資料處理協議(Data Processing Addendum, DPA)

1. 當事人與角色定義(三層,務必先讀)

同一個「店家」在不同文件中身分不同,故先定義清楚,避免甲乙混淆:

註:《服務條款》的甲乙與本 DPA 的控制者 / 處理者方向相反(服務條款乙方=店家=被服務方;DPA 中店家=控制者=下指示方)。故全套文件不共用同一組甲乙;本 DPA 以「控制者 / 處理者」角色名為準,甲乙僅於《服務條款》使用。

本協議由控制者(店家)與處理者(有橙事業有限公司,下稱「有橙」)就處理者於提供 olivia.guide 服務時、代控制者處理其終端消費者個人資料之相關權利義務而訂立,並為《服務條款》之一部分。

2. 定義

• 個人資料 / 處理 / 當事人:依中華民國《個人資料保護法》定義。
• 對話資料:終端消費者透過 LINE / Messenger / Instagram 與店家往來之訊息文字、貼圖標記、互動紀錄。
• 媒體:對話中之圖片(及後續之影音 / 檔案);經系統調整尺寸(resize)後存於雲端儲存。
• 次處理者(Sub-processor):受處理者再委託、協助處理個資之第三方(見 §6)。
• 保留期:對話 / 媒體自發生時起,於系統留存至刪除之期間(見 §8)。

3. 委託處理之標的、目的與範圍

1. 1. 標的:控制者之終端消費者對話資料與媒體,及由此衍生之客服知識、CRM 紀錄。
2. 2. 目的:僅限於為控制者提供 AI 客服草稿、知識庫、預約 / CRM 等本服務功能;處理者不得為自身目的另行利用。
3. 3. 範圍:處理者依控制者於本服務後台之設定與指示處理;控制者之設定與操作(如模組開關、刪除個別對話或客戶資料)即為其處理指示。

4. 雙方義務

4.1 控制者(店家)之義務

1. 1. 合法權源:就其蒐集 / 提供之終端消費者個資,已依個資法盡告知義務並具特定目的內利用之合法事由。
2. 2. 指示合法:其對處理者之指示(含保存與刪除之決定)不違反個資法;因指示所生之合法性爭議由控制者承擔。
3. 3. 特種個資:避免使系統處理病歷、醫療、基因、性生活、健康檢查、犯罪前科等特種個資;診所等行業尤應注意。
4. 4. 保存期間與目的存續之責任:控制者就其於訂閱存續期間要求處理者保存終端消費者對話、媒體及客戶名單之特定目的、法律基礎(含符合個資法第 11 條第 3 項)負完全之控制者責任;控制者應於對外之隱私告知中如實向終端消費者揭示利用期間。特定目的消滅或當事人行使刪除權時,控制者應自行刪除(§8.3.3)或通知處理者協助(§9)。

4.2 處理者(有橙)之義務

1. 1. 依指示處理:僅依控制者指示及本服務功能處理,不逾越目的範圍。
2. 2. 保密:對個資及其存在負保密義務,並使其員工 / 次處理者受同等拘束。
3. 3. 不用於訓練:處理所用之 AI 模型(LLM)呼叫,依各模型供應商當時之商用服務條款,對話 / 媒體不用於模型訓練。模型供應商為偵測濫用及遵循法令,得於有限期間內(如 30 日)留存輸入與輸出,期滿刪除。
4. 4. 安全維護:採行 §5 之技術與組織措施。
5. 5. 協助控制者:於當事人行使權利、個資事故、主管機關要求時,於合理範圍協助控制者(§9、§10)。
6. 6. 屆期處理:依 §8 之規定,於訂閱結束後屆期刪除控制者之資料,並執行控制者之刪除操作(§8)。

5. 安全維護措施(技術與組織)

1. 1. 多租戶隔離:對話資料及主要個人資料之資料表啟用資料庫層級之列級安全(Row-Level Security);其餘資料表以應用層之租戶條件隔離,並持續擴大資料庫層級隔離之涵蓋範圍。
2. 2. 傳輸與靜態加密:對外傳輸採 TLS 加密;靜態資料採雲端供應商(GCP)預設之靜態加密。
3. 3. 機密管理:第三方憑證 / 金鑰存於 GCP Secret Manager,不寫入程式碼或版本控制。
4. 4. 身分與存取控制:後台採 RBAC(角色權限 + 資料範圍),最小權限原則;認證採短效權杖(JWT RS256,具短效存取與定期刷新機制),密碼以高強度單向雜湊演算法(如 bcrypt,成本因子 ≥ 12)雜湊儲存。
5. 5. 高風險雙人覆核:退款逾額、終止租戶、變更最高權限等採雙人覆核。
6. 6. 稽核日誌:重要操作留存稽核日誌(保留 2 年),供事後追查。
7. 7. LLM 不用於訓練:見 §4.2.3。
8. 8. 處理者人員之存取:處理者之人員僅於提供客服支援、障礙排除及系統維運所必要之範圍內,依最小權限存取控制者之資料;存取應記錄理由並留存稽核紀錄。處理者人員以控制者人員之身分登入後台協助操作者,應通知控制者,控制者得隨時終止該次協助。
9. 9. 第三方廣告平台介接:針對 Google 廣告平台 API 之介接,採用短效期權限模擬機制(Impersonated Credentials),不儲存靜態金鑰;使用獨立之雲端專案與專用服務帳號,與生產資料專案分開;所用授權範圍僅限轉換事件上傳介面。

6. 次處理者(Sub-processors)

控制者同意處理者就下列功能使用次處理者;處理者應使其受不低於本協議之義務拘束。新增 / 變更次處理者前,處理者應通知控制者。

6A. 資料接收方(非次處理者)

1. 1. 功能與傳送範圍:控制者自行啟用「廣告轉換回報」功能時,處理者依控制者之設定與指令,僅針對附有廣告識別碼(gclid、fbc 或 fbp)之顧客,將其資料傳送至控制者指定之 Meta 或 Google 廣告帳號。處理者僅傳送與廣告成效歸因直接相關之必要數據。依控制者啟用之平台,傳送項目如下:
   • (a) Meta:經 SHA-256 雜湊之電子郵件與電話號碼、廣告識別碼(fbc、fbp)、顧客連線資訊(IP 位址、瀏覽器資訊)、事件類型(加入名單 / 預約成立 / 付款完成)、事件時間、交易編號及付款金額。
   • (b) Google:廣告點擊識別碼(gclid)、事件類型(預約成立 / 付款完成)、事件時間、交易編號、轉換金額與幣別(限付款完成事件)。不包含電子郵件、電話號碼、IP 位址及瀏覽器資訊。
2. 2. 法律身分:Meta、Google 就前述廣告與分析產品所收受之資料,依其各自之商業工具條款擔任獨立或共同控制者,非第 6 條之次處理者,亦不受第 6 條通知機制拘束。
3. 3. 控制者保證:控制者保證:(a) 已接受並遵守 Meta、Google 之相關商業工具條款,並遵守適用之廣告平台規範(包含但不限於客戶資料上傳相關政策);(b) 已於控制者之隱私權政策中充分揭露,並依適用法規取得終端消費者對第三方追蹤與資料傳輸之有效同意。
4. 4. 責任限制:以處理者係依控制者之設定與指示傳送,且傳送過程無故意或重大過失為限,處理者對接收方收受資料後之利用、處置或資料安全不負責任。
5. 5. 開關與憑證控制:控制者未啟用者,處理者不傳送任何資料;控制者得隨時於後台停用並移除憑證 / 密鑰(Meta)或撤銷存取授權(Google),停用後處理者即不再傳送。
6. 6. Google Ads 存取授權與用途限制:若控制者啟用 Google 廣告成效回報,須授予處理者專用服務帳號其 Google Ads 帳戶之使用者存取權(因應 Google 平台技術限制,權限須為「標準」)。此授權之用途僅嚴格限制於上傳控制者顧客之轉換事件及查詢處理結果。處理者不得將該存取權用於查看或修改控制者之廣告活動、預算、帳單與付款或其他設定,亦不得移轉或再授權予第三人。控制者聲明並保證其具備合法權限(或已取得帳戶持有人之授權)作出前述授權。控制者得隨時於其 Google Ads 帳戶撤銷該使用者權限,或透過處理者後台解除設定;設定解除或權限撤銷後,處理者即不再具有存取權且停止傳送。

7. 跨境傳輸

部分次處理者(如 GCP、AI 服務)之處理可能涉及境外。處理者應於隱私政策揭露跨境情形,並依個資法就跨境傳輸之告知 / 合法性辦理。實際部署區域屬營運設定。

廣告轉換回報功能(第 6A 條)之資料接收方(如 Meta、Google)其伺服器及處理地點可能位於中華民國(台灣)或歐盟經濟區以外之第三方國家 / 地區。該功能係由控制者自主決定並自行啟用,控制者應確保其已依適用之個人資料保護法規,就該等跨境傳輸向終端消費者履行告知義務並取得法律所需之有效同意。處理者僅依控制者之指令提供相關系統技術接口,並提供啟用、停用、API 憑證 / Pixel 密鑰移除及存取授權解除之系統功能。控制者得隨時透過前述功能停止資料傳輸;控制者停用、移除憑證或撤銷存取授權後,處理者即不再就該功能進行任何資料之傳送。

8. 保存期間與刪除

8.1 保存期間

對話及媒體於控制者訂閱存續期間予以保存,不因時間經過而由處理者主動滾動刪除;媒體資料之儲存受控制者方案之儲存空間額度限制。額度用滿後,新進之圖片、影音及檔案不予儲存(對話文字仍予記錄)。保存期間之長短不擴張本協議 §3.2 所定之資料利用目的。保存期間之延長不改變特種個資之排除適用,控制者應定期檢視並刪除對話中涉及之特種個資。控制者得隨時透過系統功能自行刪除個別對話、媒體或其客戶之資料;控制者應依個資法最小化原則,自行管理並即時清理無保存必要之資料。

8.2(本條刪除)

8.3 訂閱結束 / 未曾付費 / 主動刪除

1. 1. 訂閱結束:委託處理之商業基礎隨之消滅;控制者之資料於訂閱結束後 30 日整店清除,不因曾付費而續存。該 30 日寬限期內完成續訂付款者,資料完整保留。
2. 2. 未曾付費:帳號註冊後逾 30 日未完成方案付款者,其填載之資訊及測試資料於屆期清除(法定應保存者除外)。
3. 3. 主動刪除:控制者得隨時自行刪除個別對話、媒體或客戶資料;刪除後自線上系統即時移除,控制者無法自行復原,系統備份於備份輪替期滿(至多 30 日)後自動覆蓋清除。已由控制者整理進知識庫之內容,依知識庫之規定另行管理。

8.4 法定義務與契約存證資料另計

依法令應保存之資料(如已開立電子發票依稅法保存 5 年、稽核日誌 2 年),以及處理者為證明本服務契約與本協議成立、履行及版本內容所留存之同意紀錄(於整店資料清除前持續留存,並自整店資料清除之日起算留存 10 年,詳見《隱私權政策》),不受本條刪除機制影響,依各該法令及保存期間辦理。

8.5 刪除方式與匯出緩衝

1. 1. 刪除涵蓋主資料庫之對話 / 媒體紀錄及對應之雲端媒體物件。
2. 2. 訂閱結束或依約終止時之清除,系統於屆期前 7 日發送通知至控制者登錄之電子郵件信箱。控制者得於後台「設定 → 資料匯出」自行匯出客戶名單與預約紀錄(CSV)。對話內容同時存於控制者自有之通訊平台帳號(LINE Official Account Manager / Meta Business Suite),由控制者逕自該處留存 —— 處理者不重複提供。

8.6 知識庫內容

店家知識庫內容(含由對話整理之問答)保留至控制者刪除,不隨個別對話之刪除而刪除;訂閱結束後依 §8.3 清除。

9. 當事人權利之協助

終端消費者依個資法行使查詢、更正、刪除、停止處理等權利時,以控制者(店家)為義務人;處理者於合理範圍提供技術協助(如定位 / 刪除特定當事人之對話)。訂閱存續期間,前述協助義務不變。

10. 個資事故通報

處理者於知悉其處理範圍內發生個資外洩 / 遭竄改 / 滅失等事故時,應不遲延、且於知悉後 72 小時內通知控制者,並提供已知之事故範圍、影響與已採措施,協助控制者依個資法辦理通報與通知當事人。

11. 稽核

控制者得於合理範圍、合理頻率,就處理者履行本協議之情形請求說明或提供佐證(如安全措施說明);涉及次處理者者,由處理者協助提供。

12. 終止與資料返還 / 銷毀

本協議隨《服務條款》終止而終止。終止後,除法定義務及契約存證應保存者(§8.4)外,處理者依既有訂閱結束流程(§8.3.1)刪除控制者之對話 / 媒體;控制者得於刪除前依 §8.5 匯出。

13. 責任

各方就其違反本協議所致之損害,依《服務條款》與相關法令負責。因控制者指示違法(含保存期間之合法性)所生對當事人或第三人之責任,由控制者承擔(§4.1.2 / §4.1.4)。具體責任上限與賠償範圍,以《服務條款》第 13 條之約定為準。

14. 準據法與管轄

本協議以中華民國法律為準據法。管轄法院與《服務條款》§15 一致：臺灣士林地方法院。