数据处理附录

适用范围与各方责任

附录须列明 NEXUSCORTEX LLC 与企业客户的完整名称、联系方式，以及各自负责的数据处理活动。谁决定个人信息的用途和处理方式、谁按指示处理，应根据实际活动确定，不因是否签署本页所述附录而免除法定义务。

Invokora 对自行决定用途的账号、身份验证、交易、计税、防欺诈、安全、审计和经同意的网站分析负责。按企业客户指示处理其控制的个人信息时，双方通过附录约定相应责任。商家仍对自己服务器收到的 API 请求承担适用的数据保护责任。

处理哪些数据、用于什么目的

附录须说明信息涉及哪些人、包含哪些数据、是否含敏感信息，以及处理目的、方式、频率、期限和地点。

我们仅按合法的书面指示处理客户控制的个人信息，包括相关跨境传输。法律另有要求时，除非法律禁止告知，我们会在处理前通知客户。发现指示可能违法时，会告知客户。我们不会将这些信息用于营销画像、模型训练或与服务无关的产品开发。

保密与安全

接触个人信息的人员须承担保密义务。安全附件应根据实际服务，列明访问控制、身份验证、传输和存储加密、密钥管理、数据隔离、日志保护、漏洞处理、文件扫描、备份恢复和事件响应等措施。

附件还须说明适用范围、执行证据、服务商审查要求，以及发现缺口后的整改安排。双方应在签署前核实具体措施及其执行情况。

参与处理的服务商

代表客户处理个人信息的其他服务商称为“分包处理者”。附录须列明这些服务商、服务内容、处理地点、涉及数据和跨境保障措施。

使用分包处理者须事先取得客户的专项或一般书面授权。新增或更换时，按约定提前通知，并提供提出异议和讨论替代方案的机会。我们须通过合同要求其承担相应的数据保护义务，并按适用法律和附录对其履行情况负责。

隐私请求与协助

我们会按适用法律和附录协助处理查阅、更正、删除、获取副本、限制处理、反对处理及数据转移请求。对于由客户决定用途的数据，客户负责确认请求人身份、判断请求依据和回复内容；我们对自行决定用途的数据承担自己的责任。

在线申请目前需要身份验证和人工审核，不能自动完成数据副本或账号删除。只有核实相关导出、更正或删除，以及必要的账号和订阅处理已完成后，才会将申请标记为完成。

附录须约定协助方式、响应时间和可能的费用，并涵盖数据保护影响评估及必要的监管咨询。这些约定不能免除双方的法定义务。

保存、返还与删除

API 网关不保存查询参数、请求和响应的头部及正文。调用记录最多保留 30 天，用量汇总和财务记录按适用期限保留。询价和服务文件按隐私政策所述的订单期限保留。

服务结束后，按客户选择和附录约定的期限，返还或删除代其处理的个人信息，并处理现有副本。附录应明确备份副本的删除安排，以及依法必须保留的记录、理由和期限。

法律要求保留的付款、税务、合同、安全或争议记录，不会随合同结束自动删除。相关保留要求只适用于受影响的数据，不影响其他数据的正常删除。

安全事件通知

知悉涉及客户个人信息的泄露或其他安全事件后，我们会按适用法律和附录的时限及时通知客户，不会等调查全部完成后才通知。通知会先说明已知的影响范围、已采取的措施和联系人，后续补充调查结果及补救情况。

附录须明确通知渠道、双方的响应责任，以及向监管机构和受影响人员通知时所需的协助。

审计与跨境传输

我们须按适用法律和附录提供必要资料，配合客户或其指定审计方核查数据处理情况。审计范围、频率、保密要求、远程材料和现场检查安排在附录中约定。

涉及跨境传输时，附录须明确接收方、处理地点和适用的保障措施，例如充分性决定或标准合同条款，并在需要时完成传输影响评估。

签署前，双方还须确定适用法律、责任与赔偿、文件冲突时的适用顺序，以及安全附件和分包处理者清单。具体权利义务以签署的附录和适用法律为准。