数据处理协议
最后更新：2026-08-17 (草案 —— 法律审阅尚未完成)
1. 请先阅读本节
**本 DPA 为草案。**它尚未经过法律顾问审阅，且 Cyril 尚未注册为法律实体，因此没有公司可以签署它。我们仍然发布它，因为一份您可以阅读并据以要求我们履行的草案，比一个声称草案存在的承诺更有用。
如果您在使用 Cyril 之前需要一份已签署的 DPA——如果您是英国或欧盟的数据控制方，您很可能需要——请联系我们，我们会如实告知审阅进展到了哪一步。
↓ 下载 DPA 草案（PDF）——由 Cyril API 提供，因此无论您是否拥有账户，该链接均可使用。
2. DPA 是什么，以及由谁签署
当贵组织将个人数据录入 Cyril 时，您是数据控制方，而 Cyril 是处理方。英国 GDPR 和欧盟 GDPR 第 28 条要求该关系须由一份载明特定条款的书面合同予以约束。DPA 就是该合同。
缔约方将为 [法律实体 —— 待确认]。在该实体存在之前，此处的任何内容均不可执行。
3. 它对我们作出的承诺
完整文本载于该 PDF 中。摘要如下：
| 条款 | 涵盖内容 |
|---|---|
| 1–2 | 定义，以及 Cyril 仅按照您书面记载的指示处理个人数据的规则 |
| 3 | 次级处理方——权威名单，以及在任何常驻提供商被新增、移除或发生重大变更之前的 60 天通知，并附有异议权 |
| 4 | 数据主体权利——Cyril 协助您答复访问、删除和可携带性请求 |
| 5 | 数据泄露通知 |
| 6 | 协议终止时数据的删除与返还 |
| 7 | 国际传输 |
| 8 | 审计权——依请求提供文档，以及每年一次由客户委托、费用由您承担、需提前 30 天通知的审计 |
| 9–10 | 管辖法律，以及联系人 |
4. 它未对我们作出的承诺
明确说明上述摘要中的缺口，比摘要本身更重要。
**管辖法律尚未解决。**第 9 条援引服务条款中所指定的管辖地，而服务条款尚未指定管辖地，因为尚不存在可供锚定的注册实体。这是一个真实的缺口，而非起草上的权宜之计。
没有可用性承诺，也没有服务水平协议。服务条款第 12 条明确如此规定。DPA 中的任何内容均不构成此类承诺。
**我们不持有任何认证。**没有 SOC 2，没有 ISO 27001，也没有已完成的渗透测试。第 8.1 条提供“依请求”提供文档——今天这意味着我们的书面安全文档，而非审计师报告。请参阅信任中心了解哪些存在、哪些不存在。
**60 天通知是一项草案承诺。**它载于您可以下载的文件中，也记录在我们的内部供应商政策中，因此我们视自己受其约束。但草案终究是草案。
5. 相关文件
- 次级处理方——DPA 第 3 条所指的权威第 28(2) 条名单
- 隐私政策——在 Cyril 为控制方的情形下，Cyril 如何处理个人数据
- 服务条款——DPA 所依附的商业协议
- 信任中心——安全态势，以及当前的合规状况
6. 联系方式
法律事宜咨询：legal@getcyril.com。安全事宜咨询：security@getcyril.com。如需定制的已签署 DPA，请写信至法律事宜地址，并说明贵方审阅流程的要求。