数据处理协议

1. 双方与标的

根据 GDPR 第 28 条，本协议规范 [待补充: 公司法定名称]（"处理者"）在提供 Uelta 服务时代表客户（"控制者"）处理个人数据的方式。本协议是服务条款的组成部分，期限与之相同。

2. 处理的性质与数据

• 目的：管理预订、在线和收银台销售、客户、签署的文件、团队和场馆运营。
• 操作：收集、记录、保存、查询、修改、发送控制者配置的邮件、删除。
• 数据主体：控制者的客户和参与者（包括由其监护人提供数据的未成年人）以及控制者的员工。
• 数据类型：身份与联系信息、预订与购买、签署的文件和同意书，以及控制者在表单中要求的其他数据。控制者不应通过平台收集特殊类别数据，除非有合法依据并通知处理者。

3. 处理者的义务

• 仅按控制者的书面指示处理数据，包括通过平台进行的配置。
• 确保有权访问数据的人员承担保密义务。
• 采取 GDPR 第 32 条要求的技术和组织措施：HTTPS 加密、密码哈希、凭证加密、按角色和场馆的访问控制、备份。
• 协助控制者回应数据主体的权利请求，以及进行影响评估和事先咨询。
• 发现个人数据泄露后，无不当延迟地通知控制者，最迟 48 小时内，并提供已知信息。
• 提供证明合规所需的信息，并允许合理的审计。
• 如认为某项指示违反数据保护法规，立即告知控制者。

4. 次级处理者

控制者一般性授权处理者使用以下次级处理者，处理者与其签订了提供同等保障的合同：

• Hostinger International Ltd.：服务器托管和邮件发送。服务器所在地：[待补充: 服务器所在地]。
• Google Ireland Limited：仅在客户或其用户使用"使用 Google 登录"时。

如需新增或更换次级处理者，处理者将提前 30 天通知控制者，控制者可提出合理异议。

5. 控制者的义务

控制者保证其对所处理的数据有合法依据，已向数据主体提供所需的信息，并正确配置其法律文本和表单。

6. 协议结束

服务结束时，处理者将在 30 天内让控制者导出其数据，之后删除数据及副本，法律要求保存的除外。