数据处理协议 (DPA)
本数据处理附录（“DPA”）通过引用方式纳入 Almedia Link 条款与条件（“条款”）以及由 Almedia GmbH（地址：Koppenstr. 8, 10243 Berlin, Germany，“Almedia”）与订单表格中确定的发布商（“发布商”或“控制者”）之间签署的适用订单表格或订单（“处理者”或“订单表格”）。
订单表格、条款及本 DPA 共同构成了控制者与处理者之间完整的数据处理协议（“协议”）。本 DPA 中未定义的术语具有订单表格或条款中赋予的含义。
1. 定义
1.1 “适用法律”指所有适用的数据保护和隐私法律，包括《通用数据保护条例》(GDPR)、《英国通用数据保护条例》(UK GDPR)、《加州消费者隐私法案》(CCPA)（如适用），以及所有根据本协议规范个人数据处理的法律。
1.2 “个人数据”指处理方根据本协议代表控制方所处理的任何个人数据。个人数据包括（如适用）与最终用户账户关联至控制方服务相关的标识符和事件数据，包括 Freecash 账户标识符、关联令牌、奖励归因事件，以及与此类关联相关的技术标识符。
1.3 “数据保护法律”指欧盟数据保护法律，以及在适用范围内，任何其他适用国家的数据保护或隐私法律，包括《英国通用数据保护条例》(UK GDPR) 以及（如适用）《加州消费者隐私法案》(CCPA)。
1.4 “欧盟数据保护法律”指欧盟第 95/46/EC 号指令，及其在各成员国国内立法中的转化，以及不时修订、替换或废止的法律，包括《通用数据保护条例》(GDPR) 以及实施或补充 GDPR 的法律。
1.5 “GDPR”指《欧盟通用数据保护条例》(EU 2016/679)。
1.6 诸如“个人数据”、“处理”、“控制方”，以及“处理者”，以及“数据主体”，以及“子处理者”，以及“监管机构”均具有 GDPR 中赋予的含义。
1.7 “服务”指协议中所述的广告、归因、分析、欺诈检测、计费、优化及相关的发布商服务。
2. 双方角色
2.1 Almedia 担任控制者。发布商根据协议担任处理者。
2.2 控制者指示处理者：(i) 处理个人数据；(ii) 特别是，将个人数据传输至任何国家或地区，所有这些操作均为提供服务所必需，且符合协议及适用法律。
2.3 处理者应仅为履行服务之目的处理个人数据，并严格按照控制者的书面指示进行，不得自行决定处理的目的或方式。
2.4 控制者保证并声明，其在所有相关时间及处理者合法处理个人数据的整个期间内，均已并将持续获得充分且有效的授权，以发出第 2.2 节所述的指示及根据协议发出的任何额外书面指示。
2.5 GDPR 第 28 条第 (3) 款所要求的个人数据处理详情载于附表 1（处理详情），该附表构成本数据处理协议 (DPA) 不可分割的一部分。
2.6 双方确认并同意，就根据协议处理的所有个人数据（包括与链接集成相关的数据）而言，处理者仅代表控制者行事，担任处理者角色，而非共同控制者或独立控制者。
3. 处理者义务
3.1 处理者仅应根据控制者的书面指示处理个人数据，法律另有规定者除外。
3.2 处理者应确保获授权处理个人数据的人员承担可强制执行的保密义务。
3.3 处理者应根据《通用数据保护条例》（GDPR）第32条的要求，采取适当的技术和组织措施。
3.4 除适用法律要求或允许，或为确立、行使或抗辩法律主张、执行本协议、防止欺诈及保护服务安全所必需外，处理者不得保留个人数据超过提供服务所需的期限。在此类情况下，处理者应将处理范围限制在上述目的内，并实施适当的访问控制。
3.5 处理者不得为自身目的处理个人数据。特别是，处理者不得利用个人数据构建用户画像、账户图谱、行为模型或受众细分，不得用于丰富其自身的数据集或服务，也不得在控制者书面指示范围之外进行分析、变现或优化。处理者仅可保留和使用不构成个人数据的汇总或匿名化形式的数据。
4. 子处理者
4.1 在遵守本第4条的前提下，控制者授权处理者仅在提供服务所必需的范围内，且仅在附件2所列的处理类别内聘用子处理者。
4.2 处理者应确保所有子处理者均受书面协议约束，该协议所规定的数据保护义务应实质上等同于本数据处理协议（DPA）中的规定及适用法律的要求。
4.3 处理者应维护一份参与提供服务的当前子处理者最新名单，包括其身份、所在地及处理目的，并应在控制者要求时提供该名单。
4.4 在任命或更换任何对个人数据处理活动有重大影响的子处理者之前，处理者应通过电子邮件提前通知控制者。
4.5 控制者仅可基于合理且有据可查的数据保护理由，对任命新的子处理者提出异议。处理者应与控制者诚信合作，以解决此类异议。
4.6 若双方无法达成一致的解决方案，控制者可暂停受影响的服务，或在发出书面通知后终止服务。此类暂停或终止应为控制者针对子处理者异议所享有的唯一且排他的补救措施。
5. 跨境传输
5.1 在法律允许且具备适当保障措施的情况下，处理者可将个人数据传输至欧洲经济区（EEA）/英国境外，包括为支持链接集成（Link Integration）和奖励归因所必需的传输。
5.2 获准的保障措施可包括欧盟标准合同条款（SCC）、英国补充条款/国际数据传输协议（IDTA）或任何后续机制。
5.3 处理者应确保接收传输的子处理者实施了充分的保障措施。
6. 数据主体权利
6.1 控制者负责响应数据主体的请求。
6.2 处理者应为控制者响应数据主体请求提供合理的协助。
6.3 除非法律要求或受控制者指示，处理者不得直接回复数据主体。
7. 个人数据泄露
7.1 处理者在获悉影响个人数据的个人数据泄露后，应立即通知控制者。
7.2 处理者应提供合理可用的信息，以协助控制者履行其通知义务。
7.3 处理者应就补救措施与控制者进行合作。
8. 数据保护影响评估与审计
8.1 在数据保护法律要求的范围内，处理者应为数据保护影响评估（DPIA）及与监管机构的磋商提供合理协助。
8.2 控制者可由独立且信誉良好的审计师进行审计或检查，但须遵守以下条件：(a) 提前 30 天书面通知；(b) 每 12 个月内审计次数不得超过一次，除非法律要求或发生已确认的事件；(c) 所有相关费用由控制者承担；(d) 审计应在正常工作时间内进行，且不得造成不当干扰。
8.3 若第三方认证或审计报告足以证明合规性，处理者可通过提供此类文件来履行审计义务。
9. 数据归还与删除
9.1 在遵守第 9.2 条的前提下，处理者应在涉及个人数据处理的任何服务终止之日起六十 (60) 日内，根据控制者的书面指示，及时删除、去标识化或归还所有个人数据副本，但处理者根据适用法律必须保留的副本除外。
9.2 在遵守本协议及适用法律的前提下，处理者可在法律要求或授权的范围内保留个人数据，前提是处理者应确保此类个人数据的机密性，并仅将其用于保留所必需或授权的目的。
10. 责任
本协议中规定的责任限制和免责条款同样适用于本数据处理协议（DPA）。
11. 适用法律与管辖权
本数据处理协议受本协议中规定的适用法律和管辖权条款管辖。
12. 优先顺序
12.1 若本数据处理协议与本协议的其他部分发生冲突，且该冲突涉及个人数据处理或对数据保护法律的遵守，则以本数据处理协议为准。
12.2 在遵守第 12.1 条的前提下，若订单中明确说明，则订单的效力优先于条款及本数据处理协议。
附表 1：处理详情
标的： 归因、分析、欺诈检测、账单验证、广告活动优化，以及与链接集成相关的账户关联和奖励归因。
持续时间： 协议有效期内及法律要求的任何保留期限。
处理性质： 接收、收集、结构化、匹配、分析、去标识化、传输、存储及删除控制者个人数据。
处理目的：
- 通过移动监测平台（MMP）进行归因和匹配
- 点击、展示、安装及事件的衡量
- 欺诈检测与缓解
- 结算与账单验证
- 广告活动优化与报告
- 技术支持
- 在发布商资产与控制者服务之间关联终端用户账户
- 验证并归因符合奖励条件的游戏内互动
- 防止重复、欺诈或被操纵的奖励申领
数据主体：
- 与广告素材互动的终端用户
- 拥有平台访问权限的广告主人员
个人数据类别：
- 终端用户数据（应用/网页）：广告标识符（IDFA/GAID）、IP地址、用户代理、操作系统版本、设备型号、安装时间戳、点击时间戳、粗略地理位置信息、安装后事件、欺诈分析信号、Freecash账户标识符或匿名关联令牌、账户关联时间戳及状态标记、奖励资格及归因事件。
- 广告主人员数据：姓名、电子邮箱、登录活动。
敏感及特殊类别个人数据： 广告主不得向处理方发送数据保护法所定义的任何敏感或特殊类别个人数据。
附表 2：子处理方
处理方仅可在以下处理类别范围内，且仅在提供服务所必需的限度内聘用子处理方：
- 云托管和基础设施提供商（包括服务器、存储、内容分发及相关基础设施服务）
- 数据分析、归因和衡量支持工具（包括用于接收、处理或验证归因信号的技术工具）
- 欺诈检测和流量质量供应商（包括用于分析设备、行为或技术信号以预防欺诈的系统）
- 安全、日志记录和监控提供商（包括用于访问控制、异常检测、事件监控和威胁预防的工具）
- 客户支持和通信服务（包括用于与控制方人员互动的工单系统、电子邮件和通信平台）
- 备份、冗余和业务连续性提供商
- 内部开发、审计和运营工具，仅用于支持处理方为交付服务所必需的内部运营，不得用于独立的产品开发或数据挖掘。
处理方维护一份最新且权威的当前子处理方名单，包括其身份、所在地和处理目的，该名单也将告知控制方。
此名单根据本数据处理协议（DPA）第 4 条的规定持续更新。