資料處理附約
依 GDPR 第 28 條，代表企業與團隊客戶處理個人資料的條款，涵蓋安全措施、次處理者及刪除程序。
本文件本於善意提供，不構成法律意見。
生效日期：2026 年 6 月 7 日
本資料處理附約（「DPA」）為在英格蘭及威爾斯註冊的 Juste Tools LTD（「Juste Tools」、「Clavio」、「處理者」）與訂閱 Clavio 服務的客戶組織（「客戶」或「控管者」）之協議的一部分，規範 Clavio 代表客戶進行的個人資料處理。本附約旨在符合英國 GDPR 與歐盟 GDPR 第 28 條。若本附約與協議其他部分在資料保護事項上有衝突，以本附約為準。
本附約逐一與客戶簽署。欲訂立附約，請寄信至 office@justetools.co.uk，提供公司名稱、管轄地與簽署人，我們會回傳預填的待簽署版本。若條款實質相當，我們也接受會簽客戶自備的 DPA。
1. 定義
控管者、處理者、次處理者、資料當事人、個人資料、處理與個人資料外洩等用語，依英國 GDPR 與歐盟 GDPR 的定義。「資料保護法」指英國 GDPR、歐盟 GDPR（規則 2016/679）、英國 2018 年資料保護法與其他適用的資料保護或隱私法律。
2. 角色與範圍
就本協議處理的個人資料而言，客戶為控管者，Clavio 為處理者；若客戶本身是其終端使用者的處理者，Clavio 則為次處理者。Clavio 僅為提供與支援服務而處理個人資料。處理標的、期間、性質、目的、資料類型與當事人類別載於下方附件 A。
3. 處理者義務（第 28 條）
Clavio 應：
- 書面指示 — 僅依客戶有紀錄的指示（含協議與本附約）處理個人資料；法律另有要求時除外，在此情況下，Clavio 應於法律允許時先告知客戶。
- 保密 — 確保獲授權處理個人資料的人員負有適當保密義務。
- 安全 — 實施第 6 節與附件 B 所述的技術及組織措施（第 32 條）。
- 次處理者 — 僅依第 5 節委任次處理者。
- 協助當事人行使權利 — 考量處理性質，以適當措施協助客戶回應當事人請求，包括存取、更正、刪除、限制、可攜與反對。
- 協助遵循法規 — 考量 Clavio 可取得的資訊，協助客戶遵循第 32–36 條，涵蓋安全、外洩通知、資料保護影響評估與事前諮詢。
- 刪除或返還 — 服務結束後，依客戶選擇刪除或返還全部個人資料，並刪除現有副本，法律要求保留者除外（見第 8 節）。
- 稽核 — 提供證明遵循第 28 條所需的資訊，並在合理保密與安全安排下，允許及協助客戶或其委任稽核人員進行稽核，包括檢查。
4. 個人資料外洩
Clavio 知悉影響客戶個人資料的外洩後，應無不當延誤地通知客戶，並提供合理可取得的資訊，以協助客戶履行第 33 與 34 條對監管機關及資料當事人的通知義務。
5. 次處理者
客戶一般授權 Clavio 委任次處理者提供服務。現行次處理者列於隱私權政策及下方清單。Clavio 將對每位次處理者課予與本附約實質相當的資料保護義務，並對其履行負責。Clavio 將告知預定變更，讓客戶有機會基於合理資料保護理由提出反對。
- Anthropic — 對轉寫文字進行 AI 潤飾；處理逐字稿與聽寫內容。
- OpenAI (Whisper) — 語音轉文字；處理語音錄音。
- Groq — 在設定啟用時可能提供語音轉文字；依適用帳戶資料控制處理錄音與相關推論資料。
- Lemon Squeezy — 作為名義商家處理付款與訂閱帳務；處理帳戶及身分資料（姓名、電子郵件）、帳單及付款資訊與課稅國家。
- Apple — 登入與身分驗證；處理帳戶及身分資料。
- Google — 登入與身分驗證；處理帳戶及身分資料。
- Railway — 應用程式代管與資料庫基礎設施；可能處理附件 A 所述全部類別。
- GitLab — 軟體交付與營運工具；處理診斷及營運資料。
6. 安全措施（第 32 條）
Clavio 維持適當技術與組織措施保護個人資料，包括傳輸加密（TLS）、僅儲存雜湊後的驗證權杖而非密碼、依必要知悉原則控制存取、使用信譽良好的基礎設施供應商，以及維持服務持續保密性、完整性、可用性與韌性的營運實務。措施摘要見附件 B。
7. 國際傳輸
若依本附約的處理涉及將資料自英國或歐洲經濟區傳至未獲適足性認定的國家，雙方同意依第 46 條採用適當保障，即歐盟執委會標準合約條款（EU 2021/914），以及英國傳輸適用的英國國際資料傳輸協議／英國附錄。上述文件以引用方式納入本附約，並以附件資料補充。我們依標準程序直接簽署這些條款，不另行協商。
8. 期間、刪除與返還
只要 Clavio 代表客戶處理個人資料，本附約即適用。服務終止或到期時，Clavio 應依客戶選擇刪除或返還個人資料，並刪除現有副本，但短期備份輪替窗口與法定保留要求除外。
9. 附件 A — 處理詳情
- 標的與性質：提供 AI 語音聽寫服務，包括擷取、傳送、轉寫與潤飾，以及帳戶和訂閱管理。
- 目的：向客戶及其授權使用者提供服務。
- 期間：協議有效期間，加上第 8 節所定有限的結束處理期間。
- 當事人類別：客戶的授權使用者，例如員工或團隊成員。
- 個人資料類型：帳戶與身分資料（使用者識別碼、姓名、電子郵件，含 Apple 私密轉寄地址）；錄音與逐字稿；訂閱、帳單與付款資訊（由名義商家 Lemon Squeezy 處理），含課稅國家；使用、診斷及裝置／作業系統資料。
- 特殊類別資料：語音錄音，僅為產生逐字稿而暫時處理，不用於訓練 AI 模型。
10. 附件 B — 安全措施摘要
- 個人資料傳輸加密（TLS）。
- 透過登入身分供應商驗證；僅儲存雜湊權杖，不儲存密碼。
- 依角色及必要知悉原則控制系統與資料存取。
- 依資料保護條款使用信譽良好、經安全審查的基礎設施與 AI 次處理者。
- 以紀錄與監控偵測及回應安全事件，並建立通知客戶個人資料外洩的流程。
- 採取措施，在事件後及時恢復個人資料的可用性與存取。
11. 聯絡方式
欲索取、簽署本附約或提出疑問，請聯絡 office@justetools.co.uk。