

11. 如何接受本 DPA

本 DPA 已納入服務條款，並構成其一部分。使用 QR Code AI 服務，即表示您同意本 DPA。

如需另行簽署的本 DPA 副本以供存檔，請透過 [email protected] 聯絡我們，我們將於10個工作天內提供。

12. 聯絡方式

如對本 DPA 或我們的資料處理方式有疑問，請聯絡：

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 法國 [email protected]