数据处理协议（模板）
这是 GPT Workspace 与企业客户签署的数据处理协议（DPA）模板。如需获取已填写的版本，请致信 contact@gpt.space，并在邮件中注明贵公司的法定名称、地址、联系人及席位数。协议中涉及的处理器已在信任中心中列明并持续更新。
本模板仅供参考，不构成法律意见。 签署前请交由您的法律顾问审查。方括号字段将在签署前填写。
数据处理协议
Section titled “数据处理协议”本数据处理协议（“DPA”）构成 GPT Workspace（“服务”）使用协议的一部分，签署方为：
- [CUSTOMER LEGAL NAME]，[CUSTOMER ADDRESS]，[REGISTRATION NUMBER]（“客户“或”控制者“），与
- GPTW LLC，150 Central Park, Los Alamos, New Mexico, USA（“提供商“或”处理者“），
以下合称”双方“。本协议于 [EFFECTIVE DATE] 生效，在提供商代表客户处理个人数据期间持续有效。
“GDPR“指欧盟第 2016/679 号法规，以及在适用情况下，2018 年《数据保护法》中定义的英国 GDPR。”个人数据“、”处理“、”控制者“、”处理者“、”数据主体“、”监管机构“和”个人数据泄露“具有 GDPR 第 4 条所赋予的含义。”子处理者“指提供商为代客户处理个人数据而聘请的第三方。”客户数据“指提供商根据服务协议为客户处理的个人数据，如附件 1 所述。
2. 角色与范围
Section titled “2. 角色与范围”2.1 客户为控制者，提供商为客户数据的处理者。当客户作为其自身客户的处理者时，提供商作为子处理者，客户保证其自身指令已获得相关控制者的授权。
2.2 处理的主题事项、期限、性质和目的，以及个人数据的类型和数据主体的类别，详见附件 1。
3. 按书面指令处理（第 28(3)(a) 条）
Section titled “3. 按书面指令处理（第 28(3)(a) 条）”3.1 提供商仅按照客户的书面指令处理客户数据，包括向第三国传输数据的指令，除非提供商所受的联盟或成员国法律要求其这样做；在此情况下，提供商在处理前将法律要求通知客户，除非法律禁止此类通知。
3.2 客户的指令包括：服务协议、本 DPA、客户及其用户在服务中设置的配置，以及客户用户向服务发送的请求。如果提供商认为某项指令违反 GDPR，将立即通知客户。
4. 保密性（第 28(3)(b) 条）
Section titled “4. 保密性（第 28(3)(b) 条）”提供商确保获授权处理客户数据的人员已承诺保密或承担适当的法定保密义务，并将访问权限限制在每人履行服务所需的范围内。
5. 安全性（第 28(3)(c) 条及第 32 条）
Section titled “5. 安全性（第 28(3)(c) 条及第 32 条）”提供商实施附件 2 所列的技术和组织措施，并持续对其进行审查。考虑到技术水平、实施成本以及处理的性质、范围、背景和目的，这些措施确保了与风险相适应的安全水平。
6. 子处理者（第 28(2) 条及第 28(4) 条）
Section titled “6. 子处理者（第 28(2) 条及第 28(4) 条）”6.1 客户向提供商作出一般性书面授权，同意其聘请附件 3 所列的子处理者。
6.2 提供商在变更生效前至少 [30] 天，通过向 [CUSTOMER NOTIFICATION E-MAIL] 发送电子邮件并在 https://gpt.space/trust 更新列表的方式，通知客户任何拟新增或替换子处理者的意向。客户可在此期间基于合理的数据保护理由提出异议；如果双方无法解决该异议，客户可免费终止受影响的服务部分。
6.3 提供商通过合同向每个子处理者施加与本 DPA 中规定的相同数据保护义务，特别是提供足够保证以实施适当的技术和组织措施。如果子处理者未能履行其义务，提供商就该子处理者义务的履行向客户承担全部责任。
7. 数据主体权利（第 28(3)(e) 条）
Section titled “7. 数据主体权利（第 28(3)(e) 条）”考虑到处理的性质，提供商在可行范围内通过适当的技术和组织措施协助客户履行其义务，以响应数据主体根据 GDPR 第三章行使权利的请求。提供商在收到数据主体直接提出的有关客户数据的请求后，不得无故延迟地转发给客户，除按照客户指令或法律要求外，不予以回复。
8. 合规协助（第 28(3)(f) 条）
Section titled “8. 合规协助（第 28(3)(f) 条）”考虑到处理的性质及提供商可获得的信息，提供商协助客户确保遵守 GDPR 第 32 至 36 条规定的义务（安全性、泄露通知、数据保护影响评估和事先咨询）。
9. 个人数据泄露
Section titled “9. 个人数据泄露”提供商在知悉影响客户数据的个人数据泄露后，不得无故延迟且在任何情况下须在 [48] 小时内，通过向 [CUSTOMER NOTIFICATION E-MAIL] 发送电子邮件通知客户。通知应尽可能包含当时已知的信息：泄露的性质、受影响的数据主体类别和大约数量及相关记录、可能的后果、已采取或拟采取的措施，以及联系渠道；尚未获得的信息将分阶段提供，不得无故进一步延迟。
10. 删除与返还（第 28(3)(g) 条）
Section titled “10. 删除与返还（第 28(3)(g) 条）”10.1 在服务提供结束后，提供商根据客户的选择删除或返还所有客户数据，并删除现有副本，除非联盟或成员国法律要求存储该个人数据。
10.2 独立于第 10.1 条，客户及其每个用户可随时从服务中删除其账户及提供商持有的数据；删除操作在请求后 24 小时内执行。发票和付款记录按税法要求的期限保留。
11. 审计（第 28(3)(h) 条）
Section titled “11. 审计（第 28(3)(h) 条）”11.1 提供商向客户提供证明其遵守 GDPR 第 28 条义务所需的所有信息，并允许并配合由客户或客户委托的审计师进行的审计，包括检查。
11.2 提供商首先通过提供其 ISO 27001 证书及审计报告（https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media）、其 CASA Tier III 评估以及安全问卷的书面答复来满足审计请求。现场或远程检查每年最多 [一次]，须提前 [30] 天书面通知，在工作时间内进行，需签署保密协议，费用由客户承担，除非监管机构另有要求或已发生个人数据泄露。
12. 国际传输
Section titled “12. 国际传输”12.1 提供商设立于美国，服务托管于美国的 Google Cloud Platform。当 EEA、英国或瑞士数据主体的客户数据被传输至未获充分性认定的国家时，双方依据欧盟委员会在决定 (EU) 2021/914 中通过的标准合同条款（模块二，控制者至处理者，或模块三，处理者至处理者，视情况适用），该条款以引用方式并入本协议；涉及英国数据时，连同英国国际数据传输附录一并适用。接收客户数据的提供商子处理者在可适用的范围内参与欧盟-美国数据隐私框架；提供商自身进行的每一次传输均受标准合同条款管辖。
12.2 对于标准合同条款中的选项：第 7 条（对接）适用；第 9 条选项 2（一般性授权）通知期限按第 6.2 条；第 11 条可选语言不适用；第 13 条和第 17 条：[MEMBER STATE, e.g. Ireland] 的法律；第 18 条：[MEMBER STATE] 的法院。条款附件一和附件二即本 DPA 的附件 1 和附件 2。
13. 责任、期限与优先性
Section titled “13. 责任、期限与优先性”13.1 各方在本 DPA 下的责任受服务协议中责任限制和排除条款的约束，但适用数据保护法律不允许限制的部分除外。
13.2 本 DPA 自生效日期起生效，在提供商处理客户数据期间持续有效。如本 DPA 与服务协议存在冲突，就个人数据处理而言，以本 DPA 为准。
13.3 本 DPA 受管辖服务协议的法律管辖，但标准合同条款受第 12.2 条所选择法律的管辖。
| 客户方 | 提供商方 |
|---|---|
| 姓名：[NAME] | 姓名：[NAME] |
| 职务：[TITLE] | 职务：[TITLE] |
| 日期：[DATE] | 日期：[DATE] |
| 签名： | 签名： |
附件 1：处理说明
Section titled “附件 1：处理说明”| 项目 | 说明 |
|---|---|
| 主题事项 | 提供 GPT Workspace 服务：在 Google Docs、Sheets、Slides、Forms、Gmail、Drive、Google Chat、Chrome 扩展程序和 MCP 服务器中提供 AI 助手功能。 |
| 期限 | 服务协议的期限，加上附件 2 中的保留期限。 |
| 性质和目的 | 读取用户在其 Google 账户中指向的内容，连同用户的提示词一起发送给 AI 模型提供商，并将回复写入用户的文件或聊天中。账户管理、计费和支持。 |
| 数据主体类别 | 使用该服务的客户员工和承包商；其数据出现在客户通过服务处理的文档、电子表格、电子邮件和文件中的人员。 |
| 个人数据类型 | 账户数据（姓名、电子邮件地址、头像、Google 账户标识符）；计费数据（计费名称、地址、增值税号）；使用元数据（请求数量、日期、文档标题）；用户提交的提示词和 Google 文件、电子邮件及附件的内容，其中可能包含客户放置其中的任何类别的个人数据。 |
| 特殊类别 | 设计上不包含任何特殊类别。服务不要求特殊类别数据；由客户决定其用户提交的内容。[客户请注明是否预期包含特殊类别：无 / 请描述] |
| 频率 | 持续进行，每次用户请求时处理。 |
| 保留 | 见附件 2”保留”。 |
附件 2：技术和组织措施（第 32 条）
Section titled “附件 2：技术和组织措施（第 32 条）”| 领域 | 措施 |
|---|---|
| 认证 | ISO 27001 认证的信息安全管理体系（可提供审计报告）。针对 Google Workspace 集成的 CASA Tier III（App Defense Alliance）评估。遵守 Google API 服务用户数据政策，包括有限使用要求。 |
| 托管 | Google Cloud Platform（Firebase），美国，美国东部和美国西部区域。处理客户数据的组件在提供商私有网络内运行，位于负载均衡器和 Web 应用防火墙之后。 |
| 加密 | 所有传输中数据使用 TLS 1.2 或更高版本。Firebase 上的静态数据使用 AES-256 服务端加密，密钥通过 GCP IAM 管理。Google 访问令牌和刷新令牌在静态状态下加密。 |
| 不复制客户文件 | Google 文件、电子邮件和电子表格使用用户自身的 OAuth 令牌实时读取，不复制到提供商的存储中。唯一例外是用户为文件搜索而附加的文件，该文件上传至 OpenAI 向量存储（见附件 3）：搜索索引在最后一次使用后 1 天丢弃，副本在 7 天后删除。 |
| 模型提供商 | 在禁止使用请求进行训练的 API 条款下使用。提供商绝不会使用客户数据训练或微调任何模型。 |
| 访问控制 | 对生产系统的访问仅限于拥有个人账户、多因素认证和通过 GCP IAM 授予最小权限的授权人员。通过 Firebase 安全规则强制执行用户级数据隔离。每个具有生产访问权限的账户必须使用多因素认证；访问权限每周审查。 |
| 监控与测试 | GCP Security Command Center 对范围内所有资产进行持续漏洞扫描；针对外部研究人员的漏洞披露政策。 |
| 保留 | 账户数据、聊天线程、设置和使用元数据：用户最后一次活动后 18 个月，或删除请求后 24 小时。为文件搜索附加的文件：搜索索引在最后一次使用后 1 天丢弃，上传副本在 7 天后删除。模型网关请求日志：30 天，仅供支持使用。提示词和回复：实时处理，提供商不长期存储。发票：税法要求的期限。 |
| 删除 | 自助删除服务中的账户及所有相关数据；请求后 24 小时内删除。 |
| 业务连续性 | 原生 Google Cloud 备份和多区域可用性工具；每 7 天完整备份一次。 |
| 人员 | 雇佣和承包商协议中的保密义务；对具有生产访问权限的人员进行安全意识培训。 |
附件 3：授权子处理者
Section titled “附件 3：授权子处理者”当前列表维护于 https://gpt.space/trust，此处为截至生效日期的副本。
| 子处理者 | 用途 | 位置 |
|---|---|---|
| Google Cloud Platform / Firebase（Google LLC） | 托管、数据库、存储、身份验证、密钥 | 美国 |
| OpenRouter, Inc. | 将每个模型请求路由至下方提供商的网关；请求日志保留 30 天仅供支持使用，从不用于训练 | 美国 |
| OpenAI | 文本和图像模型；用于文件搜索的向量存储 | 美国 |
| Anthropic | Claude 模型（固定至 Anthropic 自有端点） | 美国 |
| Google（AI Studio） | Gemini 文本和图像模型 | 美国 |
| Perplexity | 网络搜索模型 | 美国 |
| OpenRouter 推理主机 | 开放权重 GLM-5.3-flash 和 gpt-oss-120b 模型的推理主机 | 通过 OpenRouter |
| Typesafe | GPT_CLASSIFY 公式背后的决策模型 | 通过 OpenRouter |
| Google Programmable Search | 为生成的幻灯片查找库存图片（仅查询） | 美国 |
| Stripe | 支付、发票、计费门户 | 美国和爱尔兰，依据 Stripe DPA |
| PostHog（自托管实例） | 产品分析 | 欧盟 |
| Sentry | 错误监控 | 欧盟（EU 数据区域） |