資料處理附錄

本資料處理附錄（"DPA"）構成OpenWhispr服務條款的一部分並通過引用納入其中；如客戶（"客戶"、"資料控制者"）與Gizmo Labs Inc.之間另有主服務協議或企業協議（"協議"），則構成該協議的一部分並通過引用納入其中。凡Gizmo Labs Inc.（一家在Delaware註冊成立、註冊地址為221 W 9th Street, Wilmington, Delaware 19801的公司，稱"OpenWhispr"、"資料處理者"）在提供OpenWhispr服務（"服務"）過程中代表客戶處理個人資料，本DPA即適用。本DPA無需簽署即生效；如客戶採購流程要求已簽署文字，可使用所附簽署欄。如本DPA與協議在資料保護事項上衝突，以本DPA為準；如本DPA與SCC（或UK Addendum）就受限傳輸發生衝突，在衝突範圍內以SCC（或UK Addendum）為準。本DPA項下通知應發送至雙方的帳戶聯絡人，發送給OpenWhispr的通知還應發送至support@openwhispr.com。

本文件未定義的首字母大寫術語具有資料保護法律賦予的含義。"資料保護法律"指適用於協議項下個人資料處理的所有法律，包括歐盟GDPR（條例(EU) 2016/679）、英國GDPR及Data Protection Act 2018、瑞士FADP和適用的美國州隱私法（包括CCPA/CPRA）。"SCC"指歐盟委員會實施決定(EU) 2021/914中的Standard Contractual Clauses。"UK Addendum"指ICO的International Data Transfer Addendum to the EU SCCs。"受限傳輸"指向未獲適足性決定的第三國傳輸個人資料。"次級處理者"指OpenWhispr為代表資料控制者處理個人資料而聘用的第三方。

OpenWhispr僅作為資料處理者代表客戶處理個人資料。處理的事項、期限、性質和目的、個人資料類型及資料主體類別載於附件1。為免疑義：當終端使用者僅在本地執行OpenWhispr或使用自己的模型API金鑰（"bring your own key"）時，音訊和轉錄/推理內容從使用者設備直接發送至使用者選擇的供應商，或在設備上處理；這些內容流由使用者指示，所涉第三方供應商依使用者指示行事，而非作為OpenWhispr的次級處理者。無論採用何種模式，帳戶資料、雲同步（如啟用）、使用和帳單資料仍由OpenWhispr及其次級處理者按照本DPA處理。OpenWhispr還可為營運、保護和改進服務而處理經匯總及去識別化、已不再構成個人資料的資料（例如服務效能指標），且不會嘗試重新識別。

OpenWhispr不會使用客戶個人資料（包括語音音訊、轉錄文字、筆記、提示詞及與AI代理的對話）訓練、重新訓練或改進任何人工智慧或機器學習模型，無論該模型屬於OpenWhispr還是第三方，並且不允許其次級處理者這樣做。附件3所列模型供應商僅為提供服務而處理此類內容，OpenWhispr帳戶的訓練功能已禁用或選擇不參與。本限制在協議終止後繼續有效。

OpenWhispr將：

1. 僅依客戶的書面指示（協議、本DPA及客戶對服務的配置構成此類指示）處理個人資料，包括進行傳輸，但OpenWhispr所受法律要求處理的除外；在該情況下，除法律禁止外，OpenWhispr將在處理前將該法律要求告知客戶；
2. 確保獲准處理個人資料的人員受保密義務約束；
3. 實施附件2所列技術和組織安全措施，並定期審查；
4. 考慮處理性質，就資料主體請求、安全、外洩通知、資料保護影響評估和事先諮詢向客戶提供協助（第6–9條）；
5. 在服務終止時根據客戶選擇刪除或返還全部個人資料，並在30日內刪除現有副本，但OpenWhispr所受法律要求保留的除外；
6. 提供合理必要的資訊以證明合規，並按照第10條允許並協助審計；以及
7. 如OpenWhispr認為某項指示違反資料保護法律，立即通知客戶。

客戶一般性書面授權OpenWhispr聘用次級處理者。現行名單載於附件3，並發布於OpenWhispr信任中心trust.openwhispr.com（Subprocessors部分）。OpenWhispr向每位次級處理者施加與本DPA同等的資料保護義務（包括傳輸義務），並繼續對其履行負責。OpenWhispr至少提前30日向客戶書面通知擬新增或替換的次級處理者（向客戶帳戶所有者發送電子郵件並更新公開名單）；客戶可在此期間基於合理且有書面依據的資料保護理由提出異議。如雙方不能解決異議，客戶可終止受影響的服務，並獲得已預付費用中與所終止服務相應的按比例退款。

OpenWhispr維持附件2中的措施，並在考慮技術發展水平和個人資料性質後確保其與風險相適應。通過雲端轉錄路徑處理的語音音訊會被即時處理，轉錄後不會由OpenWhispr保存。

OpenWhispr在獲悉影響客戶個人資料的個人資料外洩後，將不得有不當延誤地且在任何情況下於72小時內通知客戶，提供客戶為履行自身通知義務而合理需要的資訊，並配合補救。

考慮處理性質，OpenWhispr將通過適當的技術和組織措施協助客戶回應資料主體行使權利（存取、更正、刪除、限制、可攜帶、反對）的請求。終端使用者可在產品內自行匯出和刪除；OpenWhispr直接收到且能識別客戶組織的請求將不得有不當延誤地轉交客戶。

在OpenWhispr掌握所需資訊的範圍內，OpenWhispr就資料保護影響評估及與監督機關的事先諮詢提供合理協助。

應請求，OpenWhispr將在保密前提下通過信任中心提供現行合規文件（SOC 2 Type 2：審計已完成且觀察期已結束，最終報告發布後可依NDA提供；通過合規平台簽發的GDPR和HIPAA證明，2026；與ISO 27001一致的資訊安全計劃）。如資料保護法律賦予客戶強制性審計權且上述報告不能滿足該權利，OpenWhispr允許客戶或獨立審計員在任何12個月內進行不超過一次審計，並在發生經確認、影響客戶個人資料的外洩後額外進行審計；每次均須至少提前30日通知，並受保密義務和OpenWhispr安全政策約束。客戶自行承擔審計費用。對於受限傳輸，本條不影響SCC項下的審計權。

客戶保證，其指示及向OpenWhispr提供個人資料符合資料保護法律，包括具有合法依據、向資料主體提供必要通知，並且在終端使用者可能口述或處理特殊類別個人資料（例如健康資訊）時，確保具備適當法律依據並簽訂任何必要協議（HIPAA見第14條）。

本條適用於從EEA、英國或瑞士向這些地區以外國家傳輸個人資料，包括任何受限傳輸。OpenWhispr及其次級處理者主要在美國處理個人資料（各次級處理者地點見附件3）。每項傳輸應採用以下第一個適用機制：

1. 適足性。 如目的地享有適足性決定，傳輸以該決定為依據。
2. Standard Contractual Clauses。 對於來自EEA的任何受限傳輸，雙方簽訂SCC模組二（資料控制者 → 資料處理者），客戶為資料輸出方，OpenWhispr為資料輸入方；該SCC通過引用納入本DPA，並按以下方式填寫：不採用第7條（加入）；第9條選項2（一般授權，提前30日通知）；不採用第11條可選救濟機構；第13條/附件I.C的主管監督機關：Irish Data Protection Commission；第17條準據法：愛爾蘭法律；第18條法院：愛爾蘭法院；本DPA附件1–3構成SCC附件I–III。向次級處理者的後續傳輸適用模組二SCC第8.8及9(b)條（傳遞相同義務）。
3. 英國和瑞士傳輸。 對於英國個人資料，雙方簽訂並以附件資訊填寫UK Addendum to the EU SCCs；對於瑞士個人資料，SCC按FADP修訂後適用。

如OpenWhispr將來依據EU–US Data Privacy Framework完成自我認證，傳輸還可依賴該認證。

如傳輸影響評估確定需要補充措施，雙方將予以實施，OpenWhispr將支援客戶的評估。OpenWhispr同意SCC規定的義務，包括在無法遵守時通知客戶。

如OpenWhispr收到公共機關就客戶個人資料提出的具有法律約束力的請求，將在法律允許範圍內：及時通知客戶；審查請求合法性並在有合理依據時提出質疑；僅披露法律要求的最少資料。OpenWhispr保存此類請求記錄供客戶審查。

本DPA並非Business Associate Agreement。如客戶屬於HIPAA規定的Covered Entity或Business Associate，除非雙方另行簽訂Business Associate Agreement，否則終端使用者不得通過雲服務處理受保護的健康資訊（protected health information，PHI）。OpenWhispr可應發送至support@openwhispr.com的請求，向Business及以上方案的客戶提供BAA。簽訂後，該BAA在衝突範圍內取代本DPA並規管PHI。

在CCPA/CPRA或其他美國州隱私法適用的範圍內，OpenWhispr作為"service provider"/"processor"行事：不出售或共享個人資料；除提供服務或法律允許外，不保留、使用或披露個人資料；並確認其理解且將遵守這些限制。

資料保護事項的責任按協議規定並受其中任何上限約束。只要OpenWhispr仍代表客戶處理個人資料，本DPA即持續有效。

A. 雙方（SCC附件I.A）。 資料輸出方：客戶（資料控制者）——名稱、地址和聯絡人以協議或訂單為準。資料輸入方：Gizmo Labs Inc.（資料處理者），221 W 9th Street, Wilmington, Delaware 19801, USA，聯絡人：support@openwhispr.com；活動：提供下述服務。

B. 處理說明（SCC附件I.B）。

OpenWhispr安全計劃概要（當前詳情：OpenWhispr信任中心 — trust.openwhispr.com，Security Controls部分）：

• 個人資料在傳輸中（TLS 1.2+）及靜態時加密。
• 雲端語音音訊即時處理，轉錄後不由OpenWhispr保存（轉錄/推理次級處理者依其協議臨時處理音訊）；僅本地及bring-your-own-key模式完全繞過OpenWhispr雲。
• 按最小權限原則進行存取控制，生產系統啟用MFA及日誌記錄/監控；每月審查會話和登錄監控。
• 漏洞和補丁管理；安全開發實踐。
• 具備韌性和備份並記錄恢復目標（主要資料儲存RTO ≤ 4h / RPO ≤ 1h），每年測試應急計劃。
• 人員保密義務和安全培訓。
• 次級處理者治理：合同義務傳遞（第5條）、公開名單，與主要內容儲存次級處理者（資料庫；雲端轉錄/LLM）簽訂BAA；其餘HIPAA路徑次級處理者的覆蓋正在推進。
• 獨立審查：SOC 2 Type 2審計已完成且觀察期已結束；最終報告發布後可依NDA提供。合規證明：GDPR和HIPAA（2026，通過OpenWhispr合規平台）。資訊安全計劃與ISO 27001:2022一致，已實施附件A全部93項控制措施（尚未進行認證審計）。

截至2026-07-17獲授權的次級處理者（即時名單：OpenWhispr信任中心，trust.openwhispr.com，Subprocessors部分）。法人實體名稱及處理地點已於2026-07-17根據各供應商條款/DPA核實。"US (primary)"指供應商條款將美國列為主要處理地點，同時允許其自身次級處理者在其他國家處理。"第9(b)條義務傳遞"指在受限傳輸適用時，依據模組二SCC第8.8及9(b)條對次級處理者施加相同義務的合同。

本附件列出在產品服務中處理客戶個人資料的次級處理者。Google（OAuth登錄及可選Calendar集成）不是次級處理者：登錄由Google作為獨立資料控制者提供，行事曆資料僅快取在使用者設備上。OpenWhispr更廣泛的供應商透明度名單（包括RB2B、lemlist和GitHub等行銷網站及營運供應商；對於這些供應商，Gizmo Labs作為資料控制者，或其不接收客戶個人資料）發布於OpenWhispr信任中心。