數據處理附錄。

1. 定義和解釋

1.1 「協議」指 Marathon 向客戶提供 Durin 所依據的協議，包括任何訂單或 Enterprise 協議，以及在沒有簽署協議的情況下，位於 https://getdurin.com/terms. 的公共條款

1.2 「適用資料保護法」指適用於依協議處理客戶個人資料的資料保護法律，包括在適用情況下新加坡《2012 年個人資料保護法》及其法規（「PDPA」）、第 (EU) 2016/679 號條例（「EU GDPR」），以及構成英國法律一部分的 EU GDPR（「UK GDPR」）與《2018 年資料保護法》。[是否涵蓋其他資料保護法律（例如瑞士《聯邦資料保護法》），須由法律顧問於發布前確認]

1.3 「客戶個人資料」指 Marathon 代表客戶處理以根據協議提供 Durin 的個人資料（如附件 1 所述）。它不包括 Marathon 作為控制者或組織出於自身目的而處理的個人資料（如 https://getdurin.com/privacy. 隱私權聲明中所述）

1.4 「限制傳輸」指受 PDPA 第 26 條、歐盟 GDPR 第五章或英國 GDPR 第五章約束的客戶個人資料的傳輸。

1.5 「安全事件」是指 EU GDPR 或 UK GDPR 規定的個人資料洩露，或 PDPA 規定的資料洩露，影響 Marathon 或其分處理商擁有或控制的客戶個人資料。

1.6 「子處理者」指 Marathon 委託代表其處理客戶個人資料並提供 Durin 的第三方。第 7.6 條所述的客戶所選擇的服務不是子處理者。

1.7 「歐盟 SCC」指 2021 年 6 月 4 日委員會實施決定 (EU) 2021/914 所附的 Standard 合約條款。 「英國附錄」指英國資訊專員依據 2018 年資料保護法 B1.0 版（修訂版）第 119A(1) 條發布的歐盟委員會 Standard 合約條款的國際資料傳輸附錄或更換。

1.8 「控制者」、「處理者」、「資料主體」、「個人資料外洩」和「處理」具有 EU GDPR 或 UK GDPR 中給出的含義，「組織」、「資料中介」、「個人資料」和「資料外洩」具有 PDPA 中給出的含義，在每種處理情況下均適用於相關情況。 「包括」指包括但不限於。

2. 範圍和作用

2.1 本 DPA 構成協議的一部分，適用於客戶個人資料的處理。該協議在雙方簽署後生效，並在 Marathon 處理客戶個人資料期間持續有效，包括在協議結束後直至第 11 條完成。

2.2 客戶是 EU GDPR 或 UK GDPR 規定的控制者，以及 PDPA 規定的組織，對於客戶個人數據，或代表其他控制者處理該數據。 Marathon 是客戶的處理者，並且根據 PDPA，是其資料中介。如果客戶作為處理者，則客戶確認其指示和 Marathon 的預約已獲得相關控制者的授權。

2.3 附件 1 描述了處理的主題、性質、目的和持續時間、客戶個人資料的類型以及資料主體的類別。

2.4 Marathon 作為控制者或組織根據其隱私權聲明處理個人數據，用於其自身目的，例如帳戶管理、計費、支援、安全、詐欺預防、產品分析和法律合規性。該處理不在本 DPA 範圍內。 [Marathon 獨立處理服務資料的範圍在發布前需由律師確認]

3. 使用說明

3.1 Marathon 僅根據客戶的書面指示處理客戶個人數據，包括有關限制傳輸的指示，除非適用法律另有要求。在這種情況下，Marathon 將在處理之前告知客戶法律要求，除非該法律出於公共利益的重要原因禁止這樣做。

3.2 客戶的書面指示是本 DPA 和協定；客戶對 Durin 的配置和使用，包括其成員、角色、智能體 用戶端、連線、政策、核准 設定、對話捕獲模式和保留期限、任何通知管道和任何通知

3.3 如果 Marathon 認為某項指令違反了適用的資料保護法，它將立即通知客戶。這並不要求 Marathon 向客戶提供法律建議。

4. 客戶責任

4.1 客戶對其指示以及導致 Durin 處理的客戶個人資料的合法性負責，包括發出任何所需的通知、獲得任何所需的同意，以及為該處理提供合法依據或適用的例外情況。

4.2 客戶決定其使用者連接到 Durin 的系統、智能體 用戶端和模型提供者。 Durin 的控制適用於透過 Durin 路由的請求。 智能體 用戶端可以將傳回的工具結果傳送給其模型提供者，其條款單獨適用。

4.3 Durin 並非旨在對特殊類別的個人資料或其他敏感個人資料應用額外的保護措施。客戶決定是否透過 Durin 路由此類數據，並相應地配置其 連線、政策 和會話擷取。 [對特殊類別或其他敏感資料的任何限制需在發布前由律師確認]

4.4 客戶負責保護其帳戶、憑證、智能體 用戶端、設備和連接系統，並配置 Durin 的控制（例如 政策、核准 要求和身分提供者設定），以適應其風險。

5. 保密性

5.1 Marathon 確保其授權處理客戶個人資料的人員受到適當的保密義務的約束，並且僅在提供、支援或保護 Durin 或遵守法律所需時存取客戶個人資料。

6. 安全

6.1 Marathon 實施附件 2 的技術和組織措施，同時考慮現有技術、實施成本、處理的性質、範圍、背景和目的以及個人面臨的風險。 Marathon 做出合理的安全安排，以保護其擁有或控制下的客戶個人數據，正如 PDPA 對數據中介的要求。

6.2 Marathon 可能會將附件 2 中的措施更新為 Durin，且其威脅會發生變化，前提是更新不會實質降低對客戶個人資料的整體保護。

6.3 附件 2 描述了實施的控制和管理承諾。 Marathon 不持有 SOC 2 認證、ISO/IEC 27001 認證或獨立滲透測試結果，也不代表附件 2 的措施經過認證或獨立保證。

7. 分处理者

7.1 客戶向 Marathon 授予聘請分處理商的一般書面授權。附件 3 列出了本 DPA 簽署之日的分處理者。目前子處理器計劃發佈於 https://getdurin.com/subprocessors.

7.2 在新的子處理者處理客戶個人資料之前，Marathon 將至少 [發布前由律師確認的子處理者通知期限]、透過向簽名欄中的隱私聯絡人發送電子郵件以及更新子處理者時間表來通知客戶任何打算添加或更換的子處理者。

7.3 客戶可以在通知期內發送電子郵件至privacy@getdurin.com，以合理的資料保護理由反對更改。雙方將真誠地討論異議。如果無法解決，客戶可以在變更生效之前透過書面通知終止協議的受影響部分。 [針對未解決的異議的補救措施，包括任何預付費用的退款，將在發布前由律師確認]

7.4 Marathon 與每個子處理者簽訂書面合同，規定資料保護義務在適用於子處理者提供的服務的範圍內不低於本 DPA 的保護性。 Marathon 仍根據適用資料保護法的要求，對客戶履行其分處理者的義務負責。

7.5 根據要求，Marathon 將提供有關適用於分處理方的資料保護條款的資訊。 Marathon 可能會編輯機密商業資訊。

7.6 客戶選擇或連接的服務不是子處理者，包括客戶連接至 durin 的系統、客戶的 Slack 工作區與其他通知管道、Langfuse 等匯出目的地、客戶為治理證據而連接的 Vanta 帳戶、使用客戶自有 API 金鑰的 TypeSafe AI，以及智能體用戶端及其模型提供者。Marathon 依客戶指示向這些服務傳輸客戶個人資料，相關處理適用這些服務自身的條款。

8. 國際轉帳

8.1 馬拉鬆比賽在新加坡創辦。 Marathon 及其分處理者可以在新加坡以及附件 3 中為每個分處理者列出的國家和地區處理客戶個人資料。除非協議明確包含居住承諾，否則 Marathon 不承諾在特定地區處理客戶個人資料。

8.2 如果 Marathon 或分處理商將受 PDPA 約束的客戶個人資料傳輸到新加坡以外的國家或地區，Marathon 將確保接收者受到《2021 年個人資料保護條例》要求的法律可執行義務的約束，為傳輸的個人資料提供至少與 PDPA 下的保護相當的 Standard 保護。如果這些義務是合約義務，則合約會指定個人資料可能傳輸到的國家和地區。 Marathon 將向客戶提供其合理需要的信息，以履行 PDPA 第 26 條規定的自身義務。 [PDPA 轉讓的合約文書，例如東協示範合約條款，在發布前由律師確認]

8.3 如果客戶向 Marathon 傳輸的客戶個人資料屬於 EU GDPR 第 V 章規定的限制傳輸，且未包含在充分性決定或其他傳輸機制中，則歐盟 SCC 將按如下方式納入本 DPA：模組二適用於客戶是控制者的情況，模組三適用於客戶是處理者的情況，其中客戶作為資料匯入第 279 條；條中的通知期；第 11 條中的可選措辭不適用；歐盟 SCC 的附件一和附件二與本 DPA 的附件 1 和附件 2 一起完善；第 9 條授權的分處理商是附件 3 中列出的那些，並根據第 7 條進行更新。 [歐盟 SCC 第 7、13、17 和 18 條的選擇，以及向其加工受第 3(2) 條規定的 EU GDPR 約束的進口商的轉移機制，將在發布前由律師確認]

8.4 如果轉讓屬於英國 GDPR 第 5 章規定的限制性轉讓，且不受根據英國 GDPR 第 45A 條批准轉讓的法規或其他轉讓機制的約束，則適用經英國附錄修訂的歐盟 SCC，並且英國附錄的表 1 至表 3 均使用本 DPA 及其附件中的信息完成。如果沒有英國附錄，則不依賴歐盟 SCC 進行這些轉移。 [表 4 的選擇以及使用英國國際資料傳輸協議而不是英國附錄的情況，須在發布前由律師確認]

8.5 在子處理者以限制傳輸的方式處理客戶個人資料之前，Marathon 將實施適用法律認可的傳輸機制，例如歐盟 SCC 模組三以及英國附錄（如有需要）、充分性決定或其他公認的框架，或者對於 PDPA，具有法律強制執行義務以及法律要求的任何補充措施。附件 3 確定了每個子處理者使用的機制。

8.6 除非法律禁止，否則，如果 Marathon 收到公共機構提出的具有法律約束力的要求披露客戶個人資料的請求，Marathon 將通知客戶，評估該請求的合法性，並僅披露該請求所需的最少客戶個人資料。 Marathon 將向客戶提供合理訊息，以支持其對適用於限制轉移的法律和慣例的評估。

8.7 如果本 DPA 或協議與歐盟 SCC 或英國附錄發生衝突，則在衝突範圍內以歐盟 SCC 或英國附錄為準。

九、安全事件

9.1 如果 Marathon 作為 EU GDPR 或 UK GDPR 規定的客戶處理者，Marathon 將在發現安全事件後立即通知客戶，不得無故拖延。如果 Marathon 根據 PDPA 充當客戶的資料中介，一旦有理由相信發生了影響客戶個人資料的資料洩露，Marathon 將立即通知客戶，不得無故拖延。

9.2 [發布前由律師確認的客戶通知期限] 的任何合約通知目標均不會推遲第 9.1 條中的任何一項義務。 [與隱私權聲明的一致性、了解的定義以及在發布前由律師確認的通知內容]

9.3 該通知將在當時已知的範圍內描述安全事件的性質，包括相關資料主體和記錄的類別和大致數量；其可能的後果；為解決該問題並減輕其影響而採取或提議的措施；以及獲取更多資訊的聯絡資訊。 Marathon 可能會在可用時分階段提供此資訊。

9.4 Marathon 將採取合理措施控制、調查和補救安全事件，並向客戶提供合理協助，以履行其通知監管機構、個人資料保護委員會和受影響個人的義務。客戶決定是否發出這些通知。除非法律要求，否則 Marathon 不會就沒有客戶 核准 的安全事件通知客戶的監管機構或受影響的個人。

9.5 不影響客戶個人資料安全的不成功嘗試和活動（例如 ping、連接埠掃描、拒絕請求和失敗的登入嘗試）不屬於安全事件。通知安全事件並不表示承認過失或責任。

10. 協助

10.1 如果 Marathon 收到資料主體關於客戶個人資料的請求，並且可以確定該請求與客戶相關，Marathon 將立即將其轉發給客戶。除了將資料提交給客戶外，Marathon 將不會回應該請求，除非法律另有要求。

10.2 考慮到處理的性質，Marathon 將盡可能透過適當的技術和組織措施協助客戶回應根據適用資料保護法行使資料主體權利的請求，包括根據 PDPA 進行存取和更正的請求。 Durin 的管理功能（例如刪除成員和匯出 稽核 記錄）支援這些回應。

10.3 考慮到處理的性質和可用信息，Marathon 將在資料保護影響評估、與監管機構的事先協商以及客戶的安全和違規通知義務方面為客戶提供合理的幫助。 [超出 Durin 自助服務功能的援助費用分配將在發布前由律師確認]

11. 刪除和返回

11.1 在協議期限內，客戶設定可選對話捕獲的保留期：7、90 或 180 天，或 Enterprise 上的 360 天。過期的捕獲將變得不可讀，並且計劃的清理會將其刪除。其他客戶個人資料按照附件 1 中的說明進行保留，並根據需要根據客戶的指示提供 Durin。

11.2 當協議結束時，Marathon 將在[發布前由律師確認的刪除和歸還期限]內刪除客戶個人數據，或者，如果客戶在此之前以書面形式選擇歸還數據，然後刪除剩餘副本，除非適用法律要求 Marathon 保留這些數據。在協議結束之前，客戶可以使用 Durin 的匯出功能匯出 稽核 記錄。

11.3 備份中的客戶個人資料將被刪除，因為這些備份在[發布前由律師確認的備份到期期限]內到期。在此之前，Marathon 會根據本 DPA 對其進行保護，並且不會主動對其進行處理。

11.4 Marathon 依法必須保留的客戶個人資料仍受本 DPA 的保護，並且僅出於法律要求的目的進行處理。根據客戶的書面請求，Marathon 將以書面確認其根據本條款執行的刪除操作。

12. 資訊和審計

12.1 Marathon 將向客戶提供證明遵守本 DPA 以及歐盟 GDPR 和英國 GDPR 第 28 條的合理必要信息，包括 https://getdurin.com/trust/review.md 的 Durin 安全審查以及對客戶合理安全和隱私調查問卷的書面答复。

12.2 Marathon 不擁有可以取代 稽核 的第三方認證或證明。如果第 12.1 條中的信息未能合理地證明合規性，或者監管機構要求這樣做，則客戶或非 Marathon 競爭對手的受保密約束的獨立審計員可以在合理的事先書面通知下，要求 稽核 Marathon 遵守本 DPA。 稽核 在工作時間內進行，僅限於處理客戶個人數據，且不得要求存取其他客戶的資料或損害 Durin 的安全性。 [稽核 通知期限、頻率、格式和費用分配需在發布前由律師確認]

12.3 歐盟 SCC 第 8.9 條規定的審查依本條款進行，並與歐盟 SCC 保持一致。

13. 責任

13.1 各方因本 DPA 引起或與本 DPA 有關的責任，受協議中的責任限制與免責條款約束，但適用資料保護法、EU SCCs 或 UK Addendum 不允許此類限制的範圍除外，包括對資料當事人的責任。[責任上限及資料保護請求的任何例外，須由法律顧問於發布前確認]

14. 一般條款

14.1 對於客戶個人資料的處理，適用以下優先順序：歐盟 SCC 和英國附錄（如果適用）；然後是這個 DPA；然後是協議的其餘部分。 [訂單、DPA、條款和 政策 之間的完整優先順序需在發布前由律師確認]

14.2 本 DPA 受新加坡共和國法律管轄，新加坡法院對因本 DPA 引起或與之有關的爭議擁有專屬管轄權，但 EU SCCs 或 UK Addendum 要求其項下爭議適用其他法律或爭議解決地的情況除外。

14.3 如果適用的資料保護法發生變化，或第 8 條中的傳輸機制被修改、替換或失效，雙方將真誠地協商對本 DPA 進行任何必要的更改，以保持處理合法。

14.4 如果本 DPA 的任何條款無效或無法執行，則本 DPA 的其餘部分仍然有效。

14.5 根據本 DPA 向 Marathon 發出的通知將發送至privacy@getdurin.com。一般和商業信函將發送至 contact@getdurin.com。給客戶的通知將發送給簽名欄中的隱私聯絡人。

附件1：處理說明

本附件描述了客戶個人資料的處理，並補充了適用的歐盟 SCC 的附件 I。

數據導出器

客戶，如簽名區塊所示。角色：控制器，或處理器代表它自己的控制器。聯絡人：簽名欄中的隱私聯絡人。活動：使用 Durin 來管理 智能體 對客戶連接的系統的存取。

數據導入器

Marathon Digital Pte Ltd.，一家新加坡公司（UEN 202023814G），Durin 的營運商。角色：處理器，以及根據 PDPA 的資料中介。聯絡方式：privacy@getdurin.com。地址：[註冊地址在發布前由律師確認]。活動：根據協議向客戶提供 Durin。

資料主體的類別

客戶的成員、管理員和審核者；其個人資料出現在客戶的使用者或 智能體 透過 Durin 路由的內容中的人員，例如客戶的員工、客戶和聯絡人；以及在 連線、上游帳戶或設備元資料中識別的人員。

個人資料的類別

成員資格和目錄數據，例如姓名、電子郵件地址、角色和團隊成員資格； 治理和稽核元數據，例如請求者、智能體客戶端、連線、工具、資源、政策決策、核准、時間戳記和執行結果； 透過 Durin 路由的工具請求和結果中的個人資料； 連線 與客戶上游帳戶關聯的配置； 如果管理員啟用捕獲，則編輯對話內容； 當 核准 記憶體開啟時，核准 決策透過單向請求草圖記住； 政策 管理員為 AI 政策 起草提交的描述（如果已開啟）； 核准 詳細資料已發送至客戶選擇的通知管道； 以及透過 Shadow MCP 發現報告的裝置和 智能體 設定元資料（如果客戶啟用）。

敏感數據

沒有一個是有意的。如果客戶透過 Durin 傳送特殊類別的個人資料或其他敏感個人數據，則第 4.3 條適用，且附件 2 中的措施將對其進行保護。

頻率

連續，而客戶的使用者和 智能體 使用 Durin。

處理的性質

對使用者和智能體客戶端進行身份驗證； 根據客戶的 政策 和 核准 評估請求； 向客戶連接的系統發送允許的請求並返回其結果； 記錄治理元資料； 記住 核准 決策，以便他們可以通知或決定匹配的請求； 可選的 AI 輔助起草 政策 規則； 儲存配置和加密憑證； 可選的對話捕獲與基於模式的編輯； 發送 核准 通知； 根據要求匯出記錄； 並刪除資料。

目的

根據協議為客戶提供、支援和保護 Durin。

持續時間和保留

在協議期限內，直至根據第 11 條刪除或返回。選用對話擷取的保留期限為客戶配置的期限：7、90 或 180 天，或 Enterprise 上的 360 天。 [治理 元資料及其他類別的保留期限需在發布前由律師確認]

子處理器處理

如附件 3 所列，與上述處理具有相同的性質、目的和持續時間。

主管監督機構

對於歐盟 SCC 下的限制轉讓，根據歐盟 SCC 第 13 條確定的監管機構；對於英國 GDPR，資訊委員會 (ICO)； PDPA（個人資料保護委員會）。 [每位客戶的主管監督機構在發布前由律師確認]

附件2：技術與組織措施

Marathon 對客戶個人資料採取以下措施。它們是實施的控制和管理承諾，而不是經過認證或獨立保證的控制，並且它們在適用的地方完成了歐盟 SCC 的附件 II。

身份和訪問檢查

請求攜帶個人或服務身分、組織、環境和 連線。在執行之前再次檢查目前的成員資格和權限。不活躍的會員資格、未經審查的工具和未經授權的資源都會被拒絕。內部服務呼叫使用與組織、環境、操作和到期綁定的範圍功能。

政策 和 核准 控制

預設允許已審核的請求。客戶管理員可以選擇預設拒絕、拒絕環境中的寫入或要求獨立的 核准 進行寫入。 核准 綁定到請求者、連線、精確參數、資源和工具以及 政策 版本；它會過期，只能使用一次，並且不能被請求者授予。

身份驗證和會話

身份驗證使用 WorkOS。瀏覽器會話使用安全的 HttpOnly cookie，並且可以撤銷，瀏覽器突變需要同源檢查。客戶可以連接其身分提供者以進行單一登入和目錄同步（如果其計劃包含這些內容）。多重身份驗證的實施取決於客戶的身份提供者和帳戶設定。

加密

Durin 網站、應用程式和網關端點透過 HTTPS 提供服務。選定的 連線 和匯出目標 憑證 在應用層使用 AES-256-GCM 和經過驗證的上下文進行加密，並支援輪換金鑰環。

數據最小化

對話捕獲預設僅捕獲元數據，並在持久化之前丟棄提交的訊息內容。管理員可以在 Enterprise 上啟用 7、90 或 180 天或 360 天的編輯捕獲；過期的捕獲將變得不可讀，並且計劃的清理會將其刪除。編輯是基於模式的，並不能完全防止資料遺失。錯誤診斷過濾請求欄位、標頭和使用者資訊。

日誌記錄和 稽核

在執行受控請求之前記錄所需的 稽核 意圖。 政策 決策、核准 和執行結果分別記錄，包括仍不確定的結果。匯出重新檢查請求者的存取權限並包含每個部分的 SHA-256 校驗和；校驗和不能使記錄防篡改。

分離

客戶資料在邏輯上按組織和環境分開，每個受管請求均根據請求組織、環境和當前成員身份進行授權。租戶隔離包含在 Enterprise 協定中。

安全開發

在版本控制中追蹤更改，並透過自動格式化、lint、類型、合約和測試套件進行檢查。持續整合定義了依賴性稽核、秘密掃描、許可證審查和軟體物料清單產生。

人員

根據第 5 條中的保密義務，生產系統和客戶個人資料的存取權限僅限於需要這些資料來操作、支援或保護 Durin 的 Marathon 人員。

事件回應

Marathon 維護針對身分洩露、上游同意撤銷、金鑰輪調和協調不確定寫入的記錄程序，並根據第 9 條處理安全事件。

可用性和恢復

正常運作時間、支援和恢復承諾僅適用於協議包含的情況。 [備份、復原測試和復原目標在發布前由律師確認]

保證

未聲明 SOC 2 認證、ISO 認證或獨立滲透測試結果。 Marathon 致力於履行適用的 PDPA 和 GDPR 義務，並使其安全計劃與 ISO/IEC 27001 原則保持一致；這些是管理承諾，而不是認證。

附件 3：子處理者

客戶依第 7 條授權下列子處理者。根據第 7.2 條通知變更，並在 https://getdurin.com/subprocessors. 發布當前時間表

簽名

各方在下方簽字表示同意本 DPA，包括其附件。雙方簽字後生效。