数据处理附录
版本 1.0 · 更新日期：2026年10月19日 · 生效日期：2026年10月16日
本数据处理附录（“DPA”）构成Forward AI Labs, Inc.（“MiraDay”“我们”）与相关协议所确定客户之间协议的一部分，规定 MiraDay 在提供其面向全球的人才智能产品时，代表客户处理客户个人数据所应遵守的要求。
“协议”指客户接受的 MiraDay服务条款。本 DPA 适用于协议涵盖的相关客户及工作空间。接受协议亦构成接受本 DPA、其附件及下文填写的适用传输条款。本 DPA 不要求单独勾选或接受流程。代表组织接受的人员须有权使组织受其约束。受邀成员仅加入组织工作空间，并不代表组织接受 DPA。
1. 定义
本 DPA 未定义的、英文原文以大写字母开头的术语，具有协议规定的含义。
术语
含义
客户个人数据（Customer Personal Data）
MiraDay 为提供服务而代表客户处理的个人数据，包括客户内容、工作空间数据及输出结果中的个人数据，以及为该目的处理的服务生成记录中的个人数据。亦包括保存在工作空间中的 F2D 数据，但以 MiraDay 随后按客户指示托管或处理该副本的范围为限。不包括第2.3节所述 MiraDay 独立控制者目的下的处理
数据保护法（Data Protection Law）
适用于协议下相关处理的隐私、数据保护及电子通信法律，包括在适用时的欧盟 GDPR、英国 GDPR、英国《2018年数据保护法》及适用的实施或修订立法
欧盟 GDPR（EU GDPR）
经适用及修订的《条例（EU）2016/679》
英国 GDPR（UK GDPR）
构成英国法律一部分、经适用及修订的 GDPR
个人数据、处理、控制者、处理者、数据主体、监管机构
适用数据保护法赋予的含义
以可留存形式记录的指示（Documented Instructions）
第3.1节所述的客户指示，可通过经授权的服务操作、任务、配置或书面通信，以可留存的形式记录
个人数据泄露（Personal Data Breach）
导致被传输、存储或以其他方式处理的个人数据发生意外或非法毁损、丢失、篡改、未经授权披露或访问的安全事件
子处理者（Subprocessor）
MiraDay 聘用以代表客户处理客户个人数据的处理者；不包括受 MiraDay 管理并按其指示行事的人员
欧盟 SCC（EU SCCs）
欧盟委员会2021年6月4日《实施决定（EU）2021/914》附件中的标准合同条款，依据第10章及各附件填写适用模块、选项及附录信息
英国附加协议（UK Addendum）
ICO针对欧盟委员会标准合同条款发布的《国际数据传输附加协议》，模板B.1.0，自2022年3月21日起生效，并依据其强制性条款修订
受限传输（Restricted Transfer）
因目的地或接收方不受适用充分性决定或法规覆盖，而适用数据保护法要求采取传输保障的个人数据传输
2. 范围、角色及适用
2.1 控制者与处理者。 对于本 DPA 涵盖的处理，客户为控制者，MiraDay 为其处理者。客户确定使用客户个人数据的招聘用途，具体见协议第5.2节，包括在该范围内支持招聘活动的研究。处理事项、期限、性质、目的、数据类别及数据主体类别列于附件1。客户享有并承担本 DPA 及数据保护法规定的权利和义务。
本 DPA 涵盖的服务不支持客户作为另一控制者的处理者行事，企业套餐亦不例外。这不妨碍 MiraDay 依据第5章聘用子处理者。猎头公司可在协议允许范围内，作为控制者为特定招聘委托使用服务。
2.2 个人与组织工作空间。 个人工作空间的客户为个人；组织工作空间的客户为组织。两类工作空间及其频道相互隔离。邮箱连接和插件与用户账户关联；通过它们带入服务的内容，保存在相应频道所属的工作空间。账户层面的连接不授权在工作空间之间披露，也不使组织管理员取得个人工作空间内容的访问权。针对组织工作空间的指示须由该客户授权人员发出。
2.3 独立控制者活动。 本 DPA 不约束 MiraDay 对其招聘数据基础设施 F2D（Fast to Data）的独立运营、为该运营接收符合条件的贡献字段，或依据数据共享附录（“DSA”）交付 F2D 数据。MiraDay 对账户管理、账单及其他独立活动的控制者处理，见隐私政策。只要安全及服务记录是代表客户处理的，就仍受本 DPA 约束；仅将其标记为日志或使用记录，不会使其被排除在本 DPA 范围之外。
2.4 贡献及副本。 贡献前按客户指示提取和处理符合条件的字段，仍受本 DPA 约束。MiraDay 对贡献副本进行的独立 F2D 处理，受 DSA 约束。客户原始工作空间副本仍受本 DPA 约束。如 MiraDay 在记录写入 F2D 前确定了独立 F2D 目的，则该活动自该时点起须满足 DSA 及数据保护法；数据库位置本身不决定法律角色。贡献不会使整个工作空间或此后全部处理转为控制者处理。
2.5 保存在工作空间中的 F2D 数据。 DSA 继续约束 F2D 数据的来源、交付及允许使用。本 DPA 约束 MiraDay 随后按客户指示，对客户已保存副本进行的托管或其他处理。两份附录的义务分别适用于各自涵盖的活动，因此同一信息的不同处理可能分别受其约束。
3. 处理指示及数据使用
3.1 以可留存形式记录的指示。 客户指示 MiraDay 依据授权人员配置及使用情况，处理客户个人数据以提供协议及附件1所述服务，并遵守通过support@miraday.ai或privacy@miraday.ai以书面方式商定的其他合法指示。指示可通过经授权的服务操作、任务、配置或书面通信记录。AI 生成的操作本身不构成新的客户指示。敏感插件操作须按协议要求确认。
3.2 限制及违法指示。 MiraDay 仅依据以可留存形式记录的指示处理客户个人数据，包括传输，除非适用于 MiraDay 的欧盟、成员国或英国法律要求其他处理。除法律基于重要公共利益理由禁止通知外，MiraDay 会在处理前将该法律要求告知客户。MiraDay 认为某指示违反数据保护法时，会立即通知客户。双方解决问题期间，可暂停受影响指示，且不会执行违法指示。政府访问请求亦受第10.5节及任何适用传输条款约束。
3.3 客户责任。 客户负责为自身处理及披露确立合法依据、提供所需告知、取得采集及使用来源的授权、作出合法招聘决定，以及确保指示合法。仅在适用法律要求时须取得同意；本 DPA 不将同意指定为唯一合法依据。客户将提供 MiraDay 履行义务合理所需的信息和协作。这些责任不免除 MiraDay 自身作为处理者的义务，或其独立作为控制者的义务。
3.4 AI 处理及禁止模型训练。 MiraDay 可使用经批准的 AI 提供商及模型，为按客户指示提供的服务功能处理客户个人数据，例如匹配、摘要及生成输出结果。MiraDay 不会使用来自客户或其授权用户的数据，训练、微调或改进自身或任何第三方 AI 模型。限制包括客户内容、工作空间数据、已连接账户数据、使用数据、包含客户数据或从客户数据衍生的输出结果、贡献至 F2D 后的符合条件的字段，以及汇总、去标识化、匿名化或其他衍生版本。为提供服务而进行必要的模型推理，并不意味着可以将相关数据用于模型训练。故障排查、任务验证及支持仍限于相关客户的服务功能及合法指示，不授权将客户任务内容重复用于通用评测库或无关产品改进。模型提供商合同须规定适用禁止训练限制及约定的输入／输出保留限制。MiraDay 将在公开子处理者名单之外单独维护相关保留信息，并按第9章提供客户合规合理所需的信息，但可对机密信息采取适当保护。
3.5 敏感及过量数据。 一般招聘场景下使用服务，无需提供特殊类别、刑事犯罪或儿童数据。客户不得违反协议故意提交该等数据，亦不得使用服务推断这些类别。客户控制的内容仅可依据合法且以可留存形式记录的指示，并按照适用数据保护法处理。即使这些数据被意外纳入，也不意味着可以将其贡献至 F2D、用于敏感推断或模型训练。
3.6 连接服务。 客户负责授权访问已连接账户，并指示如何在相关工作空间中使用这些账户。MiraDay 将遵守已连接账户数据用途限制，并将已连接账户数据及其衍生数据排除于 F2D 贡献之外。切换工作空间或结束成员资格，本身不会断开账户层面连接，亦不会停止已在原频道启动的任务。这不允许在第三方授权撤销后继续访问，也不免除合法访问限制或删除指示。连接器不自动成为子处理者：双方将根据实际情况确定，其提供商是为 MiraDay 处理数据、按客户指示接收数据，还是作为独立控制者行事。MiraDay 仍按第5章对其聘用提供商负责。
4. 保密及安全
4.1 授权人员。 MiraDay 将确保获授权处理客户个人数据的人员已承诺保密，或受适当法定保密义务约束。访问仅限于为提供、保护或支持服务而需要访问的授权人员。
4.2 技术与组织措施。 MiraDay 将考虑现有技术水平、实施成本、处理的性质、范围、背景和目的，以及对个人的风险，实施并维护数据保护法要求的适当措施，包括在适用时的欧盟 GDPR 及英国 GDPR 第32条要求。约定措施见附件2。MiraDay 可为应对技术、风险或服务变化而更新措施，但不得在适用订阅周期内降低整体保护水平。对约定义务的重大降低或变更，受协议变更程序及适用法律约束。
4.3 客户控制。 客户将保护登录凭据、设备及已连接账户，管理授权成员，并适当使用可用安全控制。MiraDay 保护平台及落实工作空间隔离的义务仍然存在。账户层面的连接不意味着所有连接设置、日志或控制均可按工作空间分别配置。
5. 子处理者
5.1 一般书面授权。 客户一般授权 MiraDay 聘用附件3列明的子处理者，为所述服务处理客户个人数据。关联方不自动获得授权：如其作为独立实体代表 MiraDay 处理数据，须列入名单并遵守这些要求。受 MiraDay 直接管理的人员适用第4.1节。
5.2 名单及提前通知。 MiraDay 将维护注明日期的子处理者名单，按附件3列明每一提供商、所述地点、处理职能、网站及联系方式。实际处理及访问地点、相关保留条款及传输保障，将记载并维护在适用的处理、合同或传输记录中，并在本 DPA 或数据保护法要求时提供。公开名单列示的公司所在地或联系地址，并不涵盖全部数据处理地点。在新子处理者开始处理受影响客户个人数据前，MiraDay 至少提前30个日历日，向客户登记联系邮箱通知拟新增或替换事项。通知将说明拟议变更，并提供合理评估所需信息。仅公布修订后的名单，不能替代所需的提前通知。
5.3 异议及解决。 客户可在已通知变更生效前，基于合理数据保护理由提出异议，并及时解释理由。MiraDay 将讨论异议、提供相关信息，并寻求合理的解决方案，例如补充保障措施或可用的替代方案。及时提出的异议尚未解决时，MiraDay 不会向拟议子处理者发送客户受影响数据。如果无法合理解决，任一方可终止受影响服务，并按协议就未使用订阅天数退还预付订阅费用。这不限制协议、数据保护法或适用传输条款下的其他权利或救济。
5.4 同等义务及责任。 允许处理前，MiraDay 将与每一子处理者订立书面协议，施加提供与本 DPA 同等保护水平的数据保护义务，包括适当安全、保密、指示、权利协助、泄露协作、删除及适用传输保障。MiraDay 按数据保护法要求，继续就子处理者履行这些义务向客户负责。
5.5 紧急情况。 紧急安全或业务连续性需要，不会免除取得客户授权及履行通知义务的要求，也不会排除客户的异议权。MiraDay 将在实际可行的范围内尽早提前通知，并遵守约定通知期及适用传输条款。需要缩短期限时，MiraDay 须取得客户书面同意，或使用已获授权提供商；否则将暂停受影响处理，而非作出未经授权变更。
6. 返还及删除
6.1 服务期间。 MiraDay 将考虑指示范围、紧迫性及适用法定期限，通过可用功能、隐私中心、隐私请求页面、support@miraday.ai或privacy@miraday.ai，在无不当延误的情况下执行客户导出、更正、限制或删除客户个人数据的合法指示。保留备份按第6.4节处理。删除选定内容不要求关闭整个账户或工作空间。必要时，MiraDay 将核验请求人是否有权就相关客户及工作空间发出指示。收到的数据主体请求按第7章处理。
6.2 处理结束及客户选择。 相关处理服务结束时，MiraDay 将按客户选择返还或删除客户个人数据，并删除剩余副本，除非适用欧盟、成员国或英国法律要求保存。客户可选择返还、删除或返还后删除，并可通过隐私中心、隐私请求页面或privacy@miraday.ai提交指示。指示仍受第6.1节权限核验约束。返还及删除，包括子处理者副本和受保护备份，最迟须在相关处理服务结束后90个日历日内完成。协议规定的30日导出窗口已包含在该90日最长期限内，导出窗口结束后不会另起一个90日的期限。
导出窗口继续提供，除非客户指示提前删除，或法律要求限制访问或传输，或为防止已识别安全风险须作限制。正常访问受限时，MiraDay 将寻求合法、安全的返还替代方式。更早的合法删除指示须在无不当延误的情况下执行；法律或适用传输条款规定的更早期限优先。90日是最长期限，不能据此延迟落实必要的权利措施。
6.3 订阅及工作空间事件。 取消付费套餐、降级至受支持免费套餐、退出组织、关闭工作空间及删除用户账户，是不同事件。个人用户可在Settings（设置）中，按服务显示确认步骤自行删除账户；可向support@miraday.ai获取协助。取消付费订阅或结束组织成员资格，本身不会终止仍在使用的个人工作空间或其他持续提供的处理服务。个人账户操作本身不构成删除组织工作空间的指示。对该工作空间负责的客户确定其合法指示。
6.4 备份及法定保留。 例行备份中的剩余副本，在等待删除或覆盖期间，不作日常使用，并继续受本 DPA 保护。持续服务期间收到删除指示时，备份按计划周期移除，且最迟不超过合法删除指示后90个日历日。相关处理服务结束时，第6.2节90日上限同时适用于备份、活跃系统及子处理者副本。任何更早法定期限优先。备份恢复时，MiraDay 将在恢复的数据重新投入日常使用前，重新落实删除及限制指示。法律要求保存的数据将被识别，限于所要求目的及期限，并在该要求结束时删除。保留这些数据并不意味着可以将其用于招聘、贡献或训练。
6.5 子处理者及确认。 MiraDay 将要求子处理者实施相应返还及删除义务。应请求，MiraDay 将提供书面确认，说明活跃系统中的删除情况、已核查的范围、尚待到期的备份，以及依法保留的副本和相关限制。如果仍保留任何副本，MiraDay 不会出具已完全删除的证明。欧盟 SCC 或英国附加协议要求出具证明时，MiraDay 将提供其要求的证明。
6.6 独立控制者副本。 删除工作空间副本，不会自动删除 MiraDay 作为独立控制者持有、经合法贡献的 F2D 副本。该副本仍受 DSA、适用保留限制及数据主体权利约束。独立处理的信息见个人信息声明；相关权利请求可通过隐私中心、隐私请求页面或privacy@miraday.ai提交。这种区分不允许 MiraDay 重新标记处理者副本以逃避删除，也不允许保留违法贡献数据。
7. 数据主体请求
7.1 MiraDay 收到的请求。 个人可通过隐私中心、隐私请求页面或privacy@miraday.ai提交隐私请求。如 MiraDay 收到涉及代表客户处理的请求，将在无不当延误的情况下通知相关客户，并提供请求及处理所需的可用信息。未经客户授权或法律要求，MiraDay 不会代表客户作实质答复。可确认收悉并引导个人联系相关客户，但不披露另一客户的数据。
7.2 协助。 考虑处理性质，MiraDay 将在可行范围内通过适当技术与组织措施，协助客户履行适用数据主体权利。这包括定位相关数据、提供可访问副本、更正、删除、限制、适用时的数据可携带权，以及合法答复所需的可用 AI 处理信息。MiraDay 将及时提供协助，以使客户能够遵守适用期限；协议的一般通知条款不延长这些期限。
7.3 责任及核验。 客户负责决定如何答复涉及其控制者活动的请求，并进行与风险相称的身份核验。MiraDay 提供必要支持，不要求过多额外身份资料。涉及 MiraDay 的 F2D 副本或其他独立控制者处理的请求，由 MiraDay 视情况依据 DSA 或隐私政策处理。涉及多份副本的请求将协调处理，但不转移另一工作空间内容。
8. 个人数据泄露通知
8.1 通知。 MiraDay 知悉影响客户个人数据的个人数据泄露后，将在无不当延误的情况下通知客户，不会等到调查完成后才作初始通知。通知发送至客户登记联系人及附件1指定的隐私或事件联系人。送达失败时，MiraDay 将及时使用其他可用且已核实的联系人或服务通信渠道，并记录所采取的措施。关于通知视为于下一个工作日收悉的约定，不会推迟上述通知义务。
8.2 信息及更新。 在信息可得范围内，通知将说明泄露性质、受影响数据及数据主体类别和大致数量、可能后果、已采取或拟采取措施，以及进一步信息联系人。信息尚不可得时，MiraDay 将分阶段提供，不作进一步不当延误。其将保存相关证据、调查、遏制及补救泄露，并与客户合理协作。
8.3 对外通知。 客户确定其作为控制者须作出的通知。MiraDay 提供所需信息及协助。除法律要求外，未经授权，MiraDay 不会在公开泄露通信中识别客户，也不会代表客户通知数据主体。这不限制 MiraDay 自身直接法定义务。通知或协作本身不确立责任。
9. 协助、信息及审计
9.1 合规协助。 MiraDay 将根据处理性质及其可获得的信息，协助客户履行适用安全、泄露通知、DPIA及事先咨询义务，包括在适用时的欧盟 GDPR 及英国 GDPR 第32至36条。协助包括 MiraDay 可提供的相关 AI 输入、输出结果、局限和保障信息。客户仍对自身评估及决定负责；MiraDay 仍对自身合规负责。
9.2 信息及记录。 MiraDay 将提供证明遵守本 DPA 及适用的欧盟 GDPR 或英国 GDPR 第28条义务所需的信息。相关安全及提供商信息可向 privacy@miraday.ai 索取；这些材料不替代本 DPA 或其适用附件。信息可包括相关政策、安全说明、子处理者名单，以及任何可提供的现行独立审计报告或适当摘要。可适用保密保障，但客户行使法定审计权，不以已有报告或认证为前提。MiraDay 将保存数据保护法要求其保存的处理记录。
9.3 审计及检查。 为证明合规所必需时，MiraDay 将允许并协助客户或其指定独立审计员进行审计，包括检查。双方首先考虑可用信息是否解决问题，并约定合理范围、通知、时间、保密及安全安排，避免不必要干扰及其他客户数据暴露。这些安排不妨碍重大事件、合理不合规证据或监管机构要求后的必要审计。MiraDay 可要求审计员避免利益冲突，并接受合理保密条款；不会利用这些要求阻碍必要审计。
9.4 费用。 证明合规所需的常规信息及协作，不以额外购买为条件。特殊客户专属工作的合理费用可提前约定，但不得妨碍履行法定义务。客户不承担 MiraDay 为纠正自身不合规而发生的费用。即使双方尚未就费用达成一致，任何一方也不得因此延迟提供法律要求的协助。
10. 国际传输
10.1 地点及合法机制。 MiraDay 仅在附件1及该附件明确引用的、已填写完整的实际处理和传输记录所披露的地点处理客户个人数据，并遵循以可留存形式记录的指示及合法传输安排。存储、备份、远程支持或管理访问均包括在内。附件3列明已获授权的子处理者；除非明确注明托管区域，其中列出的公司或联系地址并不代表全部处理或访问地点。协议不构成在缺少适用保障下向全球传输的授权。受限传输开始前，相关方将识别数据流、适用机制、当事方、角色、地点及任何所需评估和补充措施。
10.2 纳入欧盟 SCC。 对于客户作为控制者向 MiraDay 作为处理者进行的受限传输，如属《决定（EU）2021/914》范围，且未由附件1确定的其他合法机制覆盖，双方以引用方式纳入欧盟 SCC，包括未经修改的强制性正文及模块二，并采用下述选项及附录信息。官方文本见《决定（EU）2021/914》。双方同意受按此处填写的文本约束。这是国际数据传输法律文件，而非关于控制者, 处理者条款的《决定（EU）2021/915》。
相关数据进口方处理不属于2021/914欧盟 SCC 允许范围时，不依赖其作为传输机制，包括该处理已直接受欧盟 GDPR 约束而该文书不涵盖该情形的情况。传输前须建立适用合法机制。仅有合同保障，不能在超出法律适用范围时确立传输机制。
10.3 纳入英国附加协议。 对于受英国 GDPR 约束、且双方采用欧盟 SCC 及英国附加协议的受限传输，英国附加协议构成本 DPA 的一部分，但在依赖该机制前，须填写完整下述表1至表4及已识别的适用传输记录。获批准附加协议的第2部分“强制性条款”以引用方式纳入，即ICO发布、于2022年2月2日依据英国《2018年数据保护法》第119A条提交议会的B.1.0模板附加协议，并按其强制性条款第18节修订。ICO官方模板列明该等条款。对于英国传输，适用其所要求的修改、优先顺序、ICO监督及英国法院权利。
10.4 评估及补充措施。 双方将完成相关传输所需评估，包括欧盟 SCC 第14条评估及适用英国传输风险评估或数据保护测试。MiraDay 将提供有关其处理、访问请求及保障的合理必要信息。无法确保适当保护时，受影响传输不得开始或继续。MiraDay 的后续传输须有自身有效依据，并遵守适用欧盟 SCC 或英国附加协议；本 DPA 本身不构成 MiraDay 与其子处理者签署模块三。
10.5 政府访问请求。 在适用法律及传输条款约束下，MiraDay 将审查政府对客户个人数据提出的要求，评估其合法性及范围，在有此要求且合法时通知客户及数据主体，在通知被禁止时寻求获准通知，并在有合理理由认为要求违法时提出质疑。将在适当时寻求临时救济，仅披露法律要求的最少量信息，记录评估及回应，并按适用传输条款要求提供信息。本段不缩减欧盟 SCC 第15条义务。
10.6 无法遵守。 MiraDay 无法遵守本 DPA 或适用传输保障时，将及时通知客户。双方将按要求暂停受影响传输或处理，寻求合法补救，并在无法恢复合规时，行使欧盟 SCC、英国附加协议或数据保护法要求的终止、返还或删除权。协议规定的一般违约补救期限及不受限制的导出安排，不影响这些要求的效力。
在依赖这些条款作为传输依据前，须完整填写适用的当事方资料，包括实际地址、传输描述、主管监管机构及措施；相关记录须明确标识、纳入这些条款，并可由双方获取。接受本标准文本，不能替代补齐上述信息的要求。
欧盟 SCC 选项及附录信息，客户向 MiraDay 传输
SCC 事项
约定填写内容
传输识别
DPA 传输：附件1所述客户控制者向 MiraDay 处理者传输；仅在触发第10.2节时适用
模块
模块二，控制者向处理者；其他模块不适用于该客户, MiraDay 传输
第7条
纳入可选加入条款。任何新增当事方须按该条要求加入，并在更新附录中识别；关联方不自动成为当事方
第9(a)条
选项2：一般书面授权。提前通知期按第5.2节为30个日历日。当前授权名单见附件3
第11(a)条
不纳入可选独立争议解决安排。第11条其他权利继续适用
第13条／SCC 附件 I.C
按第13条确定主管监管机构，并须在依赖 SCC 前，于适用已完成传输记录中列明其身份及联系方式
第17条
选项1：爱尔兰法律
第18(b)条
爱尔兰法院。数据主体依据第18条享有的其他法院权利不受影响
SCC 附件 I.A，当事方
附件1 A部分；出口方为客户／控制者，进口方为 MiraDay／处理者。须填写完整法律实体、联系人、相关活动及签署详情
SCC 附件 I.B，传输
附件1 B部分及C部分，包括实际地点、频率、保留及子处理者活动
SCC 附件 II，措施
附件2，适用于作为进口方的 MiraDay 及所述处理的措施。任何必要的提供商或传输特定补充措施，记录于附件1 C部分或相关补充记录；附件3识别获授权提供商
SCC 附件 III
因第9(a)条采用一般授权，不将该附录填写为事先特定授权附录。附件3仍为所需的当前授权子处理者名单
签名及日期
在适用法律认可的情况下，以具有法律约束力的方式接受已纳入本 DPA 的协议并留存接受记录，即构成对这些 SCC 及SCC 附件 I.A的签署；实际接受日期及身份／权限保存在合同记录中。亦可另行签署版本，记录双方签名
英国附加协议，第1部分表格
表1，当事方
项目
出口方
进口方
法定名称
附件1 A部分及协议签约记录识别的客户
Forward AI Labs, Inc.
商业名称
按附件1 A部分记录
MiraDay
主要地址
附件1 A部分记录的客户地址
710 Lakeway Drive, Suite 200, Sunnyvale, California 94085, United States
正式登记资料，如适用
按附件1 A部分记录
具约束力的签约记录或已完成传输记录识别的Forward AI Labs, Inc.适用登记资料
开始日期及签署
双方订立纳入本 DPA 的协议之日，除非附件1记录较晚英国传输日期；合同记录识别客户及授权签署人
相同日期及签署依据；附件1采用单独签名时，依该签名
表2，选定 SCC、模块及条款
项目
填写内容
附加协议采用的欧盟 SCC
《决定（EU）2021/914》中的欧盟 SCC，按第10.2节纳入，并以 DPA 版本1.0及下述附录信息识别
模块及第7条
模块二；纳入加入条款
第11条选项
不纳入
第9(a)条授权及期限
一般授权，选项2；按第5.2节为30个日历日
模块四组合问题
不适用；未使用模块四
表3，附录信息
附录项目
已填写信息所在位置
SCC 附件 I.A，当事方
附件1 A部分及上述表1
SCC 附件 I.B，传输描述
附件1 B部分及C部分
SCC 附件 II，措施
附件2，以及附件1 C部分或相关补充记录中任何必要的提供商或传输特定补充措施
SCC 附件 III，子处理者
适用一般授权；附件3提供当前授权名单；不选择事先特定授权的SCC 附件 III
表4，获批准附加协议变更时终止本附加协议
进口方及出口方均被选定为可依据英国附加协议强制性条款第19节终止英国附加协议的当事方。该权利仅在第19节条件满足时适用，不是任意终止传输的一般权利。第2部分依据第10.3节纳入。
11. 责任、期限及通用条款
11.1 优先顺序。 对于代表客户处理，本 DPA 及其附件优先于协议或 DSA 中的不一致规定。对于独立控制者共享，DSA 约束其自身活动。任一附录不替代另一附录对独立处理活动或副本的义务。适用欧盟 SCC 及英国附加协议按其要求的优先顺序，优先于冲突合同规定；强制性数据保护法仍适用。协商签署 DPA 仅在有效处理相同事项且不损害强制性保护的范围内，替代已发布版本。
11.2 责任及数据主体权利。 双方商业责任分配遵循协议第11章及第12章，包括第12.3节一般上限及适用例外，但与数据保护法、欧盟 SCC 或英国附加协议不一致的范围除外。本 DPA 不另设金额上限。任何免责、上限、唯一救济、赔偿、法院规则或第三方权利排除，均不限制这些文书保护的权利或责任，包括数据主体可执行权利及司法救济。早期测试版状态不减轻本 DPA 义务。
11.3 期限。 本 DPA 自协议将其纳入时开始；只要 MiraDay 或子处理者保留客户个人数据，包括导出、删除、受保护备份及合法保留期间，即持续适用。访问终止不结束这些保护。适用传输条款按其要求持续有效。
11.4 通知及变更。 隐私及权利请求可通过隐私中心或隐私请求页面提交。向 MiraDay 发送的隐私、权利及事件通信，应发送至privacy@miraday.ai；一般支持及协议通知发送至support@miraday.ai。客户联系人见附件1，双方均须保持最新。紧急通知遵循第7章、第8章及第10章，不适用一般通知的推定收悉时间。变更遵循协议适用通知及接受程序，不得追溯授权原本要求事先满足法律条件的新目的、传输或用途。在强制性法律及适用数据传输法律文件约束下，以英文版本为准。
附件1，处理详情
双方将本通用模板与客户专属签约记录，以及适用于实际处理、已填写完整的标准传输配置记录一并使用。与相关客户／账户或工作空间关联的注册、订单、账单或其他具有法律约束力的合同记录，识别实际签约方、国家、联系人、适用时的代表权限，以及接受的协议版本／日期。这些已识别记录与配置记录的标识符、版本和评估日期，提供附件1及适用时 SCC／英国附加协议的相关信息，并构成填写内容的一部分。记录须包含全部必需事实、可由相关方检索，并与实际数据流一致。共享配置记录仅可在已评估范围内复用。实体、国家、接收方、目的或保障存在重大差异时，须在受影响传输前，适当更新配置记录或约定客户专属补充文件；记录更新不修改强制性条款，也不能替代以具有法律约束力的方式接受协议的要求。
A部分，当事方及签署
项目
客户
MiraDay
法律身份
关联注册、订单或有效合同记录识别的个人工作空间实际个人客户，或组织工作空间实际组织客户；受邀成员或付款人不自动成为该法律当事方
Forward AI Labs, Inc.
角色
控制者
处理者
相关活动
招聘，及相关工作空间和经授权任务的管理
按客户指示提供并支持相应的服务功能
日期及签名
客户或授权代表以具有法律约束力的方式接受已纳入本 DPA 的协议，并留存记录；记录中载明接受日期／签署人，或在适用时另行签署协议
MiraDay 接受同一协议，或在适用时另行签署协议
B部分，处理及传输描述
项目
描述
处理事项
在相关工作空间及按客户指示提供的服务功能中，代表客户处理的个人数据
性质
按指示采集、接收、组织、托管、检索、搜索、按客户指示进行匹配及排序、摘要、生成输出结果、经授权招聘通信、按客户指示进行导出／披露、支持、保护、更正、限制、返还及删除
目的
通过 Agent 团队、频道、联系人、文件、Skill、受支持邮箱连接器及插件，提供客户招聘搜索、候选人管理、协作及内容功能，包括支持招聘用途的人才、公司、劳动力市场及薪酬研究；代表客户提供相关支持及安全保障
数据主体
候选人、应聘者及其他专业人士；客户员工、承包商及授权用户；推荐人、招聘联系人，以及数据被合法纳入客户内容或按客户指示开展的通信的其他人士
数据类别
候选人身份、联系及职业资料数据；简历及任职／教育信息；客户笔记及评估；相关邮件内容、地址及元数据；频道消息、提示词、任务指令、文件、客户 Skill 及生成输出结果；使用相关功能时的语音输入、上传音频及转写文本；任务执行输入和结果、文件编辑内容和指示及研究查询；插件捕获及任务／操作记录；为按客户指示提供的功能所必需、含个人数据的相关追踪、诊断、分析及服务生成记录。仅适用于实际启用和使用的功能
敏感数据
不以处理此类数据为预期用途，也不请求或要求客户提供此类数据。偶然出现的特殊类别或刑事犯罪信息按第3.5节处理，限于必要合法处理，排除贡献、训练及敏感推断。不授权生物特征识别或敏感特征推断
频率
随客户及授权用户提交数据、运行授权任务或使用已启用功能持续发生；按实际使用进行事件触发的传输及访问
期限
在相关处理服务期间，随后按第6章返还／删除；受保护保留副本直至移除前仍受本 DPA 约束
服务结束后导出
协议提供此权利时，自终止后30日内，受客户更早删除指示及第6.2节保障约束
活跃系统删除
按合法指示在无不当延误的情况下执行；处理结束时，在结束后90个日历日内完成，包含30日导出窗口。法律或传输条款要求的更早期限优先（第6章）
备份移除
等待按计划移除期间不作日常使用；持续服务期间，不迟于合法删除指示后90个日历日；或不迟于相关处理服务结束后90个日历日。包括子处理者副本；更早规定期限优先（第6.4节）
插件捕获及操作日志保留
临时页面／截图捕获仅在经授权提取及任务完成所必需期间保留，随后及时移除，客户主动保存为客户内容的除外。活动日志仅用于有记录且必要的服务、安全及问责目的，遵循合法指示及法定保留；并非独立贡献暂存区
连接数据及 AI 提供商保留
处理限于已启用连接功能；提供商特定输入／输出保留规定于相关提供商合同及保留记录，必要信息按第9章提供。断开连接撤销未来访问；已保存客户内容的处理遵循合法指示及约定保留规则
主要存储
应用基础设施：AWS，美国弗吉尼亚州北部（us-east-1）。受影响处理或受限传输开始前，其他适用存储组件、实际接收方及地点须在相关处理和传输记录中识别
备份、日志及恢复地点
适用Langfuse Cloud US追踪／诊断：美国俄勒冈州（us-west-2）。其他相关备份、日志及恢复组件的地点，须在适用处理和传输记录中识别；仅凭应用的部署区域，无法确定所有副本的保存地点
支持、管理及远程访问
访问受以可留存形式记录的指示及适用安全和传输保障约束。受影响访问开始前，实际访问国家、实体及限制须在相关处理和传输记录中识别
传输机制
对每项受限传输，在C部分识别充分性或适用保障及评估。仅接受本 DPA 不构成充分性或认证声明
监管机构
在适用时，依据第10章确定及识别欧盟 SCC 监管机构；英国附加协议：ICO
C部分，实际传输及子处理记录
使用下列各行识别每一适用标准处理目的地或远程访问数据流。在注明日期及版本的标准传输配置记录中填写完整共通事实、机制及评估，再通过签约记录关联各相关客户的身份、国家、协议接受及适用差异。实际安排超出配置记录范围时，须有客户专属补充文件。同一涵盖安排内新增候选人记录，不要求新建公开附录。受影响传输前，必要信息及所需保障须完整；仅一般引用不授权传输。
数据流／活动
出口方／角色
进口方／角色
国家，包括访问地点
数据／目的
机制及范围
评估／补充措施
记录日期
客户向 MiraDay 传输，以便 MiraDay 按客户指示提供服务
A部分及关联记录识别的客户／控制者
A部分识别的 MiraDay 实体／处理者
匹配配置记录及客户专属记录中识别的客户和 MiraDay 实际地点，包括访问地点
B部分，按已启用服务适用
已填写完整并与实际情况相匹配的配置记录中识别的有效机制及范围；模块二／英国附加协议仅在第10章适用时使用
按配置记录／版本识别的所需评估及补充措施；客户专属差异在传输前记录
配置记录评估／更新日期及与客户记录匹配日期
MiraDay 向名单所列子处理者传输
A部分 MiraDay 实体／处理者
附件3每一实际实体／子处理者
B部分及适用提供商配置记录中的实际目的地／访问地点，不从公司地址推定
适用的列明功能及B部分
已完成提供商配置记录中识别的有效后续传输机制；任何必要的提供商签署仍单独进行
按版本及实际范围识别的适用提供商评估及补充措施
提供商配置记录评估／更新日期
附件2，技术与组织措施
版本1.0，适用于附件1的处理。 下列 MiraDay 通用措施，适用于 MiraDay 使用相关服务组件代表客户处理客户个人数据的情况。英文原文以大写字母开头的术语，具有本 DPA 及协议规定的含义。本说明补充第4.2节义务。客户指示、模型用途限制、返还及删除、权利协助及泄露通知，仍由第3至9章约束。更新遵循第4.2节；本附件不限制这些义务。
1. 访问控制及身份验证
MiraDay 使用基于角色的访问控制，限制对生产环境、管理功能及个人数据的访问。员工使用个人身份进行AWS单点登录；通过经授权的AWS身份及网络路径访问生产数据库。只读副本配置为可公开访问，但安全组将入站来源限制为固定IPv4地址及指定安全组。MiraDay 管理控制台和主要集成服务共用部署环境，并采用权限隔离。Authing通过账户密码及短信验证码提供员工身份验证。员工系统通过集成，在员工离职时禁用其Authing身份。生产访问由指定人员管理。
2. 授权及特权访问
生产数据及管理权限限于履职需要的人员。员工手动访问客户任务数据，仅限经授权内部人员，并须由超级管理员批准。AWS生产资源使用AWS IAM Identity Center权限集及基于组的分配。人员离职或角色变化时，管理员可禁用或调整身份和权限。
3. 传输安全
MiraDay 使用TLS保护客户端与服务之间的网络传输。托管在 AWS 上的生产数据库、缓存和对象存储，使用云提供商的静态加密能力。E2B沙盒使用托管平台默认静态加密及TLS传输保护。Cloudflare R2存储桶为私有，配置为禁止公开访问，并使用提供商静态加密能力。
4. 数据隔离及处理控制
MiraDay 按用户或客户数据范围隔离任务数据。任务执行期间，沙盒在用户层面复用；同一用户的多个任务可共享一个E2B沙盒。客户任务数据处理，包括必要评测及复测，仍受客户合法指示，以及协议及适用 DPA 或 DSA 的目的和禁止训练限制约束。本措施表不授权将客户任务内容重复用于通用评测库或无关产品改进。
5. 输入、变更及审计日志
MiraDay 通过应用及云平台日志记录部分系统活动和运维事件。GitHub 主分支要求通过拉取请求提交变更、至少一名团队成员审查、最近一次推送后重新批准，并通过 CI 检查。生产发布或部署预期由代码提交人以外的人员审查，但尚无固定流程。AWS CloudTrail Event History及CloudWatch日志提供有限期间的事件记录。日志范围、保留及审查因系统而异，并非每次客户数据访问均有可审计记录。
6. 可用性、备份及恢复
AWS生产RDS主实例的自动备份保留七日；只读副本自身的备份保留设置为零。生产Redis复制组的快照保留期为七日。数据库和快照使用云提供商的加密能力。
7. 数据保留及删除
MiraDay 提供应用功能，可按经授权指示删除个人用户及对应应用数据。删除及保留可能取决于服务组件及人工操作。适用返还、删除、限制、备份及保留义务，包括时限及确认要求，仍以协议及相关 DPA 或 DSA 为准。单个应用删除功能不证明每一组件或副本均已删除。
8. 安全开发及漏洞管理
MiraDay 使用代码审查及CI检查支持变更管理。GitHub要求主分支通过拉取请求及审查，并运行代码规范检查、测试、构建和安全审计工作流。语义化版本及发布机器人配置了绕过权限。Dependabot安全更新已启用。
9. 事件响应及人员
指定人员处理通过支持邮箱收到的安全或隐私问题。员工身份通过Authing验证，并通过员工系统集成在离职时禁用；其他系统中的访问移除及日志审查，仍依赖管理员操作。
附件3，子处理者名单
名单版本：1.0 · 更新日期：2026年10月15日。 下列提供商依据第5章，就相关服务功能获得一般授权。适用性取决于使用的功能、模型及路径；列入名单不意味着每一提供商均处理每一客户的数据。提供商可直接或通过其他服务提供商支持服务，包括通过Vercel AI Gateway路由的模型请求。
除明确列明托管区域外，地点指公司所在地或公开联系地点，不代表每一处理或访问地点。保留、禁止训练限制及传输保障，仍受本 DPA、适用提供商合同及处理或传输记录约束。名单版本不代表提供商合同签署日期，也不表示新授权于该日期生效。
子处理者
地点
处理说明
网站及联系方式
Alibaba Cloud
新加坡（国际隐私联系人）
通过Vercel AI Gateway进行 AI 模型推理，包括处理模型输入及回复。
Alibaba Cloud DPO_Intl@alibabacloud.com 国际联系人：Alibaba Cloud (Singapore) Private Limited, 51 Bras Basah Road, #03-06 Lazada One, Singapore 189554
Amazon Web Services, Inc. (AWS)
美国；应用基础设施托管于美国弗吉尼亚州北部，us-east-1
云基础设施、托管数据库、缓存及备份服务；通过Vercel AI Gateway使用Amazon Bedrock进行 AI 模型推理。
AWS 410 Terry Avenue North, Seattle, WA 98109-5210, USA
Anthropic, PBC / Anthropic Ireland, Limited (Anthropic)
美国／爱尔兰
通过Vercel AI Gateway进行生成式 AI 模型推理，包括处理模型输入及回复。
Anthropic privacy@anthropic.com 美国：548 Market St, PMB 90375, San Francisco, CA 94104, USA 爱尔兰：6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Ireland
Baseten Labs, Inc. (Baseten)
美国
通过Vercel AI Gateway进行 AI 模型推理，包括处理模型输入及回复。
Baseten privacy@baseten.co 560 Davis Street, Suite 250, San Francisco, CA 94111, USA
Cloudflare, Inc. (Cloudflare)
美国
内容分发、网络安全、请求代理，以及用于存储上传或生成的任务文件的对象存储服务。
Cloudflare dpo@cloudflare.com 101 Townsend St., San Francisco, CA 94107, USA
Sampark, Inc.，以 Composio 名义经营（Composio）
美国
客户使用连接服务时的应用集成、工具执行及附件传输。
Composio support@composio.dev 2 Bryant Street, Suite 220, San Francisco, CA 94105, USA
DigitalOcean, LLC (DigitalOcean)
美国
通过Vercel AI Gateway进行 AI 模型推理，包括处理模型输入及回复。
DigitalOcean privacy@digitalocean.com 105 Edgeview Drive, Suite 425, Broomfield, CO 80021, USA
Eleven Labs Inc. (ElevenLabs)
美国
对语音输入及上传音频文件进行语音转文本和音频转写。
ElevenLabs legal@elevenlabs.io 169 Madison Ave #2484, New York, NY 10016, USA
Exa Labs Inc. (Exa)
美国
网络搜索、信息检索及查询处理。
Exa privacy@exa.ai 430 Shotwell Street, San Francisco, CA 94110, USA
Google LLC (Google Cloud / Vertex AI)
美国
通过Vercel AI Gateway进行 AI 模型推理，包括对话压缩及处理模型输入和回复。
Google Cloud 隐私联系人 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA
Langfuse GmbH (Langfuse)
数据托管：美国（俄勒冈州，us-west-2） 公司所在地：德国
依据采集设置，通过Langfuse Cloud US进行 AI 追踪、诊断及可观测性处理。
Langfuse privacy@clickhouse.com Oranienburgerstraße 91, 10178 Berlin, Germany
Microsoft Corporation (Microsoft Azure)
美国
通过Vercel AI Gateway使用Azure OpenAI 进行 AI 模型推理，包括处理模型输入及回复。
Microsoft Azure 隐私联系人 One Microsoft Way, Redmond, WA 98052, USA
OpenAI OpCo, LLC / OpenAI Ireland Ltd. (OpenAI)
美国／爱尔兰
通过Vercel AI Gateway进行生成式 AI 模型推理，包括处理模型输入及回复。
OpenAI privacy@openai.com 美国：1455 Third Street, San Francisco, CA 94158, USA 爱尔兰：1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, D01 YC43, Ireland
PostHog, Inc. (PostHog)
美国
在启用时，依据采集设置提供产品分析及会话回放。
PostHog privacy@posthog.com 2261 Market St., #4008, San Francisco, CA 94114, USA
Resend (Plus Five Five, Inc.)
美国
事务性邮件及通知发送。
Resend privacy@resend.com 2261 Market Street #5039, San Francisco, CA 94114, USA
Functional Software, Inc.，以 Sentry 名义经营（Sentry）
美国
依据采集设置进行应用错误、性能及运维监测。
Sentry compliance@sentry.io 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA
Vercel Inc. (Vercel)
美国
通过 AI Gateway进行模型推理请求路由及回复交付。
Vercel privacy@vercel.com 440 N Barranca Avenue #4133, Covina, CA 91723, USA
当前副本可向 privacy@miraday.ai 索取。更新及通知历史受第5章约束；仅发布更新页面，不替代所需提前通知。客户选择的连接服务及独立控制者，按实际角色分类，不自动列为子处理者。