法律文本
数据处理协议（DPA）
版本 V1.0 · 更新于 2026-10
本文本为 V1.0 草案，正式商用前将经执业律师审阅定稿；届时以定稿版本为准。
本页是公开范本，不构成已签署的数据处理协议。正式 DPA 在订购单签署时随附并逐项填写附件；标注「待定 / TBD」的条款尚未确定，不构成任何承诺。
缔约主体（待填）
以下字段尚未确定，本页不填写任何占位性的公司名称、注册号或邮箱地址。在这些字段确定之前，本范本不能作为可签署文本使用。
- 签约主体工商注册全称（中文 / 英文）待定
- 以营业执照记载为准，中英文名称须一致对应。
- 统一社会信用代码待定
- 用于附件一 A 栏「当事方」的身份识别。
- 注册地址与主要办公地址待定
- 两者不一致时须分别载明。
- 数据保护事务对外联系方式待定
- 须为实际可收信的地址，并进入第三十条处理活动记录。
- 欧盟代表（GDPR 第 27 条）及其所在成员国待定
- 受第 3(2) 条约束且在欧盟无设立的处理者须书面指定；是否指定尚在评估。
- 数据保护官（GDPR 第 37 条）待定
- 是否落入第 37 条的指定情形尚未判定。
- 是否存在境外签约主体，以及欧盟客户与哪一主体签署待定
- 直接决定传输链路与附件一 B 的传输说明。
一、本文件的性质与效力
- 本页是海问 HQ 公开发布的数据处理协议（DPA）范本，供潜在客户在采购评估阶段查看我们准备承担的处理者义务。
- 本页不构成已签署的数据处理协议。正式 DPA 在订购单签署时随附，并逐项填写附件一至附件三；以双方签字（含电子签署）的版本为准。
- GDPR 第 28(9) 条要求处理者合同采用书面形式，含电子形式。
- 本范本中标注「待定（TBD）」的条款尚未确定，不构成任何承诺；缔约主体信息见下方「缔约主体（待填）」一节。
二、双方角色与适用范围
- 就客户在工作台录入与生成的业务数据，客户为控制者，海问为处理者，按本协议与客户的书面指示处理。
- 就账号注册、计费与平台安全审计数据，海问就该部分处理为控制者，适用《隐私政策》而非本协议。
- 本协议随主服务合同（《服务条款》或订购单）生效，效力及于客户组织内全部获授权用户。
- GDPR 第 28(10) 条：处理者若违反本条例、自行决定处理的目的与方式，就该处理被视为控制者。海问不将客户业务数据用于本协议约定之外的自有目的。
三、处理的标的、期限、性质与目的（第 28(3) 条首段）
- 标的：客户为使用海问 HQ 出海合规与 ESG 自助咨询平台而提交、或在平台内生成的个人数据。
- 期限：自主服务合同生效之日起至服务终止，并延续至按第十一节完成删除或返还之日。
- 性质与目的：为提供诊断、知识检索、证据管理、报告生成、AI 咨询与协作功能所必需的收集、存储、检索、使用、传输与删除。
- 平台输出为决策辅助信息，不构成法律意见、审计意见或认证结论；本协议不改变《服务条款》第一节的这一定性。
四、个人数据类型与数据主体类别（第 28(3) 条首段）
- 个人数据类型与数据主体类别在附件一逐项列明，并在订购单签署时与客户核对确认。
- 当前在线服务实际处理的四类数据（账号信息、企业画像与业务数据、使用数据、AI 对话内容）与《隐私政策》第一节一致。
- 平台不要求客户提供 GDPR 第 9 条项下的特殊类别个人数据；客户不应在自由文本字段中录入此类数据，确有需要的须事先书面约定（待定（TBD））。
五、按书面指示处理（第 28(3)(a) 条）
- 海问仅按客户的书面指示处理个人数据，包括关于向第三国或国际组织传输个人数据的指示；本协议、订购单与客户在平台内的配置构成初始书面指示。
- 若海问所受的欧盟或成员国法律要求其进行某项处理，海问将在处理前告知客户该法律要求，除非该法律基于重大公共利益的重要理由禁止此种告知。
- 第 28(3) 条第二段：海问认为客户的某项指示违反 GDPR 或欧盟／成员国其他数据保护规定的，将立即告知客户。
- 需要如实指出的边界：上款的法定例外只覆盖欧盟或成员国法律。中国法项下的强制要求不落入该例外，其处理方式见第十五节。
六、保密与人员（第 28(3)(b) 条）
- 海问将确保获授权处理个人数据的人员作出书面保密承诺，或负有适当的法定保密义务；在本节末列出的人员管理细节落定前，本条为拟承担的义务而非既成事实。
- 平台侧的访问隔离以行级安全策略与服务端密钥隔离实现，具体措施见附件二。
- 人员管理的制度细节（背景调查范围、保密协议模板、离职权限回收时限、违规处理）：待定（TBD），在订购单签署前补充。
七、安全措施（第 28(3)(c) 条 / 第 32 条）
- 海问按第 32 条实施与风险相称的技术与组织措施；措施清单见附件二。
- 附件二只列已在平台实现、可核查的措施。「采取行业标准措施」这类无法核查的表述不作为承诺。
- AI 场景的重点控制：训练数据与模型权重的访问控制与加密、推理日志中个人数据的最小化与脱敏、提示词与输出的留存策略、以及模型服务商侧的控制。
- 认证状态须如实说明：海问目前未取得 ISO/IEC 27001 认证，也未出具 SOC 2 报告。若日后取得，可按第十二节作为审计的补充方式（待定（TBD））。
八、再处理者（第 28(3)(d) 条 / 第 28(2)、(4) 条）
- 现有再处理者清单见附件三；清单随服务变更更新。
- 授权模式（第 28(2) 条与标准合同条款第 9(a) 条的「特定事前授权」与「一般书面授权」二选一），以及再处理者增删的提前告知期：待定（TBD），在订购单确定。
- 采用一般书面授权的，海问将在增删再处理者前按约定期限书面告知客户，使客户有充分时间提出反对；客户反对时的处理方式（替代方案或终止权）：待定（TBD）。
- 海问将以书面合同向再处理者施加与本协议实质相同的数据保护义务；截至本版本，与附件三所列各再处理者的数据处理协议尚在落实中（待定，TBD）。无论是否落定，再处理者未履行其数据保护义务的，海问对客户仍负全部责任（第 28(4) 条）。
九、协助客户：数据主体权利与第 32 至 36 条（第 28(3)(e)、(f) 条）
- 考虑处理的性质，海问以适当的技术与组织措施、在可能的范围内协助客户履行响应 GDPR 第三章数据主体权利请求的义务（第 28(3)(e) 条）。
- 考虑处理性质与海问可得的信息，海问协助客户履行第 32 至 36 条义务，即处理安全、个人数据泄露通知、数据保护影响评估与事先咨询（第 28(3)(f) 条）。
- 需要如实说明的技术难点：向量检索语料、AI 会话历史、运行日志与缓存中的个人数据删除需跨多个存储层执行，无法保证在单次操作中即时完成；具体处理路径与完成时限以订购单为准（待定（TBD））。
- 海问收到直接来自数据主体的请求时不自行答复，转交客户处理，除非客户另有书面指示。
十、个人数据泄露通知（第 33(2) 条）
- 海问在知悉涉及客户个人数据的泄露后，不得不当迟延地通知客户，并提供客户履行第 33 条、第 34 条义务所需的信息。
- 第 33(2) 条对处理者未规定固定时限（第 33(1) 条的 72 小时是控制者向监管机构申报的时限，不是处理者向控制者通知的时限）。本范本因此不写具体时限；对客户的承诺时限以订购单为准（待定（TBD））。
- 值班安排与事件响应演练：待定（TBD）。
十一、服务终止后的删除或返还（第 28(3)(g) 条）
- 与处理相关的服务提供结束后，海问按客户的选择删除或返还全部个人数据，并删除现有副本，除非欧盟或成员国法律要求留存该等个人数据。
- 客户作出选择的窗口期、导出格式，以及备份介质上副本的删除完成时限：待定（TBD）。
- 《服务条款》第七节已载明客户可随时停止使用并申请删除组织数据；本节与之衔接，不构成新增限制。
十二、信息提供与审计（第 28(3)(h) 条）
- 海问向客户提供证明本条义务遵守情况所必需的全部信息，并允许并协助由客户或客户委托的其他审计师实施的审计，包括现场检查。
- 审计频次、提前通知期、费用承担，以及对审计师的保密要求：待定（TBD）。
- 第 28(5) 条：处理者遵守经批准的行为准则（第 40 条）或认证机制（第 42 条）「可以作为」证明充分保证的一项要素，而不是审计义务的豁免。海问目前既无上述行为准则备案，也未取得前述认证，因此现阶段不以第三方报告替代审计。
十三、处理活动记录（第 30(2) 条）
- 海问保存代表各控制者开展的全部处理活动类别的记录，内容包括：处理者与各控制者（及其代表与数据保护官，如适用）的名称与联系方式；代表各控制者开展的处理类别；向第三国或国际组织的传输情况，含目的地识别与适当保障措施的文件；以及第 32(1) 条所述安全措施的一般描述。
- 记录采用书面形式，含电子形式，并应主管监管机构要求提供。
- 记录中「处理者名称与联系方式」一栏依赖下方「缔约主体（待填）」的信息，在该信息确定前无法定稿。
十四、国际传输与中国侧出境义务
- 海问的运营主体位于中国。中国大陆目前不在欧盟委员会的充分性认定清单内，因此欧盟客户（控制者）向海问（处理者）传输个人数据的默认依据是欧盟标准合同条款（委员会第 (EU) 2021/914 号实施决定）。
- 模块按双方真实角色选择：客户为控制者的适用模块二（控制者→处理者）；客户本身是他人处理者的适用模块三（处理者→处理者）。模块选择、附件一 A/B/C、附件二技术与组织措施、附件三次处理者清单，在订购单签署时逐项确定。
- 标准合同条款第 14 条要求在传输前完成并留存传输影响评估（TIA），且属持续义务。海问的立场是由中方主动准备评估材料并随客户尽调提供；但须如实说明：截至本版本日期，海问尚未就任何客户场景出具传输影响评估结论，评估在订购阶段逐案开展。
- 远程访问本身即构成传输：中国境内团队对欧盟生产环境的运维访问、支持坐席、跨境日志与备份都应计入传输清单。
- 中国侧的出境义务方向相反、须分别判断：《促进和规范数据跨境流动规定》（国家互联网信息办公室令第 16 号）第四条规定，在境外收集和产生的个人信息传输至境内处理后再向境外提供、且处理过程中没有引入境内个人信息或者重要数据的，免予申报数据出境安全评估、免予订立标准合同、免予通过认证。海问在具体项目中是否适用该条以逐案书面判定为准，不作一般性承诺。
- 无论是否适用上述豁免，《个人信息保护法》项下的告知、单独同意与个人信息保护影响评估义务均不豁免（令第 16 号第十条重申），影响评估报告与处理情况记录至少保存三年（《个人信息保护法》第五十五条、第五十六条）。
十五、公共机关访问请求（标准合同条款第 15 条 / 《数据安全法》第三十六条）
- 按标准合同条款第 15.1(a) 条：海问收到目的地国公共机关（含司法机关）就本协议项下数据发出的具有法律约束力的披露要求，或知悉公共机关对该等数据的直接访问时，迅速通知客户，并在可能时通知数据主体；通知包含被要求的个人数据、提出要求的机关、法律依据与所作答复。
- 按第 15.1(b) 条：目的地国法律禁止此种通知的，海问尽最大努力争取解除该禁止，并书面记录其努力，以便应客户要求予以证明。
- 按第 15.1(c)、(d) 条：在目的地国法律允许的范围内，海问在合同期内定期向客户提供所收到请求的相关信息（数量、被要求的数据类型、提出要求的机关、是否提出抗辩及其结果），并在合同期内留存上述信息、应主管监管机构要求提供。
- 按第 15.2 条：海问审查披露要求的合法性，经审慎评估认为有合理理由认定其不合法的提出抗辩并寻求上诉与中止效力的临时措施，在适用程序规则要求之前不予披露，并书面记录法律评估与抗辩过程。
- 与中国法的衔接必须如实说明：《数据安全法》第三十六条规定，非经中华人民共和国主管机关批准，境内的组织、个人不得向外国司法或者执法机构提供存储于中华人民共和国境内的数据；第四十八条对违反者设罚则。该条约束的是「向外国机关提供数据」，与第 15.1 条「向客户通知」方向不同，二者可以并行。海问拟定的处置流程为：接收 → 冻结 → 法律评估 → 依中国法报批 → 在法律允许的范围内通知客户；该流程将在正式 DPA 签署前建立，本节末列出的责任人与法律支持落定后方可视为已就位。
- 海问不作出「拒绝一切政府数据请求」之类的承诺——任何处理者都无法在法律上保证这一点，作出该承诺反而与传输影响评估的诚实评估要求相悖。客户的评估应以上述拟定流程及其落地状态为对象。
- 上述接收与冻结流程的责任人指定、可动用的中国与欧盟两侧法律支持，以及是否定期向客户提供第 15.1(c) 条的透明度统计：待定（TBD）。
十六、欧盟代表、数据保护官、变更与联系
- GDPR 第 27 条要求受第 3(2) 条约束且在欧盟无设立的控制者或处理者书面指定欧盟代表；豁免仅限于偶发、不涉及大规模处理第 9(1) 条特殊类别数据或第 10 条刑事数据、且不太可能对自然人权利自由造成风险的处理。海问是否指定欧盟代表、由谁担任、设于哪一成员国：待定（TBD），正在评估。
- 是否落入 GDPR 第 37 条指定数据保护官的情形，以及数据保护事务的对外联系方式：待定（TBD）。
- 责任与赔偿的分配以主服务合同为准；本范本的变更在本页公示，正式 DPA 的变更按主服务合同约定通知客户。
- 在正式联系方式确定前，与本协议有关的问询请通过站内联系页提交，或联系您的客户成功顾问。
附件一 · 传输说明
以下为当前在线服务的实际口径；标「待定」的行在订购单签署时与客户逐项确认。
项目
内容
数据主体类别
客户的员工与其在工作台内获授权的用户；客户录入的业务联络人。是否涵盖客户的终端个人用户、求职者或其他类别，由订购单逐案确定。待定
个人数据类型
账号信息（注册邮箱、手机号、企业名称与角色）；企业画像与业务数据；使用数据（登录日志、功能使用记录、安全审计事件）；AI 对话内容。口径与《隐私政策》第一节一致。
敏感数据
平台不要求提供 GDPR 第 9 条特殊类别个人数据。客户如确需处理此类数据，其范围与额外保障措施须事先书面约定。待定
传输的频率
持续性传输（在线 SaaS 服务，随客户使用实时发生）。
处理的性质与目的
见第三节：为提供诊断、知识检索、证据管理、报告生成、AI 咨询与协作功能所必需的处理。
保存期限
与主服务合同同期；终止后按第十一节删除或返还。各数据类别的具体保存期限在订购单约定。待定
再处理者的处理内容与期限
见附件三；各再处理者的处理期限与主服务期限一致。
主管监管机构（附件一 C）
依客户（出口方）的设立地或其欧盟代表所在地确定，在订购单填列。待定
附件二 · 技术与组织措施
标准合同条款附件二要求措施具体到可核查。本表只列已在平台实现、可被复核的措施；尚未制度化的项目显式留白，不以概括性表述充数。
措施
说明
传输与静态存储加密
业务数据托管于 Supabase（Postgres），传输与静态存储均加密。口径与《隐私政策》第三节一致。
多租户隔离
按组织实施数据库行级安全策略（RLS），并以真实用户会话脚本做端到端隔离验证。
密钥与权限分层
服务端角色密钥仅在受控服务端环境使用，不进入客户端构建产物；无用户态场景（回调、周更任务、播种）单独授权。
全能Agent顾问写入的人工审批与审计
全能Agent顾问提出的写入须经组织所有者或管理员审批后才落库，并留存审计事件。
接口防护
公开 API 实施速率限制，并以跨域来源白名单收紧生产环境访问。
日志保留期、密钥轮换周期、备份与恢复演练、渗透测试、可用性承诺
尚未形成可对外承诺的制度化口径，不以「行业标准措施」一类表述代替。待定
附件三 · 再处理者清单
本清单只列会接触客户个人数据的服务商，按仓库中实际在用**或代码已实现但生产未启用**的服务如实列出，两类一并披露、状态分别标注。
服务商
用途
接触的数据
状态
部署区域
Supabase
数据库与身份托管（Postgres、Auth）
工作台业务数据、账号信息、审计事件
在用
待定
Vercel
应用托管与边缘网络
经应用处理的请求数据与运行日志
在用
待定
DeepSeek
AI 推理（对话与非流式补全）；其向量嵌入接口代码已实现、生产未启用
对话内容与注入的企业画像上下文
在用
待定
SiliconFlow（硅基流动）
检索向量嵌入（lib/embedding.ts）
提问的检索文本与平台知识库语料
在用
待定
Upstash
缓存与速率限制（Redis REST）
缓存键与限流计数，可含账号或来源标识
在用；未配置时回落进程内存
待定
Resend
事务性邮件投递
收件邮箱地址与邮件正文
代码已实现，生产环境尚未配置密钥，当前未启用
待定
阿里云短信
手机号 OTP 短信下发（lib/auth/providers/aliyun-sms.ts）
手机号码、验证码下发记录
代码已实现，生产未配置签名与凭据，当前未启用
待定
微信开放平台
网站应用扫码登录（lib/auth/providers/wechat.ts）
UnionID / OpenID 及登录回调返回的基础资料
代码已实现，生产未取得开放平台资质，当前未启用
待定
智谱 AI
可切换的检索向量嵌入服务商（lib/embedding.ts）
启用时：提问的检索文本与平台知识库语料
代码已实现，生产未启用
待定
OpenAI
可切换的检索向量嵌入服务商（lib/embedding.ts）
启用时：提问的检索文本与平台知识库语料
代码已实现，生产未启用
待定
Stripe / 支付宝 / 微信支付
支付与订单回调（lib/payments/*）
订单标识与支付渠道返回的交易信息（海问不接触完整卡号）
代码已实现，创始人已决定暂不上线在线支付，生产未配置商户凭据，当前未启用
待定
- 「部署区域」一栏全部留白：各服务商项目所在区域、以及 AI 推理的实际执行地，目前无法从我方已发布的材料中核实，不作推测性填写。
- 周更资讯检索使用的搜索服务仅处理公开监管信息的检索词，是否会接触客户个人数据尚未核实，故不列入本清单，也不隐去此说明。
- 本清单随服务变更更新；变更的告知机制与提前期见第八节（待定）。
法源与核实说明
- 本页引用的 GDPR 第 27、28、30、32 至 36 条，以及标准合同条款第 9、14、15 条，于 2026-09-12 取自欧盟出版局（Publications Office of the EU）官方文本仓库的内容协商端点（CELEX 32016R0679 与 32021D0914）并逐字比对。
- 常规查阅入口为 EUR-Lex 的 CELEX:32016R0679 与实施决定 (EU) 2021/914；2026-09-12 当天该站点自述暂不完全可用，本页未对该入口做可达性实测。
- 中国侧引用《数据安全法》第三十六条与第四十八条、《个人信息保护法》第五十五条与第五十六条，以及《促进和规范数据跨境流动规定》（国家互联网信息办公室令第 16 号）第四条与第十条，依据平台知识库 2026-09 版语料。
- 本页为决策辅助材料，不构成法律意见；对外签署前请交由执业律师复核。