数据处理协议 (DPA)

1. 各方与角色

根据本 DPA，旅游公司（客户）为数据控制者；其决定处理其导游及旅游参与者个人数据的目的和方式。

First Point (Your Next Tours) 为数据处理者；其仅代表数据控制者并按照数据控制者的指示处理个人数据。

处理者联系方式：[email protected]。法定名称、地址及注册登记信息将在按客户逐一签署的附件中予以完善。

2. 标的、期限、性质与目的

标的：提供 Your Next Tours 服务所需的个人数据处理（与旅游期间基于手机的离线音频广播相关的账户、配置、会话及评价功能）。

期限：处理在主服务协议存续期间持续进行，并在其到期或依第 9 节终止时结束。

性质与目的：数据通过自动化方式处理，以创建和管理账户、存储旅游模板及 WiFi/钱包配置、进行旅游前签到、存储并报告会话与评分数据，以及提供支持。

3. 数据主体与个人数据类别

数据主体类别：控制者的导游/员工和旅游参与者。

账户数据：电子邮件地址、显示名称、组织（公司）名称、语言偏好和个人资料图片（头像）。

使用数据：旅游会话及时长、参与者数量、评分分数和评论，以及参与者显示名称。

配置数据：加密钱包地址（网络和地址）、WiFi 配置详情（SSID 和密码）以及旅游模板。

支持数据和旅游前签到数据：输入的参与者姓名、手机型号、耳机/充电宝状态以及自由文本备注。

不打算处理任何特殊类别（敏感）数据；控制者承诺不将此类数据录入服务。

4. 控制者义务

控制者保证其对数据主体个人数据的指示和处理均合法，已提供所需的通知，并在必要时获得同意。

控制者对其向处理者提供的书面指示以及其上传至服务的数据的准确性和合法性负责。

5. 处理者义务和书面指示

处理者仅根据控制者的书面指示处理个人数据，该指示由本 DPA 和主协议构成。如果处理者认为某项指示违法，将通知控制者。

其确保有权访问数据的人员受保密义务（合同或法定）约束，并仅在需要知悉的基础上授予访问权限。

处理者不会将个人数据用于自身目的、出售该数据，或在提供服务之外与第三方共享。

6. 安全措施（GDPR 第 32 条）

处理者实施与风险相适应的技术和组织措施。总体而言，这些措施包括：传输中和静态存储时的适当加密/保护、访问控制和最小权限、身份验证、日志记录/监控、备份以及定期审查。

音频广播在旅游期间通过便携式本地WiFi网络运行，不经过互联网；这种实时通信不经过云后端。实时翻译是唯一的可选例外：当导游明确启用并确认同意弹窗时，导游自己的声音（而不是参与者的麦克风）会被流传输到我们的后端和Google Gemini进行实时翻译，不会存储在我们的服务器上。这种架构在旅游期间最小化了参与者数据的传输。

本文件未声明任何特定认证（例如 ISO 27001）；详细信息和当前已实施控制措施的清单可在针对各客户的安全附件中说明。

7. 次级处理者

控制者授予处理者一般授权，以聘用次级处理者（例如托管和基础设施提供商）来提供服务。

当前的次级处理者清单会提供给客户（附件）。处理者以书面形式使每个次级处理者受与本 DPA 中同等的数据保护义务约束，并对次级处理者的行为承担责任。

处理者将在添加或更换次级处理者之前通知控制者，并给予控制者合理的时间提出异议。

8. 数据主体权利、违规通知和协助

处理者在合理范围内并通过适当的技术/组织措施，协助控制者响应数据主体行使其权利（访问、更正、删除、反对、可携带性）的请求。

处理者在意识到个人数据泄露后将立即通知控制者，并提供控制者履行其法定通知义务所需的信息。

处理者合理协助控制者履行 GDPR 第 32-36 条规定的义务（安全、违规通知和数据保护影响评估）。

9. 数据的删除或返还

在处理活动结束后，处理者将根据控制者的选择，在合理期限内删除或返还个人数据并销毁现有副本，除非适用法律要求保留。

控制者也可在服务期内通过面板删除账户和部分数据。

10. 审计

处理者在合理范围内向控制者提供证明遵守本 DPA 义务所需的信息。

控制者可在合理通知的情况下于营业时间请求审计/检查，但须遵守保密和安全限制，并且不得不当地扰乱服务。具体事项可按客户约定。

11. 国际传输

在个人数据传输至土耳其或欧洲经济区之外时，将采用 KVKK 和 GDPR 规定的有效传输机制和适当保障措施（例如标准合同条款）。

数据传输所至的国家和所采用的保障措施在相关的次级处理者附件中说明。