1. 當事人、適用範圍及優先順序
本資料處理附約（以下稱「DPA」）由 Decennium Platforms Limited（以下稱「Decennium」）與 Moduly 工作區、訂購單或納入本附約的其他協議所識別的客戶（以下稱「客戶」）訂立，適用於 Decennium 為提供 Moduly 而代表客戶處理客戶個人資料的情況。客戶個人資料係指客戶素材內，或僅依客戶書面指示處理的個人資料。
客戶個人資料不包括 Decennium 以控制者身分自行決定處理方式及目的的帳戶管理、締約、帳務、稅務、詐欺防制、服務安全、客戶支援關係、產品改善或法遵資料，即使同一服務亦包含客戶個人資料。除適用法律另行指定角色外，該等服務資料適用《私隱政策》，而非本 DPA。
本 DPA 構成《服務條款》或已簽署協議（合稱「協議」）的一部分。就客戶個人資料處理如有衝突，以本 DPA 為準；強制資料保護法及未經修改的強制傳輸條款優先於兩者。未在本 DPA 定義的英文大寫詞彙，依協議或適用資料保護法解釋。
2. 角色及書面指示
對於客戶個人資料，客戶得依情況為控制者或處理者，Decennium 相應擔任處理者或次處理者（或適用法律下同等的服務提供者或承包商）。客戶指示 Decennium 僅為託管及整理客戶素材；執行客戶設定的生成、審查、儲存、匯出及發布；保護該等資料；遵守協議；以及遵循雙方同意的其他合法書面指示而處理資料。
除適用法律要求外，Decennium 不會為其他目的處理客戶個人資料；法律允許時，我們會事先通知客戶。如我們合理認為某項指示違反適用資料保護法，會迅速通知客戶，並得暫停受影響的處理。
3. 處理細節
處理的標的、性質、目的及期間如下：
- 標的及目的：託管客戶素材，並提供 Brand Brain、內容生成與編輯、宣稱審查、團隊批准、儲存、匯出及客戶指示的 Connector 發布。
- 處理性質：收集、記錄、整理、結構化、儲存、擷取、查閱、使用、模型推論、轉換、審查、揭露給授權次處理者或客戶選擇的接收者、限制、匯出及刪除。
- 處理期間：訂閱或其他協議期間，加上《私隱政策》所述的資料取回、備份、安全、爭議及刪除期間；法律或書面指示另有要求者除外。
- 資料主體：客戶的授權使用者、人員、承包商、業務聯絡人、市場推廣活動審查者、推薦者、創作者、客戶依法提交的潛在客戶或顧客，以及出現在客戶提供媒體中的個人。
- 個人資料：客戶提交的身分及聯絡資料；工作區、角色、批准及客戶內容審計資料；品牌、市場推廣活動、提示詞、證據、草稿、媒體及發布資料；Connector 識別碼；以及僅在構成客戶素材或為代表客戶保護該等處理所需時的裝置或網絡資料。
- 敏感資料：非一般使用目的。除非功能明確支援，且雙方已記錄必要保障及法律依據，客戶不得提交特殊類別、健康、兒童、精確位置、支付卡、驗證機密或類似敏感資料。
4. 客戶義務
客戶須負責合法指示、客戶個人資料的正確性與最小化、必要告知與同意、設定角色與保存，並確保使用生成或發布素材時符合法例。客戶為控制者時，負責回應資料主體；客戶為處理者時，保證相關控制者已授權其指示，並負責轉交請求及協助該控制者履行義務。
客戶不得指示 Decennium 以違反法律、本 DPA、《可接受使用政策》或第三方權利的方式處理資料。客戶必須使用服務安全功能、保護憑證，並迅速通知 Decennium 疑似入侵或違法上傳。
5. 保密及安全
Decennium 確保獲授權處理客戶個人資料的人員受保密義務拘束，且僅在職務所需範圍內存取。我們維持與風險相稱的技術及組織措施，以保護機密性、完整性、可用性及韌性。
目前經驗證的應用層措施包括租戶與角色範圍的伺服器授權、限制瀏覽器直接存取 Moduly 資料、TLS 傳輸中加密、受保護機密，以及僅附加的批准與發布紀錄。正式環境的身分與存取管理、供應商管理的靜態加密、備份、復原、監控、事件應變及刪除控制，必須在本 DPA 啟用前另行驗證。任何措施均無法保證服務絕對安全。
6. 次處理者
客戶對現行《次處理者清單》所列次處理者給予一般書面授權。Decennium 會對其施加就所執行處理提供實質同等保護的資料保護義務，並就每個次處理者的履行向客戶負責，如同該處理由 Decennium 自行執行。
除緊急安全或法律需要而無法事先通知外，新增處理客戶個人資料的次處理者前，我們會至少提前三十日通知。客戶可在通知期間基於合理資料保護理由提出異議。雙方會善意尋求商業上合理的替代方案；如無替代方案，客戶可停止使用受影響功能，或終止受影響服務，並取得強制法律或協議要求的退款。
7. 資料主體及合規協助
考量處理性質，Decennium 會提供合理技術及組織協助，使客戶回應合法的查詢、更正、刪除、限制、可攜、反對或其他適用權利請求。若個人直接就客戶控管資料聯絡我們，除法律另有要求外，我們通常會將請求轉交客戶。
在我們可取得資訊範圍內，會合理協助客戶處理安全、事件通知、資料保護影響評估、事前諮詢及證明合規所需資料。超出標準產品功能或因客戶不合規所產生的協助，在法律允許時得按雙方同意的合理費率收費。
8. 個人資料事件
Decennium 知悉發生導致客戶個人資料遭意外或違法毀損、遺失、變更、未經授權揭露或存取的安全事件後，會不無故遲延通知客戶；在實務可行時，目標為知悉後四十八小時內通知。我們得在所有事實確認前先發出初步通知，並分階段更新。
通知會包括當時可得的事件性質及可能後果、受影響資料與人員、已採取或建議的緩解措施及聯絡窗口，資訊可分階段提供。通知不構成承認過失。客戶為控制者時，仍負責依法通知，並由我們提供合理協助；客戶為處理者時，仍須依相關控制者的指示及適用法律迅速通知並協助該控制者。
9. 返還、刪除及保存
帳戶有效期間，客戶可使用可用的匯出功能。帳戶刪除會移除提出請求使用者的 Moduly 身分及會員關係，但不會刪除由其他授權成員控制的共享組織內容。經驗證組織關閉或終止後，Decennium 會依客戶合法選擇、《私隱政策》及文件化產品程序刪除或返還客戶個人資料；適用法律要求保存者除外。
客戶個人資料可能留在輪替備份至正常到期，並得依《私隱政策》所列期間，保存在具限制的安全、批准、宣稱審查、用量、發布、私隱請求或法律紀錄中，但僅限為執行客戶書面指示、保護服務、證明合規、遵守法律、維持已記錄的 legal hold 或解決現行爭議所需。保留的客戶個人資料仍受保護、不會用於無關目的，且會在該依據終止後刪除。由 Decennium 以控制者身分處理的服務資料，依《私隱政策》的獨立時程處理。
10. 資訊及審計
Decennium 會提供合理必要資訊，以證明遵守本 DPA；可能包括安全說明、可取得的獨立報告、政策及書面回覆。客戶必須保護機密安全資訊。
如所提供資訊仍不足，客戶可每十二個月要求一次審計；確認事件或監管機構要求時得增加一次。審計須合理事先通知、盡量減少營運干擾及其他客戶資料暴露，並得由雙方同意的獨立審計人執行。除非審計發現 Decennium 重大違約，費用由客戶負擔。
11. 國際傳輸
客戶授權在《次處理者清單》所列國家處理資料，但須遵守適用傳輸規則。依法要求時，雙方會使用有效傳輸機制及補充措施。
如客戶個人資料從 EEA 或其他受 EU GDPR 規範範圍受限制傳輸至不具適用適足性決定的 Decennium，雙方會在依賴該機制進行傳輸前，填妥並訂立歐盟執委會依 Decision (EU) 2021/914 發布的標準契約條款。客戶為控制者時適用 Module Two；客戶為處理者時適用 Module Three。客戶同意紀錄或訂購單必須填妥 exporter 資料、角色、簽署日期、傳輸說明、監管機構、技術措施及次處理者附表；本 DPA 第 1、3、5、6、13 節及《次處理者清單》提供相應基準。允許 docking；在相關選擇有效時，Clause 17 適用愛爾蘭法律，Clause 18 選擇愛爾蘭法院。
如傳輸受英國資料保護法限制，雙方會在依賴該機制進行傳輸前，填妥 ICO 對 EU SCC 的 International Data Transfer Addendum，包括其強制條款及 Tables 1 至 4。除填妥附表另有正確角色外，客戶為 exporter，Decennium 為 importer。Exporter 仍須負責必要的傳輸風險評估或 data-protection test，Decennium 會提供合理資訊。本段或資料不完整的工作區設定，不代表客戶專屬傳輸工具已經簽立。
12. 香港、台灣及美國州法條款
就香港個人資料，Decennium 會依適用情況，在支援資料保障原則的契約控制下，以客戶資料處理者或次處理者身分處理，包括目的限制、資料最小化、安全、處理者監督及資料不再需要時刪除。
就台灣個人資料，雙方會依各自角色遵守《個人資料保護法》的適用義務，包括合法蒐集與使用、告知、安全、權利處理，以及依法停止或刪除。
就受 CCPA 或類似美國州法規範的個人資訊，Decennium 就第 3 節特定商業目的擔任客戶的服務提供者或承包商。除法律允許外，Decennium 不會出售或分享該資訊、不會用於跨場景行為廣告、不會在直接業務關係或特定目的外保留、使用或揭露、不會與無關個人資訊結合，也不會試圖重新識別已去識別資料。Decennium 會提供適用法律要求的相同私隱保護、允許合理監督、在無法繼續合規時通知客戶，並允許客戶採取合理措施停止及補救未授權使用。
13. 責任、終止及聯絡方式
在法律允許最大範圍內，協議的責任限制適用於本 DPA，但不限制資料主體權利或強制法律不允許限制的責任。本 DPA 終止不影響旨在保護留存資料的條款或強制傳輸條款。
處理者：Decennium Platforms Limited，於香港特別行政區註冊成立。業務聯絡地址：香港數碼港道 100 號數碼港 3 期 F 座 5 樓創業中心。私隱聯絡：privacy@decennium.app。客戶資料及授權聯絡人以已驗證工作區、訂購單或簽署紀錄為準。