数据处理附录

生效日期：2026 年 9 月 8 日

本数据处理附录（“DPA”）构成以下各方之间服务条款和隐私政策的一部分：

Version Zero Limited (以Quizgecko名义运营) （“处理者”、“我们”或“我们的”）
86-90 Paul Street
London, United Kingdom
EC2A 4NE, United Kingdom

和

使用我们服务的客户（“控制者”）。

1. 定义

术语“控制者”、“处理者”、“数据主体”、“个人数据”、“处理”、“特殊类别的个人数据”以及任何其他特定术语均具有英国 GDPR 和欧盟 GDPR（统称为“适用数据保护法”）中赋予它们的含义。

2. 范围和目的

本 DPA 适用于我们在提供服务时代表控制者处理个人数据的情况。我们只会在以下情况下处理个人数据：

• 根据控制者有记录的指示
• 为了提供我们的服务
• 根据适用法律的要求

2.1 控制者义务和合法依据

控制者确认并同意，他们全权负责：

• 根据适用的数据保护法确定并记录处理的合法依据（包括同意、合同必要性、合法利益或其他有效理由）
• 向数据主体提供关于其个人数据处理的清晰全面的信息
• 在适用数据保护法要求的情况下，获取并维持有效同意，特别是针对：
  • 处理特殊类别的个人数据
  • 处理未成年人的个人数据
  • 直接营销活动
  • 国际数据传输
• 响应和管理数据主体权利请求
• 维护其责任范围内的处理活动记录
• 实施适当的技术和组织措施以确保和证明合规性

3. 处理的性质和目的

我们将根据需要处理个人数据以提供我们的服务，包括：

• 创建和管理用户账户
• 处理用户上传或创建的内容
• 提供AI驱动的测验和教育内容生成
• 管理共享和协作功能
• 提供客户支持
• 处理付款和管理订阅

4. 个人数据类型

所处理的个人数据可能包括：

• 基本个人资料信息（姓名、电子邮件）
• 认证数据
• 支付信息（由我们的支付服务提供商处理）
• 用户生成内容
• 使用数据和分析

5. 数据主体类别

所处理的个人数据涉及以下类别的数据主体：

• 客户的员工和授权用户
• 客户的学生（如适用）
• 其数据包含在我们服务上传内容中的其他个人

6. 处理期限和数据保留

除非适用法律另有规定或双方另有约定，我们将在向控制者提供服务期间处理个人数据。

6.1 具体保留期限

我们对个人数据适用以下保留期限：

• 活跃账户： 个人数据将在服务提供期间保留。
• 不活跃账户： 未处于活跃状态不会自动清除存储的个人数据或学习内容
• 已删除账户： 账户删除或合同终止时：
  • 主要系统：删除账户会对账户详细信息进行匿名化处理并移除访问权限。部分学习内容会被标记为已删除。如需请求清除保留的内容、源文件和工具生成结果，请联系 legal@quizgecko.com；在符合适用例外情况的前提下，我们通常会在 30 天内对已验证的请求进行处理
  • 备份系统：数据在初次删除后30天自动删除
  • 日志文件和审计跟踪：为安全和调试目的保留长达 90 天
• 第三方保留： 某些分包处理方可能在法律要求的情况下（例如，支付处理方为了财务记录）保留某些数据更长时间

7. 安全措施

我们实施适当的技术和组织措施，以确保与风险相称的安全级别，包括：

• 传输中数据的加密
• 访问控制和认证机制
• 事件响应程序

8. 子处理者

控制者授权我们聘用子处理者，前提是：

• 在我们的隐私政策中维护最新的子处理者列表
• 通过书面协议对分包商施加数据保护义务
• 对分包商遵守本DPA的行为负责

此列表可能会不时更新。我们将通过更新本 DPA 来通知我们使用子处理者的任何重大变化。

9. 数据主体权利

我们将：

• 协助控制者回应数据主体请求
• 将任何数据主体请求转发给控制者
• 未经控制者授权，不回应数据主体请求

10. 个人数据泄露

如果发生个人数据泄露，我们将：

• 及时通知控制者
• 提供有关违规性质和影响的信息
• 配合违规调查和补救
• 记录所有违规行为和补救措施

11. 数据保护影响评估

我们将为控制者在数据保护影响评估以及事先咨询监管机构方面提供合理协助。

12. 审计权利

我们将：

• 提供必要信息以证明符合本DPA
• 允许并协助控制者进行审计和和检查
• 如果任何指令侵犯数据保护法，请通知控制者

13. 国际传输

除以下情况外，我们不会将个人数据传输到英国/欧洲经济区之外：

• 流向由相关机构确定具有足够保护水平的国家/地区
• 受适当保障措施（例如，标准合同条款）的约束
• 经控制者事先书面同意

13.1 传输机制

对于个人数据的国际传输，我们依赖以下机制：

• 主要传输机制： 我们使用欧盟委员会的标准合同条款（2021 版）以及英国国际数据传输附录到欧盟委员会 SCCs，用于所有在英国/欧洲经济区之外的数据传输。
• 子处理者传输： 我们的分包处理方受以下条款约束：
  • 标准合同条款 (SCCs)
  • 适用的英国附录
  • 根据Schrems II裁决要求的额外保障措施
• 美国传输： 对于传输到美国的数据，我们确保我们的子处理器：
  • 在适用情况下，已根据欧盟-美国数据隐私框架（DPF）获得认证
  • 已根据 Schrems II 裁决实施了适当的补充措施
  • 对政府访问请求保持透明

控制者确认，这些传输机制对于我们提供服务是必要的，并同意在遵守上述保障措施的前提下进行此类传输。

14. 数据返回或删除

如果你希望删除你的数据，可以随时通过我们的网站或移动应用进行操作。只需访问你的个人资料或设置页面，然后按照步骤请求数据删除。在网页上，你可以直接访问此链接： https://quizgecko.com/settings?tab=more.

服务终止时，我们将：

• 根据控制者或用户的要求，返回或删除所有个人数据
• 除非法律要求保留，否则删除现有副本
• 确保从所有系统中安全删除数据
• 删除的数据类型包括账户信息、测验内容和使用数据。部分数据可能会根据法律要求或出于合法商业目的在有限期限内保留，之后将被安全删除。

15. 责任

各方的责任应受限于 服务条款, 除非适用法律禁止。

16. 联系信息

如有隐私相关疑问：

电子邮件： legal@quizgecko.com