ScanMosaic
登录 开始制作
最后更新：2026 年 10 月 18 日

数据处理附录

本译文仅供参考。如与英文版本有出入，以英文版本为准。

审阅用草稿。 本附录是供本网站经营者使用的模板。在依赖本附录之前，请由律师审阅，并填写标示的详细数据。

当事人与范围

本数据处理附录（「DPA」）构成 ScanMosaic（United Kingdom）（「我们」，即处理者）与使用 ScanMosaic 的企业客户（「你」，即控制者）之间协议的一部分，该协议由我们的服务条款和本 DPA 组成。当我们依英国 GDPR、欧盟 GDPR 或类似法律，作为你的处理者为你处理个人数据时，本附录即适用。本附录不适用于我们作为控制者为自身目的处理的数据，例如你的账号和帐务数据，这些在我们的隐私权政策中说明。

你以商业目的使用付费方案，或寄信至 [email protected] 向我们索取签署版本，即表示你接受本 DPA。

标的、期间、性质与目的

我们代管你的 QR Code、短链接、代管页面和文件，为扫描或点击的人进行转址，计算这些造访，并提供控制台、报表和 API。我们只在你使用本服务的期间，以及下文所述的删除期间内处理个人数据。

个人数据与数据主体

  • 扫描你的 QR Code 或点击你链接的人：时间、国家和城市（依网络判断，而非 GPS）、设备类型、操作系统、浏览器、语言、来源网站，以及每天更换的访客密钥。我们不保存 IP 地址，也不设置 Cookie。
  • 填写你的代管表单或意见回馈页面的人：你的表单所询问的任何内容。
  • 你的内容中提到的人：例如数字名片中的联系信息，或你上传的文件。
  • 你的团队：工作区成员的电子邮件地址和角色，以及他们变更内容的活动纪录。

除非你有合法依据并已以书面告知我们，否则你不得使用本服务通过代管表单收集特殊类别数据（例如健康数据）。

我们的义务

  • 我们只依你的书面指示处理个人数据：即本条款、你的设置以及你对本服务的使用。如果我们认为某项指示违反数据保护法，我们会告知你。
  • 所有能访问你个人数据的人都负有保密义务。
  • 我们会协助你回应行使权利者的请求。大多数请求都可以在控制台中处理：导出、编辑和删除 QR Code、链接、表单回复和扫描纪录。
  • 在涉及我们服务的情况下，我们会协助你进行数据保护影响评估，以及与监管机关的咨询。

安全措施

  • 所有传输都使用 HTTPS（TLS）。数据保存在我们的主机服务商，并以静态加密保护。
  • 扫描纪录不保存 IP 地址；速率限制和不重复访客计数使用带密钥、无法还原的单向哈希。
  • 以一次性验证码进行免密码登录；工作阶段以单向哈希保存，并可在所有设备上结束。
  • 每个工作区都有以角色为基础的访问权限（拥有者、管理员、编辑者、查看者），每个请求都在服务器上检查。API 密钥以工作区为范围并以哈希保存。
  • 你提供给我们的第三方密钥（例如集成服务的 API 密钥）会被加密，且不会再次显示。
  • 目的地会与 Google Web Risk 比对；显示你的用户内容的页面采用严格的内容安全政策。
  • 只有营运本服务的人员能访问正式环境系统。

次处理者

你授权我们使用次处理者页面上列出的次处理者。我们以契约约束每一家次处理者，使其负担至少与本 DPA 同等保护程度的数据保护义务，并对其负责。添加次处理者时，我们会至少提前 30 天以电子邮件通知工作区拥有者。如果你基于合理的数据保护理由提出异议，而我们无法解决，你可以终止受影响的服务，我们会退还剩余期间的预付费用。

跨境传输

部分次处理者会在英国和欧洲经济区以外处理数据。发生这种情况时，我们依据适足性认定（包括接收方已获认证时的欧美数据隐私框架及其英国延伸），或依据欧盟标准契约条款搭配英国国际数据传输附录，并在必要时采取补充措施。

个人数据外泄

在得知影响你数据的个人数据外泄事件后，我们会在无不当延迟的情况下通知你，且无论如何都会在 48 小时内通知。我们会告诉你发生了什么事、可能受影响的数据和人员、可能的后果以及我们的处理方式，并在了解更多时持续更新。通知会寄到工作区拥有者的电子邮件地址。

删除与返还

你可以随时在控制台的「隐私与数据」中下载你的数据，也可以随时删除 QR Code、链接、文件和回复。扫描纪录会在 13 个月后自动删除。当你删除账号或工作区，或在你的协议终止 30 天后，我们会从在线服务中删除你的个人数据，除非法律要求我们保留。我们的主机服务商所保存的备份会在那之后 30 天内被覆写。

稽核与信息

我们会提供证明我们遵守本 DPA 所需的信息，包括每年一次回复合理的安全问卷。若这样仍不足够，你可以每年一次，在至少提前 30 天通知后，于营业时间内，由你负担费用、在保密条件下，且不接触其他客户数据的前提下，稽核我们的遵循情况。我们次处理者的稽核，则以其各自的认证和报告涵盖。

责任与优先级

各方在本 DPA 下的责任，受我们服务条款中的限制约束，但法律不允许之处除外。如果本 DPA 与服务条款在个人数据方面有所抵触，以本 DPA 为准。如果适用标准契约条款，则以标准契约条款为优先。

联系我们

对本 DPA 有疑问，或需要签署版本，请寄信至：[email protected]。