链接
数据处理协议（DPA）
v1.0（2026年4月10日）
本链接数据处理附录（“DPA”）通过引用并入 Almedia Link 条款与条件（“Terms”）以及适用的插入订单或订单表（“Order Form”），该等文件由德国柏林 10243，Koppenstr. 8 的 Almedia GmbH（“Controller”或“Almedia”）与订单表中标识为 Publisher 的实体（“Processor”或“Publisher”）签订。
订单表、条款和本 DPA 共同构成控制方与处理方之间完整的数据处理协议（“Agreement”）。本 DPA 中未定义的大写术语具有订单表或条款中赋予的含义。
定义
1.1 “Applicable Laws” 指所有适用的数据保护和隐私法律，包括 GDPR、UK GDPR、CCPA（如适用）以及本协议项下个人数据处理的所有相关法律。
1.2 “Personal Data” 指处理方代表控制方在本协议项下处理的任何个人数据。个人数据包括（如适用）与终端用户账户与控制方服务链接相关的标识符和事件数据，包括 Freecash 账户标识符、链接令牌、奖励归因事件，以及与该等链接相关生成的技术标识符。
1.3 “Data Protection Laws” 指欧盟数据保护法，以及在适用范围内，任何其他适用国家的数据保护或隐私法律，包括 UK GDPR 以及（如适用）CCPA。
1.4 “EU Data Protection Laws” 指欧盟指令 95/46/EC，经各成员国国内立法转化并不时修订、替代或取代的法律，包括 GDPR 及实施或补充 GDPR 的法律。
1.5 “GDPR” 指欧盟《通用数据保护条例》（EU 2016/679）。
1.6 “Personal Data”、“Processing”、“Controller”、“Processor”、“Data Subject”、“Sub-processor” 和 “Supervisory Authority” 等术语具有 GDPR 中赋予的含义。
1.7 “Services” 指本协议中所述的广告、归因、分析、欺诈检测、计费、优化及相关发布商服务。
各方角色
2.1 Almedia 作为控制方。广告主在本协议项下作为处理方。
2.2 控制方指示处理方：(i) 处理个人数据；以及 (ii) 尤其将个人数据传输至任何国家或地区，只要为提供服务合理必需且符合本协议及适用法律。
2.3 处理方仅得为履行服务之目的处理个人数据，且须严格遵循控制方的书面指示，不得独立决定处理的目的或方式。
2.4 控制方声明并保证，其在所有相关时间以及在处理方依法处理个人数据的整个期间内，均已并将持续获得适当且有效的授权，可作出第 2.2 条所述指示以及根据本协议作出的任何其他书面指示。
2.5 GDPR 第 28(3) 条要求的个人数据处理详情载于附件 1（处理详情），该附件构成本 DPA 的组成部分。
2.6 各方确认并同意，就本协议项下处理的所有个人数据（包括与链接集成相关的个人数据）而言，处理方仅代表控制方作为处理方行事，而非共同控制方或独立控制方。
处理方义务
3.1 除法律另有要求外，处理方仅可依据控制方的书面指示处理个人数据。
3.2 处理方应确保获授权处理个人数据的人员受具有可执行力的保密义务约束。
3.3 处理方应按照 GDPR 第 32 条的要求实施适当的技术和组织措施。
3.4 除适用法律要求或允许保留，或为确立、行使或抗辩法律主张、执行本协议，或防止欺诈并保护服务安全所必需外，处理方保留个人数据的时间不得超过提供服务所必需的期限。在此情况下，处理方应将处理限制于上述目的，并采取适当的访问控制。
3.5 处理方不得将个人数据用于自身目的。特别是，处理方不得使用个人数据建立用户画像、账户关系图、行为模型或受众细分，也不得用于丰富其自身数据集或服务，或用于超出控制方书面指示范围的分析、变现或优化。处理方仅可保留和使用不构成个人数据的汇总或匿名化数据。
分处理方
4.1 在遵守本第 4 条的前提下，控制方授权处理方仅在提供服务所必需的范围内，并且仅限于附件 2 所列处理类别内，聘用分处理方。
4.2 处理方应确保所有分处理方均受书面协议约束，该等协议施加的数据保护义务在实质上应与本 DPA 所载及适用法律要求的义务相当。
4.3 处理方应维护一份最新的当前分处理方名单，列明其身份、所在地和处理目的，并应根据控制方要求提供该名单。
4.4 就任何会实质影响个人数据的处理活动，在任命或更换任何分处理方之前，处理方应通过电子邮件提前通知控制方。
4.5 控制方仅可基于合理且有据可依的数据保护理由，反对任命新的分处理方。处理方应本着诚信原则与控制方合作，以解决该等异议。
4.6 如双方无法达成双方均可接受的解决方案，控制方可暂停受影响的服务或通过书面通知终止该等服务。就分处理方异议而言，该等暂停或终止应为控制方唯一且排他的救济。
国际传输
5.1 处理方在法律允许且采取适当保障措施的情况下，可将个人数据传输至 EEA/UK 之外，包括为支持链接集成和奖励归因所必需的传输。
5.2 经批准的保障措施可包括欧盟标准合同条款、英国附录/IDTA，或任何后续机制。
5.3 处理方应确保接收传输的分处理方实施充分的保障措施。
数据主体权利
6.1 控制方负责回应数据主体请求。
6.2 处理方应向控制方提供合理协助，以回应数据主体请求。
6.3 除法律要求或控制方指示外，处理方不得直接回应数据主体。
个人数据泄露
7.1 一旦知悉影响个人数据的个人数据泄露，处理方应在不无故迟延的情况下通知控制方。
7.2 处理方应提供合理可得的信息，以协助控制方履行其通知义务。
7.3 处理方应就补救事宜与控制方合作。
数据保护影响评估和审计
8.1 在数据保护法律要求的范围内，处理方应就 DPIA 以及与监管机构的磋商提供合理协助。
8.2 控制方可由独立且信誉良好的审计师开展审计或检查，但须符合以下条件：(a) 提前 30 天书面通知；(b) 在任何 12 个月期间内不得超过一次审计，除非法律要求或在确认事件后进行；(c) 所有相关费用由控制方承担；以及 (d) 审计应在正常营业时间内进行，且不得造成不当干扰。
8.3 如足以证明合规，处理方可通过提供第三方认证或审计报告来满足审计义务。
数据返还与删除
9.1 在遵守第 9.2 条的前提下，处理方应在任何涉及个人数据处理的服务停止之日起及时且最迟于六十（60）日内，按照控制方的书面指示删除、假名化或返还个人数据的所有副本，但适用法律要求处理方保留的任何副本除外。
9.2 在遵守本协议及适用法律的前提下，处理方可在法律要求或授权的范围内保留个人数据，但处理方应确保该等个人数据的保密性，并且仅可为保留所要求或授权的目的处理该等数据。
责任
本协议中规定的责任限制和免责条款同样适用于本 DPA。
适用法律和管辖权
本 DPA 受本协议中规定的适用法律和管辖权条款管辖。
优先顺序
12.1 如本 DPA 与本协议任何其他部分之间存在冲突，且该冲突涉及个人数据处理或遵守数据保护法律，则在该等冲突范围内，以本 DPA 为准。
12.2 在遵守第 12.1 条的前提下，如订单表中有明确规定，则订单表优先于条款和本 DPA。
附件 1：处理详情
处理标的：与链接集成相关的归因、分析、欺诈检测、计费验证、广告活动优化，以及账户链接和奖励归因。
期限：协议期限加上任何法律要求的保留期限。
处理性质：接收、收集、结构化、匹配、分析、假名化、传输、存储和删除控制方个人数据。
处理目的：
通过 MMP 进行归因和匹配
衡量点击、展示、安装和事件
欺诈检测与缓解
结算和计费验证
广告活动优化和报告
技术支持
在发布商资产与控制方服务之间链接终端用户账户
验证和归因符合奖励资格的游戏内互动
防止重复、欺诈或被操纵的奖励申领
数据主体：
与广告材料互动的终端用户
具有平台访问权限的广告主人员
个人数据类别：
终端用户数据（应用/网页）：广告标识符（IDFA/GAID）、IP 地址、用户代理、操作系统版本、设备型号、安装时间戳、点击时间戳、粗略地理信息、安装后事件、欺诈分析信号、Freecash 账户标识符或假名化链接令牌、账户链接时间戳和状态标志、奖励资格和归因事件。
广告主人员数据：姓名、电子邮件、登录活动。
敏感和特殊类别个人数据：广告主不得向处理方发送任何数据保护法律定义的敏感或特殊类别个人数据。
附件 2：分处理方
处理方仅可在以下处理类别内，且仅在提供服务所必需的范围内，聘用分处理方：
云托管和基础设施提供商（包括服务器、存储、内容分发及相关基础设施服务
数据分析、归因和衡量支持工具（包括用于接收、处理或验证归因信号的技术工具）
欺诈检测和流量质量供应商（包括分析设备、行为或技术信号以防止欺诈的系统）
安全、日志和监控提供商（包括用于访问控制、异常检测、事件监控和威胁防护的工具）
客户支持和通信服务（包括用于与控制方人员互动的工单、电子邮件和通信平台）
备份、冗余和业务连续性提供商
内部开发、审计和运营工具，仅用于支持处理方为交付服务所必需的内部运营，而非用于独立产品开发或数据利用。
处理方维护一份最新且具权威性的当前分处理方名单，包括其身份、所在地和处理目的，并将其同步告知控制方）。
该名单将按照本 DPA 第 4 条持续更新。