資料處理協議

根据《通用数据保护条例》（GDPR）第28条签订的数据处理协议（DPA）

版本：2026年3月20日

由

Biscotti CMP的注册客户 ——以下简称“数据控制者”或“客户”——

与

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee 德意志联邦共和国

注册法院：波茨坦地方法院 注册号：HRB 40180 P 增值税号：DE368000447 税务编号：29/249/36095 代表人：Daniel Bosch（首席执行官）、Philipp André Marschall（授权代表） 电子邮件：[email protected] 电话：+49 3322 50703301 营业时间：周一至周五，09:00 - 17:00 – 以下称“数据处理者”或“供应商” –

– 数据控制者与数据处理者以下统称为“双方” –

---

前言

欢迎来到 Campcruisers GmbH！我们非常高兴能为您服务。透明度、最高安全标准以及平等互信的合作关系是我们最重视的。保护您的数据以及网站访问者的数据，对我们而言不仅是法定义务，更是我们公司的一项核心质量承诺。

数据控制者使用由数据处理者开发、运营和销售的基于云的软件即服务（SaaS）解决方案“Biscotti CMP”（同意管理平台）。 在提供这些通过域名 biscotti-cmp.com 及应用程序 app.biscotti-cmp.com 提供的 SaaS 服务过程中，数据处理方将根据数据控制方的委托并按照其指示处理个人数据。 本协议具体规定了双方因使用 Biscotti CMP 而产生的数据保护义务。本协议适用于与主合同（SaaS 服务使用协议）相关且数据处理方的员工或其委托的第三方可能接触到数据控制者个人数据的所有活动。

本协议是满足《欧盟条例 (EU) 2016/679》 （《通用数据保护条例》——GDPR），特别是GDPR第28条，以及《联邦数据保护法》（BDSG）和《电信与数字服务数据保护法》（TDDDG）的补充规定。

[!NOTE] 电子商业交易中的合同订立 根据《通用数据保护条例》（GDPR）第28条第9款，本合同以电子形式订立。在数据控制者进行登录/注册时，本合同即成为Biscotti CMP《一般商业条款》（AGB）的组成部分。 合同的订立通过注册过程中的明确电子同意（例如点击确认按钮）完成，其有效性和法律效力无需单独的亲笔签名。

§ 1 处理的对象与期限

1.1 处理对象 数据处理方为数据控制方提供同意管理（Consent Management）及数据保护合规自动化领域的服务。 个人数据处理的对象由双方就使用 Biscotti CMP 签订的主合同确定。处理包括为提供合同约定的软件功能所需的所有数据相关操作。这尤其包括但不限于：

• 在数据控制者的网站上提供和展示同意横幅（Cookie横幅）。
• 根据《通用数据保护条例》（GDPR）第7条第1款和《电信数据保护法》（TDDDG）第25条第1款，对数据控制者终端用户（网站访问者）的同意决定（同意/拒绝）进行采集、存储、管理和记录。
• 在数据控制者的网站上执行基于人工智能的 Cookie 扫描，以识别和分类跟踪技术，并将其与 IAB 供应商数据库进行比对。
• 在 Google Consent Mode v2、IAB 透明度与同意框架 (TCF 2.4) 以及全球隐私控制 (GPC) 的框架内处理信号。
• 基于 IP 地址确定网站访问者的管辖权，以动态展示符合法律要求的横幅变体（例如 GDPR、CCPA/CPRA）。
• 通过集成式 Legal Suite 助手，利用 Alibaba Cloud Qwen 生成基于 AI 的法律文本（网站声明、隐私政策、Cookie 政策）。
• 提供审计日志、用于实时通知的 Webhooks、A/B 测试功能以及数据导出功能，以履行《GDPR》第 15 条规定的受影响者权利。
• 在“代理商”套餐框架内管理代理商子账户，包括客户管理和白标品牌定制。

1.2 处理期限 本数据处理协议的期限取决于关于使用 Biscotti CMP 的基础主合同的期限。 本合同自数据控制者完成注册并激活账户（针对免费套餐）或收到付款确认（针对Starter、Growth、Business、Agency等付费套餐）时起生效。无论基于何种法律依据（例如：正常解约、特别解约或账户注销），本合同均随主合同终止而自动终止。 主合同的解约通知期为1天，截止至相应计费周期结束之日。本合同中按其性质应在终止后继续有效的条款（特别是关于数据删除和归还以及责任问题的规定）不受终止影响。

§ 2 处理的类型与目的

2.1 处理类型处理类型 包括数据的收集、采集、组织、排序、存储、调整或修改、读取、查询、使用、通过传输、传播或其他形式的提供进行披露、比对或关联、限制、删除或销毁。 处理主要在数据处理方的云基础设施中以自动化方式进行（例如托管于 Hetzner Online GmbH，服务器通常位于欧盟）。

2.2 处理目的 处理目的仅在于履行主合同中的合同义务。这包括：

• 同意的可追溯性：存储同意数据，以履行《通用数据保护条例》（GDPR）第5条第2款结合第7条第1款规定的控制者问责义务。
• 技术支持：展示同意横幅，并根据用户偏好确保数据控制者网站的功能正常。
• 合规性分析：对数据控制者的网站进行自动化检查，以识别数据保护风险（Cookie扫描器）。
• 法律文本起草：处理数据控制者的公司及联系信息，以支持人工智能生成定制化法律文本。
• 计费与账户管理：管理用户账户，分配会话配额（例如免费套餐5,000次会话，商务套餐500,000次会话），并处理会话配额转移。
• 代理商管理：支持在代理商套餐中管理多达 25 个子账户，包括提供经销商页面和电子邮件发送功能。

严禁数据处理方为自身目的（特别是为自身广告目的或创建超出合同服务范围的用户画像）处理数据，除非获得明确的法律许可或单独的同意。

§ 3 个人数据的类型

在委托处理过程中，将处理以下类别的个人数据。数据控制者通过使用 Biscotti CMP 及自行配置软件来确定数据的具体范围：

• 同意数据：决策（针对“必要”、“功能”、“分析”、“营销”、“AI服务”等不同类别的同意/拒绝）、时间戳（同意的日期和精确时间）、唯一标识号（用于将决策与相应的终端设备/浏览器进行假名化关联）。
• 技术数据：IP 地址（主要用于基于位置识别管辖区域，通常会立即进行匿名化/截断处理，除非数据控制者进行了不同的配置）、浏览器信息、设备信息、用户代理字符串、会话数据。
• Cookie 和追踪器数据：对负责人网站的扫描结果，包括发现的 Cookie、本地存储内容、第三方追踪器及其分类。
• AI 生成的内容：数据控制者为生成法律文本（隐私政策、网站声明、一般条款和条件）而在 Legal Suite 助手中输入的数据。这可能包括企业数据、法定代表人姓名、地址以及通过 Alibaba Cloud Model Studio (Qwen) API 处理的特定处理活动。
• 联系信息（账户持有人）：客户或账户持有人的姓名、电子邮件地址、公司名称、地址、电话号码、增值税识别号（VAT ID）。
• 使用数据：仪表盘活动、横幅广告统计数据（浏览量、互动量、接受率）、合规报告、账户变更审核日志。
• 支付数据：通过支付服务提供商 Stripe 处理的结算信息（其中信用卡数据直接在 Stripe 端进行令牌化处理，不会以明文形式存储在数据处理方处）。

§ 4 数据主体类别

处理涉及以下类别的相关人员：

• 网站访问者（最终用户）：访问数据控制者网站的自然人，其通过 Biscotti CMP 横幅作出的同意决定将被征询、处理并存储。
• 客户（账户持有人）：作为数据处理方的合同伙伴，已在 Biscotti CMP 注册账户的自然人、个体经营者或法人代表。
• 团队成员和员工：由账户持有人（数据控制者）作为额外用户邀请至 Biscotti CMP 控制面板以管理该系统的人员。
• 代理机构的客户（子账户持有人）：使用“代理机构”套餐且为其创建了子账户的代理机构的最终客户。

§ 5 控制者的义务与权利

5.1 处理的合法性 数据控制者全权负责评估受委托处理的合法性，并保障相关人员的权利（《通用数据保护条例》（GDPR）第4条第7款）。 数据控制者应确保存在有效的法律依据（例如《通用数据保护条例》第6条第1款第a项规定的同意，或第6条第1款第f项规定的合法利益），以支持数据处理者对个人数据进行处理。 这尤其适用于根据《电信数据保护法》（TDDDG）第 25 条第 1 款使用 Biscotti CMP 获取同意的情况。

5.2 信息告知义务 数据控制者负有全面责任，须根据《通用数据保护条例》（GDPR）第13条和第14条，以透明、准确且及时的方式向相关个人（特别是网站访问者）告知数据处理情况。 为此，数据处理方将通过 Legal Suite 助手向数据控制方提供关于 Biscotti CMP 运作方式的必要技术信息以及文本范例。数据控制方负责对隐私声明进行法律审查并将其整合。

5.3 代理商与经销商 的使用若数据控制者使用“代理商”套餐并为其自有客户创建子账户，则在与数据处理者的关系中，数据控制者仍为唯一的合同方及数据保护法意义上的数据控制者。 数据控制者保证已与其终端客户签订必要的合同协议（包括自身的数据处理协议）。若数据控制者建立经销商网站或使用自有域名下的独立邮件服务器，则其对该基础设施承担数据保护法及反垄断法下的全部责任。数据处理者对此不承担任何责任。

5.4 错误报告 若数据控制者在检查委托处理结果时发现违反数据保护法规的错误或违规情况，应立即向数据处理者提供完整通报。

§ 6 数据控制者的指示权

6.1 指示的性质与范围 除非受其管辖的欧盟或成员国法律强制要求，否则数据处理者仅根据数据控制者的书面指示处理个人数据（《通用数据保护条例》第28条第3款第a项）。 在此情况下，除非相关法律因重大公共利益而禁止此类通知，否则数据处理方应在处理前将该法律要求告知数据控制方。

主合同以及本《附加条款》构成初始的书面指示。数据控制者在仪表盘中使用 Biscotti CMP 的各项功能（例如横幅配置、启动扫描、生成文本）被视为单项书面指示。

6.2 指示的形式 指示通常可通过软件（应用程序）的用户界面下达。超出此范围的指示应以书面形式（例如通过电子邮件发送至 [email protected]）下达。口头指示须由数据控制者立即以书面形式确认。

6.3 对指令的异议 若数据处理方认为某项指令违反《通用数据保护条例》（GDPR）、《联邦数据保护法》（BDSG）或欧盟及成员国的其他数据保护规定，应立即通知数据控制方。数据处理方有权暂停执行该指令，直至数据控制方予以确认或修改。 对于明显违法的指示，数据处理者有权予以拒绝。

§ 7 保密义务

7.1 员工的义务 数据处理者确认，其已要求所有有权处理数据控制者个人数据的人员（员工、自由职业者、机构）在开始工作前承担保密义务（《通用数据保护条例》第28条第3款b项），或确保其受适用的法定保密义务约束。 该义务亦涵盖数据保密，且在工作或雇佣关系终止后仍然有效。

7.2 培训与意识提升 数据处理方应确保获授权处理数据的人员定期接受关于数据保护（《通用数据保护条例》（GDPR）、《联邦数据保护法》（BDSG））及数据安全规定的培训并提高其意识。数据处理方由管理层（Daniel Bosch、Philipp André Marschall）代表，负责营造符合数据保护要求的企业文化。

7.3 数据保护官 只要根据《联邦数据保护法》（BDSG）第 38 条第 1 款或《通用数据保护条例》（GDPR）第 37 条有法律要求（例如，通常至少有 20 名人员持续从事自动化处理工作），数据处理方应指定一名专业且可靠的数据保护官。

即使没有法律义务指定数据保护官，数据处理方仍应确保管理层全面监督并遵守数据保护法规定的义务。

第 8 条 根据《通用数据保护条例》（GDPR）第 32 条采取的技术和组织措施（TOMs）

8.1 处理安全原则 数据处理方郑重声明，其已根据技术现状、实施成本以及处理的性质、范围、 处理的具体情况及目的，以及对自然人权利和自由构成风险的不同发生概率和严重程度，已采取适当的技术和组织措施（TOMs），以确保提供与风险相称的保护水平（《通用数据保护条例》第32条）。这些措施遵循公认的IT安全标准 （如 ISO 27001 和 SOC 2）。

8.2 具体措施 数据处理者应特别实施以下措施，并在整个合同期间予以维持：

a) 假名化与加密（《通用数据保护条例》第 32 条第 1 款 a 项）

• 传输加密：最终用户、控制者与 Biscotti CMP 基础设施之间的所有数据传输必须通过最先进的加密协议（TLS 1.2 或 TLS 1.3）进行。
• 静态加密：Hetzner Online GmbH（服务器位于荷兰）上的所有数据库和存储介质均采用硬盘级加密（AES-256）。
• 假名化：同意决策不与真实姓名关联，而是与一个随机生成的加密标识号相关联。IP 地址在基于位置的映射完成后，将默认进行截短/匿名化处理。

b) 保密性（访问、进入及访问控制）

• 物理访问控制：所用服务器的物理安全由外部基础设施服务提供商（例如 Google Cloud）保障。数据中心受严格的行业标准访问和安全控制约束。Campcruisers GmbH 自有办公场所通过适当的物理访问限制（例如安全锁）进行保护。
• 访问控制：对数据处理方 IT 系统的访问通过严格的密码政策、针对相关管理员账户的多因素身份验证（MFA）以及会话超时机制进行保护。采用 Cloudflare Turnstile 等系统，以防范机器人攻击对登录尝试的干扰。
• 访问控制：遵循最小权限原则（基于角色的访问控制 - RBAC）。数据处理方的员工仅可访问其各自任务所必需的数据。不同资费套餐的客户数据在逻辑上相互隔离（多租户能力）。

c) 完整性（传输、输入和隔离控制）

• 传输控制：数据不会通过物理介质进行传输。数据传输仅通过安全网络进行。
• 输入控制：Biscotti CMP 配备了全面的审计日志。可随时追溯是哪位用户（客户、团队成员、代理机构）在何时对仪表盘进行了哪些更改（例如修改横幅文案、调整 Cookie 类别）。
• 隔离控制：为不同目的收集的数据将分开处理。生产、测试和开发环境彼此严格隔离。

d) 可用性与容错性（《通用数据保护条例》第32条第1款b项和c项）

• 可用性：数据处理者采取符合行业惯例的合理措施以确保系统的可用性（托管于 Hetzner Online GmbH）。但未保证明确的 SLA 可用性，且基础设施不具备全面的冗余。
• 负载能力：系统架构的设计通常能够可靠地处理预期的会话量。但未采用专用的负载均衡或自动扩展机制（Auto-Scaling）。
• 可恢复性：数据处理者将采取适当措施（例如定期备份数据库），以确保在发生技术故障时能够恢复数据。但无法保证无损恢复，因此要求数据控制者自行负责使用其可用的导出功能。

e) 定期审查程序（《通用数据保护条例》第32条第1款d项）

• 数据处理者将定期在内部审查所采取的技术和组织措施的有效性。
• 已建立应对安全事件的内部流程（事件响应），以便在法律框架内应对潜在事件。
• 技术与组织措施（TOMs）处于持续改进过程中。

8.3 技术 与组织措施的调整 技术与组织措施受技术进步和进一步发展的影响。只要不低于既定措施的安全水平，数据处理者有权实施其他适当的替代措施。重大变更须以书面形式通知数据控制者。

§ 9 次级数据处理者

9.1 委任次级数据处理者 数据控制者特此向数据处理者授予一般书面许可（《通用数据保护条例》第28条第2款），允许其引入其他数据处理者（次级数据处理者）。 数据处理方应确保审慎选择分包处理方，并通过合同要求其承担与本合同中规定的相同的数据保护义务（《通用数据保护条例》第28条第4款）。

9.2 当前获准的分包处理者 在签订本合同时，以下分包处理者正在为提供 Biscotti CMP 服务而开展工作，并被数据控制者视为已获批准。数据处理者已确保，对于美国服务提供商，其相应的欧盟分支机构将作为合同方，以维护欧盟的数据保护水平：

服务 / 供应商	合同方及所在地	处理目的	处理地点
Hetzner Online GmbH	Hetzner Online GmbH，70 Sir John Rogerson’s Quay，都柏林 2，爱尔兰	托管、服务器基础设施、数据库	欧洲联盟
阿里雲模型工作室（Qwen）	阿里巴巴（荷蘭）有限公司，Herengracht 448, 1017 CA 阿姆斯特丹，荷蘭	法律文本的AI生成及其翻譯（Legal Suite）	法蘭克福，德國（eu-central-1）— 歐盟
Google Analytics 4 和 Google Ads	Google Ireland Limited，Gordon House，Barrow Street，Dublin 4，爱尔兰	用户行为分析、营销	欧盟 / 欧洲经济区
Stripe	Stripe Payments Europe, Limited, 爱尔兰都柏林大运河码头下大运河街 1 号	支付处理、订阅管理	欧盟 / 欧洲经济区
Resend	Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA [受SCCs保护]	电子邮件发送（交易邮件、密码重置）	美国 / 欧盟
Cloudflare Turnstile	Cloudflare Germany GmbH，Rosental 7，80331 慕尼黑，德国	机器人防护、DDoS防御、WAF	全球
WhatsApp Business	WhatsApp Ireland Limited，4 Grand Canal Square，Grand Canal Harbour，都柏林 2，爱尔兰	客户服务、支持沟通	欧盟/欧洲经济区

9.3 向第三国转移 如果由位于欧洲联盟（EU）或欧洲经济区（EEA）以外的分包处理者进行处理（例如在 Resend 情况下），则处理者应确保满足《通用数据保护条例》（GDPR）第 44 条及以下条款的特殊要求。 通常通过签署欧盟委员会现行的标准合同条款（SCCs），结合数据转移影响评估（Transfer Impact Assessment）以及实施额外的技术措施（例如加密）来实现。

9.4 更换或新增分包处理者 数据处理者应就新增或更换分包处理者的任何拟议变更通知数据控制者。该通知应以书面形式（例如通过电子邮件发送至账户中登记的地址）在计划变更前至少30天发出。 数据控制者可在收到通知后14天内，基于重要的数据保护法理由对变更提出异议。若未提出异议，则视为已批准该变更。 若反对理由正当，且数据处理方无法通过合理措施予以消除，数据控制方有权在变更生效之时提前终止主合同。

§ 10 协助保障数据主体权利

10.1 协助义务 数据处理方应尽可能通过适当的技术和组织措施协助数据控制方，以履行其对数据主体行使《通用数据保护条例》（GDPR）第三章所列权利（GDPR第15至22条）的请求作出回应的义务（GDPR第28条第3款e项）。

10.2 在 Biscotti CMP 中的技术实现 Biscotti CMP 旨在从技术层面协助数据控制者履行其义务：

• 知情权（《GDPR》第15条）与数据可携权（《GDPR》第20条）：该软件提供数据导出功能（例如CSV格式），或可向技术支持团队提出符合数据保护法规的请求，导出特定的同意ID。
• 撤回权（《GDPR》第 7 条第 3 款）：Biscotti CMP 的同意横幅为最终用户提供了查看已做设置并随时撤回的功能。
• 删除权（《通用数据保护条例》第17条）：数据控制者可通过仪表盘中提供的功能删除已收集的数据，或向支持团队提交可验证的请求以促成删除。

10.3 请求的转交若 数据主体直接向数据处理者主张其权利，数据处理者不会自行答复该请求，而是应立即将数据主体转介给数据控制者——前提是根据现有数据能够确定数据控制者的身份。数据处理者应立即将该请求转交数据控制者。

第 11 条 数据保护影响评估（DSIA）及报告义务的支持

11.1 数据保护影响评估（《GDPR》第35条） 数据处理方应结合处理的性质及其掌握的信息，协助数据控制方根据《通用数据保护条例》（GDPR）第35条开展数据保护影响评估（DPIA），并在必要时协助进行向监管机构的事前咨询（《通用数据保护条例》（GDPR）第36条）。

11.2 个人数据保护违规事件的报告 数据处理者有义务就涉及受委托处理数据的任何个人数据保护违规事件（数据泄露），立即以书面形式向数据控制者报告，最迟不得晚于知悉该事件后48小时。

第 12 条 数据的删除与返还

12.1 合同终止后的删除 在完成处理服务后 （主合同终止）后，数据处理方有义务根据数据控制方的选择，删除或归还所有个人数据，除非根据欧盟法律或成员国法律（例如《商法典》和《税收基本法》规定的商业和税务保存义务）存在存储个人数据的义务。

12.2 Biscotti CMP 标准流程 除非数据控制者另有指示，否则适用以下标准流程：数据控制者可在合同终止前通过导出功能（CSV）自行备份其数据。在解约生效且结算周期结束后，数据控制者的账户将被停用。 账户中存储的个人数据将保留 30 天的过渡期（保存期限），以便在意外降级时能够进行恢复。30 天期满后，数据将按照数据保护法规的要求从生产系统中不可撤销地删除。

12.3 删除确认 应数据控制者的明确要求，数据处理者将以书面形式确认已按照数据保护法规删除了相关数据。

§ 13 监督权与审计

13.1 核查权 数据处理者应向数据控制者提供所有必要信息，以证明其遵守《通用数据保护条例》（GDPR）第28条及本合同所规定的义务。数据处理者应允许数据控制者或其委派且受保密义务约束的审计员进行核查（包括现场检查），并配合相关工作。

13.2 审计的实施 为避免危及数据中心的安全性以及其他客户数据的机密性（客户隔离），双方就审计程序达成如下约定：

• 责任方主要通过要求并评估具有说服力的证书（例如 ISO 27001）或通过详细的 IT 安全问卷来行使其监督权。
• 若上述信息不足，负责人有权前往 Campcruisers GmbH 的办公场所（Berliner Str. 21 B, 14612 Falkensee）进行现场检查。
• 现场检查须提前合理时间（通常至少14天）通知。

§ 14 责任与损害赔偿

14.1 对外关系（针对相关人员） 根据《通用数据保护条例》（GDPR）第 82 条的规定，数据控制者和数据处理者应对相关人员承担损害赔偿责任。数据处理者仅在未履行其根据《通用数据保护条例》（GDPR）所承担的义务，或违反数据控制者依法下达的指示时，才对因处理活动造成的损害承担责任。

14.2 内部关系（双方之间） 在内部关系中，若一方能证明其对导致损害发生的情况在任何方面均不负责任，则双方均免除责任。

14.3 主合同中的责任限制 此外，主合同（一般条款和条件）中的责任规定同样适用。对于轻微过失不承担责任，除非涉及违反合同基本义务（核心义务）。在此情况下，责任仅限于合同典型且可预见的损害。

§ 15 最终条款

15.1 书面形式与变更 本合同的任何变更或补充均须采用书面形式（例如电子邮件）。数据处理方保留根据法律状况的变化或技术发展对本合同进行修改的权利。数据控制方将通过电子邮件收到变更通知。

15.2 条款优先级 若本数据处理协议的个别条款与主合同（一般条款和条件）的规定相冲突，则本数据处理协议中关于数据保护和数据安全的条款优先适用。

15.3 保留条款 若本合同的个别条款无效或不可执行，或将来变得无效或不可执行，则不影响其余条款的有效性。双方承诺将无效或不可执行的条款替换为有效且可执行的条款。

15.4 适用法律与管辖权 本合同仅受德意志联邦共和国法律管辖，不适用《联合国国际货物销售合同公约》。在法律允许的范围内，因本合同引起或与本合同有关的所有争议，均应以数据处理方的注册地（法尔肯塞）为专属管辖地。合同语言为德语。