数据共享附录
版本 1.0 · 更新日期：2026年10月19日 · 生效日期：2026年10月16日
本数据共享附录（“DSA”）构成Forward AI Labs, Inc.（“MiraDay”“我们”）与相关协议所确定客户之间协议的一部分。本 DSA 适用于以下两类信息中的个人数据：客户向 F2D（Fast to Data）贡献的、符合条件的职业信息字段，以及 MiraDay 向客户交付的 F2D 数据。双方各自就其相关处理活动作为独立控制者。F2D 是 MiraDay 的招聘数据基础设施，汇集职业资料、公司信息和职位信息。本 DSA 仅适用于这些活动中的个人数据；本 DSA 本身不适用于不属于个人数据的信息。
“协议”指客户接受的 MiraDay服务条款。接受协议亦构成接受本 DSA、其附件及下文填写的适用传输条款。本 DSA 不要求单独勾选。代表组织接受的人员须有权使组织受其约束；受邀成员仅加入组织工作空间，不代表组织接受 DSA。这些文件中的“DSA”指数据共享附录（Data Sharing Addendum）。
1. 定义
本 DSA 未定义的、英文原文以大写字母开头的术语，具有协议规定的含义。数据保护法、欧盟 GDPR、英国 GDPR、个人数据泄露、欧盟 SCC、英国附加协议及受限传输，具有数据处理附录（“DPA”）规定的含义。个人数据、处理、控制者、处理者及数据主体等术语，具有适用数据保护法规定的含义。
术语
含义
共享个人数据（Shared Personal Data）
依据本 DSA 向 MiraDay 披露的符合条件的贡献字段中的个人数据，或向客户交付的 F2D 数据中的个人数据
贡献（Contribution）
依据第4章，从相关客户工作空间向 MiraDay 披露符合条件的贡献字段，供 MiraDay 独立 F2D 目的使用
交付（Delivery）
就本 DSA 而言，MiraDay 依据第5章向客户披露 F2D 数据中的个人数据，供其招聘用途使用
披露方／接收方（Disclosing Party / Receiving Party）
在特定贡献或交付中披露或接收共享个人数据的一方；角色随共享方向而互换
屏蔽记录（Suppression Record）
为识别受影响的个人或记录、落实相关限制，并防止被禁止的处理或重新入库而保留的最少量标识符及相关限制；并非在用的招聘资料
个人信息处理告知（Processing Notice）
MiraDay 针对 F2D 中持有职业资料的个人发布的告知，即个人信息声明。对个人信息处理告知或候选人隐私告知的引用均指该声明
2. 范围及独立控制者
2.1 两个共享方向。 附件1分别描述：(A)客户向 MiraDay 贡献；(B)MiraDay 向客户交付。双方分别作为独立控制者，对自身处理所涉决定、合法依据、透明度、安全、保留及权利处理负责。任何一方不得主张，仅凭另一方合同许可即可确立合法性。
2.2 适用套餐及工作空间。 个人和组织工作空间的符合条件的字段，依据协议适用贡献通道，不设单独关闭开关。两类工作空间适用相同的贡献条件、来源排除及权利保障。工作空间隔离继续保持，不会在工作空间之间转移全部内容。邮箱及插件连接跟随账户，而捕获的客户内容归属于相关频道所在工作空间；数据及 Credits 不在工作空间之间转移。
2.3 DPA 边界。 DPA 约束 MiraDay 按客户指示进行的处理，包括客户原始工作空间副本，以及随后按指示托管保存在该空间中的已交付 F2D 数据。本 DSA 约束独立 F2D 目的、贡献、交付及来源／用途限制。准备性处理遵循双方实际目的及决策情况；写入 F2D 不是唯一法律判断标准。共享某字段不会使其他工作空间内容失去 DPA 保护。同一信息的不同副本或活动可能适用不同义务。
2.4 其他来源及实际角色。 MiraDay 的公开来源采集、授权提供商采集，以及直接为 F2D 进行的任何插件采集，受其自身来源安排、数据保护法及告知约束。本客户 DSA 不授权这些上游活动，也不替代提供商协议。须分别评估每一种来源。若某活动实际涉及共同确定目的及关键处理方式，双方须评估并建立任何所需共同控制者安排；仅使用“独立控制者”这一称呼，不能改变实际情况。
3. 数据类别及来源限制
3.1 贡献白名单。 只有附件1 A部分列明的单个结构化职业信息字段值，才符合贡献条件。贡献范围不包括完整文档或通信。某类字段符合贡献条件，并不意味着我们实际采集了每个人的该字段，也不意味着每个人的资料中都包含该字段，或该字段均可交付。
3.2 排除数据。 原始简历、附件、完整页面捕获及截图；客户笔记、私人标签、评估、评分、面试反馈、录音及转写文本；邮件／消息内容；提示词、指令及招聘决定；薪酬、登录凭据及客户机密商业信息；私人邮箱或电话号码；家庭住址或精确地址；照片、出生日期及年龄；特殊类别及刑事犯罪数据，或揭示或推断这些类别的字段；以及儿童数据，均被排除于贡献之外。数据即使公开可见，也仍受这些排除项约束。
3.3 来源许可。 客户须取得采集及披露所需权利和合法依据。MiraDay 须为接收、使用及交付确立自身合法依据及合法来源许可。双方须尊重与其活动有关的合同、保密及平台限制。白名单不影响已连接账户数据用途限制、受限网站规则、异议、屏蔽或特定来源限制的效力。并非所有字段的处理都必须以同意为依据；客户同意本 DSA，也不等于候选人作出了同意。
3.4 已连接账户数据。 已连接账户数据，包括Google、Microsoft及其他已连接账户字段和其衍生数据，不会纳入贡献范围。这些数据仅可用于实现经授权的连接功能，并须按照适用的提供商要求处理。字段即使列入白名单，也仍被排除在贡献范围之外。从符合条件的公开或获许可来源真正独立取得相同值，须另行记录；仅对已连接账户数据重新标记，并不能证明该数据是独立取得的。MiraDay 将使用适当技术措施区分工作及私人联系方式；如果尚不能确定其属于工作还是私人联系方式，该字段就不符合贡献或交付条件。
3.5 变更及历史数据。 贡献范围限于本贡献条款适用后，在正常使用中新添加或更新的、符合条件的结构化字段；不授权批量贡献未变更的历史工作空间记录。新增来源类别、扩大字段或变更目的，须完成协议及数据保护法下适用法律评估、告知和接受。无论套餐规定了何种贡献条件，被排除及被屏蔽的数据均不会因此纳入贡献范围。
4. 贡献至 F2D
4.1 有限许可。 在合法来源许可、本 DSA 及协议约束下，客户授予 MiraDay 非独占、全球性、免许可使用费的许可，提取符合条件的结构化字段，在 F2D 中核验和维护，并交付其他客户用于招聘。全球许可受第11章约束，不授权违法传输。对于已纳入 F2D 的、符合条件的贡献数据副本，客户订阅结束后，只有在依据本 DSA 继续处理仍属合法的期间内，才可保留。本许可不授权不受限制地使用客户内容或进行模型训练，也不影响候选人的权利。
4.2 入库检查。 MiraDay 在将记录纳入 F2D 前，将检查来源是否符合条件、字段白名单、排除规则、相关质量信息及屏蔽名单。MiraDay 将采用合理可用的匹配方法核对屏蔽名单；匹配到屏蔽名单的记录不予纳入。MiraDay 不会明知数据属于排除范围仍将其纳入，也不会用较旧的来源值覆盖已生效的更正或屏蔽。如果无法确定数据是否符合条件，或相互冲突的限制尚未解决，须在纳入或披露受影响数据前解决。
4.3 告知及披露门槛。 MiraDay 不会在提供所需候选人告知前，将贡献记录交付另一客户，除非其已评估并记录法律适用例外，且实施第6章要求的保障。即使存在告知例外，屏蔽、适用异议或限制仍阻止相应处理。本 DSA 不设最低30日等待期；是否暂缓交付，取决于适用法律及实际运行条件。不设独立贡献暂存区。无论存储地点如何，来源、告知及屏蔽要求均适用于相关处理。
4.4 来源溯源及问责。 MiraDay 将保留足够记录，以识别来源类别、在涉及贡献时的相关客户／工作空间来源、符合条件的字段、入库决定、适用告知／例外、权利限制，以及第8章协作所需交付情况。内部溯源不授权超出合法必要目的披露客户机密工作空间内容或身份。
4.5 不构成训练例外。 MiraDay 不使用贡献字段或客户内容衍生数据，训练、微调或改进自身或第三方 AI 模型。贡献、汇总、去标识化或匿名化后，禁令继续适用。可以进行提供获准服务功能所必需的 AI 推理。独立取得的公开或授权 F2D 数据，受协议的独立限制约束；MiraDay 须保持充分来源区分，以落实客户数据限制。
5. 交付及允许用途
5.1 招聘用途。 MiraDay 依据协议向客户授予已交付 F2D 数据的许可，供招聘用途使用：为其自身拟填补岗位或特定招聘客户委托，识别、评估、联系及聘用候选人，包括支持这些招聘活动的人才、公司、劳动力市场及薪酬研究。交付不构成销售获客、营销、广告、名单构建、转售、无关商业研究或协议排除其他目的的许可。客户是其接收个人数据副本的独立控制者。
5.2 限制复用。 客户不得出售、许可、公开披露或向公众普遍提供 F2D 数据，不得建立、丰富或核验向他人提供的数据库或产品，也不得作未经授权的后续披露。特定招聘委托方例外受第9章约束。报告或输出结果所有权，不赋予底层 F2D 数据所有权，也不消除其限制。
5.3 AI 及决定。 客户不得使用 F2D 数据或其衍生数据训练、微调或改进 AI 模型，包括内部模型。为允许招聘用途进行的必要推理，仍受协议、来源限制、合法依据、最小化、安全及权利义务约束。MiraDay 提供建议，供人工进行适当审阅；这不免除双方关于画像分析、自动化决定、歧视或候选人权利的义务，也不放宽 MiraDay 自身禁止训练义务。
5.4 联系候选人。 拥有工作联系方式，并不意味着可以通过任意渠道向该个人发送任意消息。客户须遵守适用招聘、电子通信及直接营销规则，尊重异议及退出，并按协议使用可用控制。白名单包含工作电话号码，不表示 MiraDay 提供电话拨打、WhatsApp、InMail或日历功能。
6. 合法依据及透明度
6.1 各方的合法处理。 双方分别负责确立并记录自身处理适用的合法依据及保障，完成数据保护法所需评估。公开可见、客户协议或商业许可本身不足以确立合法性。本 DSA 不表示任何评估已经完成。
6.2 客户告知。 客户负责就其工作空间内的数据处理，以及向 MiraDay 披露符合条件的职业信息字段提供告知，须纳入贡献通道所需信息，并可为此使用 MiraDay 提供的信息。模板不替代客户对自身实际处理的评估。接收 F2D 数据时，客户须履行适用于自身接收、招聘使用及后续披露的告知义务，不能假定 MiraDay 提供的告知已涵盖客户自身的独立目的。
6.3 MiraDay 候选人告知。 MiraDay 将通过个人信息声明（个人信息处理告知）及法律要求的个别告知，提供其 F2D 处理信息。MiraDay 负责提供自身 F2D 处理所要求的信息，包括身份／联系方式、数据类别、目的及合法依据、适用时的合法利益、来源、接收方、传输、保留、画像分析及权利。对于间接取得数据，将在适用法律要求的期限内提供信息。欧盟 GDPR 或英国 GDPR 第14条适用时，所需信息须在取得数据后的合理期限内提供，最迟不超过一个月，并视情况最迟在首次与个人通信或首次向另一接收方披露时提供。仅保留记录而暂不交付，不会免除遵守更早适用的告知期限的义务。
6.4 个别告知及例外。 MiraDay 在存在合法送达渠道时，主要通过电子邮件提供个别告知，并以公开可访问的个人信息声明（个人信息处理告知）支持，保留通知、送达及所依赖例外的记录。仅在例外依法适用，且已记录依据、范围及保障后，方可依赖例外。特别是，根据欧盟 GDPR 或英国 GDPR 第14条的适用规则，向个人提供信息不可能实现或涉及不成比例的付出时，MiraDay 将通过个人信息处理告知公开所需信息，并采取适当措施保护个人权利、自由及合法利益。缺少邮箱、规模或成本本身均非一概豁免。评估须考虑实际来源、预期、风险、可用渠道及必要保障，并在情况变化时复核。
6.5 公开告知及权利渠道。 MiraDay 将维护可访问的个人信息声明（个人信息处理告知）及隐私中心，供候选人获取隐私信息和权利渠道。候选人可通过隐私请求页面或privacy@miraday.ai提出适用异议、更正、删除及其他权利请求。发布个人信息处理告知有助于履行透明度义务，并支持对适用例外的依赖，但仅凭发布告知并不能获得对所有采集或交付活动的授权。既没有有效告知途径，也没有已评估并记录的合法适用例外的记录，仍不得交付。交付决定及例外记录须可复核。
7. 准确性、数据质量及保留
7.1 质量及来源。 双方均将采取合理措施，确保个人数据准确，并根据相关处理目的保持必要的及时更新。MiraDay 将采取适合数据及风险的溯源、冲突处理及核验措施，不将缺乏依据的推断值表述为经核实事实，并反映有效更正及限制。客户在依赖资料或输出结果作决定前，将核验重要事实。协议的数据质量免责不取代法定准确性义务。
7.2 保留。 双方仅在合法目的所必需期间保留共享个人数据，但受法律要求及权利决定约束。MiraDay 的 F2D 复核及移除标准记载于附件1。即使许可在订阅终止后继续有效，也不意味着可以无限期保留数据。客户将定期复核其保存的 F2D 副本，适用自身保留标准，并移除不再需要的数据。
7.3 屏蔽记录。 双方可基于适当合法依据，保留遵守异议、删除或限制及防止被禁止重新引入所需的最少量标识符。屏蔽信息须采取安全保护，仅用于该目的，且保留不得超过维持限制及所需问责的必要期限。不得用于重建活跃资料、招聘该个人或训练模型。
8. 数据主体权利及协作
8.1 转交及决定。 MiraDay 通过隐私中心、隐私请求页面或privacy@miraday.ai处理涉及自身 F2D 数据处理活动的请求。客户处理涉及其自身控制者活动的请求。任何一方收到涉及另一方的请求，将在无不当延误的情况下转交并提供必要信息，不转移无关客户数据。双方分别进行与风险相称的身份核验，并决定自身责任范围内的事项。任何一方都应提供法律要求的协助，不得仅让个人转向另一方寻求处理。
8.2 接收方通知。 一方更正、删除或限制共享个人数据时，将在适用数据保护法要求的范围内向每一接收方传达该措施，包括欧盟 GDPR 或英国 GDPR 第19条的要求，已确立并记录适用例外的除外。将在有此要求时向个人提供接收方信息。通知将列明受影响的记录／字段、采取的措施、范围、生效日期及适用理由或限制，不提供不必要个人信息。来源或屏蔽问题影响多条记录时，通知须说明受影响的范围。
8.3 工作空间及外部副本。 对 MiraDay 交付并保存在客户工作空间中的 F2D 字段，MiraDay 将实施相应更正、删除或限制，并按协议通知客户。对 MiraDay 之外的副本，客户须定位受影响的 F2D 来源字段及副本并落实变更，在有此要求时通知获准后续接收方。客户须在无不当延误的情况下行动；一般情况下，最迟须在收到通知后30个日历日内落实相关措施。适用法律、紧迫性或所述限制要求更早行动时，须提前执行。这是合同规定的最长期限，不能据此延迟必要答复或继续进行被禁止的处理。客户将通过通知所载回复渠道确认完成，或说明合法例外及已采取措施。产品内的自动化处理，不会免除客户对外部副本的责任。
8.4 混合记录及独立来源。 权利通知针对相关已交付数据，不会自动涉及混合记录中的每一字段。客户创建的笔记及独立取得数据，须由负责控制者分别评估。独立来源不是规避异议或消除有效限制的手段。客户认为所通知措施不适用于单独持有字段，或依法须持续保留时，须记录依据，按需分离或限制相关数据，并将例外告知 MiraDay。MiraDay 不会仅因 F2D 字段受影响而移除无关客户内容。
8.5 异议及限制。 MiraDay 将阻止有效异议或限制覆盖的处理，并采取法律要求的保障和评估。依据协议及隐私承诺，对直接营销（包括被视为直接营销的招聘联系）提出的异议，会使相应联系停止。一般合法利益异议按适用法定标准评估，不会仅因贡献属于套餐条件而被驳回。双方将及时传达相关阻断，并防止受影响记录从不同来源被自动重新引入。
8.6 传播及证据。 MiraDay 将维护足够来源及交付记录，以发送和跟踪相关通知。客户须保留足够信息，以识别源自 F2D 的副本及获准接收方、落实通知要求，并证明相关措施已经完成。在合法允许的使用中生成摘要、报告或其他衍生内容时，客户须评估并实施使请求生效所需措施，包括必要时限制受影响处理。双方将保存通知、收悉、措施、例外及未解决失败事项的记录。任何一方均不表示，删除来源字段会自动消除其在模型中的全部影响。
8.7 渠道及失败升级处理。 MiraDay 将通知发送至客户当前登记／隐私联系人，并采用任何可用服务内送达渠道。客户将贡献相关更正、来源限制或权利问题发送至privacy@miraday.ai，并说明涉及的记录及必要范围。送达失败时，发送方将使用另一可用且已核实联系人，调查失败并记录跟进。未解决的执行问题须在隐私联系人之间升级处理；必要时，在解决前限制受影响数据的持续使用或交付。完成及失败记录的保留期限应有记录，并限于履行问责义务所必需的期限。
8.8 持续效力及供应商。 在一方或其获准接收方仍保留受影响共享个人数据期间，所需权利协作及接收方通知持续适用。不承诺固定的终止后商业邮件更新服务。MiraDay 将与上游供应商建立适当更正、删除、屏蔽及权利协作，传达适用限制，并取得完成确认或有记录的合法例外。本客户 DSA 本身不约束这些供应商。
9. 后续披露及服务提供商
9.1 特定招聘委托方。 招聘机构或猎头公司仅可在协议允许的特定招聘委托中，向委托方披露 F2D 数据，并就允许用途、后续披露、保密、安全、权利协作及适用传输施加严格程度不低于本 DSA 要求的限制。须告知委托方相关限制，并保留第8章所需接收方资料。须评估委托方实际控制者或处理者角色；不能仅凭“委托方”这一称呼，确定其属于控制者还是处理者。
9.2 各控制者的处理者。 双方可为自身合法处理聘用处理者，但须遵守数据保护法，包括任何所需控制者, 处理者合同、充分保证、安全及传输要求。MiraDay 为独立 F2D 目的使用的处理者，是 MiraDay 的处理者，而非依据 DPA 代表客户任命的子处理者。提供商同时具有两种角色时，须就每项活动分别适当处理。客户不得将数据购买方或数据库运营方标记为自身处理者，以规避后续披露限制。
9.3 来源及地域限制。 接收方须尊重交付时通知的适用来源、目的及地域限制。获准接收方或提供商不会取得比相关方自身更广泛的权利。缺少所需保障或法律条件时，不得披露。各方仍负责法律及本 DSA 对其施加的义务。
10. 安全、个人数据泄露通知及协作
10.1 措施。 双方将考虑处理性质、范围、背景、目的及风险，为其共享个人数据处理实施适当技术与组织措施。附件2载有 MiraDay 在独立 F2D 处理所实际使用的服务组件中采取的通用技术措施，不改变第2章独立控制者角色，也不描述客户外部系统。第3至8章来源及 F2D 保障、第9章处理者要求，以及第10.5至10.6节接收方及传输控制额外适用。订阅周期内，MiraDay 不会降低其约定保护的整体水平。可提供的安全信息可向 privacy@miraday.ai 索取。
10.2 相互通知。 一方知悉涉及共享个人数据、并影响另一方数据、处理或履行法定义务能力的个人数据泄露时，将在无不当延误的情况下通知另一方。初始通知不得等到调查完成。将根据事件情况提供相应的可用信息和后续更新，采取相称的遏制措施并开展协作；相关信息包括泄露的性质、范围、可能后果及缓解措施。使用附件1经核实联系人，送达失败时及时采用备用方式。
10.3 各方法定义务。 各控制者负责其须向监管机构或个人作出的通知。双方将共享履行义务所需信息，并在适当时协调，不作不必要延误以致影响任何一方法定期限。除法律要求外，未经授权，任何一方不代表另一方通知。影响工作空间数据的处理者泄露按 DPA 处理；同时影响两类角色的事件须分别依据两种适用安排处理。
10.4 合规协作。 双方将提供合理必要的信息，以评估共享是否合法、权利保障、安全措施及所需传输保障，并在有此要求时配合主管机关。必要保密安排可保护商业信息及他人数据，但不得损害法定访问权或适用欧盟 SCC 信息／审计义务。
10.5 接收方安全及保留。 各接收方将访问限于为允许目的需要数据且受适当保密义务约束的授权人员及合法处理者。将保护登录凭据和设备，使用与权限及风险相适应的身份验证保障，并对传输和存储实施适当加密及访问保护。将维护与风险相称的事件、漏洞及恢复安排，并保障权利和通知协作所需记录安全。客户须对任何外部ATS、CRM、存储库或其他接收系统实施适当控制；MiraDay 平台措施不构成对这些系统的认证。双方将实施必要保留及删除控制，保护保留备份，并在恢复后重新落实有效删除、限制及屏蔽决定，再恢复日常使用。记录及到期副本按第7至8章及适用法律处理。
10.6 传输控制及具体措施。 双方将核实获授权接收方及处理背景，最小化传输字段，传达适用来源及权利限制，并保护传输、通知及完成记录。实际地点、合法机制及必要评估或补充措施，须按第11章及附件1，就相关方向记录。在依赖 SCC 传输前，须识别数据进口方针对该接收安排的适用技术与组织措施。客户在外部系统接收数据时，实际措施须记录于附件1 B部分，或通过其中已识别且注明日期的安全说明纳入。该说明及任何必要补充措施，作为 SCC 附件 II的客户进口方信息纳入。MiraDay 附件2措施仅适用于已确认与其处理有关的组件，不能替代客户外部系统说明。仅在 MiraDay 内部接收时，记录将识别相关平台措施及客户依据第10.5节的访问和使用控制。双方将按第10.4节提供必要合规信息，并按第11.5节暂停缺少适当保障的传输。
11. 国际传输
11.1 分别评估各方向。 对每次贡献或交付，分别评估其出口方、进口方、实际角色、处理及远程访问国家、适用法律及合法传输依据。详情见附件1。不能仅凭数据公开可见、候选人的国籍或经营地点，判定是否构成受限传输。双方须遵守适用后续传输要求。
11.2 纳入欧盟 SCC。 对本 DSA 下每项控制者向控制者的受限传输，如属《决定（EU）2021/914》范围，且未由附件1识别的其他有效机制覆盖，双方以引用方式纳入欧盟 SCC，包括未经修改的强制性正文及模块一，并采用下述选项和附录信息。官方文本见《决定（EU）2021/914》。双方同意受按相关方向填写的文本约束。贡献及交付是当事方角色相反的两组独立模块一条款；依实际传输，可适用其中一组或两组。
如果相关进口方的处理超出2021/914欧盟 SCC 的适用范围，则不以该 SCC 作为传输机制；这包括相关处理已直接受欧盟 GDPR 约束，而该法律文件并不涵盖这一情形的情况。传输前须建立适用机制。仅声明双方为独立控制者，并不能解决该适用范围问题。
11.3 纳入英国附加协议。 英国 GDPR 受限传输通过欧盟 SCC 及英国附加协议保护时，英国附加协议针对该方向构成本 DSA 的一部分，并按下述表1至表4填写。获批准附加协议的第2部分“强制性条款”以引用方式纳入，即ICO发布、于2022年2月2日依据英国《2018年数据保护法》第119A条提交议会的B.1.0模板附加协议，并按其强制性条款第18节修订。ICO官方模板列明强制性条款。适用英国特定修改、优先顺序、ICO监督及法院权利。
11.4 评估及政府访问。 在适用传输前，双方将完成所需评估，包括欧盟 SCC 第14条及相关英国传输风险评估或数据保护测试，并实施必要补充措施。各进口方将遵守适用欧盟 SCC 第15条有关政府要求的义务，包括必要通知、合法性评估、适当质疑、最少披露及记录。在合法时，进口方将及时通知出口方有关该传输的要求，并就保障协作；保密限制按传输条款要求处理。
11.5 暂停及补救。 无法满足适用保障的一方将及时通知另一方，并按要求停止或暂停受影响传输或处理。双方将寻求合法补救或替代机制，无法恢复保护时，行使所需终止、返还或删除权。协议规定的一般违约补救期限、持续许可或导出权，不得优先于欧盟 SCC、英国附加协议或数据保护法适用。本 DSA 不自动构成与一方处理者或后续接收方签署 SCC。
在依赖这些条款作为传输依据前，须完整填写适用的当事方资料，包括实际地址、传输描述、主管监管机构及措施；相关记录须明确标识、纳入这些条款，并可由双方获取。接受本标准文本，不能替代补齐上述信息的要求。
欧盟 SCC 选项，两组独立模块一安排
SCC 事项
A，贡献
B，交付
适用性
仅在第11.2节对本方向适用时
仅在第11.2节对本方向适用时
出口方／角色
客户／控制者
MiraDay／控制者
进口方／角色
MiraDay／控制者
客户／控制者
模块
模块一
模块一
第7条
纳入加入条款；新增当事方仅按该条要求加入，并逐一识别
相同选项
第9(a)条
不适用于模块一
不适用于模块一
第11(a)条选项
不纳入可选独立争议解决条款；其他权利保留
相同选项
第13条／SCC 附件 I.C
客户出口方主管机关须按第13条确定，并在依赖 SCC 前于适用已完成传输记录中识别
Forward AI Labs, Inc.作为出口方的主管机关须按第13条确定，并在依赖 SCC 前于适用已完成传输记录中列明身份和联系方式
第17条
爱尔兰法律
爱尔兰法律
第18(b)条
爱尔兰法院；保留数据主体其他法院权利
爱尔兰法院；保留数据主体其他法院权利
SCC 附件 I.A
附件1通用当事方信息；客户为出口方，MiraDay 为进口方
附件1通用当事方信息；MiraDay 为出口方，客户为进口方
SCC 附件 I.B
附件1 A部分
附件1 B部分
SCC 附件 II
附件2：适用组件的 MiraDay 通用措施；第3至10章及附件1识别的任何传输特定补充措施
第10.5至10.6节及附件1 B部分识别的适用客户安全说明；由 MiraDay 托管接收时，适用附件2平台措施及客户访问／使用控制
SCC 附件 III
不适用于模块一
不适用于模块一
签署
在适用法律认可的情况下，以具有法律约束力的方式接受已纳入本 DSA 的协议并留存接受记录，即构成对适用 SCC 及SCC 附件 I.A的签署；日期／权限保存在合同记录中，或另行记录具有法律约束力的签署
对本独立安排采用相同签署依据
英国附加协议，每一适用方向的第1部分表格
下列表1至表4列明第11.3节适用时，A和B两组独立英国附加协议的选项；依赖任一安排前，还须在已识别的适用传输记录中填写完整所需当事方及附录信息。这些表格不假设两个方向均构成受限传输。
表1，当事方
项目
A，贡献
B，交付
开始日期
以具有法律约束力的方式接受已纳入本 DSA 的协议之日，或附件1 A部分记录的较晚英国传输开始日期
以具有法律约束力的方式接受已纳入本 DSA 的协议之日，或附件1 B部分记录的较晚英国传输开始日期
出口方法定／商业名称
附件1通用当事方信息中的客户法律身份及商业名称
Forward AI Labs, Inc.，以 MiraDay 名义经营
进口方法定／商业名称
Forward AI Labs, Inc.，以 MiraDay 名义经营
附件1通用当事方信息中的客户法律身份及商业名称
出口方地址／登记资料
附件1客户资料
710 Lakeway Drive, Suite 200, Sunnyvale, California 94085, United States。适用登记资料在关联已完成传输记录中识别
进口方地址／登记资料
710 Lakeway Drive, Suite 200, Sunnyvale, California 94085, United States。适用登记资料在关联已完成传输记录中识别
附件1客户资料
签署
以具有法律约束力的方式接受协议并留存记录，记录中须载明双方身份及代表权限；附件1使用单独签名时，依该签名
相同签署依据，角色互换
表2，选定 SCC、模块及条款
对每一适用方向：附加协议采用的欧盟 SCC，为依据第11.2节纳入的《决定（EU）2021/914》中的欧盟 SCC，以 DSA 版本1.0及方向A或B识别。适用模块一；纳入第7条；不纳入第11(a)条可选独立争议解决条款。第9(a)条授权及通知期不适用。模块四数据组合问题不适用。当事方及附录信息按对应方向确定，而非 DPA 处理者传输安排。
表3，附录信息
附录项目
A，贡献
B，交付
SCC 附件 I.A，当事方
附件1通用当事方信息及表1，客户为出口方／MiraDay 为进口方
附件1通用当事方信息及表1，MiraDay 为出口方／客户为进口方
SCC 附件 I.B，传输描述
附件1 A部分及实际传输记录
附件1 B部分及实际传输记录
SCC 附件 II，措施
附件2及附件1识别的相关补充措施，受第3至10章约束
第10.5至10.6节及附件1 B部分识别的实际客户措施；MiraDay 托管接收时的相关附件2平台措施
SCC 附件 III
不适用于模块一
不适用于模块一
表4，获批准附加协议变更时终止本附加协议
对每一适用方向，进口方及出口方均被选定为可依据强制性条款第19节终止英国附加协议的当事方，但须满足该节条件。第2部分依据第11.3节纳入。这不是不受限制的终止权。
12. 终止、持续效力、责任及通用条款
12.1 访问及贡献结束。 结束相关服务，将停止该服务的新贡献及交付。持续个人使用或其他工作空间，受其自身协议及套餐约束。MiraDay 作为处理者时，客户副本按 DPA 处理；已合法贡献的 F2D 副本仍受本 DSA、目的／保留限制及权利约束。终止不能使此前违法的贡献合法化，也不能取消必要的更正或屏蔽措施。
12.2 已保存 F2D 副本。 客户在订阅期间，为正常招聘用途合法保存至自身应聘者跟踪系统或 CRM 系统的 F2D 数据，可按协议第13.4节，在订阅结束后继续使用，但受本 DSA 及客户持续合法依据、保留复核、透明度及权利义务约束。为预期终止而进行的批量导出，不符合该持续使用条件。因权利决定、来源限制或法律须停止使用的数据，不适用任何终止后许可。
12.3 持续效力。 只要一方或获准接收方仍保留受影响共享个人数据，或法律或适用传输条款另有要求，关于允许用途、安全、保密、保留、权利协作、合法传输及相关责任的义务即持续有效。合同规定的一般通知期限届满，并不会消除这些义务。
12.4 优先顺序。 对于独立控制者共享，本 DSA 及附件优先于协议中的不一致规定。DPA 约束 MiraDay 代表客户进行的处理，本 DSA 不就该处理取代 DPA。适用欧盟 SCC 及英国附加协议按其要求的顺序优先。强制性法律仍适用。协商签署 DSA，仅在有效覆盖相同活动且不损害强制性保护的范围内替代已发布版本。
12.5 责任及权利。 协议第11章及第12章约束商业责任，包括第12.3节一般上限及适用例外；本 DSA 不另设金额上限。这些规定适用，但与数据保护法、欧盟 SCC 或英国附加协议不兼容的情况除外。任何上限、免责、赔偿、法院规则或第三方权利排除，不限制这些文书保护的数据主体权利、责任或救济。双方各自对自身法定义务负责；本 DSA 不表示仅凭合同即可使全部共享合规。早期测试版状态不减轻这些数据保护义务。
12.6 通知及变更。 MiraDay 隐私及权利联系方式为privacy@miraday.ai；请求亦可通过隐私中心或隐私请求页面提交；支持及一般协议通知使用support@miraday.ai。客户联系人记录于附件1，须保持最新。紧急权利或事件通信遵循第8章、第10章及第11章。变更遵循协议适用程序，并按要求同步更新来源／字段及告知，不得追溯授权须事先满足条件的处理。在强制性法律及适用传输条款约束下，以英文版本为准。
附件1，数据共享及传输详情
对每一相关客户，本标准模板通过关联注册、订单、账单或其他具有法律约束力的合同记录，以及适用且注明日期和版本的传输配置记录填写。这些记录识别实际签约客户、国家、联系人、适用时的代表权限、接受的协议版本／日期、相关共享方向及配置记录标识符／版本。已识别记录及已完成配置记录构成本附件及适用 SCC／英国附加协议填写内容的一部分，须提供全部必需事实，且可由相关方检索。共通事实及评估，仅在覆盖实际当事方角色、地点、数据、目的和风险时可复用。重大差异须在受影响传输前，更新适用配置记录或约定客户专属补充文件。记录变更不修改强制性条款，也不能替代以具有法律约束力的方式接受协议的要求。
两个共享方向通用的当事方信息
项目
客户
MiraDay
法律身份
关联注册、订单或有效合同记录识别的个人工作空间实际个人客户，或组织工作空间实际组织客户；不自动为受邀成员或第三方付款人
Forward AI Labs, Inc.
商业名称，如适用
按协议记录
MiraDay
主要地址及注册信息
关联客户记录中记载并保持最新的实际签约地址／国家，以及适用时的注册信息
710 Lakeway Drive, Suite 200, Sunnyvale, California 94085, United States。适用的注册信息在关联签约或已完成传输记录中识别
角色
对相关贡献／交付处理作为独立控制者
对 F2D 处理作为独立控制者
相关活动
合法候选人采集及贡献；接收及招聘用途使用
接收、核验、维护及合法交付 F2D 职业资料
接受、日期及签名
客户／授权代表以具有法律约束力的方式接受协议并留存记录；实际身份及日期保存在协议记录中，或另行记录具有法律约束力的签署
以具有法律约束力的方式接受协议；实际实体及日期保存在记录中，或另行记录具有法律约束力的签署
A部分，贡献：客户向 MiraDay
A.1 字段白名单
类别
符合条件的单个结构化字段
限制
职业身份及资料链接
姓名；公开职业资料标识符及网址
不包括照片、出生日期、年龄或私人账户标识符
任职经历
现任／过往职位、雇主、部门、任职日期
不包括客户评估、招聘决定、私人批注或薪酬
教育背景及资格
教育经历；专业资格及认证
不包括被排除敏感信息；纳入不授权按年龄排序
技能及专长
专业技能、语言及专业领域
不包括推断的受保护特征、健康或刑事犯罪信息
工作所在地及公开成果
城市／地区层面的工作所在地；公开职业出版物、成果或作品集链接
不包括家庭住址／精确地址、追踪／位置历史或完整成果／文档捕获
工作联系方式
合法取得的、个人以职业身份使用的工作邮箱及工作电话号码
不包括私人邮箱／电话；须确立来源许可；已连接账户数据及其衍生数据被排除；字段可用不授权每种联系渠道
第3.2节排除项适用于每一行。本名单仅允许贡献符合条件的字段值，不表示每一类别均已从每一来源采集。来源类别为公开来源、授权数据提供商、客户贡献及插件采集。每条路径仍受其来源限制、白名单、已连接账户排除及所需告知／权利保障约束。
A.2 处理及传输详情
项目
描述
出口方／进口方
客户控制者／MiraDay 控制者；身份见通用当事方信息
数据主体
相关客户合法持有其符合条件的职业信息字段的成年候选人及专业人士
类别及敏感性
仅限A.1；被排除／特殊类别／刑事犯罪／儿童数据不予纳入。适用来源控制、最小化、屏蔽及更正程序
来源链路
来自相关工作空间的客户贡献；识别原始来源许可，包括插件限制；已连接账户数据及衍生数据被排除。不是对每一公开可见字段的一概许可
性质及目的
披露和接收符合条件的结构化字段；核验、去重、资料维护、合法招聘搜索／匹配、支持招聘用途的研究，以及向其他客户交付 F2D 资料，受禁止训练限制及适用告知约束
频率
本贡献条款适用后，在正常合法使用过程中新增或更新符合条件的字段时发生；不批量贡献未变更历史记录
告知及权利门槛
所需个别告知，或有记录的适用例外及保障；入库及交付前检查屏蔽／异议／限制
F2D 保留／复核
仅在合法招聘用途所必需期间保留。定期及收到可信更正、限制或来源变化时复核来源和准确性；更正或移除不准确、违法、缺乏依据或不再必要字段，但可保留最少量屏蔽记录
模型使用
不使用客户来源字段或衍生数据训练、微调或改进模型；仅允许服务所需的模型推理
地点／访问
接收实体：Forward AI Labs, Inc.。受影响处理或受限传输开始前，适用主要存储、备份、日志、模型处理及远程访问地点，须在相关 F2D 处理及传输记录中识别
处理者及后续接收方
为 MiraDay 独立 F2D 活动使用的签约处理者，以及为招聘用途接收资料的其他客户，受适用门槛及限制约束。须为相关活动识别实际提供商、角色、地点和保障；仅 DPA 子处理者名单不证明每一列明提供商均处理 F2D
措施
附件2措施适用于相关 F2D 活动实际使用的服务组件，并同时适用第3至10章。适用组件及任何必要传输特定补充措施，须在相关已完成处理或传输记录中识别
机制／主管机关
实际传输记录及第11章；依赖欧盟 SCC 前识别第13条主管机关；适用英国附加协议时为ICO
B部分，交付：MiraDay 向客户
项目
描述
出口方／进口方
MiraDay 控制者／客户控制者；身份见通用当事方信息
数据主体
F2D 合法持有其个人数据的成年候选人及其他专业人士，包括其个人数据出现在相关公司或职位信息中的人士
可交付数据
结构化职业身份／资料链接、任职、教育／资格、技能／专长、城市／地区位置、公开职业成果链接，以及合法来源工作联系方式，但以字段实际存在、可合法披露且在客户服务中可用为限。职业摘要及特定岗位建议可在相同来源和目的限制内随交付提供。适用与A部分相同的职业信息字段类别和排除项。可包含合法来源工作邮箱及工作电话字段；并非每份资料均有全部字段。相关公司或职位信息中的个人数据，仍受相同个人数据类别、排除项及来源限制约束；非个人的公司或职位信息不属本 DSA 范围
排除项
不包括客户来源机密笔记、评估、原始文档、邮件内容或其他被排除贡献数据；不得经其他来源纳入特殊类别／刑事犯罪／儿童数据、受保护特征推断或其他禁止字段
性质／目的
受控披露及接收、候选人研究、核验、保存及招聘用途使用，包括支持相关招聘活动的人才、公司、劳动力市场及薪酬研究；对 AI 建议适当人工审阅；不得用于竞争性数据库、转售或一般营销
频率
客户在其服务内搜索、检索及合法导出时；为第8章权利协作维护交付／接收方记录
保留
客户必要招聘保留及复核标准，受权利／来源限制约束；外部接收系统的实际标准，须在依赖这些标准的传输前，于关联客户专属接收系统记录中识别。已保存副本仅可按第12章允许继续使用
地点／访问
在适用已完成传输配置记录中识别 MiraDay 发送／访问地点；在关联客户记录中识别客户接收、存储、备份及访问国家。适用时记录使用外部ATS／CRM或其他接收系统；仅平台托管接收时，明确记录该情况
后续披露
第9章有限特定招聘委托方例外及合法处理者；不得不受限制地向第三方数据库或模型披露
权利传播
识别 F2D 来源字段及交付；按第8章通知和确认；一般情况下，对外部副本须在无不当延误的情况下落实相关措施，且不迟于通知后30个日历日，并受第8.3节更早行动要求约束；通过经核实邮箱及任何指定服务渠道通知，记录受影响标识符、措施、接收方及完成／例外
措施
第10.5至10.6节，以及关联接收系统记录识别的实际客户安全说明／版本；在任何须依赖这些措施的 SCC 传输前填写完成。MiraDay 托管接收时，识别适用附件2平台措施及客户访问／使用控制；这不证明外部系统受到保护
机制／主管机关
实际传输记录及第11章；适用时须识别针对出口方的第13条主管机关；适用英国附加协议时为ICO
实际传输记录
通过适用且已完成的标准传输配置记录识别各方向，并关联实际客户身份、国家、接收安排及接受记录。安排超出已评估标准范围时，须填写完整或约定客户专属补充文件。两个方向可采用不同机制，也可能不要求 SCC。受影响传输前，所需当事方、附录信息、评估及保障须完整；接受模板或使用尚未填写完整的配置记录，既不能补足缺失的事实信息，也不构成传输授权。
方向／活动
出口方实体／角色
进口方实体／角色
发送／接收／访问国家
机制及法律范围
适用时的主管机关
评估／补充措施
记录日期
A，贡献
通用当事方信息及关联记录识别的实际客户／控制者
通用当事方信息中的实际 MiraDay 实体／控制者
匹配贡献配置记录及客户记录中的实际国家和访问地点
已完成配置记录中的有效机制及范围；分别评估第11章适用性及进口方 GDPR 范围
适用时按第13条识别的实际客户出口方主管机关，或适用英国附加协议时的ICO
已完成贡献评估及补充措施，以及任何客户专属差异
配置记录评估／更新日期及客户匹配日期
B，交付
通用当事方信息中的实际 MiraDay 实体／控制者
通用当事方信息及关联记录识别的实际客户／控制者
匹配交付配置记录及接收系统记录中的实际国家和访问地点
已完成配置记录中的有效机制及范围；分别评估第11章适用性及进口方 GDPR 范围
适用时按第13条识别的实际 MiraDay 出口方主管机关，或适用英国附加协议时的ICO
已完成交付评估及补充措施，包括适用客户措施及差异
配置记录评估／更新日期及客户匹配日期
附件2，技术与组织措施
版本1.0，适用服务组件的 MiraDay 通用措施。 本措施表适用于附件1相关活动所识别的、MiraDay 依据本 DSA 进行独立 F2D 贡献、处理或交付时实际使用的组件。不使 MiraDay 就这些活动成为客户的处理者，也不表示每一客户服务组件均用于 F2D。英文原文以大写字母开头的术语，具有本 DSA 及协议规定的含义。
来源、字段、告知、屏蔽、准确性及权利要求仍见第3至8章。控制者, 处理者及后续传输保障仍见第9章。安全、泄露通知、客户接收系统措施及共通传输控制，按第10至11章处理。附件1 B部分识别的实际客户进口方措施，按第10.6节纳入 SCC 附件 II；下述平台措施不构成对其认证。返还及保留处理按相关协议和活动确定，而非将 DPA 客户服务删除期限套用于每一独立 F2D 记录。这些措施补充上述义务；更新遵循第10.1节及协议。
1. 访问控制及身份验证
MiraDay 使用基于角色的访问控制，限制对生产环境、管理功能及个人数据的访问。员工使用个人身份进行AWS单点登录；通过经授权的AWS身份及网络路径访问生产数据库。只读副本配置为可公开访问，但安全组将入站来源限制为固定IPv4地址及指定安全组。MiraDay 管理控制台和主要集成服务共用部署环境，并采用权限隔离。Authing通过账户密码及短信验证码提供员工身份验证。员工系统通过集成，在员工离职时禁用其Authing身份。生产访问由指定人员管理。
2. 授权及特权访问
生产数据及管理权限限于履职需要的人员。员工手动访问客户任务数据，仅限经授权内部人员，并须由超级管理员批准。AWS生产资源使用AWS IAM Identity Center权限集及基于组的分配。人员离职或角色变化时，管理员可禁用或调整身份和权限。
3. 传输安全
MiraDay 使用TLS保护客户端与服务之间的网络传输。托管在 AWS 上的生产数据库、缓存和对象存储，使用云提供商的静态加密能力。E2B沙盒使用托管平台默认静态加密及TLS传输保护。Cloudflare R2存储桶为私有，配置为禁止公开访问，并使用提供商静态加密能力。
4. 数据隔离及处理控制
MiraDay 按用户或客户数据范围隔离任务数据。任务执行期间，沙盒在用户层面复用；同一用户的多个任务可共享一个E2B沙盒。客户任务数据处理，包括必要评测及复测，仍受客户合法指示，以及协议及适用 DPA 或 DSA 的目的和禁止训练限制约束。本措施表不授权将客户任务内容重复用于通用评测库或无关产品改进。
5. 输入、变更及审计日志
MiraDay 通过应用及云平台日志记录部分系统活动和运维事件。GitHub 主分支要求通过拉取请求提交变更、至少一名团队成员审查、最近一次推送后重新批准，并通过 CI 检查。生产发布或部署预期由代码提交人以外的人员审查，但尚无固定流程。AWS CloudTrail Event History及CloudWatch日志提供有限期间的事件记录。日志范围、保留及审查因系统而异，并非每次客户数据访问均有可审计记录。
6. 可用性、备份及恢复
AWS生产RDS主实例的自动备份保留七日；只读副本自身的备份保留设置为零。生产Redis复制组的快照保留期为七日。数据库和快照使用云提供商的加密能力。
7. 数据保留及删除
MiraDay 提供应用功能，可按经授权指示删除个人用户及对应应用数据。删除及保留可能取决于服务组件及人工操作。适用返还、删除、限制、备份及保留义务，包括时限及确认要求，仍以协议及相关 DPA 或 DSA 为准。单个应用删除功能不证明每一组件或副本均已删除。
8. 安全开发及漏洞管理
MiraDay 使用代码审查及CI检查支持变更管理。GitHub要求主分支通过拉取请求及审查，并运行代码规范检查、测试、构建和安全审计工作流。语义化版本及发布机器人配置了绕过权限。Dependabot安全更新已启用。
9. 事件响应及人员
指定人员处理通过支持邮箱收到的安全或隐私问题。员工身份通过Authing验证，并通过员工系统集成在离职时禁用；其他系统中的访问移除及日志审查，仍依赖管理员操作。