生效日期： 2026 年 10 月 24 日
本中文版本仅供参考。如与英文版本存在任何不一致，以英文版本为准。
本数据处理协议（“本 DPA”）是 ModelRiver Inc.（一家特拉华州公司，“ModelRiver”“我们”）与接受服务条款（“本协议”）的客户（“客户”“你”）之间协议的一部分。只要 ModelRiver 在提供服务时处理客户个人数据，本 DPA 即适用。按照本协议使用服务即表示你接受本 DPA。如需会签版本，请发送邮件至 [email protected]。
1. 定义
- 数据保护法： 适用于本协议项下客户个人数据处理的全部法律，包括欧盟《通用数据保护条例》2016/679（“GDPR”）、作为英国法律一部分的 GDPR（“英国 GDPR”）、瑞士《联邦数据保护法》以及经修订的《加州消费者隐私法》（“CCPA”）。
- 客户个人数据： ModelRiver 在提供服务时代表客户处理的个人数据，包括通过 ModelRiver API 发送的请求、AI 响应、请求日志和 Webhook 载荷中包含的个人数据。
- 子处理者： ModelRiver 委托处理客户个人数据的第三方。
- 安全事件： 导致客户个人数据被意外或非法销毁、丢失、更改、未经授权披露或访问的安全违规。
- “控制者”“处理者”“数据主体”“个人数据”和“处理”的含义以 GDPR 为准。“服务提供者”“企业”“出售”和“共享”的含义以 CCPA 为准。
2. 角色与范围
2.1. 客户是客户个人数据的控制者（或代表其自身控制者的处理者），ModelRiver 是代表客户处理该数据的处理者（或子处理者）。
2.2. 对于 ModelRiver 为经营自身业务而使用的、关于客户账户用户的个人数据（例如账户、账单和安全数据），ModelRiver 是独立控制者，详见我们的隐私政策。本 DPA 不适用于这些数据。
2.3. 当客户使用自己的 API Key 连接 AI 供应商，或配置 Webhook、回调地址时，ModelRiver 按客户的指示将客户个人数据发送给该供应商或端点。这些供应商和端点由客户选择并签约，不属于 ModelRiver 的子处理者。
2.4. 处理详情见附件一。
3. 客户的指示
3.1. ModelRiver 仅按照客户的书面指示处理客户个人数据。本协议、本 DPA 以及客户对服务的使用和配置（包括其工作流、供应商、日志和保留设置）构成客户的完整指示。额外的指示需要书面约定。
3.2. 如果 ModelRiver 认为某项指示违反数据保护法，会告知客户，除非法律禁止。
3.3. 客户负责确保其具有处理客户个人数据、并将其发送给 ModelRiver 和其所选 AI 供应商的合法依据，并负责由此需要的告知和同意。除非必要且合法，客户不应通过服务发送特殊类别的个人数据（例如健康数据）。
4. ModelRiver 的义务
4.1. 保密。 ModelRiver 确保获授权处理客户个人数据的人员负有保密义务。
4.2. 安全。 ModelRiver 实施并维持附件二所列的技术和组织措施，并可在整体保护水平不降低的前提下进行更新。
4.3. 不作他用。 ModelRiver 不会出售或共享客户个人数据，不会用其训练 AI 模型，也不会将其用于提供、保障和支持服务以外的任何目的。除 CCPA 对服务提供者允许的情况外，ModelRiver 不会将其与其他来源的个人数据合并。
4.4. 协助。 考虑到处理的性质，ModelRiver 会合理协助客户履行其回应数据主体请求、开展数据保护影响评估、咨询监管机构以及保障个人数据安全的义务。
4.5. 数据主体请求。 如果 ModelRiver 收到数据主体关于客户个人数据的请求，会将其转给客户，除非经客户授权或法律要求，否则不会自行回应。
5. 子处理者
5.1. 客户一般性授权 ModelRiver 委托子处理者。当前列表见 modelriver.com/subprocessors。
5.2. ModelRiver 要求每个子处理者承担至少与本 DPA 同等严格的数据保护义务，并对其子处理者的履行负责。
5.3. 在新的子处理者开始处理客户个人数据前，ModelRiver 会至少提前 30 天更新列表并通知付费组织的所有者；但在为保持服务可用或安全而需要更短通知期的紧急情况下除外。
5.4. 客户可以在该通知期内基于合理的数据保护理由，发送邮件至 [email protected] 反对新的子处理者。双方将本着诚意进行协商。如果无法解决该反对，客户可以终止受影响的服务，并按比例获得剩余期限预付费用的退款。
6. 安全事件
6.1. ModelRiver 在知悉影响客户个人数据的安全事件后，将不无故拖延地通知客户，且无论如何不晚于 72 小时。
6.2. 通知将在当时已知的范围内，说明事件的性质、受影响数据主体和记录的类别及大致数量、可能的后果，以及已采取或拟采取的措施。ModelRiver 会在获得更多信息时继续提供，并采取合理措施控制和补救该事件。
6.3. 发出通知不构成对过错或责任的承认。
7. 删除与返还
7.1. 在协议期限内，请求日志会在客户套餐的保留期后按隐私政策所述删除，客户可以导出其项目数据和配置。
7.2. 本协议终止后，或应客户的书面请求，ModelRiver 将在 30 天内删除客户个人数据；但依法必须保留的数据（例如账单记录）或在备份过期前仍保留在备份中的数据除外。被保留的数据继续受本 DPA 保护。
8. 审计
8.1. ModelRiver 将提供证明其遵守本 DPA 所合理需要的信息，包括我们的安全概述以及对合理安全问卷的书面回答。
8.2. 如果上述信息不足以证明合规，或监管机构要求审计，客户可以每年对 ModelRiver 的合规情况进行一次审计，费用自理，需至少提前 30 天书面通知，在工作时间进行，不得干扰服务或访问其他客户的数据，并受保密义务约束。
9. 国际传输
9.1. ModelRiver 在美国处理客户个人数据，其子处理者可能在子处理者页面列出的国家处理这些数据。
9.2. 如果客户个人数据从欧洲经济区、英国或瑞士向 ModelRiver 的传输不在充分性认定或其他有效传输机制的覆盖范围内，则通过引用将欧盟委员会第 (EU) 2021/914 号决定通过的标准合同条款（“SCC”）纳入本 DPA，具体如下：
- 客户为控制者时适用模块二（控制者到处理者），客户为处理者时适用模块三（处理者到处理者）。
- 第 7 条的对接条款不适用。第 9 条适用选项 2（一般性授权），通知期按第 5.3 节。第 11 条的可选措辞不适用。
- 就第 17 条和第 18 条而言，SCC 受爱尔兰法律管辖，争议由爱尔兰法院解决。
- 本 DPA 的附件一和附件二补充 SCC 的附件一和附件二。主管监管机构按第 13 条确定。
9.3. 对于从英国的传输，英国信息专员发布的《国际数据传输附录》与 SCC 一并适用。对于从瑞士的传输，SCC 适用时其中对 GDPR 的引用视为对瑞士《联邦数据保护法》的引用，瑞士联邦数据保护和信息专员为主管监管机构之一。
9.4. 如 SCC 与本 DPA 冲突，以 SCC 为准。
10. CCPA
在 CCPA 适用的范围内，ModelRiver 作为客户的服务提供者，不会：出售或共享客户个人数据；为本协议所列业务目的以外的任何目的保留、使用或披露客户个人数据；在与客户的直接业务关系之外保留、使用或披露客户个人数据；或将其与其他来源的个人信息合并（CCPA 允许的情况除外）。ModelRiver 将遵守 CCPA，并在无法再履行其义务时通知客户。
11. 一般条款
11.1. 只要 ModelRiver 根据本协议处理客户个人数据，本 DPA 即持续有效。
11.2. 各方在本 DPA 项下的责任受本协议中的责任限制约束，除非数据保护法不允许此类限制。
11.3. 如本 DPA 与本协议冲突，就客户个人数据的处理而言，以本 DPA 为准。
11.4. ModelRiver 可以为反映数据保护法或服务的变化而更新本 DPA，但不会降低其提供的保护。重大变更将按照本协议所述方式通知。
11.5. 本 DPA 受管辖本协议的法律管辖，除非 SCC 或数据保护法另有要求。
附件一：处理详情
各方
- 数据输出方： 客户，以其 ModelRiver 账户中的信息为准。联系方式：组织所有者的邮箱。角色：控制者（或处理者）。
- 数据输入方： ModelRiver Inc.，一家特拉华州公司。联系方式：[email protected]。角色：处理者（或子处理者）。
数据主体类别： 客户的终端用户，以及客户在通过服务发送的请求中包含其个人数据的其他个人；使用服务的客户人员。
个人数据类别： 客户选择在提示词、消息、输入和结构化输出中包含的任何个人数据；AI 响应；请求元数据（时间戳、API 调用方的 IP 地址、客户传入的标识符，例如会话或客户 ID）；Webhook 和回调载荷。
特殊类别数据： 无预期。是否发送由客户决定，见第 3.3 节。
传输频率： 随客户使用服务而持续进行。
处理的性质和目的： 接收 API 请求，将其路由到客户配置的 AI 供应商，应用客户的工作流设置（包括缓存、护栏、会话记忆和结构化输出），通过 API、WebSocket、Webhook 和回调交付结果，为客户的可观测性和计费记录请求日志，以及提供支持和安全保障。
期限： 本协议的有效期。请求日志按客户套餐的保留期保留；其他数据按第 7 节处理。
子处理者： 见 modelriver.com/subprocessors，其中列明了处理的主题、性质和期限。
附件二：技术和组织措施
- 传输加密： 所有流量使用 HTTPS；应用与数据库之间使用 TLS，并验证证书和主机名。
- 静态加密： 客户的 AI 供应商凭证使用 AES-256-GCM 加密；ModelRiver API Key 仅以哈希形式存储；密码使用 bcrypt 哈希；双重验证密钥加密存储。
- 访问控制： 基于角色的访问（所有者、管理员、编辑者、查看者）；所有用户均可使用双重验证；每个请求都根据调用方的组织和项目进行校验；生产环境访问仅限需要的人员。
- 网络和应用安全： 流量经过 Cloudflare 过滤；按项目和 IP 的速率限制；CSRF 防护；发往客户配置地址的出站请求不能访问私有网络；签名的 Webhook。
- 数据最小化： 每个项目可以选择不保存请求和响应文本；按套餐的日志保留；错误报告在离开我们的系统前移除请求内容。
- 可用性和韧性： 每日数据库备份，每次备份后进行检查并通过恢复演练测试；脚本化部署并自动回滚；公开的状态页面。
- 监控和事件响应： 错误监控和告警；事件按第 6 节处理和通知。
- 供应商管理： 子处理者受数据保护条款约束（第 5 节）。
更多细节见我们的安全页面。
最后更新：2026 年 10 月 24 日