隐私政策

1. 数据处理负责人及联系方式

当 MARA LABS 以此身份行事时，本政策所述个人数据处理的数据控制者为以下公司。

如何联系我们

如您对本政策、行使您的权利，或更广泛地说，对您个人数据的处理有任何疑问，您可以通过邮寄信件联系 MARA LABS，寄送至其注册办公地址：

MARA LABS — 数据保护 — 41 rue Jacquemars Giélée, 59800 Lille, France.

联系电子邮箱。截至本《政策》发布之日，MARA LABS 尚未启用专用联系电子邮箱。专用联系电子邮箱将在域名开通后立即启用并在此公布。在此之前，任何与个人数据相关的请求，唯一联系方式仍为邮寄至公司注册地址的信函。

数据保护专员

鉴于其数据处理活动的性质、范围和目的，MARA LABS 未指定数据保护专员（DPO），因为根据 RGPD 第 37 条，该项指定并非强制性要求。任何与数据保护相关问题的唯一联系方式，仍按上文所述为邮寄至公司注册地址的信函。

2. 定义

为便于理解本政策，以下以首字母大写形式使用的术语具有下列含义。源自 RGPD 的定义沿用其第 4 条的规定。

RGPD 第 4 条术语定义

• 个人数据：与已识别或可识别的自然人有关的任何信息，无论是直接还是间接识别，特别是通过诸如姓名、身份证明号码、位置数据、在线标识符等标识符，或通过该自然人身份所特有的一个或多个要素进行识别。
• 处理：指对个人数据实施的任何操作或系列操作，例如收集、记录、整理、保存、查询、使用、披露、删除或销毁。
• 数据控制者：决定数据处理目的和方式的自然人或法人。
• 数据处理者：代表数据控制者处理数据的自然人或法人。
• 数据主体：其数据被处理的、已识别或可识别的自然人。
• 接收方：接收数据传输的自然人或法人。
• 同意:指数据主体以自由、具体、知情且明确无歧义的方式,就其个人数据的处理作出同意的任何意思表示。
• 个人数据泄露：指因意外或非法原因导致数据被销毁、丢失、篡改、未经授权披露，或被未经授权访问的安全事件。

服务专有条款

• 服务："nullbot"软件，以 Software as a Service 模式提供，用于编排代表客户执行操作的人工智能代理（Agent）。
• 智能体：由一个或多个人工智能模型驱动的软件实体，在服务内配置，根据客户设定的指令和配置执行真实的任务和操作。
• 输出：代理根据客户内容及所提供指令生成的内容、结果或操作。
• 客户内容：指客户提交给服务的，或代理在执行任务过程中所访问的全部数据、文件、指令、账号信息及资料。客户内容可能包含个人数据，客户对此负责。
• 客户：以专业身份订阅服务，并由智能体（Agents）代表其执行任务的法人或自然人。
• 授权用户：指经客户授权、可访问并配置本服务的自然人。
• 模型供应商：指为 Agent 提供所使用的人工智能模型的第三方服务商（例如 Anthropic 或 Google）。
• BYO key（自带密钥）：该选项允许客户使用其在模型供应商处的自有访问密钥，从而使与该供应商之间的交互在客户自己的账户及责任下进行。

3. 适用范围

本政策适用于 MARA LABS 在以下范围内实施的所有个人数据处理活动：

• 访客对本网站的浏览与使用；
• 与潜在客户及意向客户之间的商业关系及订约前关系；
• 与客户及其授权用户之间服务提供合同的订立、履行及跟踪管理；
• 账单及付款管理；
• 本服务及本网站的安全、监督与改进。

作为受托处理者的处理活动。智能体对客户内容的处理构成 RGPD 第 28 条意义上的受托处理。就此而言，客户仍为数据控制者，本政策不能替代客户应向数据主体履行的告知义务。MARA LABS 作为受托处理者所作出的承诺，在下文专门条款中说明，并在 DPA 中详细列明。

指向第三方的链接。 本政策不适用于通过超链接从本网站或本服务访问的第三方网站、服务或平台。MARA LABS 建议数据主体查阅这些第三方各自的隐私政策。

4. 所收集数据的类别

MARA LABS 根据数据主体的身份及数据收集的具体情境，收集并处理不同类别的个人数据。最小化原则（RGPD 第 5 条第 1 款 c 项）在此得到适用：仅收集为实现相关目的所严格必需的数据。

网站访客数据

当有人访问网站时，MARA LABS 可能会处理：

• 浏览数据：所访问的页面、连接日期及时间、浏览时长、在本网站上的访问路径；
• 技术数据：IP 地址、浏览器类型及版本、操作系统、终端类型、语言、屏幕分辨率；
• 由Cookie 及追踪器存放的标识符，具体条件见《Cookie 政策》。

潜在客户数据

当有人对服务表现出兴趣时（联系表单、演示申请、商业接洽、订阅通讯等），MARA LABS 可能会处理：

• 职业身份信息：姓名、职务、所在公司、行业领域；
• 职业联系方式：职业电子邮件地址、职业电话号码；
• 沟通内容：请求性质、所表达的需求、联系历史。

客户及授权用户的数据

在订立及履行合同的过程中，MARA LABS 处理以下数据：

• 账户身份信息：姓名、职务、电子邮箱地址、登录账号；
• 客户企业的身份识别数据:公司名称、地址、识别号码(SIREN/SIRET 或同等编号)、欧盟增值税号;
• 账户管理数据：偏好设置、智能体参数配置、已分配的访问权限及配置历史；
• 合同关系相关数据：合同、订单、往来函件、支持请求。

支付数据

为处理付款与开具账单，将处理以下数据：

• 结算数据：公司名称、结算地址、增值税号、交易金额及历史记录；
• 与支付方式相关的数据,由支付服务提供商Stripe直接收集与处理。MARA LABS不存储完整的银行卡号;此类敏感数据由该服务提供商在通过PCI-DSS认证的环境中进行处理。

提交给智能体的客户内容

在代理执行任务的过程中，客户提交的客户内容可能包含个人数据（例如涉及客户的员工、客户、供应商或联系人的数据）。就该等数据而言：

• 客户为数据控制者；
• MARA LABS 以处理者身份行事，仅根据客户书面记录的指示处理相关数据，且仅用于履行本服务之目的。

MARA LABS 无法控制客户内容中所含数据的内容、性质或敏感程度。客户应自行确保其拥有合法依据、已向相关数据主体提供所需告知信息，且除非附有适当保障措施，否则不得提交属于 RGPD 第 9 条所指特殊类别的数据。

技术数据与日志（logs）

为确保本服务的运行、安全及可追溯性，MARA LABS 处理以下数据：

• 访问及活动日志：登录及操作的时间戳、IP 地址、会话标识符、代理所执行的操作；
• 技术与诊断日志：系统事件、错误、性能指标；
• 安全日志：访问尝试、身份验证事件、安全警报。

5. 处理目的及法律依据

MARA LABS 作为数据控制者所实施的每项处理活动，均出于一项或多项特定目的，并基于 GDPR 第 6 条所列举的某一法律依据。下表汇总了这些处理活动。

正当利益的说明与权衡

当 MARA LABS 基于其合法利益（RGPD 第6条第1款(f)项）进行处理时，会在该利益与数据主体的基本权利和自由之间进行利益权衡。

所追求的利益。 所援引的合法利益尤其包括：保障本服务及本网站的安全与完整性；预防欺诈和滥用行为；在专业（B2B）框架下发展和推广商业活动；提升本服务的质量；在发生争议时保护 MARA LABS 的权利。

合理性。该等处理仅限于必要范围,主要涉及职业数据,不会对隐私造成不成比例的损害。相关人员在职业关系背景下理应可以合理预见该等处理。

保障。数据主体可随时基于其特殊情况行使反对权（RGPD第21条），并在营销推广方面享有无条件的反对权。行使方式载于权利相关条款中。

6. 服务与人工智能

服务依托由第三方模型提供商所提供的人工智能模型驱动的智能体运行。MARA LABS 高度重视该技术运作方式的透明度。

向模型提供商传输内容

为生成输出内容,由智能体处理的内容与指令(必要时包括客户内容)将传输给模型提供商。此项传输仅为生成所请求的输出内容之目的,并在服务执行范围内进行。

专业界面，无需培训

与模型供应商之间的交互通过专业接口（API）进行，受企业使用条款的约束。根据这些条款，所传输的内容不会被用于训练或再训练供应商的模型。相关数据仅用于生成与请求相对应的输出内容。

「BYO key」（自带密钥）选项

本服务提供“BYO key”（自带密钥）选项，允许客户使用自己在模型提供商处的访问密钥。在此情形下，与该提供商之间的交互直接以客户自己的账户进行，并由客户自行承担责任，并遵循客户已接受的该提供商的相关条款。

输出内容的概率性质

7. 自动化个人决策

根据RGPD 第 22 条的规定，任何数据主体均有权不受完全基于自动化处理（包括画像分析）作出、且对其产生法律效力或以类似方式产生重大影响的决定的约束。

MARA LABS 作为负责方开展的处理活动。在 MARA LABS 作为负责方开展处理活动的范围内(包括网站管理、潜在客户管理、客户管理及计费),MARA LABS 不会仅基于自动化处理作出产生法律效力或类似重大影响的决定,该规定依第22条的含义适用。

智能体执行的操作。智能体可代表客户自动执行操作。当此类操作可能构成对数据主体产生法律效力或类似重大影响的自动化决策时，应由客户（作为客户内容的数据控制者）评估其合法性，落实第22条要求的保障措施（尤其是人工介入、表达意见及对决定提出异议的可能性），并提供所需的告知信息。作为处理者的MARA LABS，提供配置与监督功能，使客户能够确保这种人工控制。

8. MARA LABS 作为处理者（RGPD 第28条）

就客户内容的处理而言，MARA LABS 依据RGPD第28条的规定作为数据处理者行事，客户则保留数据控制者的身份。该关系受可通过 dpa.html 页面查阅的数据处理协议（DPA）约束，该协议对相关处理活动具有优先适用效力。

MARA LABS 作为处理者的承诺

根据 GDPR 第 28 条第 3 款，MARA LABS 承诺尤其做到：

• 仅根据客户的书面指示处理数据,包括向欧盟境外转移数据的情形,法律另有强制性规定的除外;
• 确保数据的保密性，确保获授权处理数据的人员均承担保密义务；
• 根据 RGPD 第 32 条实施适当的技术与组织措施；
• 遵守借助次级数据处理者的相关条件（事先获得授权、告知变更、以合同方式转嫁同等义务）；
• 通过适当措施协助客户回应数据主体行使权利的请求；
• 协助客户履行其在安全保障、违规通知、影响评估及事先咨询监管机构方面的义务；
• 删除或返还服务期满后的数据，由客户选择方式，并销毁现有副本，法律规定的保存义务除外；
• 向客户提供证明其已履行相关义务并支持开展审计所需的一切必要信息。

向客户通报数据泄露。作为数据处理者，MARA LABS 在知悉任何影响客户内容的数据泄露事件后，将在无不当延误的情况下通知客户，以便客户履行其自身的通报义务。

9. 数据接收方

个人数据的接收方为 MARA LABS 内部经授权的相关部门（以其职权范围为限），以及以下类别的接收方：

• 参与商务管理、服务运营、客户支持、账单开具及安全工作的MARA LABS授权人员；
• 代表 MARA LABS 行事的次级处理者，详见专门条款所列（托管服务、模型供应商、支付、内容分发）；
• 支付服务提供商，用于处理相关交易；
• MARA LABS 的顾问及服务提供商（会计师、律师、审计师），其须承担保密义务；
• 在法律要求或为维护 MARA LABS 权利之目的下的有权行政或司法机关。

MARA LABS 不出售任何个人数据。未在遵守适用法律依据的前提下，不会为营销目的向第三方传输任何数据。

10. 次级处理者

为提供本服务，MARA LABS 借助第三方服务商，其身份为后续分包商。每一家服务商均因其在数据保护方面提供的保障而被选定，并受合同约束，须履行符合 RGPD 第28条的义务。下表列出了主要的后续分包商。

名单变更与异议权

为服务需要，MARA LABS 可能对其次级数据处理者名单进行调整。任何变更（新增或替换）均将体现在本政策中，并在必要时按照DPA 的规定通知客户。客户可依照 DPA 所规定的条件，基于正当理由对新增次级数据处理者提出异议。

11. 欧盟境外数据转移

MARA LABS 的部分后续数据处理方位于欧盟以外地区，尤其是美国。任何向第三国的数据转移均依据RGPD 第五章的规定进行规范管理。

标准合同条款

在无适用的充分性认定决定的情况下，数据转移依据欧盟委员会通过2021 年 6 月 4 日（欧盟）2021/914 号执行决定采纳的标准合同条款（CCT）进行。这些条款要求接收方承担与 GDPR 同等的保护义务。

补充措施

如为确保实质等同的保护水平所必需，MARA LABS 将在标准合同条款（CCT）之外，采取或确保采取适当的补充措施，尤其包括：对传输中及静态数据进行加密、在可行情况下进行假名化处理、实施严格的访问控制，以及对目的地国家的立法情况及数据主体可获得的救济途径进行评估。

数据主体可通过书面信函向 MARA LABS 注册地址提出申请,以获取有关数据传输的补充信息以及已实施保障措施的副本。

12. 数据保存期限

个人数据的保存期限不超过实现其处理目的所必需的期限，必要时可延长至相应的时效期间及法定归档期限。下表列明所适用的具体期限。

超过上述期限后，数据将被不可逆地删除或匿名化处理。在法律要求的情况下，或为确认、行使或维护司法权利之需要，部分数据可以存档方式保存更长时间。

13. 数据安全

根据RGPD 第32条，MARA LABS 采取适当的技术和组织措施，以确保与风险相适应的安全水平，同时考虑技术现状、实施成本以及处理活动的性质、范围和目的。

技术措施

• 加密传输中的数据（TLS协议），并在适用情况下加密静态数据；
• 基于最小权限原则的访问控制，以及对授权用户的身份验证；
• 客户之间环境与数据的隔离；
• 对访问及敏感操作进行日志记录与可追溯性管理；
• 定期备份及数据恢复程序；
• 监控及安全事件检测。

组织措施

• 对授权人员进行意识培训并使其作出保密承诺；
• 权限管理及访问权限的定期审查；
• 甄选具备充分保障能力的受托方，并进行合同约束；
• 管理程序，用于处理各类事件及数据泄露。

14. 数据泄露

MARA LABS 已建立个人数据泄露的发现、认定及处理程序。

当 MARA LABS 作为数据控制者行事时

如发生可能对数据主体权利和自由造成风险的数据泄露，MARA LABS 将根据RGPD 第33条，在获悉后尽快通知 CNIL，如有可能应在72小时内完成通知。若该泄露可能造成高风险，则根据RGPD 第34条，也将尽快告知相关数据主体。

当 MARA LABS 作为受托处理方行事时

如发生影响客户内容的数据泄露，MARA LABS 将根据 RGPD 第 33 条第 2 款，在获悉后无不当迟延地通知客户，以便作为数据控制者的客户履行其向监管机构以及（如适用）向相关数据主体进行通知的义务。

任何违规行为均须进行内部记录，载明事实经过、影响及已采取的补救措施，以符合建立违规登记簿的义务。

15. 您的权利

根据RGPD及《信息与自由法》（loi Informatique et Libertés），任何数据主体对MARA LABS作为数据控制者所处理的其个人数据，均享有以下权利。

访问权（第15条）

您可以获得关于是否存在涉及您的数据处理的确认，并在适用情况下获取相关数据的副本，以及有关处理目的、数据类别、接收方和保存期限的信息。

更正权（第 16 条）

您可以要求更正与您相关的不准确数据，并补充不完整的数据。

删除权（第 17 条）

您可以在RGPD规定的情形下要求删除您的数据，但须遵守法定保存义务以及诉讼维权所需的相关要求。

限制处理权(第18条)

您可以请求暂时冻结您数据的使用，尤其是在对数据准确性或处理合法性提出异议的情形下。

反对权（第 21 条）

您可以基于与自身特殊情况相关的原因，对基于 MARA LABS 合法利益进行的处理行使反对权，并对以商业招揽为目的的处理，享有无条件反对权。

数据可携权（第20条）

对于基于同意或合同履行且通过自动化方式进行的处理,您可以以结构化、常用且机器可读的格式获取您的数据,并将其传输给另一数据控制者。

撤回同意的权利

当某项处理活动基于您的同意进行时，您可以随时撤回同意，撤回不影响撤回前已进行处理的合法性。

事后复盘指南

根据《数据处理、数据文件与自由法》（loi Informatique et Libertés）第 85 条，您可以设定关于您身故后数据处置方式的指示（保存、删除、传达），可为一般性指示或特别指示，并可指定负责执行该指示的人员。

提出投诉的权利

如果您认为您的数据处理不符合相关法规，您有权向 CNIL 提出投诉（详见专门章节）。

如何行使您的权利

您可通过邮寄信函行使您的权利，地址为：MARA LABS — Protection des données — 41 rue Jacquemars Giélée, 59800 Lille, France。专用联系电子邮箱地址将在域名开通后启用并在此公布。

身份证明。为防止任何未经授权的访问，如对请求人身份存在合理疑虑，MARA LABS 可要求您通过任何适当方式证明您的身份。

答复期限。MARA LABS 将在收到请求后一个月内予以答复。鉴于请求的复杂程度和数量，该期限可延长两个月；届时您将获得相应通知。

客户内容。对于客户内容中所包含的数据，MARA LABS 作为数据处理者，相关请求应提交给作为数据控制者的客户。MARA LABS 将按照 DPA 协助客户处理此类请求。

16. 未成年人数据

本服务是一款面向专业客户（B2B）的软件，不面向也不提供给未成年人使用。MARA LABS 在作为责任方进行处理活动的过程中，不会故意收集有关未成年人的数据。

若 MARA LABS 得知其在没有适当法律依据的情况下误收集了未成年人的相关数据，将尽快予以删除。知悉此类情况的任何人士，均可致函公司注册地址进行举报。

17. 商业招揽与异议权

MARA LABS 可能在 B2B 关系框架下，依照适用于专业招揽的相关规则，向专业人士发送商业招揽信息。

在法律要求的情况下，招揽须以获得相关人员的事先同意为前提；否则，招揽基于 MARA LABS 发展其业务的合法利益，但须与收件人的职业职能相关。

您可以随时且免费拒绝接收推广类通讯：

• 使用每封电子通信中提供的退订链接(如有);
• 向 MARA LABS 注册地址发送信函提出请求。

18. Cookie与追踪器

本网站可能使用Cookie 及其他追踪器。网站正常运行所严格必需的追踪器基于 MARA LABS 的合法利益，而非必要的追踪器（尤其是未获豁免的访客统计追踪器）则须事先取得您的同意。

具体规则（追踪器类别、目的、保存期限、同意及撤回的管理方式）详见Cookie 及追踪器政策，本政策明确援引该政策内容。

19. 数据的来源与准确性

数据来源。MARA LABS 处理的数据在绝大多数情况下均直接从数据主体本人处收集（表单、账户创建、商业往来、服务的使用）。部分技术数据由网站和服务的使用过程自动生成。在适用的情况下，出于 B2B 商业开发的目的，专业数据也可能来自可公开获取的来源（登记册、专业网站）。

数据准确性。MARA LABS 致力于确保数据的准确性和时效性。如发现任何不准确之处，欢迎您行使更正权，告知我们以便更新您的数据。

20. 政策的修改

MARA LABS 可能需要修改本政策,以适应法律、法规、判例、技术或组织方面的变化,或因服务或后续分包处理方名单发生变化。

适用版本以查阅之日网站上公布的版本为准。如有重大修改，MARA LABS 将尽力通过适当方式告知相关人员。建议定期查阅本页面。

21. 向监管机构投诉

如果您在联系我方后，认为您的权利未得到尊重，或您的数据处理不符合相关法规，您有权向法国国家信息与自由委员会（CNIL）提出投诉，该机构为法国境内的主管监管机构。

然而,MARA LABS 建议您在提出任何投诉之前,先通过信函联系其注册地址,以寻求友好解决方案。