数据处理协议（模板）
这是 GPT Workspace 与企业客户签署的数据处理协议（DPA）模板。如需获取已填写的版本，请发送邮件至 contact@gpt.space，并提供贵公司的法定名称、地址、联系人及席位数量。协议中涉及的处理器列示于信任中心并保持更新。
本模板仅供参考，不构成法律意见。 签署前请交由您的法律顾问审核。方括号标注的字段将在签署前填写。
数据处理协议
Section titled “数据处理协议”本数据处理协议（“DPA”）构成使用 GPT Workspace（“服务”）协议的一部分，签约双方为：
- [CUSTOMER LEGAL NAME]，[CUSTOMER ADDRESS]，[REGISTRATION NUMBER]（“客户“或”控制者“），与
- GPTW LLC，150 Central Park, Los Alamos, New Mexico, USA（“提供者“或”处理者“），
以下合称”双方“。本协议于 [EFFECTIVE DATE] 生效，在提供者代表客户处理个人数据期间持续有效。
“GDPR“指欧盟第 2016/679 号法规，并在适用时包括英国《2018 年数据保护法》所定义的英国 GDPR。”个人数据“”处理“”控制者“”处理者“”数据主体“”监管机构“和”个人数据泄露“采用 GDPR 第 4 条所赋予的含义。”子处理者“指提供者聘请代表客户处理个人数据的第三方。”客户数据“指提供者根据服务协议为客户处理的个人数据，如附录 1 所述。
2. 角色与范围
Section titled “2. 角色与范围”2.1 客户是控制者，提供者是客户数据的处理者。当客户作为其自身客户的处理者时，提供者作为子处理者，且客户保证其自身指令已获得相关控制者的授权。
2.2 处理的主题事项、期限、性质和目的、个人数据类型以及数据主体类别载于附录 1。
3. 按书面指令处理（第 28(3)(a) 条）
Section titled “3. 按书面指令处理（第 28(3)(a) 条）”3.1 提供者仅按客户的书面指令处理客户数据，包括向第三国传输数据的指令，除非受提供者所适用的联盟或成员国法律要求而进行此类处理；在此情况下，提供者在处理前将相关法律要求通知客户，除非法律禁止此类通知。
3.2 客户的指令包括：服务协议、本 DPA、客户及其用户在服务中设置的配置，以及客户用户向服务发送的请求。如果提供者认为某项指令违反 GDPR，将立即通知客户。
4. 保密性（第 28(3)(b) 条）
Section titled “4. 保密性（第 28(3)(b) 条）”提供者确保经授权处理客户数据的人员已承诺保密或承担适当的法定保密义务，并将访问权限限制在每人履行服务所需的范围内。
5. 安全性（第 28(3)(c) 条及第 32 条）
Section titled “5. 安全性（第 28(3)(c) 条及第 32 条）”提供者实施附录 2 所列技术和组织措施，并持续进行审查。综合考虑现有技术水平、实施成本以及处理的性质、范围、背景和目的，这些措施确保与风险相适应的安全水平。
6. 子处理者（第 28(2) 条及第 28(4) 条）
Section titled “6. 子处理者（第 28(2) 条及第 28(4) 条）”6.1 客户向提供者作出一般性书面授权，允许其聘请附录 3 所列的子处理者。
6.2 提供者将在变更生效前至少 [30] 天，通过向 [CUSTOMER NOTIFICATION E-MAIL] 发送邮件及更新 https://gpt.space/trust 上的列表，通知客户拟新增或替换子处理者的计划。客户可在此期间基于合理的数据保护理由提出异议；如果双方无法解决该异议，客户可免受罚终止受影响部分的服务。
6.3 提供者通过合同对每个子处理者施加与本 DPA 相同的数据保护义务，特别是提供充分保证以实施适当的技术和组织措施。如果子处理者未能履行其义务，提供者就该子处理者义务的履行向客户承担全部责任。
7. 数据主体权利（第 28(3)(e) 条）
Section titled “7. 数据主体权利（第 28(3)(e) 条）”综合考虑处理的性质，提供者在可行范围内通过适当的技术和组织措施协助客户履行其响应数据主体行使 GDPR 第三章所规定权利的请求的义务。提供者在收到数据主体直接发来的涉及客户数据的请求后，毫不延迟地转发给客户，除按客户指令或法律要求外，不自行回复该请求。
8. 合规协助（第 28(3)(f) 条）
Section titled “8. 合规协助（第 28(3)(f) 条）”综合考虑处理的性质及提供者可获取的信息，提供者协助客户确保遵守 GDPR 第 32 至 36 条规定的义务（安全性、违规通知、数据保护影响评估和事前咨询）。
9. 个人数据泄露
Section titled “9. 个人数据泄露”提供者在知悉影响客户数据的个人数据泄露后，毫不延迟且在任何情况下于 [48] 小时内，通过向 [CUSTOMER NOTIFICATION E-MAIL] 发送邮件通知客户。通知在知悉时尽可能描述泄露的性质、受影响的数据主体类别和大约数量及相关记录、可能的后果、已采取或拟采取的措施以及联系点；尚未可用的信息将在后续阶段毫不延迟地分批提供。
10. 删除与返还（第 28(3)(g) 条）
Section titled “10. 删除与返还（第 28(3)(g) 条）”10.1 服务提供结束后，提供者根据客户的选择删除或返还所有客户数据，并删除现有副本，除非联盟或成员国法律要求存储该个人数据。
10.2 除 10.1 外，客户及其每位用户可随时在服务中删除其账户及提供者持有的数据；删除在请求后 24 小时内完成。发票和付款记录按税法要求的期限保留。
11. 审计（第 28(3)(h) 条）
Section titled “11. 审计（第 28(3)(h) 条）”11.1 提供者向客户提供证明其遵守 GDPR 第 28 条所定义务所需的全部信息，并允许并配合客户或客户委托的审计师进行的审计（包括检查）。
11.2 提供者首先通过提供其 ISO 27001 证书和审计报告（https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media）、其 CASA Tier III 评估以及安全问卷的书面答复来满足审计请求。现场或远程检查每年最多 [一次]，需提前 [30] 天书面通知，在营业时间内、在保密协议下进行，费用由客户承担，除非监管机构另有要求或已发生个人数据泄露。
12. 国际传输
Section titled “12. 国际传输”12.1 提供者设立于美国，服务托管于美国境内的 Google Cloud Platform。当欧洲经济区、英国或瑞士的数据主体的客户数据被传输至未获充分性认定的国家时，双方依赖欧盟委员会在第 (EU) 2021/914 号决定中通过的标准合同条款（模块二，控制者到处理者，或模块三，处理者到处理者，视适用情况而定），该条款以引用方式纳入；当涉及英国数据时，连同英国国际数据传输附录一并适用。接收客户数据的提供者子处理者在可使用该框架时参与欧盟-美国数据隐私框架；提供者自身进行的每次传输均适用标准合同条款。
12.2 标准合同条款中的选项如下：第 7 条（加入）适用；第 9 条选项 2（一般授权），通知期见第 6.2 条；第 11 条可选语言不适用；第 13 条和第 17 条：[MEMBER STATE, e.g. Ireland] 法律；第 18 条：[MEMBER STATE] 法院。条款附录一和附录二即本 DPA 的附录 1 和附录 2。
13. 责任、期限与优先级
Section titled “13. 责任、期限与优先级”13.1 各方在本 DPA 下的责任受服务协议中责任限制和排除条款的约束，除非适用数据保护法律不允许此类限制。
13.2 本 DPA 自生效日期起生效，在提供者处理客户数据期间持续有效。本 DPA 与服务协议发生冲突时，就个人数据处理而言以本 DPA 为准。
13.3 本 DPA 受管辖服务协议的法律管辖，但标准合同条款受第 12.2 条所选法律管辖。
| 客户方 | 提供者方 |
|---|---|
| 姓名：[NAME] | 姓名：[NAME] |
| 职务：[TITLE] | 职务：[TITLE] |
| 日期：[DATE] | 日期：[DATE] |
| 签名： | 签名： |
附录 1：处理说明
Section titled “附录 1：处理说明”| 项目 | 说明 |
|---|---|
| 主题事项 | 提供 GPT Workspace 服务：在 Google Docs、Sheets、Slides、Forms、Gmail、Drive、Google Chat、Chrome 扩展程序及 MCP 服务器中的 AI 辅助。 |
| 期限 | 服务协议期限，加上附录 2 中的保留期。 |
| 性质和目的 | 读取用户在其 Google 账户中所指向的内容，连同用户的提示词发送给 AI 模型提供商，并将回复写回用户的文件或聊天中。还包括账户管理、计费和支持。 |
| 数据主体类别 | 使用该服务的客户员工和承包商；其数据出现在客户通过服务处理的文档、电子表格、邮件和文件中的人员。 |
| 个人数据类型 | 账户数据（姓名、邮箱地址、头像、Google 账户标识符）；计费数据（计费名称、地址、增值税号）；使用元数据（请求数量、日期、文档标题）；用户提交的提示词及 Google 文件、邮件和附件的内容，其中可能包含客户放置其中的任何类别的个人数据。 |
| 特殊类别 | 设计上无此类数据。服务不要求特殊类别数据；由客户决定其用户提交的内容。[客户应注明是否预期存在特殊类别数据：无 / 请描述] |
| 频率 | 持续进行，随用户的每次请求而触发。 |
| 保留 | 见附录 2”保留期”。 |
附录 2：技术和组织措施（第 32 条）
Section titled “附录 2：技术和组织措施（第 32 条）”| 领域 | 措施 |
|---|---|
| 认证 | 通过 ISO 27001 认证的信息安全管理体系（可提供审计报告）。针对 Google Workspace 集成的 CASA Tier III（App Defense Alliance）评估。遵守 Google API 服务用户数据政策，包括有限使用要求。 |
| 托管 | Google Cloud Platform（Firebase），位于美国，美国东部和美国西部区域。处理客户数据的组件运行在提供者私有网络内，位于负载均衡器和 Web 应用防火墙之后。 |
| 加密 | 所有传输中数据使用 TLS 1.2 或更高版本。Firebase 上的静态数据使用 AES-256 服务端加密，密钥通过 GCP IAM 管理。Google 访问令牌和刷新令牌在静态时加密。 |
| 不复制客户文件 | Google 文件、邮件和电子表格通过用户自身的 OAuth 令牌实时读取，不复制到提供者的存储中。唯一例外是用户为文件搜索而附加的文件，该文件被上传至 OpenAI 向量存储（见附录 3）：搜索索引在最后一次使用后 1 天删除，副本在 7 天后删除。 |
| 模型提供商 | 在禁止使用请求进行训练的 API 条款下使用。提供者从不使用客户数据训练或微调任何模型。 |
| 访问控制 | 对生产系统的访问仅限于拥有个人账户的授权人员，通过 GCP IAM 实施多因素认证和最小权限。通过 Firebase 安全规则实施按用户数据隔离。每个拥有生产环境访问权限的账户均强制启用多因素认证；访问权限每周审查。 |
| 监控与测试 | GCP Security Command Center 对范围内所有资产进行持续漏洞扫描；面向外部研究人员的漏洞披露政策。 |
| 保留期 | 账户数据、聊天线程、设置和使用元数据：在用户最后一次活动后 18 个月，或在删除请求后 24 小时。为文件搜索附加的文件：搜索索引在最后一次使用后 1 天删除，上传的副本在 7 天后删除。模型网关请求日志：30 天，仅供支持使用。提示词和回复：实时处理，提供者不作长期存储。发票：税法要求的期限。 |
| 删除 | 自助删除服务中的账户及所有相关数据；按请求在 24 小时内删除。 |
| 业务连续性 | 原生 Google Cloud 备份和多区域可用性工具；每 7 天完整备份一次。 |
| 人员 | 雇佣和承包商协议中的保密义务；对拥有生产环境访问权限的人员进行安全意识培训。 |
附录 3：授权子处理者
Section titled “附录 3：授权子处理者”最新列表维护于 https://gpt.space/trust，此处按生效日期时的状态复制如下。
| 子处理者 | 用途 | 位置 |
|---|---|---|
| Google Cloud Platform / Firebase (Google LLC) | 托管、数据库、存储、身份认证、密钥 | 美国 |
| OpenRouter, Inc. | 将每个模型请求路由至以下提供商的网关；请求日志保留 30 天仅供支持使用，从不用于训练 | 美国 |
| OpenAI | 文本和图像模型；用于文件搜索的向量存储 | 美国 |
| Anthropic | Claude 模型（固定使用 Anthropic 自有端点） | 美国 |
| Google (AI Studio) | Gemini 文本和图像模型 | 美国 |
| Perplexity | 网页搜索模型 | 美国 |
| OpenRouter 推理主机 | 开放权重 GLM-5.3-flash 和 gpt-oss-120b 模型的推理主机 | 通过 OpenRouter |
| Typesafe | GPT_CLASSIFY 公式背后的决策模型 | 通过 OpenRouter |
| Google Programmable Search | 为生成的幻灯片查找图库图片（仅查询） | 美国 |
| Stripe | 支付、发票、计费门户 | 美国和爱尔兰，在 Stripe DPA 下 |
| PostHog（自托管实例） | 产品分析 | 欧盟 |
| Sentry | 错误监控 | 欧盟（欧盟数据区域） |