数据处理协议

简介

本数据处理协议（「DPA」）构成 diffray, Inc.（「处理者」、「我们」）与客户（「控制者」、「您」）之间关于提供 AI 代码审查服务（「服务」）的服务条款的一部分。

本 DPA 适用于我们代表您在提供服务过程中处理个人数据，且此类个人数据受数据保护法约束的情况。

1. 定义

• "个人数据" 指我们代表您处理的与已识别或可识别自然人相关的任何信息。
• "数据保护法" 指所有适用的数据保护和隐私法律，包括 GDPR（欧盟）、UK GDPR、CCPA（加利福尼亚）、LGPD（巴西）和其他适用法规。
• "子处理者" 指我们代表您处理个人数据而聘用的任何第三方。
• "数据主体" 指个人数据所涉及的个人。
• "安全事件" 指任何导致意外或非法销毁、丢失、更改、未经授权披露或访问个人数据的未经授权或非法安全漏洞。

2. 处理范围

2.1 主题

与 GitHub 仓库的 AI 代码审查服务相关的个人数据处理。

2.2 性质和目的

• 提供代码审查和分析服务
• 处理 Pull Request 和仓库数据
• 用户身份验证和账户管理
• 服务分析和改进

2.3 数据主体类别

• 您的员工和承包商
• 与代码仓库交互的最终用户
• 您授权审查的仓库的贡献者

2.4 个人数据类型

• GitHub 用户名和邮箱地址
• 个人资料信息（姓名、头像）
• 仓库元数据和提交信息
• IP 地址和使用数据

2.5 期限

处理持续服务协议期间，加上法律要求或我们隐私政策中规定的任何保留期。

3. 处理者义务

我们应：

• 仅按照您的书面指示处理个人数据，除非法律要求
• 确保被授权处理个人数据的人员受保密义务约束
• 实施适当的技术和组织安全措施
• 未经您事先授权（一般或特定）不聘用子处理者
• 协助您响应数据主体请求
• 协助您确保遵守安全、违规通知和影响评估义务
• 终止时删除或返还所有个人数据，除非法律要求保留
• 提供证明合规所需的信息并允许审计

4. 控制者义务

您应：

• 确保您有处理个人数据的合法依据
• 提供处理个人数据的明确指示
• 确保数据主体已被告知处理情况
• 对提供给我们的个人数据的准确性负责
• 遵守适用的数据保护法

5. 子处理者

您授权我们聘用以下子处理者：

我们将通知您子处理者的任何预期更改，让您有机会提出异议。所有子处理者都受具有同等保护的数据处理协议约束。

6. 安全措施

我们实施并维护适当的技术和组织措施，包括：

• 加密: 传输中 TLS 1.2+；静态 AES-256
• 访问控制: 基于角色的访问、多因素身份验证、最小权限原则
• 基础设施: AWS SOC 2 Type II 认证、隔离的 VPC、安全组
• 监控: 24/7 日志记录、入侵检测、自动告警
• 代码安全: 临时处理环境在每次审查后销毁
• 人员: 背景调查、安全培训、保密协议
• 事件响应: 文档化程序、定期测试、定义的升级路径

7. 数据主体权利

我们将协助您响应数据主体根据数据保护法行使权利的请求，包括：

• 访问权
• 更正权
• 删除权
• 限制处理权
• 数据可携性权
• 反对权

如果我们直接收到数据主体的请求，我们将及时通知您，除非法律禁止。

8. 安全事件通知

一旦发现影响您个人数据的安全事件，我们将：

• 不当延迟地通知您（在可行的情况下 72 小时内）
• 提供有关事件性质、受影响数据类别、大致数据主体数量、可能后果和已采取措施的信息
• 配合您的调查和缓解工作
• 记录事件和补救步骤

9. 数据删除和返还

服务终止或您请求时：

• 我们将在 30 天内删除或返还所有个人数据
• 我们将根据请求提供删除的书面确认
• 仅在适用法律要求的情况下才会在此期限后保留

注意：源代码从不永久存储。每次审查都在临时环境中运行，完成后完全销毁。

10. 审计

在合理通知和保密义务的前提下：

• 我们将提供证明遵守本 DPA 所需的信息
• 我们将允许并配合您或独立审计师进行的审计
• 审计应在正常工作时间进行，每年不超过一次
• 除非审计发现重大不合规，否则您应承担任何审计的费用

我们还维护第三方认证和审计报告（可应要求在 NDA 下提供）。

11. 国际传输

对于在 EEA、英国或瑞士以外传输个人数据：

• 我们依赖欧盟委员会批准的欧盟标准合同条款 (SCC)
• 对于英国传输，我们使用英国国际数据传输协议或 SCC 的英国附录
• 我们在适用指南要求的地方实施补充措施

SCC 通过引用纳入，可应要求提供。

12. 责任

本 DPA 下的责任受服务条款中规定的限制约束。每一方应对违反数据保护法或本 DPA 的处理造成的损害负责。

13. 期限和终止

本 DPA 在我们代表您处理个人数据期间有效。服务终止后，与数据删除、保密和审计权相关的义务将继续有效。

14. 适用法律

本 DPA 应受服务条款中规定的法律（美国特拉华州）管辖，除非数据保护法另有要求。

15. 联系方式

如有关于本 DPA 的问题或请求签署副本：