数据处理附录
EvaSay 如何代表客户处理个人数据。
最后更新：2026 年 10 月 31 日
本中文版本为英文版《Data Processing Addendum》的译文，仅供参考。两者如有不一致，以英文版为准。
本数据处理附录（“DPA”）是在香港注册成立的 Ecolor Web Limited（“EvaSay”或“我们”）与接受服务条款（“本条款”）的客户（“客户”或“你”）之间的本条款的组成部分。EvaSay 在提供服务的过程中处理客户个人数据时，均适用本 DPA。你接受本条款即接受本 DPA，无需签署。如需双方签署的版本，请联系 support@evasay.com；签字版与本页内容相同，不做修改。
本 DPA 中首字母大写但未定义的术语，含义与本条款相同。
2.1 客户个人数据。 对于客户个人数据，你是控制者（或代表你自己的客户行事的处理者），EvaSay 是你的处理者，在 CCPA 下是你的服务提供商。如你作为处理者行事，你保证你的指示（包括委任 EvaSay 作为再处理者）已获得相关控制者授权，并且你仍是 EvaSay 与该控制者之间的唯一联系方。
2.2 账号数据。 EvaSay 作为控制者处理账号数据，见隐私政策。本 DPA 不适用于账号数据。
2.3 处理详情。 处理的标的、性质、目的和期限，以及个人数据类型和数据主体类别，见附件 1。
2.4 自托管部署和你自己的系统。 你运行自托管部署，或将客户内容发送到客户指定服务时，在你的基础设施或这些服务中进行的处理不由 EvaSay 执行，由你负责。本 DPA 涵盖到达 EvaSay 的客户个人数据，例如自托管部署上报到你的工作区的通话记录。
3.1 指示。 EvaSay 只按你的书面指示处理客户个人数据。你的指示包括本条款、本 DPA，以及你对服务（包括通过 API）的配置和使用。任何额外指示须经我们书面同意，并可能另行收费。
3.2 违法指示。 EvaSay 认为某项指示违反数据保护法时，会告知你，并可暂停相关处理，直到该指示得到确认或修改。EvaSay 没有义务审查你的指示是否合法。
3.3 法律要求的处理。 适用法律要求时，EvaSay 可以处理客户个人数据；此时，除非法律禁止，EvaSay 会在处理前告知你。
3.4 你的义务。 以下事项由你单独负责：
4.1 保密。 EvaSay 确保其授权处理客户个人数据的人员负有保密义务。
4.2 服务提供商条款。 EvaSay 不会：(a) 出售或共享客户个人数据；(b) 为本条款规定的业务目的以外的任何目的（包括提供服务以外的任何商业目的），或在你与 EvaSay 之间的直接业务关系之外，保留、使用或披露客户个人数据；(c) 将客户个人数据与其从任何其他人处或代表其他人收到的个人数据，或从其自身与数据主体的互动中收集的个人数据合并，CCPA 允许的除外。EvaSay 将遵守 CCPA 对其适用的义务，提供 CCPA 要求的隐私保护水平，并在确定无法再履行这些义务时通知你。你可以采取合理、适当的措施，制止并纠正对客户个人数据的任何未经授权的使用。EvaSay 证明其理解并将遵守本第 4.2 条。
4.3 模型训练。 未经你事先书面许可，EvaSay 不会使用客户个人数据训练或微调 AI 模型。
4.4 去标识化数据。 EvaSay 从客户内容中得出去标识化或汇总数据（即本条款第 7.4 条所述的服务数据）时，将采取合理措施确保这些数据无法与任何个人相关联，不会尝试重新识别，并要求任何接收方同样做到。
5.1 EvaSay 的措施。 EvaSay 实施并维持附件 2 所述的技术和组织措施。在整体保护水平不实质降低的前提下，EvaSay 可以变更这些措施。
5.2 你的措施。 你负责你的账号、凭证、API 密钥和部署密钥的安全；你给授权用户的访问权限；你的自托管基础设施和客户指定服务；以及使用服务提供的安全和隐私设置。
6.1 授权。 你概括授权 EvaSay 委托子处理方。当前清单公布在 evasay.com/subprocessors。
6.2 子处理方条款。 EvaSay 将与每一子处理方签订书面协议，在适用于该子处理方所提供服务的范围内，施加实质上不低于本 DPA 的数据保护义务。在数据保护法要求的范围内，EvaSay 对其子处理方履行这些义务负责。
6.3 新子处理方。 在新的子处理方开始处理客户个人数据前至少 30 天，EvaSay 会更新清单并发邮件通知你的工作区所有者。为维持服务运行而紧急需要新子处理方时（例如某服务商出现故障），EvaSay 会尽快通知。
6.4 反对。 你可以在通知后15 天内，以合理的数据保护理由，写信至 support@evasay.com 反对新的子处理方。双方将本着诚信讨论。如未能在合理时间内解决，你唯一且排他的救济是停止使用服务中使用该子处理方的部分或终止本条款。
6.5 客户指定服务。 客户指定服务不是子处理方。你发送给它们的数据按你的指示发送，受你与其提供方之间的协议以及本条款第 7.7 条和第 8.1 条约束。
7.1 地点。 客户个人数据可能在香港、美国、欧盟以及子处理方清单所示的 EvaSay 或其子处理方运营的其他国家处理。
7.2 欧洲经济区。 在 EvaSay 于未获充分性认定的国家处理受 GDPR 约束的客户个人数据的范围内，SCC 按以下方式纳入本 DPA：你为控制者时适用模块二，你为处理者时适用模块三；适用第 7 条的加入条款；适用第 9(a) 条选项 2，通知期限为本 DPA 第 6.3 条规定的期限；不适用第 11 条的可选措辞；第 13 条下的监管机构按该条确定；依据第 17 条，SCC 受爱尔兰法律管辖；依据第 18 条，争议由爱尔兰法院解决；SCC 的附件 I、II、III 分别由本 DPA 附件 1、附件 2 和子处理方清单填写。
7.3 英国。 对于受英国 GDPR 约束的客户个人数据，适用经英国附录修订的 SCC。英国附录表 1 至表 3 以第 7.2 条和各附件的信息填写；就表 4 而言，任一方均可按其第 19 条终止英国附录。
7.4 瑞士。 对于受 FADP 约束的客户个人数据，SCC 经以下修改后适用：瑞士联邦数据保护和信息专员为主管监管机构；对 GDPR 的引用理解为对 FADP 的引用；“成员国”一词不妨碍瑞士的数据主体在其惯常居所地提起诉讼。
7.5 转传。 在数据保护法要求时，EvaSay 将确保向子处理方传输客户个人数据有数据保护法认可的传输机制保障。
7.6 法律变化。 本第 7 条所依据的传输机制失效或不再足够时，双方将本着诚信合作落实替代方案，在此之前 EvaSay 可以暂停受影响的传输。
8.1 通知。 EvaSay 获悉安全事件后，将无不当延迟地且无论如何在 72 小时内通知你。
8.2 信息。 通知将在当时已知的范围内说明安全事件的性质、涉及的数据主体和记录的类别及大致数量、可能的后果，以及已采取或拟采取的措施。无法一次提供全部信息时，EvaSay 将在获得后分阶段提供。
8.3 应对。 EvaSay 将采取合理措施控制、调查和减轻安全事件。
8.4 送达和你的职责。 EvaSay 会把通知发送到你的工作区所有者的邮箱。作为控制者，你负责向监管机构和数据主体作出任何通知。除非法律要求，EvaSay 不会代你通知。
8.5 不构成承认。 EvaSay 对安全事件的通知或应对，不构成对过错或责任的承认。
9.1 数据主体的请求。 你可以通过工作台和 API 查找、导出客户个人数据，并删除其中的大部分。你无法用这些功能答复数据主体的请求时，EvaSay 将根据你的书面请求，并考虑处理的性质，提供合理协助，包括删除你指明的数据，在法律允许时费用由你承担。EvaSay 直接收到数据主体关于客户个人数据的请求时，会将其转介给你，自己不予答复，法律要求的除外。
9.2 影响评估和事先咨询。 在你无法自行获取的范围内，EvaSay 将根据处理的性质和其掌握的信息，提供你进行数据保护影响评估和向监管机构事先咨询合理所需的信息。超出标准文档的协助，EvaSay 可以收取合理费用。
9.3 公共机构的要求。 公共机构要求 EvaSay 披露客户个人数据时，除非法律禁止，EvaSay 将通知你并给你合理机会申请保护令，并且只披露法律要求披露的内容。
10.1 信息。 应你的书面请求，每十二个月不超过一次，EvaSay 将提供证明其遵守本 DPA 合理所需的信息，例如答复合理的安全问卷和提供其当时的安全文档。
10.2 审计。 上述信息不足以履行数据保护法下的某项义务，或监管机构要求时，你可以按以下条件审计 EvaSay 对本 DPA 的遵守情况：至少提前 30 天书面通知；审计在正常工作时间内，由你或负有保密义务、且不是 EvaSay 竞争对手的独立审计师进行；范围、时间和时长事先约定；审计不接触其他客户的数据，也不接触任何会损害服务安全的内容；审计费用由你承担，并补偿 EvaSay 配合审计的合理费用。
10.3 保密。 所披露的信息和任何审计的结果属于 EvaSay 的保密信息。
11.1 期限内。 你可以使用服务的功能导出和删除客户个人数据。没有相应功能时，EvaSay 会根据你写信至 support@evasay.com 的书面请求，删除你指明的数据。
11.2 终止后。 你负责在本条款终止前导出客户个人数据。在你的账号或工作区关闭或本条款终止后 30 天内，EvaSay 将删除客户个人数据。备份中的副本在这些备份到期时删除，期限为 35 天，在此之前仍受本 DPA 保护。
11.3 法定保留。 法律要求 EvaSay 保留客户个人数据时，本 DPA 继续适用于这些数据，EvaSay 只为必须保留的目的处理这些数据。
各方因本 DPA（包括在法律允许的范围内因 SCC）产生或与之相关的责任，受本条款中的责任排除和限制约束。本 DPA 的任何内容均不限制数据主体在 SCC 下的权利。
13.1 期限。 只要 EvaSay 处理客户个人数据，本 DPA 即持续有效。
13.2 优先顺序。 就客户个人数据的处理而言，SCC 优先于本 DPA，本 DPA 优先于本条款。订单只有在明确说明时才能变更本 DPA。
13.3 管辖法律。 本 DPA 适用本条款的法律适用和争议解决条款，但 SCC 按第 7 条的规定适用法律。
13.4 变更。 为反映法律、服务或其子处理方的变化，EvaSay 可以更新本 DPA，但更新不得实质降低对客户个人数据的保护，法律要求的除外。更新按本条款第 19 条生效。
13.5 语言。 本 DPA 的译文与英文版有冲突时，以英文版为准。
各方。 数据输出方：客户；联系方式：其工作区所有者的邮箱；角色：控制者，或代表其自己的客户行事的处理者；活动：使用服务。数据输入方：EvaSay；联系方式：support@evasay.com；角色：处理者；活动：提供服务。
数据主体类别。
个人数据类别。
敏感数据。 除非在双方签署的订单中约定，你不得提交本条款第 5.6 条限制的数据或特殊类别个人数据。在某些法律下，语音录音和声音样本可能被视为生物识别数据；EvaSay 只为创建和使用你要求的声音而处理声音样本，不用于识别个人。附件 2 的措施适用。
频率。 持续进行，直至你停止使用服务。
处理性质。 托管、存储和传输；通话中的实时语音识别、语言模型处理和语音合成；通话录音；逐字稿分析和摘要；知识库检索；在外呼任务中拨打电话；Webhook 和通知；创建和使用克隆声音。
目的。 按本条款和你的配置提供服务。
保留。 通话音频在通话中处理，除非开启录音，否则不保留。录音、逐字稿和通话记录保留至按你的请求或依第 11 条删除为止。语音 API 请求记录不含请求正文，保留 30 天。Webhook 投递记录含所发送的内容，保留 30 天。你可以为工作区设置保留期，到期后逐字稿、EvaSay 存储中的录音、摘要和提取的字段自动删除；也可以把某个 Agent 设为完全不保存通话内容。
子处理方。 见 evasay.com/subprocessors，处理的标的、性质和期限如本附件所述。
主管监管机构。 按 SCC 第 13 条确定。
加密。 浏览器、运营商媒体流、EvaSay 系统和子处理方之间经互联网传输的数据使用 TLS 加密。与你自己的 SIP 中继或 PBX 之间的通话，使用该中继支持的保护方式。存储的数据由 EvaSay 的托管和存储服务商进行静态加密。你提供给我们的运营商账号凭证、存储凭证、接入应用的令牌和通知用的 Webhook 地址，由 EvaSay 另外使用 AES-256-GCM 加密。
密钥和机密。 API 密钥和部署密钥只保存哈希值，只在创建时显示一次。EvaSay 自己的第三方服务凭证保存在服务器环境配置中，不存入数据库。
访问控制。 工作区只对其成员按角色开放。EvaSay 人员只在提供、保护或支持服务需要时访问客户个人数据。管理操作在服务器端逐次授权，并记入审计日志。用户可以为工作台登录开启两步验证（基于时间的一次性验证码）；工作区内对 Agent 的修改、删除操作和录音下载记入操作记录，工作区所有者和管理员可以查看。
隔离。 客户内容按工作区存储和查询。
通话安全。 每通电话用 15 分钟后过期的令牌授权。Worker 用部署密钥向 EvaSay 认证。运营商的回调通过签名或接入账号专属的密钥验证。Webhook 内容带签名，便于你验证。
网络防护。 Agent 的函数和 Webhook 发出的请求只能访问公网地址且不跟随重定向，防止访问内部系统。注册和访客的网页通话有防自动化滥用措施，接口有频率限制。
数据最小化。 录音默认关闭，并提供同意选项。EvaSay 保存的逐字稿中，银行卡号、IBAN 和美国社会安全号码会被遮盖。Agent 可以设为不保存通话的逐字稿、录音和分析；工作区可以设置保留期，到期后删除通话内容。服务日志在设计上不含通话内容。API 请求记录不含请求正文，保留 30 天。自托管部署把通话音频留在客户自己的服务器上。
可用性。 语音识别和语言模型服务商出错时切换到备用服务商，主服务不响应时由备用服务接听运营商的来电。
事件响应。 服务错误会被监控并通过邮件通知 EvaSay 人员，安全事件按第 8 条处理。
子处理方。 子处理方受第 6 条所述的书面数据保护条款约束。