数据处理协议

1. 处理详情

• 标的与期限：在合同期限内提供 Carreh for Business，直至根据第 10 条删除。
• 性质与目的：按照客户的配置和指示，托管、整理、读取（包括使用 AI）、显示、导出和删除旅行及费用记录。
• 数据主体：客户的员工、承包商及其他用户，以及其差旅和报销记录中提及的人员。
• 个人数据：身份和联系方式、角色和部门、旅行请求、行程、预订和旅行证件、收据、费用、报销、审批和评论、登录记录。
• Special categories: none intended. Travel documents may incidentally contain identity document numbers; the Customer only uploads them where it has a lawful basis.

2. 说明

Carreh 仅根据客户书面记录的指示处理个人数据，这些指示即条款、本 DPA 以及客户对服务的使用和配置，除非欧盟或成员国法律另有要求；在此情况下，Carreh 会先通知客户，除非法律禁止。若 Carreh 认为某项指示不合法，会告知客户。

3. 保密

Carreh 中所有获授权处理个人数据的人员均受保密义务约束。

4. 安全

Carreh 实施附件 1 中的技术和组织措施，并使其与风险相称。Carreh 可更新这些措施，前提是整体保护水平不降低。

5. 子处理者

客户授权 Carreh 使用此处列出的子处理者。Carreh 会通过电子邮件提前至少 30 天通知工作区所有者新增子处理者。客户可基于合理的数据保护理由提出异议；若未能找到解决方案，客户可终止受影响的服务，并获得剩余期间预付费用的退款。Carreh 对每个子处理者施加与本 DPA 同等的数据保护义务，并对其负责。

6. 国际传输

当个人数据从欧洲经济区传输到没有充分性认定的国家时，Carreh 依赖欧盟委员会的标准合同条款，并在需要时采取额外措施。

7. 协助

考虑到处理的性质，Carreh 帮助客户回应数据主体请求（本服务让所有者和管理员能够查找、导出、更正和删除记录），并在安全、违规通知、影响评估以及与监管机构磋商方面提供支持。

8. 个人数据泄露

Carreh 在知悉影响客户个人数据的个人数据泄露后，将毫不迟延地通知客户，且不迟于 48 小时，并提供当时可获得的信息，随后随调查进展更新。

9. 退货和删除

客户可随时导出其数据。合同结束后，客户有 30 天时间导出；随后 Carreh 会在 90 天内删除个人数据，但欧盟或成员国法律要求保留的除外。备份会按其正常周期被覆盖。

10. 审计

Carreh 提供证明遵守本 DPA 所需的信息。客户可每年审计一次，需提前 30 天书面通知，在营业时间内进行，遵守保密义务并自行承担费用，或依赖 Carreh 子处理方当前的独立认证（若其涵盖相关处理）。

11. 责任与优先顺序

在法律允许的范围内，条款中的责任限制适用于本 DPA。对于个人数据的处理，本 DPA 优先于条款。

12. 附件 1：技术与组织措施

• 隔离：Carreh for Business 拥有自己的账户、数据库、存储和密钥，与 Carreh 的消费者应用分开。每家公司的数据都相互隔离，每个请求都会根据用户所属公司及角色进行校验。
• 访问控制：通过电子邮件发送的一次性登录验证码；会话仅以哈希形式存储；Carreh 员工需要电子邮件验证码和通行密钥；授权员工仅在提供支持、保障服务安全、防止欺诈和履行法律义务时打开工作区内容，且每次打开都会记录在工作区的操作日志中。
• 监控：登录和操作会连同网络和设备信息一起记录；自动检查会标记异常登录、重复或篡改的收据及滥用行为，并封禁滥用网络。
• 加密：传输中使用 TLS；托管服务商提供静态加密；身份验证器密钥使用 AES-256-GCM 加密；验证码和令牌使用 SHA-256 和密钥进行哈希处理。
• 日志记录：对登录和管理操作进行仅追加、防篡改的操作日志记录。
• 弹性：托管数据库，支持时间点恢复和备份；恢复流程已在发布前测试。
• 开发：代码审查、自动化测试（包括确保一家公司无法访问另一家公司数据的测试）；密钥不写入源代码。
• 最小化：无广告跟踪器；AI 提供商不会使用客户数据训练。