数据处理附录。

1. 定义和解释

1.1 “协议”是指 Marathon 向客户提供 Durin 所依据的协议，包括任何订单或 Enterprise 协议，以及在没有签署协议的情况下，https://getdurin.com/terms. 中的公共条款

1.2 “适用数据保护法”指适用于根据协议处理客户个人数据的数据保护法律，包括在适用情况下新加坡《2012 年个人数据保护法》及其法规（“PDPA”）、第 (EU) 2016/679 号条例（“EU GDPR”），以及构成英国法律一部分的 EU GDPR（“UK GDPR”）和《2018 年数据保护法》。[是否涵盖其他数据保护法律（例如瑞士《联邦数据保护法》），须由法律顾问在发布前确认]

1.3 “客户个人数据”是指 Marathon 代表客户处理以根据协议提供 Durin 的个人数据（如附件 1 中所述）。它不包括 Marathon 作为控制者或组织出于自身目的而处理的个人数据（如 https://getdurin.com/privacy. 隐私声明中所述）

1.4 “限制传输”是指受 PDPA 第 26 条、欧盟 GDPR 第五章或英国 GDPR 第五章约束的客户个人数据的传输。

1.5 “安全事件”是指欧盟 GDPR 或英国 GDPR 规定的个人数据泄露，或 PDPA 规定的数据泄露，影响 Marathon 或其子处理者拥有或控制的客户个人数据。

1.6 “分处理者”是指 Marathon 委托代表其处理客户个人数据并提供 Durin 的第三方。第 7.6 条中描述的客户选择的服务不是子处理者。

1.7 “欧盟 SCC”是指 2021 年 6 月 4 日委员会实施决定 (EU) 2021/914 所附的 Standard 合同条款。“英国附录”是指英国信息专员根据 2018 年数据保护法 B1.0 版第 119A(1) 条发布的欧盟委员会 Standard 合同条款的国际数据传输附录，经修改或替换。

1.8 “控制者”、“处理者”、“数据主体”、“个人数据泄露”和“处理”具有欧盟 GDPR 或英国 GDPR 中给出的含义，“组织”、“数据中介”、“个人数据”和“数据泄露”具有 PDPA 中给出的含义，在每种情况下都适用于相关处理。 “包括”是指包括但不限于。

2. 范围和作用

2.1 本 DPA 构成协议的一部分，适用于客户个人数据的处理。该协议在双方签署后生效，并在 Marathon 处理客户个人数据期间持续有效，包括在协议结束后直至第 11 条完成。

2.2 客户是欧盟 GDPR 或英国 GDPR 规定的控制者，以及 PDPA 规定的组织，对于客户个人数据，或代表其他控制者处理该数据。 Marathon 是客户的处理者，并且根据 PDPA，是其数据中介。如果客户作为处理者，则客户确认其指令和 Marathon 的预约已获得相关控制者的授权。

2.3 附件 1 描述了处理的主题、性质、目的和持续时间、客户个人数据的类型以及数据主体的类别。

2.4 Marathon 作为控制者或组织根据其隐私声明处理个人数据，用于其自身目的，例如帐户管理、计费、支持、安全、欺诈预防、产品分析和法律合规性。该处理不在本 DPA 范围内。 [Marathon 独立处理服务数据的范围在发布前需由律师确认]

3. 使用说明

3.1 Marathon 仅根据客户的书面指示处理客户个人数据，包括有关限制传输的指示，除非适用法律另有要求。在这种情况下，Marathon 将在处理之前告知客户法律要求，除非该法律出于公共利益的重要原因禁止这样做。

3.2 客户的书面指示是本 DPA 和协议；客户对 Durin 的配置和使用，包括其成员、角色、智能体 客户端、连接、策略、审批 设置、对话捕获模式和保留期限、通知渠道和导出目的地；以及双方同意的任何进一步书面指示。

3.3 如果 Marathon 认为某项指令违反了适用的数据保护法，它将立即通知客户。这并不要求 Marathon 向客户提供法律建议。

4. 客户责任

4.1 客户对其指令和导致 Durin 处理的客户个人数据的合法性负责，包括发出任何所需的通知、获得任何所需的同意以及对该处理具有合法依据或适用的例外情况。

4.2 客户决定其用户连接到 Durin 的系统、智能体 客户端和模型提供商。 Durin 的控制适用于通过 Durin 路由的请求。 智能体 客户端可以将返回的工具结果发送给其模型提供商，其条款单独适用。

4.3 Durin 并非旨在对特殊类别的个人数据或其他敏感个人数据应用额外的保护措施。客户决定是否通过 Durin 路由此类数据，并相应地配置其 连接、策略 和对话捕获。 [对特殊类别或其他敏感数据的任何限制需在发布前由律师确认]

4.4 客户负责保护其账户、凭据、智能体 客户端、设备和连接系统，并负责配置 Durin 的控制（例如 策略、审批 要求和身份提供商设置），以适应其风险。

5. 保密性

5.1 Marathon 确保其授权处理客户个人数据的人员受到适当的保密义务的约束，并且仅在提供、支持或保护 Durin 或遵守法律的需要时访问客户个人数据。

6. 安全

6.1 Marathon 实施附件 2 中的技术和组织措施，同时考虑到现有技术、实施成本、处理的性质、范围、背景和目的以及个人面临的风险。 Marathon 做出合理的安全安排，以保护其拥有或控制下的客户个人数据，正如 PDPA 对数据中介的要求。

6.2 Marathon 可能会将附件 2 中的措施更新为 Durin，并且其面临的威胁会发生变化，前提是更新不会显着降低对客户个人数据的整体保护。

6.3 附件 2 描述了实施的控制和管理承诺。 Marathon 不持有 SOC 2 认证、ISO/IEC 27001 认证或独立渗透测试结果，也不代表附件 2 中的措施经过认证或独立保证。

7. 分处理者

7.1 客户向 Marathon 授予聘请分处理商的一般书面授权。附件 3 列出了本 DPA 签署之日的分处理者。当前的子处理器计划发布在 https://getdurin.com/subprocessors.

7.2 在新的子处理者处理客户个人数据之前，Marathon 将至少 [发布前由律师确认的子处理者通知期限]、通过向签名栏中的隐私联系人发送电子邮件以及更新子处理者时间表来通知客户任何打算添加或更换的子处理者。

7.3 客户可以在通知期内发送电子邮件至privacy@getdurin.com，以合理的数据保护理由反对更改。双方将真诚地讨论异议。如果无法解决，客户可以在更改生效之前通过书面通知终止协议的受影响部分。 [针对未解决的异议的补救措施，包括任何预付费用的退款，将在发布前由律师确认]

7.4 Marathon 与每个子处理者签订书面合同，规定数据保护义务在适用于子处理者提供的服务的范围内不低于本 DPA 的保护性。 Marathon 仍根据适用数据保护法的要求，对客户履行其分处理者的义务负责。

7.5 根据要求，Marathon 将提供有关适用于分处理方的数据保护条款的信息。 Marathon 可能会编辑机密商业信息。

7.6 客户选择或连接的服务不是子处理者，包括客户连接到 durin 的系统、客户的 Slack 工作区和其他通知渠道、Langfuse 等导出目的地、客户为治理证据而连接的 Vanta 账户、使用客户自有 API 密钥的 TypeSafe AI，以及智能体客户端及其模型提供商。Marathon 按客户指示向这些服务传输客户个人数据，相关处理适用这些服务自身的条款。

8. 国际转账

8.1 Marathon比赛在新加坡创办。 Marathon 及其分处理者可以在新加坡以及附件 3 中为每个分处理者列出的国家和地区处理客户个人数据。除非协议明确包含居住承诺，否则 Marathon 不承诺在特定地区处理客户个人数据。

8.2 如果 Marathon 或分处理商将受 PDPA 约束的客户个人数据传输到新加坡以外的国家或地区，Marathon 将确保接收者受到《2021 年个人数据保护条例》要求的法律可执行义务的约束，为传输的个人数据提供至少与 PDPA 下的保护相当的 Standard 保护。如果这些义务是合同义务，则合同会指定个人数据可能传输到的国家和地区。 Marathon 将向客户提供其合理需要的信息，以履行 PDPA 第 26 条规定的自身义务。 [PDPA 转让的合同文书，例如东盟示范合同条款，在发布前由律师确认]

8.3 如果客户向 Marathon 传输的客户个人数据是欧盟 GDPR 第五章规定的限制性传输，且未包含在充分性决定或其他传输机制中，则欧盟 SCC 将按如下方式纳入本 DPA 中：模块二适用于客户是控制者的情况，模块三适用于客户是处理者的情况，其中客户作为数据导出方，Marathon 作为数据导入方；对于第 9 条，选项 2 适用于第 7.2 条中的通知期；第 11 条中的可选措辞不适用；欧盟 SCC 的附件一和附件二与本 DPA 的附件 1 和附件 2 一起完善；第 9 条授权的分处理商是附件 3 中列出的那些，并根据第 7 条进行更新。 [欧盟 SCC 第 7、13、17 和 18 条的选择，以及根据第 3(2) 条向其处理受欧盟 GDPR 约束的进口商的转移机制，将在发布前由律师确认]

8.4 如果转让属于英国 GDPR 第五章规定的限制性转让，且不受英国 GDPR 第 45A 条下批准转让的法规或其他转让机制的约束，则适用经英国附录修订后的欧盟 SCC，并使用本 DPA 及其附件中的信息填写英国附录的表 1 至表 3。如果没有英国附录，则不依赖欧盟 SCC 进行这些转移。 [表 4 的选择以及使用英国国际数据传输协议而不是英国附录的情况，须在发布前由律师确认]

8.5 在子处理者以限制传输的方式处理客户个人数据之前，Marathon 将实施适用法律认可的传输机制，例如欧盟 SCC 模块三以及英国附录（如有需要）、充分性决定或其他公认的框架，或者对于 PDPA，具有法律强制执行义务以及法律要求的任何补充措施。附件 3 确定了每个子处理者使用的机制。

8.6 除非法律禁止，否则，如果 Marathon 收到公共机构提出的具有法律约束力的要求披露客户个人数据的请求，Marathon 将通知客户，评估该请求的合法性，并仅披露该请求所需的最少客户个人数据。 Marathon 将向客户提供合理信息，以支持其对适用于限制转移的法律和惯例的评估。

8.7 如果本 DPA 或协议与欧盟 SCC 或英国附录发生冲突，则在冲突范围内以欧盟 SCC 或英国附录为准。

九、安全事件

9.1 如果 Marathon 作为欧盟 GDPR 或英国 GDPR 规定的客户处理者，Marathon 将在发现安全事件后立即通知客户，不得无故拖延。如果 Marathon 根据 PDPA 充当客户的数据中介，一旦有理由相信发生了影响客户个人数据的数据泄露，Marathon 将立即通知客户，不得无故拖延。

9.2 [发布前由律师确认的客户通知期限] 的任何合同通知目标均不会推迟第 9.1 条中的任何一项义务。 [与隐私声明的一致性、了解的定义以及在发布前由律师确认的通知内容]

9.3 该通知将在当时已知的范围内描述安全事件的性质，包括相关数据主体和记录的类别和大致数量；其可能的后果；为解决该问题并减轻其影响而采取或提议的措施；以及获取更多信息的联系方式。 Marathon 可能会在可用时分阶段提供此信息。

9.4 Marathon 将采取合理措施控制、调查和补救安全事件，并向客户提供合理协助，以履行其通知监管机构、个人数据保护委员会和受影响个人的义务。客户决定是否发出这些通知。除非法律要求，否则 Marathon 不会在没有客户 审批 的情况下向客户的监管机构或受影响的个人通知安全事件。

9.5 不影响客户个人数据安全的不成功尝试和活动（例如 ping、端口扫描、拒绝请求和失败的登录尝试）不属于安全事件。通知安全事件并不表示承认过错或责任。

10. 协助

10.1 如果 Marathon 收到数据主体关于客户个人数据的请求，并且可以确定该请求与客户相关，Marathon 将立即将其转发给客户。除了将数据提交给客户外，Marathon 将不会回应该请求，除非法律另有要求。

10.2 考虑到处理的性质，Marathon 将尽可能通过适当的技术和组织措施协助客户响应根据适用数据保护法行使数据主体权利的请求，包括根据 PDPA 进行访问和更正的请求。 Durin 的管理功能（例如删除成员和导出 审计 记录）支持这些响应。

10.3 考虑到处理的性质和可用信息，Marathon 将在数据保护影响评估、与监管机构的事先协商以及客户的安全和违规通知义务方面为客户提供合理的帮助。 [Durin 自助服务功能之外的协助费用分配，将在发布前由律师确认]

11. 删除和返回

11.1 在协议期限内，客户可以设置可选对话捕获的保留期限：7、90 或 180 天，或者 Enterprise 上的 360 天。过期的捕获将变得不可读，并且计划的清理会将其删除。其他客户个人数据按照附件 1 中的说明进行保留，并根据需要按照客户的指示提供 Durin。

11.2 当协议结束时，Marathon 将在[发布前由律师确认的删除和归还期限]内删除客户个人数据，或者，如果客户在此之前以书面形式选择归还数据，然后删除剩余副本，除非适用法律要求 Marathon 保留这些数据。在协议结束之前，客户可以使用 Durin 的导出功能导出 审计 记录。

11.3 备份中的客户个人数据将被删除，因为这些备份在[发布前由律师确认的备份到期期限]内到期。在此之前，Marathon 会根据本 DPA 对其进行保护，并且不会主动对其进行处理。

11.4 Marathon 依法必须保留的客户个人数据仍受本 DPA 的保护，并且仅出于法律要求的目的进行处理。根据客户的书面请求，Marathon 将以书面形式确认其根据本条款执行的删除操作。

12. 信息和审计

12.1 Marathon 将向客户提供合理必要的信息，以证明其遵守本 DPA 以及欧盟 GDPR 和英国 GDPR 第 28 条，包括 https://getdurin.com/trust/review.md 上的 Durin 安全审查以及对客户合理安全和隐私调查问卷的书面答复。

12.2 Marathon 不拥有可以替代 审计 的第三方认证或证明。如果第 12.1 条中的信息不能合理地证明合规性，或者监管机构要求这样做，则客户或非 Marathon 竞争对手的受保密约束的独立审计员可以在合理的事先书面通知下要求 审计 Marathon 遵守本 DPA。 审计 在工作时间内进行，仅限于处理客户个人数据，并且不得要求访问其他客户的数据或损害 Durin 的安全。 [审计 通知期限、频率、格式和费用分配在发布前由律师确认]

12.3 欧盟 SCC 第 8.9 条规定的审核按照本条款进行，并与欧盟 SCC 保持一致。

13. 责任

13.1 各方因本 DPA 引起或与本 DPA 有关的责任，受协议中的责任限制和免责条款约束，但适用数据保护法、EU SCCs 或 UK Addendum 不允许此类限制的范围除外，包括对数据主体的责任。[责任上限及数据保护索赔的任何例外，须由法律顾问在发布前确认]

14. 一般条款

14.1 对于客户个人数据的处理，适用以下优先顺序：欧盟 SCC 和英国附录（如果适用）；然后是这个 DPA；然后是协议的其余部分。 [订单、DPA、条款和 策略 之间的完整优先顺序需在发布前由律师确认]

14.2 本 DPA 受新加坡共和国法律管辖，新加坡法院对因本 DPA 引起或与之有关的争议拥有专属管辖权，但 EU SCCs 或 UK Addendum 要求其项下争议适用其他法律或争议解决地的情况除外。

14.3 如果适用的数据保护法发生变化，或者第 8 条中的传输机制被修改、替换或失效，双方将真诚地协商对本 DPA 进行任何必要的更改，以保持处理合法。

14.4 如果本 DPA 的任何条款无效或无法执行，则本 DPA 的其余部分仍然有效。

14.5 根据本 DPA 向 Marathon 发出的通知将发送至privacy@getdurin.com。一般和商业信函将发送至 contact@getdurin.com。给客户的通知将发送给签名栏中的隐私联系人。

附件1：处理说明

本附件描述了客户个人数据的处理，并补充了适用的欧盟 SCC 的附件 I。

数据导出器

客户，如签名块中所示。角色：控制器，或者处理器代表它自己的控制器。联系人：签名栏中的隐私联系人。活动：使用 Durin 管理 智能体 对客户连接的系统的访问。

数据导入器

Marathon Digital Pte Ltd.，一家新加坡公司（UEN 202023814G），Durin 的运营商。角色：处理器，以及根据 PDPA 的数据中介。联系方式：privacy@getdurin.com。地址：[注册地址在发布前由律师确认]。活动：根据协议向客户提供 Durin。

数据主体的类别

客户的成员、管理员和审批者；其个人数据出现在客户的用户或 智能体 通过 Durin 路由的内容中的人员，例如客户的员工、客户和联系人；以及 连接、上游帐户或设备元数据中识别的人员。

个人数据的类别

成员资格和目录数据，例如姓名、电子邮件地址、角色和团队成员资格； 治理和审计元数据，例如请求者、智能体客户端、连接、工具、资源、策略决策、审批、时间戳和执行结果；通过 Durin 路由的工具请求和结果中的个人数据；与客户上游账户关联的 连接 配置；如果管理员启用捕获，则编辑对话内容；当 审批 内存打开时，通过单向请求草图记住 审批 决策； 策略 管理员为 AI 策略 起草提交的描述（如果已打开）； 审批 详细信息已发送至客户选择的通知渠道；以及通过 Shadow MCP 发现报告的设备和 智能体 配置元数据（如果客户启用）。

敏感数据

没有一个是有意的。如果客户通过 Durin 传送特殊类别的个人数据或其他敏感个人数据，则第 4.3 条适用，并且附件 2 中的措施将对其进行保护。

频率

连续，而客户的用户和 智能体 使用 Durin。

处理的性质

对用户和 智能体 客户端进行身份验证；根据客户的 策略 和 审批 评估请求；向客户连接的系统发送允许的请求并返回其结果；记录 治理 元数据；记住 审批 决策，以便他们可以通知或决定匹配的请求；可选的人工智能辅助起草策略规则；存储配置并加密凭据；可选的对话捕获与基于模式的编辑；发送 审批 通知；根据要求导出记录；并删除数据。

目的

根据协议为客户提供、支持和保护 Durin。

持续时间和保留

在协议期限内，直至根据第 11 条删除或返回。可选对话捕获的保留期限由客户配置：7、90 或 180 天，或 Enterprise 上的 360 天。 [治理 元数据和其他类别的保留期限需在发布前由律师确认]

子处理器处理

如附件 3 所列，与上述处理具有相同的性质、目的和持续时间。

主管监督机构

对于欧盟 SCC 下的限制转让，根据欧盟 SCC 第 13 条确定的监管机构；对于英国 GDPR，信息委员会 (ICO)； PDPA（个人数据保护委员会）。 [每个客户的主管监督机构在发布前由律师确认]

附件2：技术和组织措施

Marathon 对客户个人数据采取以下措施。它们是实施的控制和管理承诺，而不是经过认证或独立保证的控制，并且它们在适用的地方完成了欧盟 SCC 的附件 II。

身份和访问检查

请求携带个人或服务身份、组织、环境和 连接。在执行之前再次检查当前的成员资格和权限。不活跃的会员资格、未经审查的工具和未经授权的资源都会被拒绝。内部服务调用使用与组织、环境、操作和到期绑定的范围功能。

策略 和 审批 控制器

默认情况下允许已审核的请求。客户管理员可以选择默认拒绝、拒绝环境中的写入或需要独立的 审批 进行写入。 审批 与请求者、连接、精确参数、资源和工具以及 策略 版本绑定；它会过期，只能使用一次，并且不能被请求者授予。

身份验证和会话

认证使用WorkOS。浏览器会话使用安全的 HttpOnly cookie，并且可以撤销，并且浏览器突变需要同源检查。客户可以连接其身份提供商以进行单点登录和目录同步（如果其计划包含这些内容）。多重身份验证的实施取决于客户的身份提供商和帐户设置。

加密

Durin 网站、应用程序和网关端点通过 HTTPS 提供服务。选定的 连接 和导出目标 凭据 在应用层使用 AES-256-GCM 和经过身份验证的上下文进行加密，并支持轮换密钥环。

数据最小化

对话捕获默认仅捕获元数据，并在持久化之前丢弃提交的消息内容。管理员可以在 Enterprise 上启用 7、90、180 天或 360 天的编辑捕获；过期的捕获将变得不可读，并且计划的清理会将其删除。编辑是基于模式的，并不能完全防止数据丢失。错误诊断过滤请求字段、标头和用户信息。

记录和 审计

在执行受控请求之前记录所需的 审计 意图。 策略 决策、审批 和执行结果分别记录，包括仍不确定的结果。导出重新检查请求者的访问权限并包含每个部分的 SHA-256 校验和；校验和不能使记录防篡改。

分离

客户数据在逻辑上按组织和环境分开，每个受管请求均根据请求组织、环境和当前成员身份进行授权。 Enterprise 协议中包含租户隔离。

安全开发

在版本控制中跟踪更改，并通过自动格式化、lint、类型、合同和测试套件进行检查。持续集成定义了依赖性审计、秘密扫描、许可证审查和软件物料清单生成。

人员

根据第 5 条中的保密义务，生产系统和客户个人数据的访问权限仅限于需要这些数据来操作、支持或保护 Durin 的 Marathon 人员。

事件响应

Marathon 维护针对身份泄露、上游同意撤销、密钥轮换和协调不确定写入的记录程序，并根据第 9 条处理安全事件。

可用性和恢复

正常运行时间、支持和恢复承诺仅适用于协议包含的情况。 [备份、恢复测试和恢复目标在发布前由律师确认]

保证

未声明 SOC 2 认证、ISO 认证或独立渗透测试结果。 Marathon 致力于履行适用的 PDPA 和 GDPR 义务，并使其安全计划与 ISO/IEC 27001 原则保持一致；这些是管理承诺，而不是认证。

附件 3：子处理者

客户根据第 7 条授权以下子处理者。根据第 7.2 条通知变更，当前时间表发布在 https://getdurin.com/subprocessors.

签名

各方在下方签字表示同意本 DPA，包括其附件。双方签字后生效。