数据处理协议（DPA）

本数据处理协议（以下简称"本DPA"）是景智通服务协议的组成部分，适用于湖北旅投科技有限公司（以下简称"处理方"或"我们"）为客户（以下简称"控制方"或"您"）提供景区线上经营托管服务过程中涉及的个人数据处理活动。

1. 定义

• 个人数据：指以电子或其他方式记录的与已识别或可识别的自然人有关的各种信息
• 数据主体：个人数据所指向的自然人，包括景区游客、客户员工等
• 处理：对个人数据进行的收集、存储、使用、加工、传输、提供、公开、删除等操作
• 子处理方：处理方委托的、代表处理方处理个人数据的第三方

2. 数据处理的范围与目的

处理方仅在为控制方提供约定服务所必需的范围内处理个人数据，具体如下：

数据类别	处理目的	处理方式	保留期限
景区游客评价数据	口碑监控、分级响应、根因分析	读取、汇总、分析	合同期内+30天
OTA订单与核销数据	店铺托管、对账、运营分析	读取、汇总、分析	合同期内+30天
客户联系人信息	商务沟通、服务交付、报告发送	存储、使用、传输	合同期内+30天
景区运营资料	内容生产、信息注入、GEO优化	存储、使用、加工	合同期内+30天

3. 处理方的义务

3.1 按指令处理

处理方仅按控制方的书面指令处理个人数据。如处理方认为控制方的指令违反法律法规，应立即通知控制方。

3.2 保密义务

处理方对服务过程中接触的个人数据承担保密义务，未经控制方书面同意，不得向第三方披露。

3.3 安全措施

• 客户数据独立存储，与其他客户数据逻辑隔离
• 传输过程采用加密协议（HTTPS/TLS）
• 访问权限按最小必要原则分配，关键操作需二次确认
• 操作全程留痕，日志保留不少于6个月
• 定期进行安全评估和漏洞扫描

3.4 子处理方管理

处理方使用子处理方（如云服务商、AI服务提供商）时，应确保子处理方承担与本DPA同等的数据保护义务。处理方对子处理方的行为向控制方负责。

4. 数据主体权利

处理方应协助控制方响应数据主体的以下权利请求：

• 访问权：数据主体有权查询其个人数据
• 更正权：数据主体有权要求更正不准确的个人数据
• 删除权：数据主体有权要求删除其个人数据
• 限制处理权：数据主体有权要求限制对其个人数据的处理
• 可携带权：数据主体有权获取其个人数据副本

处理方应在收到控制方转交的请求后15个工作日内协助完成响应。

5. 数据泄露通知

6. 数据返还与删除

• 合同终止或解除后，处理方应在30天内清除全部客户业务数据
• 控制方可在数据清除前要求导出/归还其数据
• 法律法规要求保留的数据除外，处理方应继续承担保密义务

7. 数据跨境

处理方承诺，未经控制方书面同意，不将个人数据传输至中华人民共和国境外。如确需跨境传输，双方应另行签订数据出境协议并完成合规评估。

8. 审计权

控制方有权对处理方的数据处理活动进行审计，包括但不限于查阅安全管理制度、操作日志、第三方认证报告。处理方应予以配合。

9. 责任与赔偿

因处理方违反本DPA导致数据主体损害的，处理方应依法承担相应责任。双方另有约定的从其约定。

10. 争议解决

本DPA的解释、效力和争议解决适用中华人民共和国法律。争议协商不成的，提交湖北旅投科技所在地法院诉讼解决。

* 本DPA与服务协议具有同等法律效力。如本DPA与服务协议有冲突，以本DPA中关于数据保护的条款为准。