数据处理协议 (DPA)

生效日期：2026年6月1日

提示：本页面正文内容待法务团队最终确认。当前展示的为协议骨架与章节结构，正式版本上线前将替换为经审核的法律文本。

定义

"控制者"指决定数据处理目的和方式的自然人或法人。"处理者"指代表控制者处理个人数据的自然人或法人。"子处理者"指处理者聘用的第三方处理者。"数据主体"指其个人数据被处理的个人。

本数据处理协议（DPA）是 Fabex 服务条款的补充。如本 DPA 与服务条款存在冲突，以本 DPA 为准。本 DPA 的条款旨在确保 Fabex 作为数据处理者的处理活动符合适用的数据保护法律。

Fabex 代表客户（控制者）处理个人数据，以提供 AI 原生研发服务。处理的数据类别包括：用户账户信息（姓名、邮箱、公司等）、项目数据（需求描述、代码、文档等）、使用数据（日志、分析数据等）。数据主体类型包括：客户员工、最终用户。详见附录 A。

作为控制者，客户承诺：确保数据处理活动具有合法基础（如同意、合同履行、合法利益等）；确保数据主体的权利得到尊重和保护；向 Fabex 提供准确、完整的处理指示；及时通知 Fabex 任何数据主体的权利请求；对 Fabex 的处理活动进行适当监督。

作为处理者，Fabex 承诺：仅按照客户的书面指示处理个人数据；确保处理数据的员工已签署保密协议；实施适当的技术和组织措施保护数据安全；在发生数据泄露时及时通知客户；协助客户响应数据主体的权利请求；在协议终止后按照客户指示删除或返还数据。详见附录 B。

Fabex 可能聘用子处理者来辅助提供服务。当前已批准的子处理者清单详见附录 C。如需增加或更换子处理者，Fabex 将提前通知客户，客户有权在合理期限内提出异议。

Fabex 将协助客户响应数据主体的权利请求，包括：访问权、更正权、删除权（被遗忘权）、限制处理权、数据可携带权、反对权。Fabex 将在收到请求后的合理期限内提供必要协助。

如发生个人数据泄露事件，Fabex 将在发现后的 72 小时内通知客户，并提供以下信息：泄露的性质和范围、可能受影响的个人数据类别、已采取或拟采取的缓解措施、建议的后续步骤。

如个人数据需要跨境传输，Fabex 将确保传输符合适用的数据保护法律，包括使用欧盟委员会批准的标准合同条款（SCC）或其他适当的保障措施。数据传输的目的地详见附录 C。

客户有权对 Fabex 的数据处理活动进行审计。审计应提前通知，每年不超过一次，且不应对 Fabex 的正常运营造成不合理干扰。Fabex 将配合提供必要的文件和记录。

本 DPA 随服务条款的终止而终止。协议终止后，Fabex 将按照客户指示删除或返还所有个人数据，并销毁现有副本，除非法律法规要求保留。

Fabex 对因违反本 DPA 而直接导致的损失承担责任。责任上限参照服务条款中的责任限制条款。Fabex 不对因客户指示或控制者行为导致的损失承担责任。

与本 DPA 相关的正式通知应通过邮件发送至双方指定的联系人。通知在发送后的下一个工作日视为送达。

本 DPA 适用中华人民共和国法律。因本 DPA 引起的争议，双方应友好协商解决；协商不成的，提交被告所在地有管辖权的法院诉讼解决。

处理活动：AI 研发服务支持；数据类别：用户账户信息、项目数据、使用日志；数据主体：客户员工、最终用户；处理目的：提供和改进服务；保留期限：协议终止后 90 天（或根据法律法规要求）。

加密：传输中使用 TLS 1.3，存储中使用 AES-256；访问控制：基于角色的访问控制（RBAC），最小权限原则；安全审计：定期安全评估和漏洞扫描；备份：每日自动备份，保留 30 天；员工培训：定期数据保护培训。

Amazon Web Services (AWS) — 云基础设施 — 中国（北京）区域；Cloudflare — CDN 和安全服务 — 全球。