使用说明
本文件用于企业客户、开发者处理最终用户数据、隐私合规、子处理方披露和数据处理角色说明。
1. 适用范围和角色
本《数据处理附录与子处理方说明》适用于 PocketBay 代表客户处理客户个人数据的场景，并补充服务条款。若你仅作为个人用户使用 PocketBay，本文件可能不适用；若你作为企业、团队、开发者或控制者通过 PocketBay 处理最终用户、客户、员工或其他个人数据，本文件可作为双方数据处理安排的基础，除非双方另行签署书面 DPA。
通常情况下，你是客户个人数据的控制者/业务方，PocketBay 是处理者/服务提供商。对于 PocketBay 自身账号、账单、安全、支持、营销和平台运营数据，PocketBay 通常作为独立控制者处理，并适用《隐私政策》。同一资料可能因目的不同而具有不同角色：为你按指令托管、处理资料时，PocketBay 通常是处理者；为平台自主决定的目的（例如公开项目比较、营销或产品改进）使用资料时，可能构成独立控制者。具体角色按实际目的和控制关系确定，不统一声明平台永远只是处理者。
本附录涵盖受托处理的主题、期限、目的、数据类别、主体类别、指令范围、保密、安全措施、再委托条件、安全事件及权利请求协助、删除返还和必要核验安排。适用法律要求更具体的数据处理条款、标准合同条款、跨境传输机制、审计权或行业合规承诺时，PocketBay 会按法定要求补充或另行签署书面协议，不会以“客户有需要再另签”替代依法应履行的义务。
2. 处理指令、目的和数据类型
PocketBay 将按照服务条款、产品配置、你的指令、文档、订单、支持请求和适用法律处理客户个人数据。处理目的包括提供、维护、保护、支持、排障、备份、恢复、计费、优化、合规和改进服务。
客户个人数据可能包括最终用户数据、账号信息、项目数据、日志、IP、设备信息、配置、通信内容、支持信息、应用数据、数据库内容、上传文件、AI 诊断上下文和你通过服务提交或处理的其他个人数据。数据主体可能包括你的用户、客户、员工、承包商、管理员、开发者和其他个人。
你负责确保处理指令合法、透明、明确，并拥有处理客户个人数据所需的所有通知、同意、合同、合法权益、授权或其他法律基础。
3. 安全措施和保密
PocketBay 将采取合理的技术和组织措施保护客户个人数据，包括适当的访问控制、权限管理、传输保护、日志记录、隔离、监控、漏洞修复、员工/承包商保密义务和安全事件响应。具体措施可随技术、风险、服务类型和上游服务变化而调整。
PocketBay 不承诺默认符合任何特定认证或监管框架，例如 HIPAA、PCI DSS、SOC 2、ISO 27001、GDPR、CCPA、PDPA、金融、医疗或政府合规，除非 PocketBay 明确书面确认。你不得在未获书面同意的情况下处理需要特定认证或特殊监管的数据。
你负责配置合理的安全设置、访问权限、密钥、备份、日志脱敏、应用安全、数据库安全、最终用户通知和合规措施。
4. 子处理方、第三方服务和跨境传输
你授权 PocketBay 使用子处理方和第三方服务商来提供服务，包括云基础设施、存储、数据库、CDN、域名、证书、支付、KYC/KYB、邮件、短信、身份、AI 模型、监控、日志、分析、安全、支持、税务和法律服务商。PocketBay 将要求子处理方承担与其处理活动相适应的保密和数据保护义务。
PocketBay 可更新子处理方列表、服务地区、数据传输路径和上游服务。你如对新增子处理方有合理的数据保护异议，应在通知或公布后的合理期限内发送至 support@pocketbay.com；PocketBay 可选择解释、提供替代方案、限制功能或允许你停止相关服务。
服务可能涉及跨境传输。你负责确定跨境传输是否合法并取得必要同意、评估、合同、备案或其他机制。PocketBay 可根据实际服务架构和上游安排处理或存储数据。
5. 数据主体请求、删除和审计
如果 PocketBay 收到与你的客户个人数据有关的数据主体请求、监管请求或投诉，PocketBay 可将请求转交给你，并在合理范围内提供协助。你负责响应数据主体请求，除非适用法律要求 PocketBay 直接响应。
服务终止、项目删除或你合理要求时，PocketBay 将按服务功能、系统周期、备份周期、法律、账单、安全、争议和合规需要删除、匿名化、导出或保留客户个人数据。PocketBay 不保证所有备份或日志立即删除。
在合理请求、适用法律要求和保密限制下，PocketBay 可提供安全说明、政策摘要、第三方审计材料或合理问卷响应。任何现场审计、渗透测试、日志导出、源码审查或客户专属审计必须事先书面同意，且不得危害 PocketBay、其他用户或上游服务安全。