Unicorn Intelligence：数据处理协议
版本日期：2026 年 10 月 29 日
本数据处理协议（“本 DPA”）构成客户与 Unicorn Private LLC（地址：16192 Coastal Highway, Lewes, Delaware 19958, United States of America，“Unicorn Private”）之间的 Unicorn Intelligence 服务条款（“条款”）的组成部分。本 DPA 与条款一同在线接受并自动适用。无需另行签署。
1. 定义
1.1 “控制者”“处理者”“个人数据”“处理”“数据主体”和“个人数据泄露”具有欧盟第 2016/679 号条例（“GDPR”）赋予的含义。
1.2 “适用数据保护法”是指 GDPR、英国 GDPR 和 2018 年《数据保护法》、瑞士《联邦数据保护法》、美国隐私法律以及适用于该处理的任何其他数据保护法律。
1.3 “客户个人数据”是指客户上传至本服务的个人数据，或本服务代表客户处理的个人数据，详见附件 1。
1.4 “子处理者”是指 Unicorn Private 委托处理客户个人数据的第三方。
1.5 “SCC”是指经欧盟委员会第 (EU) 2021/914 号实施决定批准的标准合同条款模块 2（控制者至处理者），以及对于从英国进行的传输，英国《国际数据传输附录》。
2. 角色
2.1 就客户个人数据而言，客户为控制者，Unicorn Private 为处理者。
2.2 就客户的用户和账单联系人的数据（姓名、电子邮件、使用日志）而言，Unicorn Private 依据其隐私声明作为独立控制者行事。
3. 指示
3.1 Unicorn Private 仅根据客户的书面指示处理客户个人数据。条款、本 DPA 以及客户对本服务的配置（上传的名单、画像、提醒、webhook）构成客户的完整指示。
3.2 如 Unicorn Private 认为某项指示违反适用数据保护法，应告知客户。
3.3 客户对处理的合法性负责，包括对其交易对手进行筛查的法律依据，以及其必须向数据主体提供的任何信息。
4. 保密
获授权处理客户个人数据的人员负有保密义务。
5. 安全
5.1 Unicorn Private 实施附件 2 所述的技术和组织措施。
5.2 Unicorn Private 可以更新相关措施，但不得降低整体安全水平。
6. 子处理者
6.1 客户一般性授权委托附件 3 及 intel.unicornprivate.com/trust 上所列的子处理者。
6.2 Unicorn Private 至少提前 30 天在该页面通知变更。客户可在该期限内基于合理的数据保护理由通过电子邮件提出异议；如双方无法解决异议，客户可以终止受影响的服务，并获得剩余期限预付金额的退款。
6.3 Unicorn Private 对每个子处理者施加与本 DPA 同等的数据保护义务，并对其子处理者承担责任。
7. 国际传输
7.1 客户个人数据可能在美国以及子处理者运营的其他国家处理。
7.2 对于从欧洲经济区、瑞士或英国向未获充分性认定的国家传输个人数据的情形，SCC 通过引用纳入本 DPA，客户为数据输出方，Unicorn Private 为数据输入方。第 7 条（加入条款）适用；第 9 条适用选项 2，通知期限为第 6.2 条规定的期限；第 11 条的可选措辞不适用；第 17 条和第 18 条适用爱尔兰法律和法院。本 DPA 的附件 1 至附件 3 补充 SCC 的附件。
8. 协助
8.1 考虑到处理的性质，Unicorn Private 主要通过本服务的功能（名称的搜索、导出和删除）协助客户处理数据主体的请求。
8.2 Unicorn Private 提供合理的信息，协助客户进行数据保护影响评估以及与监管机构的咨询。
9. 个人数据泄露
Unicorn Private 在知悉影响客户个人数据的个人数据泄露后，将无不当延迟地通知客户的管理员用户，且无论如何不迟于 72 小时，并提供当时可获得的信息。
10. 删除和返还
本服务结束时，Unicorn Private 将在 30 天内删除客户个人数据，法律要求保存的除外。在此之前，客户可以通过控制台和 API 导出其数据。
11. 审计
11.1 Unicorn Private 提供证明遵守本 DPA 所需的信息，包括安全页面以及发布在 intel.unicornprivate.com/trust 上的已填写安全问卷。
11.2 如该等信息不足，且适用数据保护法或监管机构要求进行审计，客户可以书面问卷方式进行审计，费用自理，每年不超过一次。
12. 责任及优先顺序
12.1 在法律允许的范围内，条款中的责任限制适用于本 DPA。
12.2 如有冲突，SCC 优先于本 DPA，本 DPA 优先于条款。
附件 1：处理说明
- 处理事项和期限： 在条款有效期内提供本服务，另加最多 30 天用于删除。
- 性质和目的： 存储名称名单；与制裁名单、政治公众人物名单、破产登记和新闻进行自动比对；编制档案；提醒和 webhook；审核决定的审计日志。
- 数据主体类别： 客户的交易对手（客户、供应商、合作伙伴及其董事、股东和代表）以及客户所申请档案中提及的人员。
- 数据类别： 姓名、别名、出生日期（如提供）、国家、公司识别信息（LEI、注册号、网站）、客户内部参考号、比对结果、审核人员的备注。
- 特殊类别： 本服务不需要任何特殊类别数据。有关制裁或政治公众人物身份的信息来自公开的官方来源。客户不应上传特殊类别数据或有关刑事定罪的数据。
- 频率： 持续。
附件 2：技术和组织措施
- 使用 TLS 1.2 或更高版本进行传输加密；由基础设施服务商进行静态加密。
- 在每次查询中按账户标识符对每个客户的数据进行逻辑隔离。
- 通过一次性邮件链接和会话访问控制台；API 密钥、登录链接和会话仅以 SHA-256 哈希形式存储。
- 每个客户账户内设角色（管理员和成员）；Unicorn Private 的管理访问受到限制并由秘密令牌保护。
- 使用 HMAC SHA-256 签名的 webhook；仅接受公共 HTTPS 端点。
- 记录用户、时间和备注的审核决定审计日志。
- 基础设施日志保留有限期限；由基础设施服务商进行备份。
- 根据控制台中的请求删除客户数据，并在本服务结束后 30 天内删除。
附件 3：子处理者
- Cloudflare, Inc.，美国：托管、数据库、存储、邮件发送、用于摘要和翻译的人工智能模型。
- Stripe, Inc.，美国：支付和发票（仅账单数据，不含客户个人数据）。
订阅时在线接受。各语言版本如有差异，以英文版本为准。 English