数据处理协议。

本 DPA 由控制者（使用 zlabz.io 处理其用户、员工或承包商相关数据的企业客户）与 zlabz.io 签订，zlabz.io 由 zlabz.io 域名的所有者运营，作为处理者。对于直接在 zlabz.io 注册的消费者终端用户，我们作为控制者——本 DPA 不适用于该关系；我们的隐私政策适用。

处理的主题是控制者通过 zlabz.io 服务上传、创建或以其他方式提交的个人数据（例如段落文本、项目元数据、终端用户标识符）。处理仅限于提供、安全和支持服务所必需的内容。

• 持续时间：只要控制者拥有有效的订阅或试用期，加上合理的终止后删除和法律保留期。
• 性质：在 zlabz.io 应用程序内存储、托管、传输、渲染和检索控制者数据。
• 数据主体类别：代表控制者与服务互动的终端用户、员工或承包商。
• 个人数据类别：账户标识符（电子邮件、姓名）、提交到编辑器的内容、使用元数据——如我们的隐私政策和子处理器列表中所记录。

• 仅根据控制者的书面指示处理个人数据（服务的正常使用构成此类指示）。
• 确保被授权处理个人数据的人员受保密约束。
• 实施适当的技术和组织安全措施（见下一节）。
• 协助控制者响应数据主体请求，并在适用情况下，进行 DPIA 和与监管机构的事先咨询。
• 提供必要的信息以证明合规性，并允许合理的审计（通常通过书面问卷或供应商报告，考虑到服务的共享基础设施性质）。

• 所有端点的传输加密（HTTPS / TLS）。
• 通过 Convex 数据库默认进行静态加密。
• 由 Clerk 处理身份验证——zlabz.io 从不存储密码。
• 服务器端代码的最小权限原则，每用户 Convex 范围，且无跨租户数据访问路径。
• 支付数据严格不在范围内——卡处理委托给 Dodo Payments（PCI DSS 一级）。

控制者对在 zlabz.io/subprocessors 列出的子处理器的使用给予一般授权。我们将在任何新增或更改子处理器时至少提前 14 天通知，期间控制者可以提出异议。如果控制者合理反对，双方将讨论补救措施；如果找不到补救措施，控制者可以终止受影响的服务。

我们在 /settings 提供自助端点，以便终端用户可以导出其数据（GDPR 第 20 条）并删除其账户（第 17 条）。对于控制者发起的请求，我们将在服务的技术能力范围内提供协助，并将直接收到的任何请求毫不拖延地转发给控制者。

如果发生影响控制者数据的个人数据泄露事件，我们将在意识到后毫不拖延地通知控制者，并在任何情况下在 72 小时内通知，说明泄露的性质、受影响的类别、可能的后果和采取的补救措施。

当个人数据被转移到 EEA / 英国以外时，我们依赖于每个供应商的 DPA 中默认包含的标准合同条款（SCCs），并在需要时应用补充措施。我们不会在没有有效传输机制的情况下将数据转移到缺乏充分保护的司法管辖区。

在主要服务协议终止或书面请求时，我们将在 30 天内删除或返回所有控制者个人数据，除非法律要求保留（例如税务合规的账单记录）。控制者可以在终止前通过 /api/user/export 或我们的支持团队为较大数据集触发导出。

本 DPA 下的责任受服务条款中规定的限制和排除的约束，除非适用的数据保护法律不允许此类限制。此处没有排除无法合法排除的责任。

通知、数据主体请求、违规报告和 DPA 签名请求可以通过我们的 支持渠道 发送。我们将在两个工作日内回复。