私隱政策
雲服務託管 – 資料中介私隱政策
一、引言
1.1 本私隱政策（下稱「本政策」）旨在說明 Cloudigo Technology Limited（下稱「本公司」、「我們」或「我司」）在為您／貴方（下稱「您」或「貴方」）提供雲服務資源託管服務時，如何收集、使用、披露、處理及保護個人資料。
1.2 在《雲服務託管用戶須知》（下稱「主協議」）項下提供的託管服務中，我們作為資料中介（Data Intermediary）——即新加坡《個人資料保護法》（Personal Data Protection Act 2012，下稱「PDPA」）項下相當於「資料處理者（Data Processor）」的角色——根據雙方書面合約的約定，為您的目的並代表您處理個人資料。
1.3 您作為我們的客戶，是資料控制者（Data Controller）（或稱「機構」），對於我們就您委託所處理的個人資料，您應獨自承擔遵守 PDPA 項下的全部義務。作為資料中介，我們僅須在法律適用於資料中介方的範圍內，受 PDPA 項下的保護義務（Protection Obligation）、保留限制義務（Retention Limitation Obligation）及資料外洩通知義務（Data Breach Notification Obligation）的約束。
1.4 本政策適用於您向我們提供或我們就託管服務為您處理的個人資料。本政策不適用於我們為自身業務目的（如計費、客戶關係管理等）直接向您收集的個人資料，該等資料受我們獨立的企業私隱政策管轄。
1.5 透過委託我們提供託管服務並向我們提供個人資料，您確認已閱讀、理解並同意本政策所述的做法。
二、定義
2.1 在本政策中，除上下文另有要求外：
術語定義
「個人資料」 具有 PDPA 所賦予的含義，指不論是否真實、能夠從中識別出個人身份的資料，或從該資料以及機構已經或可能獲取的其他資訊中能夠識別出個人身份的資料。
「處理」 具有 PDPA 所賦予的含義，包括收集、記錄、持有、整理、改編、使用、披露、刪除和銷毀個人資料。
「資料控制者」 決定個人資料處理目的和方式的機構。
「資料中介」 具有 PDPA 所賦予的含義，指根據合約為另一機構的目的並代表該機構處理個人資料的機構。
「雲廠商」 具有主協議中賦予的含義。
「託管服務」 主協議中所述的雲服務資源帳戶建立、配置、權限管理等託管服務。
「LLM 服務」 具有主協議中賦予的含義。
「LLM 提供商」 具有主協議中賦予的含義。
三、我們為您處理的個人資料
3.1 在提供託管服務的過程中，我們可能為您處理以下類別的個人資料：
（一）帳戶憑證：雲廠商帳戶用戶名、密碼、存取密鑰（AK/SK）、LLM API Key 及為我們代您管理雲資源所必需的其他存取憑證；
（二）身份與聯絡資訊：您指定代表或授權人員的姓名、電郵地址、電話號碼及其他聯絡方式；
（三）雲資源配置資料：雲資源配置中包含的可能含有個人資料的資訊（如數據庫內容、應用程式日誌、用戶目錄）；
（四）賬單與支付資訊：為雲廠商計費所必需的資訊（以該等資訊包含個人資料為限）；
（五）LLM 輸入資料及輸出內容：您或您授權用戶向 LLM 服務提交的提示詞（Prompt）、指令、檔案及其他任何形式的資料，以及 LLM 服務基於輸入資料生成並返回的文字、程式碼、圖像及其他任何形式的內容（以該等資料或內容包含個人資料為限）；
（六）其他個人資料：您上載至、儲存於或透過我們代您管理的雲資源處理的任何其他個人資料。
3.2 我們不會在履行託管服務所必需的範圍之外主動收集或存取個人資料。我們不控制您在雲資源中儲存的資料內容，對該等資料中包含的具體個人資料不知情，亦不承擔任何責任。
四、處理目的
4.1 我們僅為以下目的處理個人資料：
（一）提供託管服務：按照您的指示建立、配置、管理和維護雲服務資源；
（二）帳戶與權限管理：按照您的指示設置和管理用戶帳戶、權限及存取控制；
（三）LLM 服務調用：按照您的指示透過雲廠商 API 調用 LLM 服務，並將輸入資料提交至 LLM 提供商進行處理；
（四）安全與監控：監控雲資源的安全威脅，檢測未經授權的存取，防範可能危及您資料的欺詐、濫用和技術問題；
（五）技術支援：回應您的支援請求、排查故障並執行維護活動；
（六）合規要求：遵守適用的法律、法規或有效的法律命令，或執行我們在主協議項下的權利；
（七）計費與行政管理：為支付雲廠商基礎設施費用及我們的服務費用提供便利。
4.2 未經您事先書面指示或同意，我們不會為上述目的之外的任何目的處理個人資料；適用法律或有權監管機構另有要求的除外。
五、資料保護義務（PDPA 合規）
5.1 作為資料中介，我們根據 PDPA 承擔以下義務：
（一）保護義務：我們應採取業界標準的安全措施，保護我們擁有或控制下的個人資料，防止未經授權的存取、收集、使用、披露、複製、修改、處置或類似風險；
（二）保留限制義務：我們在為實現處理目的所必需的期限之外，不得保留個人資料，並應在不再需要時停止保留該等資料或將其匿名化；
（三）資料外洩通知義務：如發生涉及為您處理的個人資料的資料外洩事件，我們將在切實可行的範圍內盡快通知您，並提供所有合理可用的資訊，以協助您履行 PDPA 項下的義務（包括在需要時通知個人資料保護委員會和受影響的個人）。
5.2 您作為資料控制者，須自行承擔：
（一）就其個人資料被處理的個人取得所有必要同意；
（二）遵守 PDPA 項下的所有其他義務，包括存取義務、更正義務、準確性義務和傳輸限制義務；以及
（三）任何應通知的資料外洩通知受影響的個人和個人資料保護委員會。
六、安全措施
6.1 我們實施並維護全面的技術性和組織性安全措施以保護個人資料，包括：
（一）存取控制：將個人資料的存取權限限制於僅那些履行職責需要該等存取權限的人員，並維護詳細的存取日誌；
（二）加密：本公司可自行酌情決定，採用符合業界標準的方式對傳輸中及靜態儲存的資料實施加密；本公司作出相關決定時，將考慮一般行業慣例、技術可行性及成本效益因素；
（三）身份驗證：對關鍵系統和帳戶的存取要求多因素認證（MFA）；
（四）審計日誌：維護對雲資源執行的所有操作的全面審計日誌，包括操作人、操作時間及操作 IP 地址；
（五）定期安全評估：對我們的系統和流程進行定期的安全審查和漏洞評估；
（六）事件回應：維護事件回應計劃，以及時檢測、遏制和修復安全事件。
6.2 我們依賴於我們使用的雲廠商及 LLM 提供商基礎設施所實施的安全措施。我們在選擇雲廠商及 LLM 提供商時，會考慮其提供的安全與合規認證情況，但我們不控制亦不對雲廠商或 LLM 提供商基礎設施的底層安全負責。
七、資料保留與刪除
7.1 對於代表您處理的個人資料，本公司僅在合理確定為滿足上文第 4 條所述目的所必需的期限內予以保留，或按適用法律要求或許可的期限予以保留。除另有書面約定外，本公司無義務在確定為履行託管服務所必需的期限屆滿後繼續保留任何個人資料。
7.2 在託管服務終止時，或應您的合理書面要求：
（一）我們將停止為您處理個人資料；
（二）我們將向您返還或根據您的指示安全刪除所有為您處理的個人資料，除非法律要求我們保留該等資料，資料返還的具體期限和程序適用主協議第 4.3.5 條的規定；及
（三）我們將應要求向您提供書面的刪除證明。
7.3 敬請知悉，儲存在雲資源中的個人資料可能受雲廠商自身的資料保留和刪除政策及時間表的約束。LLM 輸入資料及輸出內容可能受 LLM 提供商自身的資料保留政策的約束。對於超出本公司控制範圍的雲服務提供商或 LLM 提供商所進行的任何資料保留、刪除或處理，本公司概不負責。
八、跨境資料傳輸
8.1 在提供託管服務的過程中，個人資料可能被傳輸至、儲存於或處理於新加坡以外的國家或地區，即雲廠商及 LLM 提供商營運其數據中心的所在地（包括但不限於美國、日本、新加坡及其他雲廠商及 LLM 提供商維護基礎設施的地區）。
8.2 PDPA 並未強制要求資料儲存於新加坡境內。您確認，您對雲服務提供商及儲存您資料的地域的選擇，以及對確保您的資料儲存選擇符合所有適用的資料保護法律（包括 PDPA 項下的任何跨境傳輸限制）承擔全部責任。本公司無義務評估、監控或確保您所選資料儲存地所在司法管轄區資料保護水平的充分性。對於因您的資料儲存選擇而產生的任何不合規情形，本公司不承擔任何責任。
九、子處理者
9.1 我們聘請雲廠商（AWS、阿里雲國際站、GCP、Byteplus 及其他）及 LLM 提供商（Anthropic、OpenAI、Meta、Google、阿里雲、Byteplus、DeepSeek、智譜及其他）作為子處理者，為託管服務及 LLM 服務提供底層基礎設施和模型服務。
9.2 我們將：
（一）與各子處理者簽訂書面協議，該等協議就子處理者所履行的具體服務所施加的資料保護義務，其嚴格程度不低於本政策及主協議中規定的相應義務；
（二）仍應就本政策項下的義務對貴方承擔責任，但對於子處理者的任何作為或不作為，本公司僅在其未適當選任或監督該子處理者的範圍內承擔責任；及
（三）應貴方要求，本公司應向貴方提供子處理者清單，並按照主協議的約定，就子處理者的任何擬議變更向貴方發出通知；但該等通知由本公司酌情決定，若本公司認為該變更不會對履行託管服務的能力產生實質性影響，則無需發出該等通知。
十、LLM 服務的特別資料保護說明
10.1 您知悉並同意，LLM 服務的調用將導致您的 LLM 輸入資料被傳輸至 LLM 提供商的伺服器進行處理，該等處理受 LLM 提供商自身服務條款及資料處理協議的約束【主協議第 2.2.2 條】。
10.2 本公司將盡商業上合理的努力，推薦提供「零資料保留」或「不用於模型訓練」承諾的 LLM 提供商【主協議第 2.2.3 條】。但本公司無法控制 LLM 提供商的資料處理行為，亦不對 LLM 提供商的資料使用政策或其遵守 PDPA 的情況承擔保證責任【主協議第 2.2.3 條】。
10.3 如您對特定 LLM 提供商的資料處理政策有異議，應在使用相關功能前書面告知本公司。您自行負責評估任何替代的大語言模型提供商，且我方不對該等提供商的資料處理政策作出任何陳述或保證。若無法達成替代安排，或您在提出異議後仍繼續使用相關功能，則視為您已接受適用的大語言模型提供商的政策，且您僅可自行決定停止使用相關功能【主協議第 2.2.4 條】。
十一、您作為資料控制者的義務
11.1 透過向我們提供個人資料或指示我們代您處理個人資料，您聲明並保證：
（一）您已獲得所有必要同意，並擁有收集、使用和披露該等個人資料以及指示我們代您處理該等資料的所有必要法律依據；
（二）您已就個人資料的收集、使用和披露向個人提供了所有必要通知；
（三）據您所知，您向我們提供的個人資料是準確、完整且最新的；
（四）您就個人資料處理向我們發出的指示符合所有適用法律和法規；及
（五）向 LLM 服務提交的輸入資料不含有未獲授權的個人資料、商業秘密、源代碼、API 密鑰、數據庫憑證或其他敏感資訊【主協議第 4.1.6.1 條】。
11.2 您應賠償並使本公司免受因您未能履行作為資料控制者在適用資料保護法律下的義務，或因您向本公司提供的任何指示，而產生或與之相關的任何索賠、責任、損害、損失和費用的損害【主協議第 4.1.6.4 條】。
十二、個人權利
12.1 其個人資料由我們代您處理的個人，根據 PDPA 享有某些權利，包括：
（一）請求存取其個人資料的權利；
（二）請求更正不準確個人資料的權利；及
（三）撤回對處理其個人資料的同意的權利（受適用法律限制的約束）。
12.2 作為資料中介，本公司與您所處理的個人資料所涉資料主體之間不存在直接關係。如您收到資料主體依據 PDPA 行使權利提出的請求，您應將該等請求以書面形式轉發本公司，並隨附充分的詳細資訊及支援性文件，以便本公司識別該資料主體及其所涉資料。本公司的協助應限於在本公司系統內查找並檢索相關個人資料，並將該等資料提供予您審閱和回覆。您應自行承擔以下責任：（a）核實請求方的身份；（b）判斷請求的有效性及範圍；（c）起草並向請求方發送回覆；以及（d）確保遵守所有適用的法定時限及法律要求。本公司無義務直接回應任何資料主體，亦無義務核實所提供資料的準確性或完整性。超出上述範圍的本公司任何協助，應由您承擔費用；且除非您已書面同意向本公司償付該等費用，否則本公司無義務提供該等協助。因您／貴方未及時轉發資料主體請求或未提供充分資訊而導致本公司無法及時提供協助的，本公司不承擔任何責任。
12.3 本公司保留核實任何提出請求的資料主體身份的權利，並可由本公司自行決定：（i）就回應該等請求收取費用，或（ii）拒絕回應本公司合理認為明顯無根據、過度、重複或造成不當負擔的任何請求，上述各項均在 PDPA 允許的範圍內進行。為免疑義，除非相關費用已全數付清，否則本公司無義務回應任何請求。
十三、資料外洩回應
13.1 如發生涉及為您處理的個人資料的確認或合理懷疑的資料外洩事件，我們將：
（一）根據 PDPA 的要求，在切實可行的範圍內盡快通知您，並基於該相關時間點本公司合理可獲得的資訊進行通知；
（二）向您提供合理可用的外洩事件資訊，包括外洩事件的性質、受影響的個人類別和大致數量、受影響的個人資料記錄類別和大致數量，以及已採取或擬採取的處理外洩事件的措施；及
（三）與您合作調查外洩事件，並協助您履行通知受影響個人和／或個人資料保護委員會的義務（如需要）。
13.2 除非法律要求或您已以書面形式明確指示，我們不會直接通知受影響個人或個人資料保護委員會。是否通知及任何通知的內容，應由您作為資料控制者決定。
十四、保密
14.1 我們將對為您處理的所有個人資料嚴格保密。
14.2 能夠接觸到個人資料的我方人員應受適當的保密義務約束，無論是在受僱於或受聘於我們期間還是之後。
14.3 我們不會向任何第三方披露個人資料，除非：
（一）為履行託管服務所必需（包括第九節所述的向子處理者的披露）；
（二）適用法律、法規或有效法律命令要求（在此情況下，我們將在法律允許的範圍內提前通知您該等披露）；
（三）經您事先書面同意；或
（四）根據本政策或主協議另行明確允許。
十五、審計權
15.1 應您的合理書面請求，並由您承擔費用，本公司將合理酌情決定向您提供為證明本公司遵守本政策及適用資料保護法律所必需的相關記錄和文件的查閱權限，但前提是該等查閱不得損害本公司的保密資訊、安全實踐或對其他客戶所負有的義務。
15.2 您行使審計權的頻率不得超過每曆年度一次，除非已發生合理需要額外審計的資料外洩或監管調查事件。
15.3 任何審計應於正常營業時間內進行，並至少提前 10 日通知，且以不得不合理干擾本公司正常業務營運的方式進行。該審計應由您的內部人員或由雙方共同同意的獨立第三方審計機構實施，且任何審計結果在披露前須經本公司審核同意。
十六、責任限制
16.1 我們因違反本政策或適用資料保護法律而產生的責任，受主協議第六條第 6.3 款規定的限制（包括其中規定的賠償責任上限）的約束。
16.2 本政策中的任何內容均不排除或限制依法無法排除或限制的責任。
十七、修訂
17.1 我們保留不時修訂本政策的權利，以反映我們的實踐、法律要求或雲廠商及 LLM 提供商規則的變化。
17.2 本政策的任何修訂將按照主協議第七條第 7.1 款規定的通知條款告知您。任何修訂生效後，如您繼續使用託管服務，即構成您對修訂後政策的接受。您有責任定期查閱更新後的政策。對於因您未能履行該等責任而產生的任何損失或損害，本公司不承擔責任。
十八、管轄法律與爭議解決
18.1 本政策受新加坡共和國法律管轄並據其解釋。
18.2 因本政策引起或與之相關的任何爭議，應根據主協議第八條規定的爭議解決條款解決。
十九、聯絡方式
19.1 如您對本政策或我們對個人資料的處理有任何疑問、關切或請求，請透過以下方式聯絡我們：
資料保護官（Data Protection Officer）
Cloudigo Technology Limited
19.2 如您是個人資料由我們代客戶處理的個人，請首先直接聯絡該客戶（資料控制者）。
二十、確認
20.1 透過委託我們提供託管服務並接受主協議，您確認已閱讀、理解並同意本私隱政策的條款。