本数据处理协议（“DPA”）是 ARIA《条款与条件》的补充，并在 ARIA 依据 GDPR 第 28 条以您的名义（以客户企业的名义）处理个人数据时适用。
1. 角色
您（客户企业）是与 ARIA 互动的您客户的数据的数据控制者（data controller）。我们（运营 ARIA 服务的 Annapolis Tour S.R.L.）是数据处理者（data processor），仅依据您的指示和本条款处理这些数据。
2. 处理的目的
我们处理个人数据，唯一目的是向您交付 ARIA 服务：接收您客户的消息、以您的名义回复、保留对话的上下文、将敏感情况上报给您的团队，以及向您提供聚合的使用报告。
3. 数据类别
我们处理您客户的以下类别的个人数据：
| 类别 | 示例 |
|---|---|
| 身份识别数据 | 姓、名（若已提供） |
| 联系数据 | 电话号码、电子邮箱 |
| 对话内容 | 文字消息、语音转写文本、附件 |
| 元数据 | 消息时间、渠道、检测到的语言 |
| 交易上下文 | 贵企业特有的细节（预订、预约等） |
4. 处理的期限
处理的期限与您和我们之间合同的期限相同。合同终止时，数据最迟在 30 天内从我们的系统中删除，或按您的要求以标准格式返还给您。
5. 子处理者
我们使用以下子处理者。该名单可能在提前 14 天通知后更新。
| 子处理者 | 目的 | 所在地 |
|---|---|---|
| Contabo GmbH | 主机托管（服务器、基础设施） | 法国 Lauterbourg（欧盟） |
| Mistral AI SAS | 语言模型（消息的处理），通过带保留退出设置的代理 | 法国（欧盟） |
| Soniox Inc. | 电话通话中的语音转文字 | 欧洲接入点（欧盟） |
| ElevenLabs Inc. | 电话通话中 ARIA 语音的合成 | 美国（SCCs） |
| Telnyx LLC | 电话通话的传输（号码与连接） | 美国（SCCs） |
| Meta Platforms Ireland Ltd. | WhatsApp 连接（消息渠道） | 爱尔兰（欧盟）/ 美国（SCCs） |
在适用的情况下，所有子处理者均由包含标准合同条款（SCCs）的合同覆盖。
6. 安全措施
我们采用安全页面上所述的技术与组织措施：传输中的 TLS 1.3 加密、静态存储的 AES-256 加密、对生产系统的受控访问、硬件认证、每周审计。
7. 对您的协助
我们协助您回应行使 GDPR 权利的客户的请求。如果某位客户向您请求删除或导出其数据，我们可以在收到您的请求后最迟 5 个工作日内完成。
8. 事故通知
对于影响您数据的任何安全漏洞，我们依据 GDPR 第 33 条，最迟在我们检测到之时起 72 小时内通知您。
9. 审计
在提前 30 天提出书面请求的情况下，我们允许您（或经认可的第三方审计机构）审计我们的数据处理实践。审计费用由您承担，除非审计发现了实质性问题。
10. 向欧盟境外传输数据
您的数据不会为存储目的传输至欧盟境外；主机托管与语言处理（Mistral AI）在欧盟境内进行，语音转写（Soniox，通过其欧洲接入点）同样如此。对于语音合成（ElevenLabs）、电话通话的传输（Telnyx）以及 WhatsApp 连接，某些供应商也可能在美国处理数据，并由标准合同条款（SCCs）覆盖。除非企业主动提出要求，否则不会为其启用电话功能，因此如果您不使用电话通话，与语音相关的传输就不适用。
11. 变更
本 DPA 的变更通过至少提前 30 天的通知生效。当前版本的日期标注在页面顶部。
12. 联系方式
关于数据处理的任何问题：[email protected]。
翻译说明
本页面是罗马尼亚语原文的中文译本。如两个版本之间存在任何差异，以 ariaknows.com/dpa 上的罗马尼亚语版本为准。