数据处理协议（《通用数据保护条例》第28条）

“GDPR”指（欧盟）第2016/679号条例，即《通用数据保护条例》。“控制者”、“处理者”、“数据主体”、“个人数据”、“个人数据泄露”和“处理”具有GDPR所赋予的含义。“客户个人数据”指Kerna根据主协议代表控制者处理的个人数据。“主协议”指Kerna的服务条款或合同，本DPA构成其组成部分。“订购单”指由双方签署、记载定制账户专属条款的文件；大多数订阅通过网站购买，不存在订购单。“次级处理者”指由Kerna聘用的、GDPR第28条第2款和第4款所指的其他处理者。本DPA项下“以书面形式”作出的或“书面”的通知、确认和约定，均可通过电子邮件作出。

优先顺序。 就数据保护事项而言，本DPA优先于主协议适用。订购单经签署的，在其明确变更本DPA的范围内，订购单优先于本DPA适用；订购单中的条款未明确涉及本DPA所涵盖的某一事项的，该事项仍由本DPA调整。

本DPA构成主协议的一部分，自控制者接受主协议时生效。接受发生的时间为：对于免费套餐，在安装服务或创建账户时；对于通过网站购买的订阅，在完成购买时；对于定制账户，在订购单签署时。

未通过订购单取得的账户或订阅无需另行签署：GDPR第28条第9款要求合同以书面形式（包括电子形式）订立，而接受主协议即满足该要求。Kerna记录账户及接受日期，并保存本DPA的每一已发布版本，以便始终能够确定所接受的版本；对于通过网站进行的购买，Kerna还记录所接受的版本。

接受主协议的人员保证其有权使被列明为账户持有人的企业、组织或专业人士受约束，且就本DPA而言，该企业、组织或专业人士即为控制者。

版本。 Kerna在kerna.io/dpa发布本DPA的现行版本，如有重大变更，应至少提前30天通知管理联系人。法律或监管机构要求的变更，或既不会降低控制者在本DPA项下所受保护或所享权利、也不会改变处理的性质或目的或个人数据类别的变更，可在上述通知期满后生效；控制者可在生效日期之前终止受影响的服务，无需支付任何违约金，并可就未使用期间按比例获得预付费用的退款。任何其他重大变更均须经控制者以电子方式明确表示接受；在控制者接受之前，控制者最近一次接受的版本继续适用。非重大更正自发布时生效。

订购单已签署的，签署时有效的本DPA版本在该订购单期限内适用，且仅可经双方协商一致予以修改。

应要求签署。 没有订购单的控制者可要求获取经双方签署的本DPA副本，Kerna将按已发布的条款提供。对于此类控制者，已发布的版本同等适用，不接受协商。定制的数据保护条款仅适用于依据订购单开设的定制账户。

控制者是客户个人数据的控制者，Kerna是客户个人数据的处理者。Kerna仅为提供服务而处理客户个人数据，且仅根据控制者有记录的指示进行处理。主协议、控制者的订阅、任何订购单以及控制者对服务的配置和使用，构成控制者有记录的指示；进一步的指示须以书面形式约定。如Kerna认为某项指示违反GDPR或其他欧盟或成员国数据保护规定，Kerna应立即告知控制者（但无义务提供法律意见）。处理的主题事项、期限、性质、目的、数据类型及数据主体载于附件I。

• (a) 仅根据控制者有记录的指示处理客户个人数据，包括涉及数据传输的处理，但欧盟或成员国法律另有要求的除外——在此情况下，Kerna应在处理前告知控制者，除非该法律禁止作出此类告知；
• (b) 确保经授权处理该数据的人员负有保密义务；
• (c) 采取第32条所要求的全部安全措施（附件II）；
• (d) 仅依照第5节规定的条件聘用次级处理者；
• (e) 考虑到处理的性质，通过适当的技术和组织措施协助控制者回应数据主体的请求（第三章）；
• (f) 协助控制者确保遵守第32-36条（安全、泄露通知、数据保护影响评估、事先咨询）；
• (g) 根据控制者的选择，在服务结束后删除或返还全部客户个人数据，并删除现有副本，但法律要求存储的除外；
• (h) 提供证明遵守本节规定所需的全部信息，并允许和配合审计（第11节）。

Kerna实施适当的技术和组织措施，以确保与风险相适应的安全水平，具体如附件II所述。主要措施包括：传输中和静态存储时的加密；在内存中对邮件内容进行瞬时处理，不在Kerna的服务器上持久存储；在传输至AI次级处理者之前实施输入限制，并对支付卡号、银行账号及某些国民身份识别号码进行脱敏处理；与该次级处理者约定的零数据保留条款及合同约定的不得用于训练条款；输出筛查；访问控制；以及假名化分析。附件II还列明了源自邮件的数据在何处临时保存，包括保存在用户自己的设备上。

控制者给予Kerna一般书面授权，允许其聘用附件III所列的次级处理者；Kerna在本DPA的发布位置保持该名单为最新。按照GDPR第28条第4款的要求，Kerna通过合同对每一次级处理者施加与本DPA所规定者相同的数据保护义务，特别是在提供充分保证以实施适当的技术和组织措施方面。如某一次级处理者的标准条款未以相同形式载明某项义务，Kerna应记录该义务在实质上如何得以履行。对于拟增加或替换任何次级处理者，Kerna将至少提前30天向控制者发出书面通知。控制者可自收到该通知之日起15天内基于合理的数据保护理由提出异议。如双方未能在其后另外30天内解决该异议，控制者可终止受影响的服务，无需支付任何违约金，并可就未使用期间按比例获得预付费用的退款。在异议得到解决之前，Kerna不使用新的次级处理者处理该控制者的客户个人数据；如在技术上无法做到这一点，Kerna应在变更生效前予以说明，控制者可在该日期之前按相同条件终止受影响的服务。Kerna仍就每一次级处理者履行其义务的情况向控制者承担全部责任。

如某一次级处理者就个人数据泄露、其收到的数据主体请求、其自身次级处理者的增加或替换，或与标准合同条款有关的任何事项通知Kerna，Kerna应在收到后及时且无不当延误地将该通知转发给受影响的控制者。

转发不以Kerna认定该事项影响控制者的数据或构成风险为前提：该项评估由控制者负责。通知于收到时即予转发，而非在评估之后转发，以使控制者保有其可用于提出关切的全部时间，以及第33条和第34条规定其可享有的完整期限。如某一次级处理者仅在以终止为唯一救济的条件下允许对其自身次级处理者提出异议，Kerna应在转发时说明这一点。

考虑到处理的性质，Kerna通过适当的技术和组织措施，在可能的范围内协助控制者履行其回应数据主体请求的义务。如Kerna直接收到数据主体提出的与客户个人数据有关的请求，除非根据控制者有记录的指示，否则Kerna不会作出回应，并将及时把该请求转发给控制者。

第10节所述的账户删除功能不构成上述规定的例外。用户通过服务删除其本人账户的，Kerna系根据第2节所指的控制者有记录的指示行事，因为控制者已通过其对服务的配置和使用授权了该功能。对于在服务之外收到的数据主体请求，未经控制者指示，Kerna不会据此采取行动。

Kerna在知悉影响客户个人数据的个人数据泄露后，应无不当延误地通知控制者，并提供可合理获得的信息，以帮助控制者履行其在第33条和第34条项下的义务。由次级处理者通知Kerna的泄露，还应根据第5a节在收到时即予转发，而无需等待Kerna自身的评估。

考虑到处理的性质及可获得的信息，Kerna就第35条和第36条项下的数据保护影响评估以及与监管机构的事先咨询，向控制者提供合理协助。

Kerna根据本DPA进行的直接披露，系向附件III所列的位于欧洲经济区的缔约实体作出，但有一项例外：发送给Sentry的错误和性能数据，Sentry的缔约实体Functional Software, Inc.设立于美国。处理链还包括某些次级处理者进行的后续国际传输，包括在向OpenAI Ireland Limited披露后由OpenAI在美国对AI内容进行的处理。

次级处理者进行后续传输的，必须适用第五章规定的有效机制。Kerna记录传输结构，在第28条规定的尽职调查中核查合同机制及补充措施，并向控制者提供相关信息。上述分工不减轻Kerna在本DPA项下作为处理者的义务。

为执行AI操作而发送的邮件内容，由AI次级处理者依据上述安排在美国处理，并受零数据保留条款及合同约定的不得用于训练条款约束：为AI操作发送的内容既不会被保留，也不会被用于训练模型。对该处理的分析，包括对目的地的评估及所采用的补充措施，载于Kerna的《传输影响评估》（Transfer Impact Assessment），该文件可应要求向控制者提供。

Kerna向Sentry进行的传输，依据欧盟委员会就欧盟-美国数据隐私框架（EU-U.S. Data Privacy Framework）作出的充分性决定，Sentry已根据该框架获得认证；Sentry数据处理附录中的标准合同条款作为替代机制。Sentry将该数据存储于其位于法兰克福（Frankfurt）的欧盟数据区域，但可能从美国访问该数据。其他次级处理者进行的后续传输，依据各次级处理者所适用的机制，具体如《传输影响评估》所述。

托管和存储均位于欧盟：计算在europe-west1（比利时）的Google Cloud Run上进行，存储在europe-central2（华沙）的Firestore中。

第9节所述立场以每一次级处理者缔约实体的设立地为基础，该设立地记录于附件III，并在发生任何变更时予以复核。如某一次级处理者的缔约实体发生变更，或Kerna聘用另一在欧洲经济区以外设立的次级处理者，则应在该变更生效前落实适当的第五章机制，并根据第5节通知控制者。

届时所采用的模块取决于Kerna的角色：Kerna作为其自有数据的控制者进行传输的，采用模块二（控制者至处理者）；Kerna作为处理者代表控制者进行传输的，采用模块三（处理者至处理者）。所依据的任何条款的模块、版本和日期均记录于《传输影响评估》中。

本DPA仅调整Kerna作为处理者代表控制者进行的处理。Kerna亦以其自身名义作为控制者处理个人数据：账户管理（登录身份、订阅状态以及Kerna与账户持有人之间的通信）、计费、安全监控、产品分析及其网站。这些活动不属于本DPA的范围，受Kerna的隐私政策调整，且控制者并非这些活动的控制者。本DPA的任何内容均不使Kerna就该处理成为处理者，亦不使控制者对该处理承担责任。

控制者的转换权利以及Kerna的相应义务——通知、过渡期、数据检索期、可导出数据的类别和格式、协助以及转换费用的处理——载于附件IV，该附件依其规定适用，并构成主协议的一部分。邮件内容不存储在Kerna的服务器上，因此无需迁移；该内容始终保留在控制者自己的邮件环境中。

服务到期或终止时，Kerna根据控制者的选择删除或返还客户个人数据，并删除现有副本，但法律要求保留的除外。无论如何，在提供服务期间，邮件内容均不存储在Kerna的服务器上（瞬时处理），因此该义务涉及的是附件I所述的用户设置、配置数据和团队数据。Outlook加载项在用户自己设备的浏览器存储中保存的源自邮件的数据，按附件II所列的时间表到期；用户自行删除时，将清除执行删除的设备上的该等数据。

两种途径

第28条第3款(g)项要求根据控制者的选择进行删除或返还。该条款并未规定具体机制，Kerna根据请求执行团队删除，而非通过自助式控制功能执行。

保留哪些数据及其原因

发票和会计记录。 无论是否进行任何删除，Kerna均按照波兰会计和税务法律要求的期限，保留与订阅相关的发票和会计记录。该保留是Kerna作为其自身计费记录的控制者所承担的法定义务，不属于本DPA的范围；在此予以说明，是因为这是删除操作最常引发的问题。

备份。 Firestore时间点恢复（7天）和每日备份（90天）中保存的副本不会被选择性清除，并按上述时间表到期。为灾难恢复之目的，可恢复备份。每次恢复后、数据库重新投入使用之前，均执行《数据保留与删除政策》（Data Retention and Deletion Policy）所要求的核对流程，从而使所恢复备份时间窗口内已完成的删除操作得以重新执行。

Kerna向控制者提供证明合规所需的信息，包括相关认证和验证（例如Gmail插件的CASA Tier 2）、本DPA及其次级处理者名单（附件III）、《传输影响评估》以及处理活动记录的摘录。Kerna允许并配合由控制者或其委托的审计师开展的审计（包括检查），条件是：须提前不少于30天发出合理通知；每年不超过一次；在营业时间内进行；并须遵守保密要求。如监管机构提出要求、发生影响控制者数据的个人数据泄露之后，或控制者有可信证据表明Kerna未遵守本DPA，控制者可在发出较短但在当时情况下属合理的事先通知后，开展一次额外审计。

如为保护以下事项所必需，Kerna可拒绝提供访问：其他客户的安全或个人数据；受法律保密特权保护或对第三方负有保密义务的信息；或Kerna的商业秘密，但商业秘密保护不得被用于使控制者无法核实合规情况。如拒绝提供访问，Kerna应提供通过其他方式核实合规所需的信息。控制者委托的审计师不得为Kerna的竞争者，且必须签署保密承诺书。控制者承担其发起的任何审计的费用，但在因Kerna导致的个人数据泄露之后进行的审计除外。

本DPA随主协议生效，并在Kerna处理客户个人数据期间持续有效。各方在本DPA项下的责任受主协议中责任限制和责任排除条款的约束，但主协议或本DPA中的任何内容均不限制或排除：依法不得限制或排除的责任；根据GDPR第82条对数据主体承担的责任；因欺诈、故意不当行为或重大过失而产生的责任；或任何一方根据适用的数据保护法律所承担的义务。

本DPA受波兰法律管辖，并在适用时受GDPR管辖。争议由Kerna注册所在地有管辖权的法院管辖，但主协议另有规定的除外。

语言。 本DPA以波兰语和英语订立。两种语言版本均构成已订立协议的组成部分，并可一并签署；不要求双方仅签署波兰语文本，签署英语文本的控制者即为签署该协议。

如仍存在无法调和的不一致，对于在波兰设立（即其注册办事处或营业地位于波兰）的控制者，以波兰语版本为准；对于在其他地方设立的控制者，以英语版本为准。订购单可明确指定以波兰语版本或英语版本为准。本规则仅适用于解决不一致，并不将任一版本排除在主协议之外。

这是一项针对剩余情形的解释规则，并非表示任一文本不属于协议的组成部分。Kerna从单一来源维护两个版本并一并修订，因此出现分歧的情况应属罕见；如出现分歧，该分歧属于应予纠正的错误，而非在两种约定之间作出的选择。本DPA的其他语言译本仅供参考；其不构成主协议的组成部分，亦不优先于上述任一版本适用。

• 全程采用TLS传输加密（客户端至后端采用TLS 1.3；后续传输采用TLS 1.2或更高版本）。强制实施HSTS。
• 所有存储数据均采用AES-256静态加密，使用由Google管理的密钥并自动轮换。
• 邮件内容在内存中处理，绝不写入Kerna的数据库、日志或备份。
• 源自邮件的数据的保存位置：Kerna服务器上的持久存储中，除下文所述的工作流记录（其中不包含邮件内容）外，不保存任何此类数据；服务器内存中，为使用户能够返回查看某一结果而保留工作副本，在Gmail插件中约30分钟，在共享邮箱中为几分钟，随后即被丢弃，如服务器重启则会更早被丢弃；用户自己的设备上，即Outlook加载项的浏览器存储中，针对单封邮件的结果保留一小时，回复草稿、撰写草稿及分类整理结果保留24小时，另有以下两项均保留30天：未回复的分类整理条目（主题、发件人、日期及Kerna的简短摘要）以及被标记为已完成的邮件的标识符；上述各项在到期后于Kerna下一次在该设备上打开时被删除，并会因用户在该设备上自行删除而被清除；已存储的工作流记录中（例如共享邮箱状态记录和“发送到…”日志），仅保存标识符、状态和时间，绝不保存主题或正文；备份中，仅包含数据库所保存的内容，因此不包含任何邮件内容。
• 输入限制：每项操作仅发送其所需的文本，且不超过固定长度。传输前脱敏：对于Kerna能识别格式的支付卡号、IBAN和波兰银行账号、波兰PESEL号码以及美国社会安全号码，在操作所发送的邮件内容中将其替换为占位符，包括“收件箱整理”的主题和预览，以及“发送到…”或“使用附件回复”所使用的附件。其他个人数据，例如姓名、电子邮件地址、电话号码和邮寄地址，按原样发送。通过“附件”功能读取的文件不进行脱敏处理，以便从中提取账号等信息；用户编写的文本（例如指令和草稿）亦不进行脱敏处理。
• AI次级处理者适用零数据保留条款及合同约定的不得用于训练条款：为AI操作发送的内容既不会被保留，也不会被用于训练。已在次级处理者平台中核实，该平台记载零数据保留项目无法保存日志。
• 对输出进行筛查，以发现泄露的机密凭据。
• 通过经验证的Google和Microsoft身份令牌进行身份验证，并强制执行受众、签发者、有效期和算法的固定校验；按用户实施文档路径隔离，其范围限定于经验证的账户标识符。
• 对AI操作实施按用户的速率限制。Helmet安全标头；限制性的CSP和CORS；输入注入筛查。
• 假名化分析（使用服务器端pepper的HMAC-SHA256）；分析数据保留90天。
• 管理端点除要求有效的用户令牌外，还受允许列表和恒定时间校验的API密钥保护，并在生产环境中采取故障关闭（fail closed）机制。服务账户的最小权限配置正在审查中；当前状况记录于Kerna的《信息安全政策》（Information Security Policy），可应要求向控制者提供。
• 所有管理操作均记录于Cloud Audit Logs；Cloud Run修订版本不可变更且可追溯归属。
• 欧盟区域托管和存储：Cloud Run europe-west1（比利时）；Firestore europe-central2（华沙）。
• Firestore时间点恢复（7天）和每日备份（保留90天）。
• Gmail插件的CASA Tier 2验证。

控制措施的运行。 可重新签发的机密凭据按照《信息安全政策》中的轮换时间表进行轮换，如怀疑遭到泄露则立即轮换。按用户的速率限制通过跨服务实例的共享存储实施。控制措施的证据依据《文档登记册》（Documentation Register）予以保留。

本名单在本DPA的发布位置（kerna.io/dpa）保持更新，变更将根据第5节进行通知。截至本版本日期：

Google Analytics、Brevo和Stripe（亦列于Kerna的隐私政策中）服务于Kerna的网站、Kerna向其用户发送的电子邮件以及Kerna自身的计费，Kerna以控制者身份开展上述活动（第9b节）。它们不属于本DPA项下的次级处理者。

无论（欧盟）第2023/2854号条例（《数据法》）是否适用于服务，本附件均适用于服务。Kerna将《数据法》第六章作为合同约定的基准适用于服务：如主管机关认定服务不属于该章的适用范围，控制者仍保有本附件规定的权利，但双方另有明确约定的除外。

启动转换。 控制者可随时写信至privacy@kerna.io，要求转换至其他提供商或其自有基础设施，或要求删除其可导出数据。转换或删除自Kerna收到请求之日开始，或于控制者指定的较晚日期开始，但该日期不得晚于收到请求后两个月（上述任一日期均称“开始日期”）。仅要求删除的请求，其完成期限见“删除”一段。

过渡期。 Kerna在自开始日期起30个日历日的过渡期内完成转换。主协议在该期间内持续有效：Kerna继续提供服务，向控制者及其所选择的任何提供商提供合理协助，指出已知的服务连续性风险，并在整个转换过程中（包括数据传输期间和数据检索期内）保持高水平的安全。如30天在技术上不可行，Kerna应自请求之日起14个工作日内告知控制者，说明原因，并设定不超过七个月的替代期限，在该期限内适用相同的义务。控制者可将过渡期延长一次，延长期间为其认为更为适当的期间。

数据检索期。 过渡期结束后，控制者有不少于30个日历日的时间检索其可导出数据。

可导出数据和数字资产。 下表为可导出的数据和数字资产的穷尽性清单。Kerna应要求通过安全下载链接、以表中所示格式提供导出；服务不具备自助导出功能。Kerna在服务开始保存某一新类别的控制者数据之前，先行更新本清单。Kerna不就任何类别主张商业秘密豁免。

删除。 在转换完成的前提下，Kerna自数据检索期结束之日（或与控制者约定的较晚日期）起30天内删除可导出数据，仅法律要求保留的除外（第10节）。如控制者仅要求删除，Kerna自开始日期起30天内删除可导出数据（与第10节规定的团队账户删除期限相同），并以书面形式确认删除。在转换成功完成时，或就仅要求删除的请求而言在开始日期，主协议视为终止，Kerna并就该终止通知控制者。因转换完成而终止主协议，不会使数据检索期提前结束：在该期间结束前，控制者仍可检索其可导出数据，“过渡期”一段规定的安全义务持续适用至该期间结束，且30天的删除期限仅自该期间结束时（或与控制者约定的较晚日期）起算。备份中的副本按第10节的规定到期。

费用。 Kerna不收取任何转换费用，亦不就导出数据收取任何费用。

不设障碍。 Kerna不对转换设置任何商业前期（pre-commercial）、商业、技术、合同或组织方面的障碍。

基础设施和政府访问。 Kerna的托管和存储基础设施位于欧盟；OpenAI进行的AI处理以及Sentry进行的访问在美国进行（第9节和附件III）。附件II中的措施以与保护个人数据相同的方式，保护服务中的非个人数据免遭非法访问，包括与欧盟或成员国法律相冲突的国际政府访问。