本譯文僅供參考。本文件僅以法文版本為準。

法律資訊

資料處理協議（DPA）

最後更新日期：2026年6月29日．版本3.0

本《個人資料處理協議》（以下稱「協議」或「DPA」）係依據歐洲議會與理事會於2016年4月27日通過、關於自然人個人資料處理保護及此類資料自由流通之（歐盟）2016/679號規則（以下稱「RGPD」）第28條訂立。

簽署雙方：

一方為客戶，即訂閱 nullbot 服務之自然人或法人，依 RGPD 第 4 條第 7 款之意義，以資料控管者之身分行事（以下稱「控管者」或「客戶」）；

另一方為 MARA LABS 公司（société par actions simplifiée），資本額 100 歐元，註冊地址位於 41 rue Jacquemars Giélée, 59800 Lille, France，於里爾大都會商業與公司登記處（Registre du commerce et des sociétés de Lille Métropole）登記，登記編號 SIREN 104 321 104（RCS Lille Métropole 104 321 104），為 nullbot 服務之發行方，依 RGPD 第 4 條第 8 款之規定，以受託者身分行事（以下稱「受託者」或「MARA LABS」）；

控制者與處理者以下分別單獨稱為一方「當事方」，並合稱「雙方」。

茲敘明如下。於雙方所簽訂服務合約之履行範圍內，受託處理者以 SaaS 模式向客戶提供名為「nullbot」的軟體，該軟體協調人工智慧代理人代表客戶執行真實動作。於使用本服務期間，客戶向代理人提交可能包含個人資料的客戶內容，受託處理者代表客戶並依其指示處理該等資料。本協議之目的在於依 RGPD 第 28 條之要求，規範受託處理者進行此等處理之條件。

本協議為雙方合約不可分割之一部分，並與銷售一般條款、使用一般條款及隱私政策相互配合，就個人資料保護部分予以補充。

資料保護聯絡方式。與本協議相關之任何要求、通知或往來函件，均可以郵寄至註冊辦事處之方式向資料處理者提出：MARA LABS, 41 rue Jacquemars Giélée, 59800 Lille, France。專屬聯絡電子郵件地址將於網域啟用後隨即開通，並公布於本頁。

1. 標的、範圍及契約架構

協議標的。本協議旨在界定受託處理者於提供 nullbot 服務之範圍內，代表資料控管者執行附件 1所述個人資料處理作業之條件。本協議並就 RGPD 第 28 條及更廣泛之個人資料保護相關適用規定，明確各方之義務與權利。

法律架構。本協議係依 RGPD 之架構訂定，特別是其第 28 條（委外處理）、第 32 條（處理之安全性）、第 33 條及第 34 條（個人資料外洩事件）、第 35 條（影響評估）、第 36 條（事前諮詢）及第 44 條以下（向第三國之資料傳輸），並依經修訂之 1978 年 1 月 6 日第 78-17 號《資訊、檔案與自由法》訂定。

契約銜接與文件位階。本協議為雙方所簽訂服務合約之附件，並構成該合約之完整組成部分。就個人資料處理事項而言，本協議之規定優先於其他契約文件中任何相牴觸之約定。若本協議與一般銷售條款、一般使用條款或隱私權政策有所牴觸，僅就個人資料保護相關事項，以本協議之規定為準。

接受。訂閱並使用本服務，即表示客戶以「負責人」（Responsable）身分完全且無保留地接受本協議。

2. 定義

下列用語於本協議中以首字大寫方式使用時，其定義如下。「個人資料」、「處理」、「資料控管者」、「受託處理者」、「資料當事人」及「個人資料外洩」等概念，應依 RGPD 第 4 條所定義之意義解釋。

「服務」係指受託者以 SaaS 模式提供的 nullbot 軟體，包括其人工智慧代理、介面、功能及相關元件。
「代理人」（Agent）係指於本服務中部署之任何人工智慧代理人，用以依客戶所定之配置與指示，代表客戶執行任務與操作。
「客戶內容」 係指客戶提交予 Agent 或納入服務之全部資料、檔案、指示、請求、文件及資訊，包括個人資料。
「個人資料」係指與已識別或可識別之自然人相關的任何資訊，該等資訊係由受託者於本協議範圍內代表控管者進行處理。
「處理」指對個人資料所進行之任何操作或一系列操作，例如蒐集、記錄、組織、建構、保存、調整、變更、擷取、查閱、使用、揭露、比對、限制、刪除或銷毀。
「資料控管者」或「處理之資料控管者」係指客戶，其決定處理之目的與方式。
「受託者」係指MARA LABS，其代表控制者處理個人資料。
「次處理者」係指處理者為代表控制者執行全部或部分特定處理活動而委託之任何第三方。
「資料主體」指經識別或可得識別之自然人，其個人資料受到處理。
「個人資料外洩」或「外洩事件」係指因意外或不法行為所致之安全事件，導致所傳輸、儲存或以其他方式處理之個人資料遭銷毀、遺失、變更、未經授權洩露，或該等資料遭未經授權之存取。
「CCT」係指歐洲委員會於 2021 年 6 月 4 日以第 (EU) 2021/914 號執行決定所採認、用以規範個人資料向第三國傳輸之標準合約條款。
「RGPD」指2016年4月27日歐盟法規(UE)2016/679。

3. 各方之身分與角色

客戶之身分。 客戶係依 RGPD 第 4 條第 7 項所定義之控管者身分行事。客戶單獨決定使用本服務過程中所實施處理行為之目的與方式。就此而言，客戶應自行確保其委託處理者進行之處理行為之合法性，特別是應依 RGPD 第 6 條規定具備適當之法律依據，並於必要時具備第 9 條所定之保障措施，且已履行對資料主體之告知義務。

受託處理者之身分。MARA LABS 係依 RGPD 第 4 條第 8 款規定之意義擔任受託處理者。受託處理者僅依本協議規定，代表控管者並依其書面指示處理個人資料。

受託處理者之保證。 受託處理者聲明其提供充分保障，將採行適當之技術與組織措施，確保處理作業符合 RGPD 之要求，並保障資料主體之權利，符合 RGPD 第 28 條第 1 項規定。

客戶自身之責任。客戶應單獨負責：

其透過服務所進行處理行為之合法性、公平性與透明度；
提交予代理之客戶內容之準確性、品質與相關性；
遵守其告知義務，並於必要時，取得資料當事人的同意；
定義提交予本服務之資料之適當保存期限，並落實資料最小化原則；
代理之設定與監督，以及代理代其執行之行動。

4. 處理之說明與範圍

範圍。受託人經授權得代表控制者處理提供本服務所需之個人資料,惟須於本協議附件1所載之範圍及方式內為之;該附件依RGPD第28條第3項之規定,明訂處理之性質與目的、期間、所涉個人資料之類型,以及所涉資料主體之類別。

由資料控管者所決定。處理的確切範圍取決於客戶在本服務中所採用之配置、參數設定與使用方式，以及其向代理人提交之客戶內容。資料控管者確認，界定與限縮此範圍屬其自身之責，受託處理者對於客戶所選擇提交的資料內容並無控制權。

更新。附錄一得為因應本服務或客戶使用方式之演變而補充或更新，惟該等更新不得使處理範圍超出雙方約定提供本服務所必要之範圍。

5. 資料控管者的書面指示

依書面指示進行處理。依據 RGPD 第28條第3項第a款規定，處理者僅得依控管者之書面指示處理個人資料，包括將個人資料傳輸至第三國或國際組織之情形，但依其所適用之歐盟法或會員國法另有義務者不在此限。於此情形下，處理者應於進行處理前，將該法律義務告知控管者，但相關法律基於重大公共利益理由禁止為此告知者除外。

指示之形式。下列文件構成控制者之書面指示:本協議及其附件、服務合約、客戶於本服務內所進行之設定、提交予代理人之客戶內容,以及以書面形式(包括透過電子郵件或本服務介面)提出並送達受託人之任何補充指示。

明顯違法之指示。受託處理者如認為某項指示違反 RGPD 或歐盟法律或會員國有關資料保護之其他規定，應立即通知控管者。於此情形下，受託處理者有權暫停執行該指示，直至控管者予以確認或修改為止。

不得為自身目的使用。資料處理者不得為履行本協議及提供服務所必要目的以外之目的處理個人資料，尤其不得為自身或第三方之利益而利用該等資料。

6. 獲授權處理人員之保密義務

保密承諾。依 RGPD 第 28 條第 3 項第 b 款規定，受託處理者應確保獲授權處理個人資料之人員已承諾遵守保密義務，或已受適當之法定保密義務所拘束。

存取授權與限制。受託處理者應確保個人資料之存取，僅嚴格限於因執行職務而有必要存取之人員及經授權人員，並依循「知悉必要」與「最小權限」原則。

意識提升與訓練。資料處理者應確保獲授權處理個人資料之人員，就個人資料保護及資訊安全事項，接受必要之訓練與意識提升課程。

義務之存續。保密義務於相關人員職務終止後及本協議期滿後仍繼續有效。

7. 安全措施（第 32 條）

安全義務。 依據 GDPR 第 28 條第 3 項第 c) 款及第 32 條之規定，處理者應實施適當之技術與組織措施，以確保與風險相符之安全等級，並考量現有技術水準、實施成本，以及處理之性質、範圍、背景與目的，暨其對自然人權利與自由所造成之風險。

評估標準。所採取之措施於必要時應考量下列因素：

個人資料之假名化與加密；
確保處理系統與服務持續保密性、完整性、可用性及韌性之各項方法;
於發生實體或技術事故時，能於適當期限內恢復個人資料之可用性及存取之相關措施；
一套用以定期測試、分析並評估技術與組織措施有效性之程序，以確保處理之安全性。

措施詳情。受託者所採取之技術與組織措施詳述於本協議之附件二。上述措施得隨時間演變，惟安全性之水準不得因此降低。

責任分工。控管者仍須負責實施屬於其自身管控範圍內之安全措施,尤其包括其使用者帳號憑證與權限之管理、其自有資訊系統之安全性,以及對提交至服務之資料進行最小化處理。

8. 委任次處理者

概括授權。依據 RGPD 第28條第2項及第4項規定，控管者概括授權處理者委任次處理者，以執行提供服務所需之特定處理活動。截至本協議簽訂之日，經授權之次處理者名單載於附件3。

事前告知與異議權。處理者應以任何適當方式（尤其是透過發布附件3之更新版本，並於網站或本服務內公告），將任何新增或更換次處理者之預定變更告知控制者，使控制者得於合理期限內對該等變更提出異議。若控制者提出正當且具理由之異議，雙方應共同努力尋求解決方案。若未能達成解決方案，控制者得依契約所定條件，終止與該爭議次處理者相關之服務部分。

次處理者應負之義務。依據 RGPD 第 28 條第 4 項之規定，處理者委託次處理者時，應以契約或其他法律文件，使其承擔與本協議所定相同之資料保護義務，尤其是應提供充分保證，證明其已採行適當之技術與組織措施。

責任。 受託者對於次受託者履行資料保護義務之情形，仍應對控制者負完全責任。倘次受託者未履行其義務，受託者仍應就次受託者履行該等義務之情形，對控制者負完全責任。

9. 協助資料主體行使其權利

協助義務。 依 RGPD 第 28 條第 3 項第 e 款規定，處理者應在合理可行範圍內，以適當之技術與組織措施協助控管者履行其回應資料主體行使權利請求之義務。

相關權利。 協助範圍涵蓋RGPD第三章所定之全部權利，尤其包括查閱權、更正權、刪除權、限制處理權、資料可攜權，以及反對權。

請求之轉交。倘資料主體就代表控制者所進行之處理，直接向處理者提出行使其權利之請求，處理者應立即將該請求轉交控制者，且除控制者另有指示外，不得自行回應。

提供之工具。 於本服務許可範圍內，受託處理者應向控管者提供相關功能與工具，以利其回應資料主體之請求。

10. 安全事件、資料外洩、資料保護影響評估(AIPD)及事前諮詢之協助

一般協助義務。依據 RGPD 第 28 條第 3 項第 f 款之規定，受託者應考量處理行為之性質及受託者所掌握之資訊，協助控制者確保遵守 RGPD 第 32 條至第 36 條所規定之義務。

處理之安全性（第 32 條）。受託者協助控制者符合 RGPD 第 32 條所定之安全性要求，尤其是向控制者提供已採取之技術與組織措施相關資訊。

違規通報（第 33 條及第 34 條）。 受託處理者應協助控管者履行其向監管機關通報個人資料外洩事件之義務，並於必要時依本協議「個人資料外洩事件之通報」一節所定條件，協助向資料主體告知該外洩事件。

影響評估（第 35 條）。於必要時，並於其所掌握資訊之範圍內，資料處理者應協助資料控制者，就透過本服務所進行之處理活動，完成資料保護影響評估（AIPD）。

事前諮詢（第 36 條）。 於必要時，受託處理者應協助控管者依 RGPD 第 36 條規定向監管機關進行事前諮詢。

協助之費用。 本節所訂之協助，係考量處理作業之性質及受託處理者所掌握之資訊而提供。若協助請求超出本服務合理涵蓋之範圍，受託處理者得於事先告知控管者後，就因此產生之合理費用向其收取。

11. 個人資料外洩之通知

告知控管者之義務。受託處理者於知悉任何個人資料外洩事件後，應儘速通知控管者，以便控管者能於必要時，依RGPD第33條規定之七十二（72）小時期限內履行向監管機關通報之義務。

通知內容。 受託處理者應於其所掌握之資訊範圍內，視情況得分階段向控管者告知下列事項：

違規性質之說明，如可能，包括受影響人員之類別與大約人數，以及受影響紀錄之數量；
違規可能造成之後果;
已採取或建議採取以補救該個人資料外洩事件，並視情況減輕其負面後果之措施；
可取得進一步資訊之聯絡窗口資料。

合作。受託處理者應與控管者合作，並採取合理措施協助調查、限制及解決該違規事件。除法律另有強制規定外，受託處理者不得代表控管者向監管機關或資料主體進行任何通知，惟控管者明確指示者不在此限。

12. 歐盟境外資料傳輸

原則。受託處理者非經事先告知資料控管者，並依 RGPD 第五章規定建立適當保障措施前，不得將個人資料傳輸至歐盟以外之第三國或國際組織。

適當保障措施。處理者所委託之部分次處理者設立於歐洲經濟區以外，尤其是美國。向該等次處理者之資料移轉，係依歐盟執行委員會於 2021 年 6 月 4 日第 (UE) 2021/914 號執行決定所採納之標準合約條款（CCT）予以規範，並視情況適用其他經認可有效之移轉機制（尤其是適足性認定決定，或依公認之資料保護框架所取得之認證）。

補充措施。 於必要時，處理者應採取，或確保相關次處理者採取適當之補充措施（技術性、組織性及契約性），以確保個人資料保護水準實質上等同於歐盟境內所保障之水準。

告知控管者。應要求，資料處理者應向控管者提供有關為規範資料傳輸所採取保障措施之相關資訊。後續受託處理者之名單及其所在地載於附件三。

13. 稽核與檢查

資訊提供。 依 RGPD 第 28 條第 3 項第 h 款規定，處理者應向控管者提供一切必要資訊，以證明其遵守 RGPD 第 28 條所定之義務，並使控管者或其委任之其他稽核人員得以進行稽核（包括實地檢查），且處理者應配合此等稽核。

稽核方式。控管者得自行負擔費用，對受託者是否遵守本協議項下義務進行稽核，條件如下：

稽核係依合理之書面事先通知進行，該通知期限不得少於三十（30）個日曆日，但已確認之資料外洩事件或監理機關要求之情形除外；
審計應於營業時間及工作日內進行，且不得對處理者之營運造成過度干擾；
稽核每十二（12）個月期間以一（1）次為限，但例外情形（經證實之違反、主管機關之要求）不在此限；
受控制者委任之稽核人員不得為處理者之競爭對手，且應負保密義務；
稽核過程中所獲得之發現與資訊均屬嚴格機密。

文件與認證。受託人得透過向控制者提供其所擁有之相關文件、稽核報告、證明或認證,以履行其展示合規性之義務,惟該等文件須能合理證明其已履行相關義務。

費用。與稽核執行相關之費用由控制者負擔。受託者為協助及配合稽核所合理投入之時間，若超出服務所合理涵蓋之範圍，得於事先告知控制者後向其收取費用。

14. 處理結束後之資料處置

控管者之選擇。依據 RGPD 第 28 條第 3 項第 g 款規定，於處理相關服務期滿後，受託處理者應依控管者之選擇，刪除或返還全部個人資料予控管者，並銷毀現有副本，除非歐盟法律或會員國法律要求保存該等個人資料。

期限。資料控管者應有合理期限，可行使返還或刪除資料之選擇權，該期限自服務期滿之日起算，不得少於三十（30）個日曆日。若資料控管者於該期限屆滿時仍未下達指示，受託處理者應將個人資料予以刪除。

返還方式。如需返還資料,將於服務匯出功能所允許之範圍內,以結構化且常用之格式將資料返還予控管者。

刪除。刪除作業將於合理期限內完成，包括向相關次處理者要求刪除，並涵蓋所有現存副本，惟依法應保存之資料，以及依既定週期自動清除之備份資料，不在此限。

證明。 應資料控管者之要求，受託處理者應以書面證明個人資料已確實刪除。

15. 責任、擔保與雙方之分配

責任原則。 各方就其未遵守 RGPD 所課予其之特定義務，或逾越或違反控管者合法指示所為之處理行為造成之損害，依 RGPD 第 82 條規定負責。

受託處理者之責任。受託處理者僅就因違反其於本協議項下自身義務，或違反其依 RGPD 意義下作為受託處理者所應承擔之特定義務，而導致資料處理所生之損害負責。

控管者之責任。 控管者應就因其自身違反義務（尤其涉及處理之合法性、資料主體之告知、法律依據、資料最小化，以及提交予代理人之客戶內容之合法性）所生之任何第三方（包括資料主體及監管機關）之申訴、訴訟或請求，向受託處理者予以擔保。

責任限制。 一般銷售條款所定之責任限制與免責規定，於適用法律所允許之範圍內，並在不違反 RGPD 有關資料主體所受損害賠償之強制性規定之前提下，適用於本協議。

16. 協議之期限與終止

期間。 本協議自客戶接受之日起生效，並於處理者代表控管者處理個人資料所依據之服務合約存續期間內持續有效。

從屬性質。本協議為服務合約之附屬文件。其於服務合約終止時自動失效，惟不影響有關資料處理終止後資料處置之約定，以及依其性質應於本協議終止後仍繼續有效之義務（尤其是保密義務）。

部分義務之存續。 保密義務、資料刪除或返還義務，以及於監管機關提出要求時之配合義務，於本協議終止後仍應存續，存續期間以履行該等義務所需之時間為限。

17. 其他約定

文件效力順序。 若本協議之規定與其他涉及個人資料處理之契約文件規定有所牴觸，應以本協議之規定為準。就與資料保護無關之事項，銷售一般條款（CGV）及使用一般條款（CGU）仍繼續適用。

部分無效。倘本協議之一項或多項條款被宣告為無效、不合法或不可執行，其餘條款仍應維持完全之效力與範圍。雙方應盡力以具同等目的之有效條款替代該無效條款。

修改。處理者得因應適用法規之演變、監管機關之指引或服務之變動等原因，更新本協議。控管者將透過任何適當方式獲得告知。

準據法與管轄權。本協議受法國法及歐盟法規範。任何有關其解釋或履行之爭議，應依一般銷售條款所定之管轄法院處理，惟保留強制性管轄規則之適用，尤其是保護資料主體之相關規則。

18. 附件一——處理作業說明

本附件載明 RGPD 第 28 條第 3 項所要求之處理要素。實際處理範圍取決於客戶之使用方式與設定，以及提交予代理人（Agents）之客戶內容。

處理目的	提供 nullbot 服務，此 SaaS 軟體可協調人工智慧代理，代表客戶執行真實動作。
處理之性質	蒐集、記錄、保存、結構化、查詢、使用、傳輸、向後續受託處理者（AI 模型供應商、託管服務、金流服務）揭露、刪除，以及服務運作及執行委託予代理人（Agent）之行動所需之任何其他作業。
處理之目的	使代理人得以執行客戶所設定之任務與操作;提供、維護並確保服務之安全;為客戶提供支援;管理計費與訂閱事宜。
處理期間	服務合約之期間，加計本協議所定返還或刪除之期限，以及法律所要求之保存期間。
個人資料類型	識別與聯絡資料（姓、名、電子郵件地址、職稱）；登入與使用資料（帳號、技術日誌、IP 位址）；帳務資料（由付款服務商管理）；客戶自由提交予代理之客戶內容中所含之任何個人資料。客戶應避免在無適當法律依據之情形下提交特殊類別資料（RGPD 第 9 條），並應將提交之資料減至最少。
資料主體類別	客戶之使用者及代表人；客戶之客戶、潛在客戶、供應商及合作夥伴；其資料出現於提交予代理人（Agent）之客戶內容中之任何自然人。
控管者之義務與權利	控制者決定處理之目的與方式，確保處理行為之合法性及其法律依據，告知資料主體，對處理者行使指示、監督及稽核之權利，並於處理結束時決定資料之最終處置方式。

19. 附件二——技術與組織安全措施

受託人依 GDPR 第 32 條規定,採取下列技術與組織措施。此等措施可能隨時間調整,惟安全防護水準不會因此降低。

加密	傳輸中資料之加密(TLS通訊協定),以及於適用情況下,靜態資料之加密。
存取控制	依最小權限原則及知悉必要原則管理權限；使用者身分驗證；管理員存取權限之隔離。
隱私權	獲授權處理資料之人員應簽署保密承諾；並就資料保護進行意識宣導與培訓。
完整性與可用性	旨在確保資料完整性與系統韌性之措施;於代管基礎設施層級提供備援與備份保障。
連續性與復原	備份及還原程序，使資料於發生事故時得於適當期限內恢復其可用性及可存取性。
區隔與隔離	客戶間之資料邏輯隔離（多租戶架構），以避免任何客戶未經授權存取他方客戶之資料。
日誌記錄	建立技術日誌，以便在遵循資料最小化原則的前提下，追蹤存取紀錄與敏感操作。
事件管理	個人資料外洩事件之偵測、認定、處理及通報程序。
後續受託者的安全性	挑選具備充分保障之服務提供者；並透過合約約束，要求其承擔對等之資料保護義務。
評估	定期測試、分析並評估所實施安全措施成效之程序。

控管者應對屬於其自身範疇之安全措施負責，尤其是其帳號憑證之管理及其自身系統之安全。

20. 附件 3 — 經授權之後續受託處理者清單

控制者授權自本協議簽訂之日起使用下列次受託人。該名單如有任何變更,均須事先通知控制者,控制者依本協議所定之條件享有異議權。

次處理者	目的	所在地	傳輸保障措施
Railway Corporation	本服務基礎設施之代管	美國	標準契約條款（CCT）
Anthropic, PBC	提供Claude人工智慧模型	美國	標準契約條款（CCT）
Google Ireland Limited / Google LLC	提供 Gemini 人工智慧模型（選用）	歐盟／美國	標準契約條款（CCT）
Stripe Payments Europe, Limited	付款與帳單處理	歐盟／美國	標準契約條款（CCT）

如需進一步了解後續受託人及規範傳輸之保障措施等資訊,控管者得以郵寄方式將請求寄至受託人之註冊辦公地址。專用聯絡電子郵件地址將於網域開通後啟用並公布於此。