数据处理附录
最后更新: 2026 年 8 月 5 日 · 3.0版本
1. 适用性和法律背景
本数据处理附录（“DPA”）是Community Network服务条款的强制性部分，适用于作为平台上的企业家、组织、企业帐户所有者或社区/活动组织者的用户（“控制者”、“您”）在平台上上传或以其他方式放置第三方个人数据的情况。 DPA 的制定依据： 俄罗斯联邦法律 152-FZ 第 6 条第 3 部分； (EU) 2016/679 (GDPR) 条例第 28 条；英国 GDPR 和 2018 年数据保护法；其他司法管辖区的同等处理者协议规则。 不需要单独的双边 DPA 签名。接受 DPA 是指涉及将第三方数据传输到平台的任何行为。
二、当事人身份及聘任主体
控制者：平台用户，为了其利益并根据其责任对第三方数据进行处理。 处理者：Global Data Labs LLC（“公司”、“我们”），仅根据控制者的指示并仅在平台运营所需的范围内处理第三方个人数据。 参与主体：公司提供平台基础设施服务，在此期间通过技术手段对控制者上传的个人数据进行操作。 参与持续时间：从数据上传之日起，直至控制者或公司按照 DPA 和适用法律的规定删除数据为止。
3. 数据类别和数据主体
数据主体类别：控制者的员工；由管理员管理的社区成员；控制方交易对手的联系人；由财务主任组织的活动参与者；受邀嘉宾。 数据类别：身份识别（全名、用户名）；联系方式（电子邮件、电话、通讯工具）；图像（照片）；职位、工作地点、在社区中的角色；技术（IP 地址、会话元数据）。 控制者保证，未经公司事先书面协调并遵守其他法律要求，不会将特殊类别的个人数据（生物识别、健康、未成年人数据、政治/宗教信仰等）上传到平台。
4. 允许的加工操作
控制者指示且公司有权在提供平台服务所需的范围内执行以下操作： ——收集； - 记录; ——系统化； ——积累； - 贮存; ——更新（修改、改变）； ——检索； - 使用; — 转让（提供、访问）— 在平台功能范围内并向技术承包商转让（第 7 条）； ——人格解体； — 阻塞； ——删除； ——破坏。 此列表详尽且与 152-FZ 术语一致。
5. 处理目的
处理仅用于以下目的： — 确保控制器的平台正常运行； ——提供技术交流、社区管理和活动管理能力； ——确保平台信息安全； — 使用指标的聚合分析； — 响应政府当局的合法要求。 公司不得将第三方个人数据用于自身营销、人工智能培训（可选择退出的公共数据除外）、出售或转让给广告商。
6. 公司（处理者）的义务
保密性。保密地处理数据；约束有权访问数据的员工和承包商的机密性。 安全措施。根据 152-FZ 第 18.1 条和第 19 条、GDPR 第 32 条（详细列表 - 隐私政策第 11 节）应用技术和组织措施。 本土化。对于俄罗斯公民数据，确保使用位于俄罗斯联邦的数据库进行记录、系统化、积累、存储、更新和检索。 事件通知。根据 152-FZ 条立即（不迟于 24 小时）将事件通知管理员。 21(3.1) 或 GDPR 第 1 条33. 协助。根据书面要求提供确认合法合规性的文件；协助回应主题请求、DPIA、与监管机构的事先协商。 子处理者。仅在义务不低于本 DPA 中规定的义务的情况下与第三方合作。 完成后删除。完成服务或控制者请求后，删除或返还所有个人数据，法律强制保留的副本除外。 审计。根据控制者每 12 个月不超过一次的合理书面请求，提供合规报告或接受审计，费用由请求方承担。
7. 分处理者
当前子处理者列表及其服务类别： — 托管：DigitalOcean（美国/俄罗斯，分段）、AWS（美国/欧盟 — 备份）； — CDN/保护：Cloudflare（美国）； — 电子邮件：SendGrid / Mailgun（美国）； — 推送：Firebase（谷歌）/Apple APNs（美国）； — SMS：许可网关（俄罗斯/欧盟/美国）； — KYC：SumSub（英国/欧盟）； — 付款方式：Stripe / ЮKassa（美国/欧盟/俄罗斯）； — Analytics：Google Analytics（可选，美国，经同意）； — AI 模型：OpenRouter / DeepSeek / OpenAI（美国，没有查询训练）。 俄罗斯公民数据由位于俄罗斯的基础设施的分处理商处理，符合本地化要求。 当聘请新的子处理者时，公司至少提前 14 天通过电子邮件和/或横幅通知控制者；在此期间，控制者可以提出反对。
8. 跨境转账
个人数据的跨境传输根据 152-FZ 第 12 条、GDPR 第五章、同等的 UK-GDPR 规则以及其他司法管辖区的行为进行。 适用机制： ——充分性决定； — 欧盟-美国数据隐私框架（DPF）； — 标准合同条款 (SCC) — 根据要求提供的 DPA 附件； — 英国 IDTA / IDTA 附录； — 对司法管辖区的转移影响评估（TIA）不充分。
9. 控制者义务
合法依据。对于传输给公司的每个数据类别，都有根据适用法律进行处理的合法依据。 同意。获得数据主体正确签署的同意或确保另一个合法依据。 告知科目。履行对主体的信息义务（152-FZ第18条、GDPR第13-14条）。 请勿上传法律禁止处理或超出规定目的所需范围的数据。 保障。赔偿公司因控制者违反适用法律或本 DPA 而产生的所有损失、罚款和法律费用。
10. 责任
考虑到服务条款的限制（第 11 节），双方均应根据适用法律承担责任。 对数据主体作出回应的主要职责由控制者承担。收到主体的请求后，公司会在合理期限内将其转发给控制者和/或为主体行使权利提供技术援助。
11. 期限和终止
DPA 在接受服务条款并将第三方数据首次上传至平台后生效。 DPA 在服务条款终止或控制者提出数据删除请求（以先发生者为准）时终止。 终止后，公司将在隐私政策（第 10 条）规定的期限内删除或匿名化数据，法律强制保留的数据除外。
12. 其他
俄语版本优先（如果与翻译不一致）。 如果 DPA 与服务条款发生冲突，则在个人数据处理方面以 DPA 为准。 适用法律、管辖权、仲裁——根据服务条款。
13. 联系方式
DPO/处理问题：隐私@communitynet.app / dpo@communitynet.app 法律问题：法律@communitynet.app 平台：www.communitynet.ru（俄语）·www.communitynet.app（国际） 公司：全球数据实验室有限责任公司