广告主数据处理协议 (DPA)
本广告主数据处理附录（“DPA”）通过引用方式纳入 Almedia 广告主条款与条件（“条款”）以及适用的订单或订购单（“订单”），由 Almedia GmbH（地址：Koppenstr. 8, 10243 Berlin, Germany，“处理者”或“Almedia”）与订单中确定的广告主（“控制者”）共同签署。
订单、条款及本 DPA 共同构成了控制者与处理者之间完整的数据处理协议（“协议”）。本 DPA 中未定义的术语具有订单或条款中赋予的含义。
1. 定义
1.1 “适用法律”指所有适用的数据保护和隐私法律，包括 GDPR、英国 GDPR、CCPA（如适用），以及所有根据本协议规范个人数据处理的法律。
1.2 “个人数据” 指处理方根据协议代表控制方所处理的任何个人数据。
1.3 “数据保护法律” 指欧盟数据保护法律，以及在适用范围内，任何其他适用国家的数据保护或隐私法律，包括英国《通用数据保护条例》（UK GDPR）以及适用的《加州消费者隐私法》（CCPA）。
1.4 “欧盟数据保护法律” 指欧盟第 95/46/EC 号指令，及其在各成员国国内立法中的转化，以及不时修订、替换或取代该指令的法律，包括《通用数据保护条例》（GDPR）及其实施或补充法律。
1.5 “GDPR” 指欧盟《通用数据保护条例》（欧盟 2016/679）。
1.6 诸如“个人数据”、“处理”、“控制方”、“处理方”，以及“数据主体”，以及“子处理者”，以及“监管机构”的含义与 GDPR 中的定义相同。
1.7 “服务”指协议中所述的广告、归因、分析、欺诈检测、计费、优化及相关服务。
2. 双方角色
2.1 Almedia 仅作为处理者行事。广告主根据协议担任控制者。若广告主是经第三方控制者授权的处理者，则广告主保证其有权指示 Almedia 并指定 Almedia 为处理者。
2.2 控制者指示处理者：(i) 处理个人数据；以及 (ii) 特别是，将个人数据传输至任何国家或地区，所有这些操作均为提供服务所必需，且符合协议及适用法律。
2.3 处理者应仅为履行服务之目的，并根据控制者的书面指示处理个人数据。
2.4 控制者保证并声明，在所有相关时间及处理者合法处理个人数据的整个期间内，其均已并将持续获得充分且有效的授权，以发出第 2.2 节中规定的指示以及根据协议发出的任何额外书面指示。
2.5 GDPR 第 28(3) 条所要求的个人数据处理详情载于附表 1（处理详情）中，该附表构成本数据处理协议 (DPA) 不可分割的一部分。
3. 处理者义务
3.1 除非法律另有规定，处理者仅应根据控制者的书面指示处理个人数据。
3.2 处理者应确保获准处理个人数据的人员承担可强制执行的保密义务。
3.3 处理者应实施 GDPR 第 32 条所要求的适当技术和组织措施。
3.4 处理者不得将个人数据保留超过提供服务所必需的时间，或法律规定的期限。
3.5 处理者不得为自身目的处理个人数据。处理者仅可以汇总或匿名化的形式保留和使用数据，且该形式不得构成个人数据。
4. 子处理者
4.1 在遵守本第 4 条的前提下，控制者授权处理者仅在提供服务所必需的范围内，且仅在附表 2 所列的处理类别内聘用子处理者。
4.2 处理者应确保所有子处理者均受书面协议约束，该协议应规定与本数据处理协议（DPA）及适用法律要求实质等同的数据保护义务。
4.3 处理者维护一份参与提供服务的当前子处理者最新名单。该名单会持续更新，并可通过以下网址供控制者查阅： www.freecash.com/en/policies/privacy-eu （或通知控制者的任何后续网址）。
4.4 在委任或更换任何对个人数据处理活动有重大影响的子处理者之前，处理者应提前发出通知（通过子处理者名单或在法律要求时通过电子邮件）。
4.5 控制者仅能基于合理且有据可查的数据保护理由，对委任新的子处理者提出异议。处理者应与控制者诚信合作，以解决此类异议。
4.6 若无法达成双方均可接受的解决方案，控制者可暂停受影响的服务，或在发出书面通知后终止服务。此类暂停或终止应为控制者针对子处理者异议所享有的唯一且排他的补救措施。
5. 国际传输
5.1 在法律允许且符合适当保障措施的前提下，处理者可将个人数据传输至欧洲经济区（EEA）/英国境外。
5.2 获准的保障措施可包括欧盟标准合同条款（SCC）、英国附录/国际数据传输协议（IDTA）或任何后续机制。
5.3 处理者应确保接收传输的子处理者实施了充分的保障措施。
6. 数据主体权利
6.1 控制者负责响应数据主体的请求。
6.2 处理者应在控制者承担费用的前提下，为控制者响应数据主体请求提供合理的协助。
6.3 除非法律要求或受控制者指示，处理者不得直接响应数据主体。
7. 个人数据泄露
7.1 处理者在获悉影响个人数据的个人数据泄露事件后，应立即通知控制者。
7.2 处理者应提供合理可用的信息，以协助控制者履行其通知义务。
7.3 处理者应就补救措施与控制者进行合作。
8. 数据保护影响评估与审计
8.1 在数据保护法律要求的范围内，处理者应为数据保护影响评估（DPIA）及与监管机构的磋商提供合理协助。
8.2 控制者可委托独立且信誉良好的审计师进行审计或检查，但须遵守以下条件：(a) 提前 30 天发出书面通知；(b) 除法律要求或发生已确认的事件外，每 12 个月内审计不得超过一次；(c) 所有相关费用由控制者承担；(d) 审计应在正常工作时间内进行，且不得造成不当干扰。
8.3 若第三方认证或审计报告足以证明合规性，处理者可通过提供此类文件来履行审计义务。
8.4 与审计相关的所有成本和费用均由控制者承担。
9. 数据的归还与删除
9.1 除第 9.2 条另有规定外，处理者应在涉及个人数据处理的任何服务终止之日起九十 (90) 个工作日内，根据控制者的书面指示，及时删除、去标识化或归还所有个人数据副本，但处理者根据适用法律必须保留的副本除外。
9.2 在符合本协议及适用法律的前提下，处理者可在法律要求或授权的范围内保留个人数据，前提是处理者须确保此类个人数据的机密性，并仅将其用于保留该数据所必需或授权的目的。
10. 责任
本协议中规定的责任限制和免责条款同样适用于本数据处理协议（DPA）。
11. 适用法律与管辖权
本数据处理协议受本协议中规定的适用法律和管辖权条款管辖。
12. 优先顺序
12.1 若本数据处理协议与本协议的其他部分发生冲突，且该冲突涉及个人数据处理或对数据保护法律的遵守，则以本数据处理协议为准。
12.2 在符合第 12.1 条的前提下，若订单中明确说明，则订单的效力优先于条款及本数据处理协议。
附表 1：处理详情
标的： 归因、分析、欺诈检测、账单验证以及广告活动优化。
持续时间： 协议有效期内及法律要求的保留期限。
处理性质： 接收、收集、结构化、匹配、分析、去标识化、传输、存储及删除控制者个人数据。
处理目的：
- 通过移动监测平台（MMP）进行归因与匹配
- 点击、展示、安装及事件的衡量
- 欺诈检测与缓解
- 结算与账单验证
- 广告活动优化与报告
- 技术支持
数据主体：
- 与广告素材进行交互的终端用户
- 拥有平台访问权限的广告主人员
个人数据类别：
- 终端用户数据（应用/网页）：广告标识符（IDFA/GAID）、IP 地址、用户代理（User-Agent）、操作系统版本、设备型号、安装时间戳、点击时间戳、粗略地理位置信息、安装后事件、欺诈分析信号。
- 广告主人员数据：姓名、电子邮箱、登录活动。
敏感及特殊类别个人数据： 广告主不得向处理者发送数据保护法所定义的任何敏感或特殊类别个人数据。
附表 2：子处理方
处理方仅可在以下处理类别范围内，且仅在提供服务所必需的限度内聘用子处理方：
- 云托管和基础设施提供商（包括服务器、存储、内容分发及相关基础设施服务）
- 数据分析、归因和衡量支持工具（包括用于接收、处理或验证归因信号的技术工具）
- 欺诈检测和流量质量供应商（包括用于分析设备、行为或技术信号以进行欺诈预防的系统）
- 安全、日志记录和监控提供商（包括用于访问控制、异常检测、事件监控和威胁预防的工具）
- 客户支持和通信服务（包括用于与控制方人员互动的工单、电子邮件和通信平台）
- 备份、冗余和业务连续性提供商
- 内部开发、审计和运营工具（仅用于支持处理方的内部运营及服务交付）
处理方维护着一份最新且权威的当前所有子处理方名单，包括其身份、所在地和处理目的，网址为： www.freecash.com/en/policies/privacy-eu （或通知控制方的任何后续网址）。
此名单根据本数据处理协议（DPA）第 4 条的规定持续更新。