本数据处理协议（以下简称“DPA”）由位于 3 rue de la Rainière, 44339, Nantes, France 的法国公司 MyScript SAS（以下简称“MyScript”或“处理方”）与您（以下简称“您”、“您的”或“控制方”）共同签订，二者合称为“双方”。
本 DPA 是 MyScript 法律声明和使用条款不可分割的组成部分，对创建 MyScript 帐户的任何人都具有法律约束力。如果您不创建 MyScript 帐户，则本 DPA 不适用。
本 DPA 符合现行法律框架中与数据处理有关的要求，亦符合欧洲议会和理事会于 2016 年 4 月 27 日通过的欧盟 2016/679 号条例（通用数据保护法规），该条例涉及个人数据处理方面的自然人保护和此类数据的自由流动，并废除了 95/46/EC 号指令。
1.1 除非本 DPA 中另有规定，否则其中使用的术语和表达应具有以下含义：
“数据保护法”是指欧盟、欧洲经济区及其成员国、瑞士和英国实行的适用于个人数据处理的法律和法规，包括通用数据保护法规 (GDPR)；
“数据传输”是指：
- 用户个人数据从您那里传输到处理方；或者
- 用户个人数据从处理方继续传输到子处理方，或者在处理方的两个机构之间继续传输，在每种情况下，数据保护法（或为解决数据保护法的数据传输限制而制定的数据传输协议的条款）均禁止进行此类传输；
“DPA”是指本数据处理协议，包括所有附件；
“EEA”是指欧洲经济区；
“GDPR”是指欧盟通用数据保护法规，即第 2016/679 号条例；
“最终用户”是指经您授权通过开发者门户使用 MyScript Cloud 识别服务的自然人；
“服务”是指 MyScript 通过以下方式提供的服务：(i) 通过 Nebo 云存储和共享平台，或 (ii) 通过管理和回复 Nebo 支持请求，或 (iii) 通过 MyScript 文本识别开发者门户。仅当您创建了 MyScript 帐户后，才能访问这些服务；
“子处理方”是指由处理方或处理方代表指定、负责在与提供服务或本 DPA 相关的事项中代表您处理用户个人数据的任何自然人或法人；
“用户个人数据”是指通过服务上传到/发送给处理方的任何文件、笔记或文档中包含的任何个人数据，例如您上传到 Nebo 云的任何笔记本。（这可能包括您自己的个人数据，还包括您通过服务与处理方共享的任何其他自然人的任何个人数据。）
1.2 “控制方”、“数据主体”、“成员国”、“个人数据”、“个人数据泄露”、“处理”和“处理方”等术语应具有与 GDPR 中相同的含义，相关术语也应据此进行解释。
2.1 就本 DPA 而言，根据 GDPR 中的定义，MyScript 担任处理方，而您担任控制方。
2.2 处理方应：
- 在处理用户个人数据时，遵守所有适用数据保护法；而且
- 除非根据您的书面指示，否则不得处理用户个人数据。
2.3 您特此指示处理方处理用户个人数据，以便提供服务。
处理方应采取合理措施，确保己方可能有权访问用户个人数据的任何员工、代理人或承包商的可靠性；确保在每种情况下，该访问权限严格限于需要访问相关用户个人数据来提供服务、或在处理方组织内履行职责的人员、并在其对处理方的职责范围内遵守适用法律的人员；确保所有此类人员均受到保密承诺的约束，或受到职业或法定保密义务的约束。
4.1 处理方的安全责任
4.1.1 考虑到当前技术水平、实施成本和处理的性质、范围、背景与目的，以及自然人权利和自由具有不同可能性和严重性的风险，处理方应针对用户个人数据，实施适当的技术和组织措施，以确保与该风险相称的安全级别，包括在适当情况下实施 GDPR 第 32(1) 条中所述的措施。
4.1.2 在评估适当的安全级别时，处理方尤其应该考虑到处理可能带来的风险，特别是个人数据泄露带来的风险。
4.1.3 处理方的安全措施在本 DPA 的附件 2 中有更详尽的说明。
4.2 您的安全责任
4.2.1. 您同意，在不损害处理方根据第 4.1 节（安全措施）和第 7 节（个人数据泄露）所承担的义务的前提下：
4.2.1.1 您对您的服务使用承担全部责任，包括 (i) 确保您已从通过服务处理其个人数据的任何自然人那里获得了所有必要许可，以及 (ii) 安全地保管您的所有登录凭据和密码，并定期更换。
4.2.1.2.处理方没有义务保护您选择存储在或传输到处理方（或子处理方）系统之外的用户个人数据。
4.2.2.您全权负责审查安全措施，并自行评估服务、安全措施、附加安全信息和处理方在本协议第 4 节（数据安全）项下的承诺是否符合您的需求，包括与您所在司法管辖区适用数据保护法所规定的任何安全义务有关的需求。
5.1 除非经您要求或授权，否则处理方不得将用户个人数据传输给任何第三方，也不得指定任何子处理方（或向其披露任何用户个人数据）。
5.2 您特此授权本 DPA 附件 1 中列出的子处理方，根据提供服务的需要，接收和处理用户个人数据。在任何新子处理方处理任何用户个人数据之前，处理方应将附件 1 的任何变更通知您，而您可以停止使用服务。
5.3 处理方应对其子处理方的作为和不作为承担责任，其责任程度与处理方直接根据本 DPA 的条款以及法律声明和使用条款履行各子处理方的服务所承担的责任相同。
6.1 考虑到处理的性质，处理方应尽可能通过实施适当的技术和组织措施，协助您履行处理方所合理理解的根据数据保护法响应数据主体权利行使请求的义务，数据主体权利即访问权、更正权、限制处理权、删除权、数据可移植权、反对处理权或其不受自动个人决策约束的权利（以下简称“数据主体请求”）。
6.2 处理方应：
- 在收到数据主体根据任何数据保护法提出的有关用户个人数据的请求时立即通知您；而且
- 确保除非按照您的书面指示或处理方须遵守的适用法律要求，否则不得响应该请求，在后一种情况下，处理方应在适用法律允许的范围内，于处理方响应该请求之前，将该法律要求告知您。
6.3 考虑到处理的性质，处理方将尽可能通过适当的技术和组织措施，协助您履行根据欧洲数据保护法响应数据主体请求的义务。此外，如果您在使用服务时无法处理数据主体请求，处理方应根据您的书面请求，为您提供合理的合作与协助，以便您响应此类数据主体请求，前提是法律允许处理方这样做，而且欧洲数据保护法要求对此类数据主体请求做出响应。在法律允许的范围内，您应承担处理方提供此类协助所产生的任何费用。
7.1 处理方应在得知影响用户个人数据的个人数据泄露事件后，立即通知您和主管监管机构，并向您提供足够的信息，以便您根据数据保护法履行任何向数据主体报告或通知个人数据泄露事件的义务。
7.2 处理方应与您合作并按照您的指示采取合理的商业措施，以协助调查、缓解和补救每一起此类个人数据泄露事件。
7.3 任何个人数据泄露事件的通知均将通过直接通信的方式递送给您。您应全权负责确保向处理方提供的任何联系信息（包括通知电子邮件地址）均为最新且有效。
7.4 处理方不会评估用户个人数据的内容来识别受任何特定法律要求约束的信息。您应全权负责遵守适用的事件通知法律，并履行与任何个人数据泄露相关的任何第三方通知义务。
7.5 处理方根据本协议第 7.1 节（个人数据泄露）发出的个人数据泄露通知或做出的个人数据泄露响应，不应被解释为处理方承认与个人数据泄露有关的任何过失或责任。
处理方应向您提供合理的协助，以便您进行您合理认为 GDPR 第 35 条或第 36 条或任何其他数据保护法的同等条款所要求的任何数据保护影响评估，以及与监管机构或其他数据隐私主管机构的事先协商，在每种情况下，这些评估或协商都仅与处理方的用户个人数据处理有关，而且应考虑到处理的性质和处理方可获得的信息。
9.1 在您提出明确请求或自行删除帐户后，处理方应删除处理方已经处理或正在处理的用户个人数据。删除是彻底的，处理方不得保留此类用户个人数据的任何副本。
9.2 服务终止后，处理方应立即，且在任何情况下均应在涉及用户个人数据处理的任何服务终止之日起 12 个月内，删除并设法删除服务提供期间已传输给处理方（或任何子处理方）的此类用户个人数据的所有副本（如有）。
10.1 处理方应定期进行审计，并确保所有子处理方同样定期进行审计，以确保其遵守本 DPA 及其根据适用数据保护法所承担的义务。
10.2 根据本协议第 10 节的规定，处理方应在您提出请求且已签订充分保密协议的前提下，向您提供所有必要信息，以证明处理方和/或子处理方在用户个人数据处理方面遵守本 DPA。
10.3 您可以请求进行任何审计，包括任何检查；根据适用的数据保护法，您有权代表自己以及在作为处理方时代表您的控制方，通过指示处理方进行第 10.1 节中所述的审计，来提出请求或授权。
10.4 如果您希望更改有关审计的此指示，则您有权通过向处理方 legal@myscript.com 发送书面通知请求更改此指示。如果处理方拒绝遵循您提出的有关审计（包括检查）的任何请求和/或指示，则您有权立即终止服务。
11.1 未经您事先书面同意，处理方不得将用户个人数据传输或授权传输到欧盟和/或欧洲经济区以外的国家/地区。如果将根据本 DPA 处理的个人数据从欧洲经济区内的国家/地区传输到欧洲经济区外的国家/地区，双方应确保用户个人数据得到充分保护。为了实现这一目标，除非双方另有约定，否则双方应依据欧盟批准的标准合同条款来传输个人数据。
11.2 本 DPA 的附件 1 中提供了接收用户个人数据的子处理方及其所在国家/地区的列表。就上文第 11.1 节而言，您同意将用户个人数据传输给附件 1 中列出的子处理方。
12.1 期限。本 DPA 在您接受法律声明和使用条款后生效，并在处理方向您提供服务期间持续有效。
12.2 通知。如果是 MyScript 联系您，那么根据本 DPA 发出的所有通知和通信均必须以书面形式，通过电子邮件发送至用于创建 MyScript 帐户的地址；如果是您希望通知 MyScript，则必须发送至 legal@myscript.com。
12.3 法律和司法管辖权。本 DPA 受法国法律管辖。对于由本 DPA 引起或与本 DPA 有关的任何争议，如果双方无法友好解决，则应服从法国主管法院或当局的专属司法管辖权。
12.4 条款分割。如果本 DPA 的任何条款无效或无法执行，则本 DPA 的其余条款仍然有效且具有效力。无效或无法执行的条款 (i) 应根据需要进行修订，以确保其有效性和可执行性，同时尽可能保留双方的意图，或者如果此举不可行，则 (ii) 应以无效或不可执行的部分似乎从未包含在本 DPA 中的方式对其进行解释。
12.5 如果要提出索赔、投诉或请求，应联系的主管监管机构为 Commission Nationale des Informations et des Libertés (CNIL)，请通过以下链接与其联系：https://www.cnil.fr/fr/plaintes/。
1.1 Nebo Cloud 服务
| 子处理方 | 目的 | 数据中心位置 |
|---|---|---|
| AWS | 云基础设施提供商 | 欧盟 |
| Freshworks | 接收和管理支持请求，其中可能包括文件传输（笔记本） | 欧盟 |
| Claranet | 基础设施提供商 | 欧盟 |
1.2 Nebo 生成式人工智能功能
| 子处理方 | 目的 | 数据中心位置 |
|---|---|---|
| OpenAI | 服务提供商 | 全球（标准合同条款） |
| AWS | API 托管 | 欧盟 |
1.3 通过开发者门户实现的 MyScript Cloud 识别功能
| 子处理方 | 目的 | 数据中心位置 |
|---|---|---|
| AWS | 云基础设施提供商 | 美国俄勒冈州（标准合同条款） |
| Claranet | 基础设施提供商 | 欧盟 |
处理方将在代表您处理用户个人数据时，实施和维护以下技术及组织安全措施：
物理访问控制
处理方应采取合理措施阻止物理访问，例如受保护的建筑和服务器机房，以防止未经授权的人员访问用户个人数据，或确保代表其运营数据中心的子处理方遵守此类控制措施。
系统访问控制
处理方应采取合理措施阻止用户个人数据遭到未经授权的使用。这些控制措施应根据所进行处理的性质而有所不同，可能包括但不限于：通过密码进行身份验证（适用时结合多重身份验证）、记录在案的授权流程、防火墙、记录在案的变更管理流程以及/或多级别访问日志记录和自动安全更新。
系统访问控制
处理方应采取合理措施阻止用户个人数据遭到未经授权的使用。这些控制措施应根据所进行处理的性质而有所不同，可能包括但不限于：通过密码进行身份验证（适用时结合多重身份验证）、记录在案的授权流程、防火墙、记录在案的变更管理流程以及/或多级别访问日志记录和自动安全更新。
数据访问控制
处理方应采取合理措施，确保用户个人数据只能由经过适当授权的人员访问和管理，直接数据库查询访问受到限制，且应用程序访问权限已得到建立和强制执行，以确保有权使用数据处理系统的人员只能访问其有权限访问的用户个人数据，而且在处理过程中，未经授权无法读取、复制、修改或删除用户个人数据。
传输控制
处理方应采取合理措施，确保可以检查并确定已设想通过数据传输设施向哪些实体传输用户个人数据，从而在电子传输或运输过程中，防止未经授权读取、复制、修改或删除用户个人数据。这些措施包括使用经过认证的安全服务器连接和限制所有 API 上的跨源资源共享。
输入控制
处理方应采取合理措施，确保可以检查并确定元数据是否已输入到数据处理系统，是否已修改或删除。处理方应充分利用行业最佳实践、本协议下的身份验证加密协议以及安全审计日志记录。
数据备份
服务中的数据库会定期进行备份、受到保护并采用静态加密，以防止用户个人数据遭到意外破坏或丢失。每 12 小时拍摄一次快照 (AWS)。我们的服务器每三天进行一次加密备份。
名称：MyScript SAS
地址：3 rue de la Rainière 44339, Nantes, France
联系人姓名、职位和联系方式：
Emilie Fowell，数据保护官，legal@myscript.com
已传输数据的相关活动：服务履行
角色（控制方/处理方）：处理方
3.1 Nebo Cloud 服务
1.个人数据被传输的数据主体的类别：
您可以向服务提交用户个人数据，提交范围完全由您确定和控制。
2.传输的个人数据的类别：
- 您为了与 MyScript 共享或存储在 Nebo 云上而通过服务发送给处理方的笔记本中包含的非结构化用户个人数据。
3.特殊类别的数据：
MyScript 不收集任何特殊类别的数据（例如种族或民族起源、政治观点、宗教或哲学信仰、工会成员资格、遗传或生物特征数据、健康和性生活等）。但 MyScript 并不知晓上文所述的非结构化用户个人数据的内容。
4.传输频率
非结构化用户个人数据将根据您的服务使用频率，持续传输给我们在附件 1 中列出的子处理方。
5.处理性质
处理性质是履行服务。
6.数据传输和进一步处理的目的
MyScript 将根据需要处理用户个人数据，以履行您请求的服务。
7.个人数据将被保留的期限，或者如果无法确定该期限，则为用于确定该期限的标准
只要您决定通过 Nebo Cloud 存储或共享用户个人数据，非结构化用户个人数据就会被传输到处理方的服务器上。如果您删除您的 MyScript 帐户，则所有用户个人数据都将自动从所有存储点中删除。
8.对于向（子）处理方的传输，还需要指定处理的主题、性质和期限
子处理方将根据需要处理用户个人数据来履行服务。除非另有书面约定，或如果您已请求事先删除用户个人数据，否则只要您拥有 MyScript 帐户，子处理方就将处理用户个人数据。本 DPA 的附件 1 中列出了用于提供服务的子处理方的身份及其所在国家/地区。
3.2 Nebo 生成式人工智能功能
1.个人数据被传输的数据主体的类别：
您可以向服务提交用户个人数据，提交范围完全由您确定和控制。
2.传输的个人数据的类别：
- 您为了生成内容并将其导入笔记本而通过服务发送给处理方的笔记本中包含的非结构化用户个人数据。
3.特殊类别的数据：
MyScript 不收集任何特殊类别的数据（例如种族或民族起源、政治观点、宗教或哲学信仰、工会成员资格、遗传或生物特征数据、健康和性生活等）。但 MyScript 并不知晓上文所述的非结构化用户个人数据的内容。
4.传输频率
非结构化用户个人数据将根据您的服务使用频率，持续传输给我们在附件 1 中列出的子处理方。
5.处理性质
处理性质是履行服务。
6.数据传输和进一步处理的目的
MyScript 将根据需要处理用户个人数据，以履行您请求的服务。
7.个人数据将被保留的期限，或者如果无法确定该期限，则为用于确定该期限的标准
当您将非结构化用户个人数据包含在要通过人工智能功能生成内容的请求中时，这些数据将暂时传输到子处理方的服务器。
8.对于向（子）处理方的传输，还需要指定处理的主题、性质和期限
本 DPA 的附件 1 中列出了用于提供服务的子处理方的身份及其所在国家/地区。子处理方将根据需要处理用户个人数据来履行服务。子处理方 OpenAI 会将用户个人数据保留 30 天，以便监视是否存在非法和/或滥用内容，然后将其删除。用户个人数据仅通过子处理方 AWS 服务器传输，然后将被立即删除。
3.3 通过开发者门户实现的 MyScript Cloud 识别功能
1.个人数据被传输的数据主体的类别：
您可以向服务提交用户个人数据，提交范围完全由您确定和控制。
2.传输的个人数据的类别：
- 您为了将手写笔记转换成键入文本而通过服务发送给处理方的文档中包含的非结构化用户个人数据。
- 最终用户 IP 地址。
3.特殊类别的数据：
MyScript 不收集任何特殊类别的数据（例如种族或民族起源、政治观点、宗教或哲学信仰、工会成员资格、遗传或生物特征数据、健康和性生活等）。但 MyScript 并不知晓上文所述的非结构化用户个人数据的内容。
4.传输频率（例如，数据是一次性传输还是持续传输）
上述所有类别的数据都将根据服务的使用情况，持续传输给我们在附件 1 中列出的子处理方。
5.处理性质
处理性质是履行服务。
6.数据传输和进一步处理的目的
MyScript 将根据需要处理个人数据来履行服务。
7.个人数据将被保留的期限，或者如果无法确定该期限，则为用于确定该期限的标准
非结构化用户个人数据将在处理即将开始时传输到处理方的服务器，然后返还给最终用户，处理方不会存储这些数据。IP 地址将在日志记录中保留 12 个月。除非您以书面形式明确提出请求，否则处理方不会存储非结构化用户个人数据。
8.对于向（子）处理方的传输，还需要指定处理的主题、性质和期限
子处理方将根据需要处理用户个人数据来履行服务。除非另有书面约定，否则只要您使用服务，子处理方就将处理个人数据。本 DPA 的附件 1 中列出了用于提供服务的子处理方的身份及其所在国家/地区。
主管监管机构
如果要提出索赔、投诉或请求，应联系的主管监管机构为 Commission Nationale des Informations et des Libertés (CNIL)，请通过以下链接与其联系：https://www.cnil.fr/fr/plaintes/。