最后更新: 2026年9月15日. 此版本取代上次更新于2026年7月31日的版本.

本数据处理附录 (“DPA”) 是您与您所代表的实体 (“客户”, “您” 或 “您的”) 和 Mapsly LLC (“MAPSLY”) 之间的协议。本 DPA 补充了 MAPSLY 服务条款，可在以下地址获取, https://mapsly.com/terms, 由客户与MAPSLY不时更新，或客户与MAPSLY之间规范客户使用MAPSLY服务的其他协议（“协议”）。 “客户”指MAPSLY服务条款中定义为“用户”的实体。本DPA适用于MAPSLY在提供服务时代表客户处理客户数据的范围。

定义. 本 DPA 中使用的所有大写术语均具有下文赋予的含义，除非本协议另有定义:

API 表示应用程序编程接口.

适用的数据保护法 指适用于一方处理客户数据并对其具有约束力的所有法律法规，包括（如适用）GDPR、UK GDPR 和 UK Data Protection Act 2018、瑞士联邦数据保护法（“FADP”），以及适用的美国联邦和州隐私法律（包括经修订的 California Consumer Privacy Act）。

约束性公司规则 具有 GDPR 中赋予它的含义.

控制器 具有 GDPR 中赋予它的含义.

控制者对处理者条款 指控制者与处理者之间用于数据传输的标准合同条款, 经 2021 年 6 月 4 日欧盟委员会实施决定 (EU) 2021/914 批准.

客户数据 指在客户的 MAPSLY 账户下上传至服务或在服务内生成的个人数据，不包括第 1.5 节中所述的最终用户账户和使用信息。

“数据隐私框架”或“DPF” 共同指, 欧盟-美国数据隐私框架, 欧盟-美国数据隐私框架的英国扩展, 以及瑞士-美国数据隐私框架, 由美国商务部管理.

文档 指位于以下地址的服务当时有效文档, https://help.mapsly.com (以及由 MAPSLY 指定的任何后续地点).

EEA 指欧洲经济区。

最终用户 指客户的 Mapsly 账户的用户，包括由客户指派使用 Mapsly 的客户员工和承包商。

GDPR 指欧洲议会和理事会于2016年4月27日颁布的关于在个人数据处理方面保护自然人以及此类数据自由流动的第2016/679号法规，并废除第95/46/EC号指令（通用数据保护条例）。

MAPSLY 网络 指由 MAPSLY 控制并用于提供服务的服务器、网络设备和主机软件系统（例如，虚拟防火墙）。

MAPSLY 设置控制台 指 Mapsly Service 中的 Setup 部分，可在主菜单的 “Setup” 下使用.

个人数据 指个人数据、个人信息、个人身份识别信息或其他等同术语 (均按适用数据保护法定义).

处理中 具有 GDPR 中赋予其的含义，且 “处理”、“处理”和“已处理”将据此解释。

处理器 具有 GDPR 中赋予它的含义.

处理者间条款 指经 2021 年 6 月 4 日欧盟委员会实施决定 (EU) 2021/914 批准的、处理者之间用于数据传输的标准合同条款。

安全事件 指 MAPSLY 的安全漏洞导致客户数据被意外或非法销毁、丢失、更改、未经授权披露或访问。

服务控制 指服务提供的控制措施，包括安全特性和功能，如文档中所述。

标准合同条款 指 (i) 控制者对处理者条款, 或 (ii) 处理者对处理者条款, 视情况根据第9.2.1节和第9.2.2节适用, 并在适用时由UK Addendum（针对受UK GDPR约束的数据传输）以及第9.2.4节所述的瑞士调整（针对受FADP约束的数据传输）予以补充。,

第三国 指位于 EEA、英国或瑞士以外，且未被欧盟委员会（或在适用情况下，英国或瑞士主管机构）认定为可为个人数据提供充分保护水平的国家（如 GDPR、UK GDPR 或 FADP 中所述，视情况适用）。

英国附录 指由英国信息专员发布的欧盟委员会标准合同条款国际数据传输附录, 于2022年3月21日生效.

UK GDPR 指根据 2018 年《欧洲联盟（退出）法》第 3 条构成英国法律一部分的 GDPR.

1. 数据处理

1.1 范围和角色. 本 DPA 适用于 MAPSLY 处理客户数据的情况。在此情况下，MAPSLY 将作为客户的处理者，而客户可以作为客户数据的控制者或处理者。

1.2 客户控制. 客户可以使用服务控制来协助其履行适用数据保护法项下的义务，包括其回应数据主体请求的义务。考虑到处理的性质，客户同意，MAPSLY不太可能知晓根据标准合同条款传输的客户数据不准确或已过时。尽管如此，如果MAPSLY知晓根据标准合同条款传输的客户数据不准确或已过时，MAPSLY将及时通知客户，不得无故延迟。MAPSLY将通过提供客户可用于删除或更正客户数据的服务控制，与客户合作删除或更正根据标准合同条款传输的不准确或已过时的客户数据。

1.3 数据处理详情.

1.3.1 主题. 本 DPA 项下数据处理的标的是客户数据.

1.3.2 持续时间. 处理将在协议期限内以及之后为根据第11条返还, 删除, 或合法保留客户数据所需的有限期间内继续进行.

1.3.3 目的. 本 DPA 项下数据处理的目的是提供由客户不时发起的服务。

1.3.4 处理的性质. 计算、存储、地理编码、路线规划、与客户已连接系统的同步，以及文档中所述并由客户不时发起的其他服务，包括在客户使用服务的AI功能时，由作为子处理方聘用的AI模型提供商进行的处理，其目的仅为向客户提供服务。 MAPSLY不会使用客户数据来训练通用人工智能或机器学习模型。 如果客户选择连接由客户控制的AI提供商账户或API凭据，MAPSLY可根据客户的书面指示将客户数据传输给该提供商; 该提供商并不因该连接本身而成为MAPSLY聘用的子处理方，客户应负责其与该提供商之间的协议和数据处理条款。 MAPSLY仍根据本DPA对其自身向该提供商传输客户数据负责。

1.3.5 客户数据类型. 在客户的 MAPSLY 账户下上传至服务或在服务内生成的客户数据，其中可能包括联系人和 CRM 记录、地址和其他位置数据（包括在客户启用位置跟踪、签到或类似功能时最终用户的精确地理位置）、照片、备注、表单回复、音频和视频录制及转录文本、AI 提示词、AI 生成的输出和摘要（在客户使用语音或基于 AI 的功能时），以及自动化和活动数据。

1.3.6 数据主体的类别. 数据主体可能包括客户的客户、潜在客户和线索、员工、供应商和最终用户。

1.4 遵守法律. 各方将遵守在履行本DPA时适用于其并对其具有约束力的所有法律、规则和法规, 包括适用的数据保护法.

1.5 Mapsly 作为控制者. 客户确认，Mapsly 会收集有关客户的最终用户的某些信息 — 例如账户、身份验证、账单、支持和使用信息 — 如 MAPSLY 隐私政策中所述（目前发布于, https://mapsly.com/privacy-policy). 在 Mapsly 决定此类信息处理目的和方式的范围内, Mapsly 作为此类信息的独立 Controller 行事, 并根据 MAPSLY Privacy Policy 和 Applicable Data Protection Law 处理该等信息; 此类信息并非根据本 DPA 处理的 Customer Data. Mapsly 可出于与 Services 的运营, 支持和改进相关的合法业务目的, 在内部以及向其服务提供商披露此类信息, 例如账单, 账户管理, 技术支持和产品开发.

2. 客户说明

The parties agree that this DPA and the Agreement (including Customer providing instructions via configuration tools such as the MAPSLY Setup console and APIs made available by MAPSLY for the Services) constitute Customer’s documented instructions regarding MAPSLY’s processing of Customer Data (“Documented Instructions”). MAPSLY will process Customer Data only in accordance with Documented Instructions (which if Customer is acting as a Processor, could be based on the instructions of its Controllers). Additional instructions outside the scope of the Documented Instructions (if any) require prior written agreement between MAPSLY and Customer, including agreement on any additional fees payable by Customer to MAPSLY for carrying out such instructions. Where an additional instruction is required for Customer’s compliance with Applicable Data Protection Law and the parties are unable, within thirty (30) days, to reasonably agree on its implementation and any applicable fees, Customer may terminate the affected Services by written notice, and MAPSLY will refund Customer the prepaid fees prorated for the unused portion of the then-current Billing Period for the terminated Services. Taking into account the nature of the processing, Customer agrees that it is unlikely MAPSLY can form an opinion on whether Documented Instructions infringe Applicable Data Protection Law. If MAPSLY forms such an opinion, it will immediately inform Customer, in which case, Customer is entitled to withdraw or modify its Documented Instructions.

3. 客户数据的保密性

MAPSLY不会访问或使用任何客户数据，也不会向任何第三方披露任何客户数据，除非在各情况下为维护或提供服务所必需，或为遵守法律或政府机构有效且具有约束力的命令（例如传票或法院命令）所必需。如果政府机构向MAPSLY发送客户数据请求，MAPSLY将尝试引导该政府机构直接向客户请求该数据。作为此项努力的一部分，MAPSLY可能会向政府机构提供客户的基本联系信息。如果被迫向政府机构披露客户数据，则MAPSLY将就该请求向客户提供合理通知，以便客户寻求保护令或其他适当救济，除非MAPSLY在法律上被禁止这样做。

4. MAPSLY 人员的保密义务

MAPSLY限制其人员在未经MAPSLY授权的情况下处理客户数据. MAPSLY对其人员施加适当的合同义务, 包括与保密、数据保护和数据安全相关的义务.

5. 数据处理安全

5.1 MAPSLY 已实施并将维护适当的技术和组织措施，以确保客户数据的安全性和保密性，如本 DPA 附件 A（技术和组织措施）中所述，并符合本 DPA 及 MAPSLY 隐私政策中所述的 Mapsly 安全标准。MAPSLY 可不时更新附件 A 中所述的措施，前提是任何更新均不得实质性降低服务的整体安全性。

5.2 客户责任和可选安全功能. MAPSLY 提供许多服务控制措施，客户可以选择使用这些措施来进一步加强客户数据的安全性。客户负责 (a) 安全使用服务，包括保护其账户身份验证凭据, (b) 在客户数据传输至服务及从服务传输期间保护其安全, (c) 采取任何适当措施，对上传到服务的客户数据进行安全加密或备份, (d) 正确配置服务和服务控制措施, 以及 (e) 采取客户认为足以确保客户数据安全、保护和删除的其他措施.

5.3 安全事件通知.

5.3.1 安全事件. MAPSLY 将 (a) 在知悉安全事件后毫不无故延迟地通知客户该安全事件，并且 (b) 采取适当措施处理该安全事件，包括采取措施减轻因该安全事件导致的任何不利影响。

5.3.2 MAPSLY 帮助. 为使客户能够向监管机构或数据主体（如适用）通报安全事件，MAPSLY将与客户合作并协助客户，在通知中包含MAPSLY能够向客户披露的有关安全事件的信息，同时考虑处理的性质、MAPSLY可获得的信息以及对披露信息的任何限制，如保密性。考虑到处理的性质，客户同意其最能够确定安全事件可能产生的后果。

5.3.3 未成功的安全事件. 客户同意:

(i) 未成功的安全事件不适用于本第5.3节。未成功的安全事件是指未导致对客户数据或存储客户数据的任何MAPSLY设备或设施进行未经授权访问的事件，并且可能包括但不限于针对防火墙或边缘服务器的 ping 和其他广播攻击、端口扫描、未成功的登录尝试、拒绝服务攻击、数据包嗅探（或对流量数据的其他未经授权访问，且该访问未导致超出标头范围的访问）或类似事件; 以及,

(ii) MAPSLY 根据本第 5.3 条报告或响应安全事件的义务，并不且不会被解释为 MAPSLY 承认其对该安全事件存在任何过错或责任。

5.3.4 通信. 安全事件通知（如有）将通过 MAPSLY 选择的任何方式发送给客户的一名或多名管理员，包括通过电子邮件。客户全权负责确保客户的管理员始终在 MAPSLY Setup 控制台上维护准确的联系信息并确保安全传输。

5.3.5 通知义务. 如果 MAPSLY 通知客户发生安全事件，或客户以其他方式知悉客户数据发生任何意外或非法的毁坏、丢失、变更、未经授权的披露或访问，客户将负责 (a) 确定根据适用的数据保护法是否因此产生任何通知义务或其他义务，以及 (b) 采取必要行动以遵守这些义务。这并不限制 MAPSLY 在本第 5.3. 条项下的义务。

6. 分包处理

6.1 授权子处理方. 客户根据本节一般授权 MAPSLY 使用子处理方代表客户对客户数据开展处理活动 (“子处理方”). MAPSLY 网站 (目前发布于, https://mapsly.com/sub-processors/) 列出 MAPSLY 目前使用的子处理者。在 MAPSLY 使用某一子处理者之前至少 30 天，MAPSLY 将更新适用的网站，并向客户提供一种机制，以便客户获得该更新的通知。如需反对子处理者，客户可以: (i) 停止使用 MAPSLY 为其使用该子处理者的 MAPSLY 服务功能，或 (ii) 根据协议条款终止协议。如果客户基于与数据保护相关的合理理由反对新的子处理者，且双方无法在三十 (30) 天内解决该异议，客户可通过书面通知就受影响的服务终止协议，MAPSLY 将按比例向客户退还终止生效日期后当时当前计费周期中未使用部分的预付费用。如果受影响的功能无法与服务的其余部分合理分离，客户可按相同条款终止整个协议。

6.2 子处理方义务. 当 MAPSLY 按第 6.1 节所述授权子处理方时:

(i) MAPSLY 将把子处理者对客户数据的访问限制在根据文档提供或维护服务所必需的范围内, 并且 MAPSLY 将禁止子处理者出于任何其他目的访问客户数据;,

(ii) MAPSLY 将与子处理方签订书面协议，并且，在子处理方执行 MAPSLY 根据本 DPA 提供的相同数据处理服务的范围内，MAPSLY 将向子处理方施加与 MAPSLY 根据本 DPA 所承担的相同合同义务；以及,

(iii) MAPSLY将继续负责其遵守本DPA项下义务，并对分包处理者导致MAPSLY违反MAPSLY在本DPA项下任何义务的任何作为或不作为负责。

7. MAPSLY 对数据主体请求的协助

考虑到处理的性质，服务控制是 MAPSLY 将用于协助客户履行其根据适用数据保护法回应数据主体请求之义务的技术和组织措施。如果数据主体向 MAPSLY 提出请求，MAPSLY 在确认该请求来自客户负责的数据主体后，将立即把该请求转发给客户。客户授权 MAPSLY 代表其自身，并在客户作为处理者行事时代其控制者，向任何向 MAPSLY 提出请求的数据主体作出回应，以确认 MAPSLY 已将该请求转发给客户。双方同意，客户对服务控制的使用以及 MAPSLY 根据本节将数据主体请求转发给客户，代表了客户所需协助的范围和程度。

8. 合规性验证

8.1 MAPSLY 审计。 MAPSLY 使用外部审计员来验证其安全措施的充分性。本审计: (a) 将至少每年执行一次; (b) 将根据广泛认可的标准（例如 SOC 2 Type II）执行; (c) 将由 MAPSLY 选择并承担费用的独立第三方安全专业人员执行; 以及 (d) 将生成审计报告（“报告”）, 该报告将属于 MAPSLY 的机密信息.

8.2 审计报告. 应客户的书面请求, 且前提是各方已签署适用的NDA, MAPSLY将向客户提供报告副本以便客户能够合理核实MAPSLY遵守其在本DPA项下的义务.

8.3 隐私影响评估和事先咨询. 考虑到处理的性质以及MAPSLY可获得的信息，MAPSLY将通过提供MAPSLY根据本第8节提供的信息，协助客户遵守客户在数据保护影响评估和事先咨询方面的义务。

9. 个人数据的传输

9.1 位置. MAPSLY在美国境内的MAPSLY网络中存储和处理客户数据。MAPSLY人员和子处理者可从其运营所在的其他国家/地区远程访问客户数据，但仅限于提供、维护和支持服务所必需的范围；任何此类访问均构成本第9节所管辖的数据传输。除非为提供客户发起的服务所必需，或为遵守法律或政府机构的有效且具有约束力的命令所必需，MAPSLY不会以其他方式将客户数据传输至EEA、英国、瑞士和美国以外地区。

9.2 标准合同条款的适用. 根据第9.3节，标准合同条款仅适用于受GDPR、UK GDPR或FADP约束的客户数据，且该等数据直接或通过后续传输被传输至任何第三国（每次均称为“数据传输”）。

9.2.1 当客户作为控制者行事时，控制者至处理者条款将适用于数据传输。

9.2.2 当客户作为处理者行事时，处理者对处理者条款将适用于数据传输。考虑到处理的性质，客户同意，MAPSLY不太可能知道客户的控制者的身份，因为MAPSLY与客户的控制者没有直接关系，因此，客户将履行MAPSLY根据处理者对处理者条款对客户的控制者所承担的义务。

9.2.3 对于受 UK GDPR 约束的数据传输, 经 UK 附录补充的标准合同条款适用, 并按第 9.4. 节所述填写.,

9.2.4 对于受FADP约束的数据传输，标准合同条款适用并作如下调整: (i) 对GDPR的引用应解读为对FADP的引用; (ii) 主管监督机构为瑞士联邦数据保护和信息专员; (iii) “成员国”一词被解释为包括瑞士，以便瑞士的数据主体可以在其惯常居住地行使其权利; and (iv) 在传输仅受FADP约束的情况下，对欧盟法律的引用应解读为对瑞士法律的引用。

9.3 替代传输机制. 在 MAPSLY 已采用适用数据保护法认可的有效替代传输机制的范围内 — 包括 MAPSLY 根据 EU-U.S. Data Privacy Framework、EU-U.S. Data Privacy Framework 的 UK Extension 以及 Swiss-U.S. Data Privacy Framework 获得的认证 — 只要该机制仍然有效，该机制将适用于数据传输，以取代标准合同条款。如果该替代机制被宣告无效、暂停、撤回，或以其他方式不再为数据传输提供合法依据，则标准合同条款（按第 9.4 节填写）将自动适用于该数据传输，无需任何一方采取进一步行动。只要 MAPSLY 依赖 Data Privacy Framework 进行数据传输，MAPSLY 将维持其 Data Privacy Framework 认证。

9.4 标准合同条款的填写. For each Data Transfer to which the Standard Contractual Clauses apply, the Standard Contractual Clauses are deemed completed as follows: (i) Module Two (transfer controller to processor) applies where Customer acts as a Controller, and Module Three (transfer processor to processor) applies where Customer acts as a Processor; (ii) in Clause 7, the optional docking clause does not apply; (iii) in Clause 9, Option 2 (general written authorisation) applies, and the time period for prior notice of Sub-processor changes is thirty (30) days, in accordance with Section 6.1; (iv) in Clause 11, the optional language does not apply; (v) in Clauses 17 and 18, the governing law and the competent courts are those of Ireland; and (vi) Annex I of the Standard Contractual Clauses is deemed completed with the information set out in Annex B to this DPA, Annex II is deemed completed with Annex A to this DPA, and Annex III is deemed completed with the Sub-processor list referenced in Section 6.1. Where the UK Addendum applies: Table 1 is deemed completed with the parties’ details under the Agreement; Table 2 with the Standard Contractual Clauses as completed above; Table 3 with the Annex information above; and, for Table 4, neither party may end the UK Addendum as set out in Section 19 of the UK Addendum.

10. DPA 的终止

本 DPA 将持续有效，直至协议终止（“终止日期”）。

11. 删除客户数据

在本协议终止或到期时，MAPSLY应根据客户的要求从其活动系统中删除客户数据，并且在任何情况下均不得晚于终止后90天内删除，除非且仅在适用法律要求MAPSLY保留部分或全部客户数据的范围内，在这种情况下，MAPSLY应安全隔离此类数据，保护其免受任何进一步处理，并按照适用的保留期限将其删除。存储在备份系统中的客户数据将在从活动系统中删除后，在MAPSLY备份轮换周期的正常过程中被删除或覆盖，并在删除前受到保护，免受任何进一步处理。

12. 告知义务

如果客户数据在由 MAPSLY 处理期间，因破产或资不抵债程序或第三方采取的类似措施而被没收，MAPSLY 将立即通知客户。MAPSLY 将立即通知此类行动中的所有相关方（例如，债权人、破产受托人），告知其受这些程序约束的任何客户数据均为客户的财产并属于客户的责任范围，且客户数据由客户全权处置。

13. 完整协议; 冲突; 修订

本DPA通过引用纳入标准合同条款。除本DPA所作修订外，本协议将继续保持完全有效。如果标准合同条款、本DPA和本协议在处理客户数据方面存在冲突，标准合同条款应首先适用，本DPA应其次适用，本协议应第三适用。对于所有其他事项，以本协议为准。本文件中的任何内容均不变更或修改标准合同条款。本DPA可根据本协议第14.1条进行修订，前提是MAPSLY将就任何实质性降低本DPA项下客户数据所享有保护的修订提前通知客户。

14. Google Workspace API 数据

使用从 Workspace APIs 接收的原始或衍生用户数据将遵守 Google 用户数据政策，包括 Limited Use 要求。

15. 语言

本DPA以英文编制。mapsly.com上显示的任何译文仅为方便起见而提供。如果译文版本与英文版本之间存在任何不一致或冲突，英文版本可在以下位置获取, https://mapsly.com/dpa, 英文版本应具有优先效力。标准合同条款以其英文版本通过引用纳入; 本节中的任何内容均不变更或修改标准合同条款。

附件 A — 技术和组织措施

MAPSLY 采取以下技术和组织措施来保护客户数据。MAPSLY 可不时更新这些措施，前提是任何更新都不会实质性降低服务的整体安全性。

• 托管与弹性: 服务托管在美国的 Amazon Web Services 上，跨多个可用区运行; 备份每天进行并存储在单独的可用区; 备份恢复至少每年测试一次.
• 加密: 客户数据在静态存储和传输过程中均使用行业标准加密协议进行加密.
• 访问控制: 对生产系统的访问基于角色，按最小权限原则仅限授权人员，在角色变更或离职时及时撤销，并定期审查。
• 身份验证: 支持单点登录和多重身份验证。
• 安全开发: 记录在案的安全开发实践，包括代码审查以及开发、测试和生产环境的隔离。
• 漏洞管理: 由独立第三方定期进行漏洞扫描，并至少每年进行一次渗透测试, 按照基于严重程度的文档化时间表进行修复.
• 日志记录和监控: 与安全相关的事件会被记录、保留和监控.
• 人员: 人员受保密义务约束，并接受安全意识培训.
• 事件响应: 维护一份书面的事件响应计划; 安全事件按照第 5.3. 节处理.
• 业务连续性: 维护有记录的业务连续性和灾难恢复计划。
• 治理: 维护一套成文的信息安全政策并定期审查; 人员接受适用的政策.
• 独立保证: 安全控制措施至少每年由独立第三方依据广泛认可的标准进行审计（目前为 SOC 2 Type II）。

附件 B — 标准合同条款信息

为标准合同条款附件 I 之目的，以下信息适用于每项数据传输:

• 数据输出方: 客户 (客户的 MAPSLY 账户和协议中提供的名称, 地址和联系详情), 按第 9.2 节所述, 作为控制者或代表其控制者作为处理者行事. 联系人: 记录在案的客户管理员联系人.
• 数据导入方: Mapsly LLC, 440 N Barranca Ave #4985, Covina, CA 91723, USA; [email protected]; 作为处理方行事.
• 签名和日期: 各方在接受或签署协议时, 即被视为已签署标准合同条款, 包括其附件, 自协议生效日起生效.
• 数据主体的类别: 如第 1.3.6. 节所述.
• 个人数据类别: 如第 1.3.5. 节所述.
• 敏感数据: 服务并非专门设计为需要特殊类别的个人数据。在客户选择提交此类数据的范围内，客户有责任在提交时遵守适用的数据保护法律，且数据仅根据客户的书面指示进行处理，并受附件 A. 中所述措施的保护,
• 传输频率: 持续, 在第 1.3.2 节所述期限内.
• 处理的性质和目的: 如第 1.3.3 节和第 1.3.4 节所述。向子处理者的传输: 如第 6 节所述，期限相同。
• 保留期限: 如第 11 节所述.
• 主管监督机构 (第13条): 如果数据输出方设立于某一EEA成员国，则为该成员国的监督机构；如果数据输出方未设立于EEA，但属于GDPR的地域适用范围并已指定欧盟代表，则为该代表设立所在成员国的监督机构；如果数据输出方根据第3条(2)属于GDPR的地域适用范围，但未指定欧盟代表，则为被传输个人数据的数据主体所在成员国之一的监督机构。对于受UK GDPR约束的数据传输，为英国信息专员办公室；对于受FADP约束的数据传输，为瑞士联邦数据保护和信息专员。