链接
数据处理协议（DPA）
v1.0（2026年4月10日）
本《链接数据处理附录》（“DPA”）通过引用并入 Almedia Link《条款与条件》（“Terms”）以及适用的插入订单或订单表（“Order Form”），该等文件由位于德国柏林 10243，Koppenstr. 8 的 Almedia GmbH（“控制方”或“Almedia”）与在 Order Form 中标识为发布商的实体（“处理方”或“发布商”）签订。
Order Form、Terms 及本 DPA 共同构成控制方与处理方之间完整的数据处理协议（“Agreement”）。本 DPA 中未定义的首字母大写术语，其含义以 Order Form 或 Terms 中的定义为准。
定义
1.1 “适用法律”（“Applicable Laws”）是指所有适用的数据保护和隐私法律，包括 GDPR、UK GDPR、CCPA（如适用），以及规制本协议项下个人数据处理的所有法律。
1.2 “个人数据”（“Personal Data”）是指处理方根据本协议代表控制方处理的任何个人数据。个人数据包括在适用情况下，与终端用户账户与控制方服务关联相关的标识符和事件数据，包括 Freecash 账户标识符、关联令牌、奖励归因事件，以及与该等关联相关生成的技术标识符。
1.3 “数据保护法”（“Data Protection Laws”）是指欧盟数据保护法，并在适用范围内包括任何其他适用国家的数据保护或隐私法律，包括 UK GDPR 以及（如适用）CCPA。
1.4 “欧盟数据保护法”（“EU Data Protection Laws”）是指欧盟指令 95/46/EC，经各成员国国内立法转化并不时修订、替代或取代后的版本，包括 GDPR 以及实施或补充 GDPR 的法律。
1.5 “GDPR”是指欧盟《通用数据保护条例》（EU 2016/679）。
1.6 “个人数据”、“处理”、“控制方”、“处理方”、“数据主体”、“子处理方”以及“监管机构”等术语，其含义以 GDPR 为准。
1.7 “服务”（“Services”）是指本协议中所述的广告、归因、分析、反欺诈、计费、优化及相关发布商服务。
双方角色
2.1 Almedia 作为控制方。广告主在本协议项下作为处理方。
2.2 控制方指示处理方：(i) 处理个人数据；以及 (ii) 尤其是，将个人数据传输至任何国家或地区；上述行为均应为提供服务所合理必要，并符合本协议及适用法律。
2.3 处理方仅可为履行服务之目的处理个人数据，并须严格遵照控制方的书面指示，不得自行决定处理目的或处理方式。
2.4 控制方保证并声明，其在所有相关时间以及处理方依法处理个人数据期间，均已并将持续获得正式且有效的授权，可发出第 2.2 条所述指示及根据本协议发出的任何其他书面指示。
2.5 按 GDPR 第 28(3) 条要求，个人数据处理的详细信息载于附表 1（处理详情），该附表构成本 DPA 的组成部分。
2.6 双方确认并同意，就本协议项下处理的全部个人数据（包括与 Link Integration 相关的处理）而言，处理方仅作为代表控制方的处理方行事，不作为共同控制方或独立控制方。
处理方义务
3.1 处理方仅可依据控制方的书面指示处理个人数据，法律另有要求的除外。
3.2 处理方应确保获授权处理个人数据的人员受可执行的保密义务约束。
3.3 处理方应根据 GDPR 第 32 条实施适当的技术和组织措施。
3.4 处理方不得在提供服务所需时间之外保留个人数据，除非适用法律要求或允许保留，或为建立、行使或抗辩法律主张、执行本协议，或防止欺诈及保护服务安全所必需。在该等情况下，处理方应将处理限制于上述目的，并采取适当的访问控制措施。
3.5 处理方不得为自身目的处理个人数据。特别是，处理方不得使用个人数据构建用户画像、账户关系图、行为模型或受众分群，也不得用于丰富其自身数据集或服务，或在控制方的书面指示之外用于分析、变现或优化。处理方仅可保留并使用不构成个人数据的汇总或匿名化数据。
子处理方
4.1 在受本第 4 条约束的前提下，控制方授权处理方仅在提供服务所必需的范围内，并仅在附表 2 所列处理类别内，聘用子处理方。
4.2 处理方应确保所有子处理方均受书面协议约束，该等协议施加的数据保护义务与本 DPA 及适用法律要求的义务实质等同。
4.3 处理方应维护一份最新的当前所有参与提供服务之子处理方名单，包括其身份、所在地及处理目的，并应在控制方要求时向其提供该名单。
4.4 对于会实质影响个人数据的处理活动，在任命或更换任何子处理方之前，处理方应通过电子邮件事先通知。
4.5 控制方仅可基于合理且有据可查的数据保护理由，对新子处理方的任命提出异议。处理方应本着诚信原则与控制方合作，以解决该等异议。
4.6 如无法达成双方均可接受的解决方案，控制方可暂停受影响的服务或在书面通知后终止相关服务。就子处理方异议而言，该等暂停或终止应为控制方唯一且排他的救济方式。
国际传输
5.1 在法律允许并符合适当保障措施的情况下，处理方可将个人数据传输至 EEA/UK 之外，包括为支持 Link Integration 及奖励归因所必需的传输。
5.2 经批准的保障措施可包括欧盟标准合同条款、英国附录/IDTA，或任何后续替代机制。
5.3 处理方应确保接收该等传输的子处理方实施充分的保障措施。
数据主体权利
6.1 控制方负责回应数据主体请求。
6.2 处理方应在回应数据主体请求时向控制方提供合理协助。
6.3 除非法律要求或控制方指示，处理方不得直接回复数据主体。
个人数据泄露
7.1 处理方在获悉影响个人数据的个人数据泄露后，应毫不无故迟延地通知控制方。
7.2 处理方应提供合理可获得的信息，以协助控制方履行其通知义务。
7.3 处理方应就补救措施与控制方合作。
数据保护影响评估和审计
8.1 在数据保护法要求的范围内，处理方应就数据保护影响评估（DPIA）及与监管机构的磋商提供合理协助。
8.2 控制方可由独立且信誉良好的审计师开展审计或检查，但须符合以下条件：(a) 提前 30 日书面通知；(b) 除非法律要求或在确认发生事件后，否则任何 12 个月期间内不得超过一次审计；(c) 相关费用由控制方承担；以及 (d) 审计应在正常营业时间内进行，且不得造成不当干扰。
8.3 如足以证明合规，处理方可通过提供第三方认证或审计报告来满足审计义务。
数据返还和删除
9.1 在受第 9.2 条约束的前提下，处理方应在涉及个人数据处理的任何服务停止之日后尽快且最迟于六十（60）日内，依控制方的书面指示删除、假名化或返还全部个人数据副本，但适用法律要求处理方保留的任何副本除外。
9.2 在受本协议及适用法律约束的前提下，处理方可在法律要求或授权的范围内保留个人数据，但前提是处理方确保该等个人数据的机密性，并且仅为保留所必需或获授权的目的处理该等数据。
责任
本协议中载明的责任限制和免责条款同样适用于本 DPA。
适用法律和管辖权
本 DPA 受本协议中载明的适用法律和管辖权条款约束。
优先顺序
12.1 如本 DPA 与本协议任何其他部分存在冲突，且该冲突涉及个人数据处理或遵守数据保护法，则以本 DPA 为准。
12.2 在受第 12.1 条约束的前提下，如有明确规定，则 Order Form 优先于 Terms 及本 DPA。
附表 1：处理详情
标的事项：与 Link Integration 相关的归因、分析、反欺诈、计费验证、广告活动优化，以及账户关联和奖励归因。
期限：协议期限加上任何法律要求的保留期限。
处理性质：接收、收集、结构化、匹配、分析、假名化、传输、存储及删除控制方个人数据。
处理目的：
通过 MMP 进行归因和匹配
衡量点击、展示、安装和事件
反欺诈与风险缓解
结算和计费验证
活动优化和报告
技术支持
在发布商资产与控制方服务之间关联终端用户账户
验证和归因符合奖励资格的游戏内互动
防止重复、欺诈或被操纵的奖励申领
数据主体：
与广告素材互动的终端用户
具有平台访问权限的广告主人员
个人数据类别：
终端用户数据（应用/网页）：广告标识符（IDFA/GAID）、IP 地址、User-Agent、操作系统版本、设备型号、安装时间戳、点击时间戳、粗粒度地理信息、安装后事件、反欺诈分析信号、Freecash 账户标识符或假名化关联令牌、账户关联时间戳和状态标记、奖励资格和归因事件。
广告主人员数据：姓名、电子邮件、登录活动。
敏感及特殊类别个人数据：广告主不得向处理方发送任何数据保护法所定义的敏感或特殊类别个人数据。
附表 2：子处理方
处理方仅可在以下处理类别内聘用子处理方，且仅限于提供服务所必需的范围：
云托管和基础设施提供商（包括服务器、存储、内容分发及相关基础设施服务）
数据分析、归因和测量支持工具（包括用于接收、处理或验证归因信号的技术工具）
反欺诈和流量质量供应商（包括分析设备、行为或技术信号以进行欺诈预防的系统）
安全、日志和监控提供商（包括用于访问控制、异常检测、事件监控和威胁防护的工具）
客户支持和沟通服务（包括用于与控制方人员互动的工单、电子邮件和通信平台）
备份、冗余和业务连续性提供商
内部开发、审计和运营工具，仅用于支持处理方为交付服务所必需的内部运营，而非用于独立产品开发或数据利用。
处理方维护一份最新且权威的当前所有子处理方名单，包括其身份、所在地及处理目的，该名单也将向控制方告知）。
该名单将依据本 DPA 第 4 条持续更新。
链接
数据处理协议 (DPA)
v1.0（2026年1月8日）
【参考译文／便于理解的译文（日语）】
※本日文译文仅供参考，不具有法律约束力。
※如英文正文与日文译文存在任何不一致，以英文正文为准。
本链接数据处理附录（以下简称“本DPA”）并入 Almedia Link 服务条款（以下简称“条款”），以及 Almedia GmbH（地址：Potsdamer Str. 125, 10783 Berlin, Germany，以下简称“控制者”或“Almedia”）与相关插入订单或订单（以下简称“订单”）中所列发布商（以下简称“处理者”或“发布商”）之间签订的该等订单，且构成其引用文件的一部分。
订单、条款及本DPA共同构成控制者与处理者之间完整的数据处理协议（以下简称“本协议”）。本DPA中未定义的首字母大写术语，具有订单或条款中赋予的含义。
定义
1.1 “适用法律”系指所有适用的数据保护和隐私相关法律法规，包括 GDPR、UK GDPR、CCPA（如适用），以及规范本协议项下个人数据处理的所有法律法规。
1.2 “个人数据”系指处理者根据本协议为控制者处理的所有个人数据。个人数据包括（如适用）与最终用户账户及控制者服务链接相关的标识符和事件数据，包括 Freecash 账户标识符、链接令牌、奖励归因事件，以及与该链接相关生成的技术标识符。
1.3 “数据保护法律法规”系指欧盟数据保护法律法规，以及在适用范围内其他适用国家/地区的数据保护或隐私法律法规，包括 UK GDPR 和 CCPA。
1.4 “欧盟数据保护法律法规”系指欧盟指令 95/46/EC（经各成员国国内法转化）以及 GDPR 和为实施或补充 GDPR 而制定的法律法规，并包括其不时修订、替代或失效的版本。
1.5 “GDPR”系指欧盟《通用数据保护条例》（EU 2016/679）。
1.6 “个人数据”“处理”“控制者”“处理者”“数据主体”“分处理者”“监督机构”等术语，具有 GDPR 中规定的含义。
1.7 “服务”系指本协议所述的广告、归因、分析、反欺诈、计费、优化及相关发布商服务。
双方角色
2.1 Almedia 作为控制者行事。广告主根据本协议作为处理者行事。
2.2 控制者指示处理者：(i) 处理个人数据；以及 (ii) 在为提供服务合理必要且符合本协议及适用法律的范围内，将个人数据传输至任何国家或地区。
2.3 处理者应严格遵循控制者的书面指示，仅为提供服务之目的处理个人数据，不得自行决定处理目的或方式。
2.4 控制者声明并保证，在所有相关期间内，其已并将持续拥有根据第 2.2 条及本协议作出额外书面指示的有效授权。
2.5 GDPR 第 28 条第 3 款所要求的个人数据处理详情载于附件 1（处理详情），并构成本DPA不可分割的一部分。
2.6 双方确认并同意，就本协议项下处理的所有个人数据（包括与 Link 集成相关的数据）而言，处理者仅作为控制者的处理者行事，而非共同控制者或独立控制者。
处理者义务
3.1 除非法律另有要求，处理者仅可依据控制者的书面指示处理个人数据。
3.2 处理者应确保获授权处理个人数据的人员受具有法律约束力的保密义务约束。
3.3 处理者应按照 GDPR 第 32 条实施适当的技术和组织安全措施。
3.4 处理者不得在提供服务所需期限之外保留个人数据；但如适用法律要求或允许保留，或为建立、行使或抗辩法律主张、履行本协议、预防欺诈或确保服务安全所必需的除外。在此情况下，处理者仅可为该等目的处理相关数据，并应适用适当的访问控制。
3.5 处理者不得为自身目的处理个人数据。尤其不得将个人数据用于构建用户画像、账户图谱、行为模型或受众细分，强化自身数据集或服务，或在未经控制者指示的情况下用于分析、变现或优化。处理者仅可保留并使用不构成个人数据的汇总数据或匿名化数据。
分处理者
4.1 根据本条，处理者可在附录 2 所列处理类别范围内，且仅在提供服务所必需时，使用分处理者。
4.2 处理者应确保所有分处理者均受书面合同约束，该等合同施加的隐私保护义务在实质上不低于本DPA及适用法律的要求。
4.3 处理者应维护一份最新清单，列明参与提供服务的全部现有分处理者（包括名称、所在地及处理目的），并应控制者要求提供该清单。
4.4 在新增或更换可能对个人数据产生重大影响的分处理者之前，处理者应通过电子邮件提前通知控制者。
4.5 控制者仅可基于合理且有文件记录的数据保护理由，对新增分处理者提出异议。
4.6 如双方无法就合理解决方案达成一致，控制者可暂停受影响的服务或通过书面通知终止该服务。就分处理者事项而言，此为控制者唯一且排他的救济。
国际传输
5.1 处理者可在法律允许且采取适当保障措施的前提下，将个人数据传输至 EEA/UK 之外，包括为支持 Link 集成及奖励归因所必需的情形。
5.2 适当保障措施包括欧盟标准合同条款（SCC）、英国附录/IDTA，或其后继机制。
5.3 处理者应确保接收传输的分处理者实施充分的保障措施。
数据主体权利
6.1 对数据主体请求的回应由控制者负责。
6.2 处理者应在回应此类请求时向控制者提供合理协助。
6.3 除非法律要求或控制者指示，处理者不得直接回应数据主体。
个人数据泄露
7.1 一旦处理者知悉个人数据泄露，应立即通知控制者，不得无故拖延。
7.2 处理者应提供其合理可获得的信息，以协助控制者履行通知义务。
7.3 处理者应与控制者合作采取补救措施。
DPIA 与审计
8.1 在数据保护法律法规要求的范围内，处理者应就数据保护影响评估（DPIA）及与监督机构的磋商提供合理协助。
8.2 在满足以下条件的前提下，控制者可由独立且信誉良好的审计员进行审计或检查：(a) 提前 30 天书面通知；(b) 除法律要求或确认的事件外，每 12 个月不超过一次；(c) 费用由控制者承担；(d) 在正常营业时间内进行且不造成不合理干扰。
8.3 如处理者提供足以证明合规性的第三方认证或审计报告，即可视为履行审计义务。
数据返还与删除
9.1 在第 9.2 条约束下，服务终止后，凡涉及个人数据处理的，处理者应按照控制者指示，在不无故拖延且最迟不超过 60 日内删除、去标识化或返还全部个人数据副本，但适用法律要求保留的除外。
9.2 在法律要求或允许的范围内，处理者可保留个人数据，但应确保该等个人数据的机密性，并将处理范围限制于保留所必需或允许的目的。
责任
本协议中的责任限制和免责条款同样适用于本DPA。
适用法律与管辖
本DPA受本协议约定的适用法律与管辖条款约束。
优先顺序
12.1 如本DPA与本协议其他条款在个人数据处理或遵守数据保护法律法规方面存在冲突，以本DPA为准。
12.2 在不违反第 12.1 条的前提下，如订单中明确规定，则订单优先于条款及本DPA。
附件 1：处理详情
处理对象
与 Link 集成相关的归因、分析、反欺诈、账单验证、广告活动优化、账户关联及奖励归因。
处理期限
本协议期限及法律要求的保留期限。
处理性质
接收、收集、结构化、比对、分析、去标识化、传输、存储及删除。
处理目的
・通过 MMP 进行归因与匹配
・点击、展示、安装及事件测量
・反欺诈与防范
・结算与账单验证
・活动优化与报告
・技术支持
・关联发布商属性与控制者服务之间的最终用户账户
・验证并归因可获奖励的游戏内互动
・防止重复、欺诈或被操纵的奖励申请
数据主体
・与广告素材互动的最终用户
・访问平台的广告主代表
个人数据类型
・最终用户数据（应用/网页）：广告标识符（IDFA/GAID）、IP 地址、用户代理、操作系统版本、设备型号、安装时间、点击时间、粗略位置信息、安装后事件、反欺诈分析信号、Freecash 账户标识符或经伪匿名化的链接令牌、账户链接时间戳及状态、奖励资格与归因事件
・广告主代表数据：姓名、电子邮件地址、登录活动
敏感信息／特殊类别个人数据
广告主不会向处理者发送数据保护法律法规所定义的敏感信息或特殊类别个人数据。
附件 2：分处理者
处理者可在以下处理类别范围内且仅在提供服务所必需时使用分处理者。
云托管及基础设施提供商（服务器、存储、CDN 等）
数据分析、归因及测量支持工具
反欺诈及流量质量供应商
安全、日志及监控提供商
客户支持及通信服务
备份、冗余及业务连续性提供商
在提供服务所必需范围内的内部开发、审计及运营工具（不用于独立产品开发或数据利用）
处理者应维护一份最新且正式的全部现有分处理者清单（包括名称、所在地及处理目的），并根据本DPA第 4 条持续更新。