資料處理協議 (DPA)
Effective date:
本資料處理附錄 (DPA) 依據歐盟第 2016/679 號條例 (GDPR) 第 28 條訂立，是您與 PDFLean 之間協議的資料保護附錄：您作為資料控制者，決定處理的目的與方式；PDFLean 作為資料處理者，僅依據您的文件化指示執行雲端處理，且絕不將客戶資料用於自身的行銷、輪廓分析或模型訓練。使用瀏覽器本機 WASM 工具時，檔案不會離開您的裝置，亦不產生本 DPA 所指的處理委託。
1. 範圍與協議優先順序
本 DPA 適用於透過 PDFLean 雲端運算服務處理，由客戶提交或代表客戶產生的個人資料。在 WebAssembly 中於使用者端運作且不將檔案傳輸至 PDFLean 基礎設施的瀏覽器本機工具，不屬於處理委託的範圍。若本 DPA 與一般服務條款之間發生任何衝突，在隱私權和資料保護方面應以本 DPA 為準。
2. 控制者與處理者角色
就適用的資料保護法而言，客戶擔任資料控制者，而 PDFLean 擔任資料處理者。PDFLean 僅根據文件化的控制者指示（透過合併、分割、OCR 或轉換等互動式網頁命令發起）處理客戶文件，絕不基於自身行銷、分析或機器學習訓練之目的處理個人資料。
3. 法定處理者義務
PDFLean 承諾遵守 GDPR 第 28 條下的下列法律義務：
- 文件化指示與資料最小化：完全依照客戶指示處理資料，僅在完成處理所需的技術生命週期內保留暫存文件（於完成或到期時自動清除）；若指示疑似違反適用資料保護法規，將通知客戶。
- 人員保密： 確保所有獲授權處理基礎設施或客戶支援工單的人員皆受嚴格的合約保密義務約束。
- 事件通知： 發生經確認的個人資料安全事件時，在 72 小時內通知受影響的控制者，並提供全面的技術風險評估。
- 協助與資料當事人權利： 協助控制者履行其義務，以回應行使法定權利（存取、刪除、更正）的資料當事人。
4. 授權的基礎設施次級處理者
次級處理者認證為各提供者（例如 Cloudflare、Stripe）公開揭露之認證。PDFLean 本身不宣稱擁有 SOC 2 / ISO 27001 認證：
| 次級處理者 | 服務功能 | 位置 | 合規標準 |
|---|---|---|---|
| Cloudflare, Inc. | 邊緣運算、DDoS 防禦與 R2 加密儲存 | 歐盟與美國邊緣節點 | SOC 2 Type II, ISO 27001 |
| Stripe, Inc. | 支付閘道與合規的 VAT 發票開立 | 全球 Tier 1 樞紐 | PCI-DSS Level 1 |
| Resend, Inc. | 交易系統電子郵件遞送 | 美國 / 歐盟管道 | SOC 2 Type II |
| DeepSeek | 選用的人工智慧摘要 / 翻譯（僅限伺服器端代理） | 中國（大陸）— 跨境傳輸 | 模型權重 MIT；僅在要求人工智慧功能時呼叫；根據 SCCs / 您的指示進行傳輸 |
5. 技術與組織措施 (TOMs)
我們部署縱深防禦措施：傳輸中採用 TLS 1.3 加密；靜態資料採用 AES-256 加密；不永久儲存客戶文件（到期自動清除）；並實施最小權限存取控制。
6. DPA 簽署與法律聯絡人
需要正式副署並附標準合約條款 (SCCs) 之 DPA 的企業與法務團隊，可透過我們的法律合規服務台索取簽署套件：support@pdflean.com；我們的法務團隊將於一個工作天內提供簽署套件。