数据处理协议（DPA）

本数据处理协议（以下简称“DPA”）是 Kitchen Stocker 服务条款不可分割的组成部分，依据欧盟条例 (EU) 2016/679，即《通用数据保护条例》（GDPR，西班牙语缩写 RGPD）第28条以及 Ley Orgánica 3/2018（LOPDGDD，西班牙数据保护与数字权利保障法），规范 Kitchen Stocker 代表其客户进行的个人数据处理。

• “控制者”：指 Kitchen Stocker 的客户，其决定对录入平台的员工、供应商或其他第三方个人数据进行处理的目的和方式。
• “处理者”：指 Aura Media Consulting S.L.（税号 B8866789），Kitchen Stocker 品牌的持有者，地址：Calle Sagunto 1, Valencia (Valencia), 46009（西班牙巴伦西亚），为提供服务而代表控制者处理个人数据。
• “服务个人数据”：指控制者在使用服务的过程中录入或上传至 Kitchen Stocker 平台的任何个人数据。

Kitchen Stocker 仅为提供所订购的功能，并依照控制者有记录的指示处理服务个人数据。本 DPA 在控制者对 Kitchen Stocker 的订阅保持有效期间持续有效。

Kitchen Stocker 仅依照控制者有记录的指示行事。对平台各项功能的使用即构成主要的有记录的指示。如 Kitchen Stocker 认为某项指示违反 GDPR 或其他适用法规，将立即通知控制者。

Kitchen Stocker 实施并维护适当的技术与组织措施，保护服务个人数据免遭破坏、丢失、篡改或未经授权的访问，包括：

• 通过 TLS 1.2 或更高版本对传输中的数据加密
• 对静态存储的数据加密
• 通过租户标识符按客户隔离数据
• 基于角色的访问控制与安全身份验证
• 对管理员角色启用多因素身份验证（MFA）
• 持续的错误监控与安全告警
• 备份策略与灾难恢复流程

控制者授权 Kitchen Stocker 聘用分包处理者以提供服务。Kitchen Stocker 将确保分包处理者提供充分的数据保护保障，并对其施加与本 DPA 同等的义务。

目前的分包处理者包括：云基础设施提供商（托管及数据库位于欧盟境内或具备同等保障）、支付处理商及错误监控工具。您可以向 privacy@kitchenstocker.com 索取最新名单。

Kitchen Stocker 将在新增或更换分包处理者前至少提前 14 天通知控制者，并给予其提出反对的机会。

Kitchen Stocker 保证获授权处理服务个人数据的人员均受保密义务约束，无论该义务源于合同还是法律规定。

Kitchen Stocker 将在可能的范围内协助控制者：

• 响应数据主体行使权利的请求（访问、更正、删除、可携）
• 履行因个人数据安全事件产生的各项义务
• 在必要时开展数据保护影响评估（EIPD）
• 与监管机构进行事先磋商

对于影响服务个人数据的任何安全事件，Kitchen Stocker 将在知悉后立即且最迟不超过 72 小时通知控制者，并提供充分的信息，使控制者能够履行其向西班牙数据保护局（Agencia Española de Protección de Datos, AEPD）及受影响数据主体的通知义务。

除非依照 GDPR 存在适当保障（充分性认定、标准合同条款或其他适当保障措施），Kitchen Stocker 不会将服务个人数据传输至欧洲经济区（EEA）之外。如发生此类传输，将告知控制者。

合同终止后，Kitchen Stocker 将在 30 天内向控制者提供服务个人数据以供导出。该期限届满后，Kitchen Stocker 将对上述数据进行安全删除，但适用法规要求额外保存一段期间的除外。

Kitchen Stocker 将向控制者提供证明其遵守本 DPA 所需的全部信息，并在适用情况下配合审计或检查，前提是控制者提前合理时间通知并承担相关费用。

有关本 DPA 的任何咨询：privacy@kitchenstocker.com