数据处理协议（DPA）

1. 范围与期限

处理者仅为提供餐厅经营管理SaaS，在订阅期间以及约定的删除等待期内，代表控制者处理个人数据。

2. 处理内容

处理性质包括收集、记录、组织、存储、查询、传输、备份、限制、匿名化与删除。目的包括账号管理、员工排班、卫生提交、供应商发票、库存、采购、经营分析、安全审计与技术支持。

3. 数据主体与数据类别

数据主体可能包括餐厅员工、授权用户及供应商联系人。数据可能包括身份和联系资料、岗位与排班、人工成本、卫生记录与照片、发票中可见的联系人或付款资料、登录与操作日志。POS同步默认不保存顾客姓名、电话、邮箱或配送地址。

4. 记录指示与合法性

处理者仅依据控制者通过合同、后台设置、支持请求和平台操作形成的记录指示处理数据，法律另有要求的除外。控制者负责处理目的、合法依据、员工告知、权限分配、数据准确性和上传内容。

5. 保密与安全

获准接触数据的人员承担保密义务。措施包括每租户独立数据库和文件目录、最小权限、密码哈希、敏感凭据AES-GCM加密、HTTPS、会话保护、登录限速、受保护文件、审计日志、备份、恢复测试、安全更新和事件响应。

6. 子处理者

控制者给予一般书面授权使用公开名单中的子处理者。处理者将公布新增或替换并按合同给予合理异议期；对子处理者施加不低于本DPA的保护义务，并对其履约负责。

7. 数据主体权利协助

处理者通过导出、纠正、限制、匿名化、删除和请求跟踪工具，在可行范围内协助控制者处理访问、更正、删除、限制、可携带、反对及其他适用请求。

8. 个人数据泄露

处理者确认涉及控制者数据的个人数据泄露后，将在无不当延迟的情况下通知控制者，并在可获得范围内提供事件性质、受影响数据与人员、可能后果、已采取或拟采取措施及联系信息。

9. DPIA、监管与审计协助

处理者根据处理性质和可获得信息，合理协助控制者履行安全、影响评估、监管咨询和合规证明义务，并提供本DPA履行所需的信息。审计应合理提前通知、受保密约束并尽量减少服务干扰。

10. 删除与返还

终止后控制者可在约定等待期内导出数据。除欧盟或成员国法律要求保留外，处理者随后删除或返还生产数据，并按照备份轮换计划清除备份副本。平台不会仅因请求已登记就自动删除，最终删除须按经核实的终止流程执行。

11. 国际传输

如个人数据在欧洲经济区以外处理，处理者将采用适用的充分性决定、标准合同条款或其他有效保障，并在子处理者信息中说明处理地点与保障。

12. 责任与文件优先顺序

本DPA构成双方SaaS服务协议的一部分。服务协议、订单表与本DPA冲突时，就个人数据处理事项以本DPA为准；适用法律另有强制规定的除外。

附件A：默认保留期限

AI原始识别结果30天；发票图片365天；卫生照片365天；应用审计日志365天；终止后生产数据等待期30天；备份清除目标90天。控制者可在系统允许范围内调整，合同或法律另有要求的除外。

附件B：处理活动

处理频率通常为持续性；处理持续至订阅终止及删除周期结束；数据通过托管数据库、受保护文件存储、备份、支持工具和经配置的AI接口处理。

标准文本哈希：669f8318a900fe2e1b526169c6d399e42f88874125d7e85e30da0ec0ff843d4c