数据处理附录

本数据处理附录（下称“DPA”）在 Cathrix Network Inc.（下称“Cathrix”）代表客户处理客户个人数据时，构成双方之间协议不可分割的组成部分。

1. 范围、角色及法律合规

1.1 范围与角色界定

• 角色界定： 依据适用的数据保护法律，客户为数据控制者（或“业务实体”/“数据使用者”/“个人信息处理者”），而 Cathrix 为数据处理者（或“服务提供商”/“受托方”）。
• 适用范围： 本协议仅适用于客户内容中包含的个人资料（下称“客户个人数据”）。Cathrix 对直接账户、计费及系统访问遥测数据的处理，独立受我们的隐私政策管辖。

1.2 服务提供商合规承诺

在适用的隐私法律管辖相关处理行为的范围内：

• Cathrix 严格作为服务提供商/处理者行事，绝不出售或共享客户个人数据（包括用于跨上下文行为广告）。
• 除为提供本服务、执行防欺诈及安全核查，或法律另有允许之外，Cathrix 不会为任何其他目的留存、使用或披露客户个人数据。
• Cathrix 不会将客户个人数据与从其他来源接收的个人资料进行合并，惟适用法规授权执行获准许的业务职能者除外。
• Cathrix 提供相称水准的数据保护保障，并准许对合规情况进行合理的核验。

2. 处理规范与安全防护措施

2.1 获准许之指令与风险控制

Cathrix 仅严格依照客户的书面记录指令处理客户个人数据，以提供本服务并维护基础设施完整性。Cathrix 处理相关网络遥测及设备指纹仅限于防范欺诈、凭证滥用、自动化机器人攻击及安全事件。

2.2 安全防护措施

Cathrix 维持合理的行业标准技术、物理及管理防护措施，旨在保护客户个人数据免遭意外丢失、未经授权的访问或篡改，包括网络传输及静态加密（TLS/AES）、凭证隔离及基于角色的访问控制（RBAC）。

2.3 客户数据安全事件

如发生涉及客户个人数据的已确认安全保护措施失效事件（下称“客户数据安全事件”）：

• Cathrix 将在确认发生客户数据安全事件后不无故拖延，且无论如何在 72 小时内通知客户。
• Cathrix 将提供有关该等违规事件性质、受影响记录及已采取补救措施的现有详情。
• 客户仍独立承担向监管机构履行法定申报及通知受影响当事人的法定责任，Cathrix 将为此提供合理的协助与支持。

3. 数据存放地点及次级处理者

3.1 地理存储限制与跨境数据传输

客户个人数据的所有主托管、冷备份及数据库存储设施严格且排他性地位于加拿大及美国境内。未经书面授权，数据不得传输至其他司法管辖区或在其中存储。客户向 Cathrix 陈述并保证，其已依据适用隐私法律，就将客户个人数据传输并在加拿大及美国境内存储一事，提供一切法定通知并取得一切必要的同意。

3.2 经授权的次级处理者

客户就 Cathrix 委任合资格的次级处理者给予概括性授权。所有次级处理者均须受书面协议约束，其所承担的数据保护义务不得低于本 DPA 所规定的严谨程度。Cathrix 就次级处理者的作为与不作为向客户承担责任。当前经授权的次级处理者载列于附表 B。

3.3 次级处理者变更

Cathrix 拟对次级处理者名单进行任何新增或替换时，将通过电子邮件或管理控制台更新预先通知客户。客户有权在收到通知后 14 个日历日内，基于合理的数据保护理由以书面形式提出异议。如双方未能协商解决，客户可终止受影响之服务而无需承担违约金。

4. 协助义务、数据权利及终止

4.1 数据当事人查询

考虑到处理行为的性质，Cathrix 将提供商业上合理的必要技术协助，配合客户应对个人提出的查阅、更正、删除、导出（数据可携权）或限制处理其个人资料的法定权利请求。

4.2 删除或返还

本服务终止后，客户须自行负责提取客户个人数据。Cathrix 将在服务终止后 30 天内 永久删除或覆写客户个人数据，惟受限于按标准留存周期自动覆写且周期不超过 90 天的例行加密容灾备份。

---

附表 A：处理详情

1. 标的物与性质： 提供网络、主机托管及云基础设施服务。
2. 期限： 本服务期限加上服务终止后的备份覆写周期。
3. 数据类别： 通过客户内容传输或存储于其中的信息，可能包含 IP 地址、账户标识符、通信内容、交易日志及技术标头。
4. 数据当事人： 客户的授权人员、客户、最终用户或访客。

---

附表 B：经授权的次级处理者