数据处理协议（DPA）
依据 GDPR 第 28 条 — 数据处理者的指示与义务
本数据处理协议（下称"本协议"）由作为数据控制者的门店与作为数据处理者的 北京厚土客盛科技有限公司 (Beijing Houtukesheng Technology Co., Ltd.) 签订，构成 MiBuono 会员管理系统服务合同的组成部分。
1. 双方角色
在 MiBuono 网络中，每家加盟门店均为其自身顾客与员工数据的独立数据控制者。数据处理者代表每家门店运营平台，仅按该门店的指示行事。
数据处理者
北京厚土客盛科技有限公司 (Beijing Houtukesheng Technology Co., Ltd.) — 北京市丰台区丰管路甲1号北楼二层202-1236室 (Room 202-1236, 2nd Floor, North Building, No. 1A, Fengguan Road, Fengtai District, Beijing, China) —
[email protected]
2. 处理主题
- 期限：服务合同的整个存续期；
- 性质与目的：仅为提供会员管理系统（注册、积分、优惠券、预约、通知）、相关技术支持以及门店订阅管理而进行的处理。不为其他目的处理，包括数据处理者的用户画像或营销；
- 订阅与授权：数据处理者会为每家门店汇总在册会员数（聚合计数，不含会员个人记录）、当前套餐档位与到期日，用于判定适用档位、管理订阅、发送到期提醒并向控制者提供用量统计。该信息仅用于授权、计费与协助目的，绝不用于用户画像或营销；
- 数据类别：
- 会员注册数据（名、姓、邮箱、手机号、出生日期、会员卡号）；
- 会员数据（交易、金额、积分累计与兑换、优惠券发放/使用、注册礼与生日礼）；
- 预约数据（日期、时间、所选服务、偏好技师）；
- 门店员工账号数据（显示名、邮箱、角色：店长/店员）；
- 操作与安全日志（IP 地址、User Agent、管理操作审计日志）；
- 订阅与授权记录（套餐档位、在册会员数聚合值、到期日）；
- 推送通知标识（安装 App 的设备的推送令牌 / cid）。
- 数据主体：控制者门店的顾客/会员；门店员工账号持有人及其设备；
- 特殊类别数据：不处理。支付数据不经过系统：支付在门店现场完成。
3. 处理地点与欧盟外传输
平台与顾客数据托管于欧盟境内的服务器（德国数据中心）。
但推送通知服务必然涉及将设备推送标识及通知内容（通知内容不含顾客个人数据）传输至推送基础设施服务商，由其在欧盟/欧洲经济区之外处理：App 使用的统一推送通道（个推，经由 uniCloud 云函数，服务器位于中国境内），以及正式版启用后的各设备厂商离线通道与 Google FCM（服务器可能位于欧盟以外的地区，包括美国）。上述传输依据 GDPR 第 28 条进行，并适用 GDPR 第 44 条及以下规定的适当保障措施（标准合同条款及服务商自身提供的保障）；控制者通过接受本协议即构成对该等传输的授权。
除上述情形外，未经控制者事先书面同意，不得将个人数据传输至欧盟/欧洲经济区以外。
4. 处理者义务（GDPR 第 28(3) 条）
数据处理者承诺：
- 仅按控制者的书面指示处理数据（包括关于跨境传输的指示），除非欧盟或成员国法律要求另行处理——此种情况下应在处理前告知控制者，除非该法律禁止；
- 确保被授权处理数据的人员承诺保密或受法定保密义务约束，且仅在严格必要的范围内授权；
- 采取第 6 节所述的技术与组织安全措施（GDPR 第 32 条）；
- 未经控制者事先特别或一般书面授权，不引入子处理者；经授权引入时，对其施加不低于本协议的数据保护义务，并对子处理者的履约承担全部责任；
- 考虑到处理的性质，以合理可行的方式协助控制者响应数据主体行使权利（第 15-22 条）的请求；
- 协助控制者确保遵守 GDPR 第 32-36 条（安全、泄露通知、风险评估、事先咨询）；
- 服务结束时，按控制者的选择删除或返还全部个人数据并删除现有副本，除非欧盟或成员国法律要求留存；
- 向控制者提供证明合规所需的全部信息，接受并配合审计与检查。
5. 子处理者
控制者授权以下类别的子处理者：
- 托管服务商——服务器位于欧盟（德国数据中心）；
- 事务性邮件服务商——发送确认邮件、验证码与优惠券；
- 统一推送服务商（个推，经由 uniCloud 云函数服务）——向移动设备推送消息；处理在中国境内的服务器上进行；
- 设备厂商推送通道与 Google FCM——Android/iOS 的离线推送；处理可能在欧盟境外（包括美国）的服务器上进行。
对于位于欧盟以外的子处理者，其传输适用第 3 节所述的保障措施。
引入新子处理者将提前通知控制者，并留出合理的异议时间。
6. 安全措施
- 传输加密（HTTPS/TLS）；
- 密码仅以哈希形式存储；
- 基于角色的访问控制与最小权限授权；
- 敏感管理操作审计日志；
- 定期备份，托管于欧盟认证数据中心。
7. 数据泄露通知
处理者在知悉个人数据泄露后，应在 72 小时内毫不迟延地通知控制者，并提供证明符合 GDPR 第 33 条所需的信息，协助控制者履行第 33-34 条规定的通知义务。
8. 期限与数据返还/删除
本协议在服务的整个存续期内有效。终止后，处理者应按第 4 节第 7 项删除或返还个人数据，并确认操作完成。
门店在服务有效期内可随时导出其数据，且在终止后 30 天内仍可导出。该期限届满后，且无论如何在终止后 90 天内，处理者应从生产系统及其备份轮换周期所及的备份中删除个人数据，除非欧盟或成员国法律要求更长的保存期限。
9. 适用法律与管辖
本协议适用意大利法律。除非法律的强制性规定另有要求，争议提交处理者注册地法院管辖。
10. 联系方式
最后更新：13/10/2026 — 版本 1.1