DPA 与子处理方

1. 角色

客户是其输入或通过 Centropic 处理的个人数据的数据控制者。提供方（Centropic / Engineering Factory）作为数据处理者提供 SaaS。Paddle 作为 merchant of record，为账单和税务目的以独立控制者身份处理支付数据。

2. 处理事项与期限

处理范围包括账户、被分析的公开 URL、结果（score、findings、artifact）、技术日志，以及在套餐启用时的 LLM probe。处理持续至账户生命周期结束，并遵循隐私说明 / 安全及法律要求中列明的保留期限。

3. 数据处理者义务（第 28 条）

• 仅为提供 Centropic 并依据已记录的指示（服务使用）处理数据。
• 确保授权人员承担保密义务。
• 采取适当的技术和组织措施。
• 仅使用附录 A 所列子处理方；重大变更将予以通知。
• 在适用情况下协助客户处理数据主体权利、DPIA 和 data breach。
• 账户关闭后删除或返还数据，法律义务另有要求的除外。
• 提供证明合规所需的信息。

4. 国际传输

部分子处理方（尤其是 LLM 和美国工具）可能在 EEA/英国以外处理数据。传输依据各供应商政策下的适当保障（如 SCC / 充分性认定）。如需最新摘要，请联系 info@centropic.ai.

5. 客户义务

客户保证其有权分析所指定的网站，未经书面附录不得上传特殊类别数据，并遵守条款（不得进行滥用性扫描）。对于 white-label / 多客户 Business 场景，客户仍作为其最终用户的数据控制者。

6. 接受

使用 Business/代理机构功能，或订单引用本版本 DPA，即构成接受。如需会签副本，请联系 info@centropic.ai. 如在隐私事项上发生冲突，本 DPA 就处理义务优先于服务条款。

附录 A — 当前启用的子处理方

清单根据生产配置更新。未启用的提供商不会从本实例接收数据。