資料處理附約（DPA）

本附約中，「個人資料」、「處理」、「控管者」、「處理者」、「資料主體」之定義依歐盟 GDPR 第 4 條與台灣個人資料保護法第 2 條。

「服務」指 ContractCheck 向控管者提供的合約審閱、生命週期追蹤與相關功能。

處理者僅依控管者之文件化指示處理個人資料；處理目的為提供合約風險標註、到期提醒、口頭承諾對帳等功能所必要的範圍。

處理期間為控管者帳號存續期間。個人資料類型包含：員工 email、合約中可能出現之姓名／公司名／身分證字號／報酬數字（視控管者上傳內容而定）。

處理者採取以下技術與組織措施：TLS 1.3 傳輸加密、AES-256 靜態加密、敏感欄位 pgcrypto 二次加密、Supabase Row Level Security 資料庫層隔離、最小權限原則之管理後台、審計日誌保留 90 日、每季滲透測試。

員工只有在資料主體申訴與除錯情形下才能以審核程序存取資料，全程留下不可竄改之審計紀錄。

處理者委任以下次處理者：Anthropic（美國，AI 分析，Zero Retention）、Supabase（新加坡，資料儲存）、Vercel（全球 CDN，僅靜態資源）、Resend（美國，email 送達）、Lemon Squeezy（美國，付費與稅務，MoR 模式）。

任何新增次處理者將提前 30 日通知控管者。控管者如合理反對，可於通知日起 30 日內終止本 DPA 並按比例退款。

部分次處理者位於美國、新加坡；傳輸依據 GDPR Chapter V 採用歐盟標準契約條款（SCC），並搭配補充技術措施（加密、假名化）。

台灣個資法項下跨境傳輸未受主管機關明確禁止。控管者若對特定地區有限制，請於簽署前告知。

處理者於 72 小時內協助控管者回應資料主體之存取、更正、刪除、可攜性等請求。技術上，控管者可自帳號頁面直接匯出或刪除所有資料——我們不需介入。

若處理者發現導致個人資料洩漏、滅失、未授權存取或變更之安全事件，將於 72 小時內以 email 通知控管者的資料保護窗口，並提供事件摘要、影響範圍、補救行動。

控管者有權每年一次（或事件後加次）要求處理者提供最近一次 SOC 2 / ISO 27001 報告影本；於合理事由下，可自費委託獨立稽核人員至處理者辦公處所實地稽核，須提前 30 日通知，且不得影響他客戶資料機密。

控管者終止服務後，處理者於 30 日內依控管者指示將個人資料返還或刪除；刪除涵蓋備份，於 72 小時內生效。處理者不得留存任何副本，除非法律強制要求。

任一方因違反本 DPA 致他方承擔主管機關罰鍰或資料主體求償者，應於過失比例內負擔。雙方總責任以主合約（服務條款）第 8 條責任限制條款為準。

處理者資料保護窗口：privacy@usecontractcheck.com。重大資安事件通報：security@usecontractcheck.com。