数据处理协议（DPA）
符合GDPR的数据处理条款
DPA概览
- 1您（客户）是数据控制者——您决定处理的目的和方式
- 2我们是数据处理者——仅按您的指示处理数据
- 3零文件保留——文档在处理后立即删除
- 4客户特定加密使用您的独特密钥保护您的数据
- 5SOC 2 认证的第三方AI服务在合同数据保护义务下
- 6我们协助满足所有GDPR数据主体权利（访问、删除、可携带性等）
- 7欧盟至美国数据传输的标准合同条款（SCCs）
协议目的
本数据处理协议（DPA）是服务条款的一部分，并根据GDPR及其他适用的数据保护法律管理个人数据的处理.
角色与职责
你（客户）= 数据控制者
你决定处理的目的和方式
我们（LoanIntelligence.ai）= 数据处理者
我们仅在你的指示下处理数据
处理范围
处理目的
从贷款文件中提取结构化数据，以提高数据准确性和质量分析，执行财务计算（DSCR、LTV、P&I、NOI），通过专有算法和信号系统确保数据质量，并将结果同步到你的 Google Sheets（如获授权）。
个人数据类型
借款人姓名、地址、SSN、TIN、财务数据（收入、资产、负债）、就业信息、物业数据和贷款交易详情。重要：我们不在短暂处理（每个处理运行期间）之外保留个人数据。所有持久数据均已加密并存储在 YOUR Google Drive AppData 中。
数据主体
贷款申请人、共同借款人、共同签字人、物业所有者、担保人以及商业贷款的企业主< PUNCT >
处理说明
允许的活动
禁止的活动
子处理器
我们用于提供服务的第三方
第三方 AI 服务
目的： 文档处理（OCR、分类、提取）
地点： 美国
保障措施： SOC 2 I 型和 II 型认证，已签订数据处理协议，传输中数据加密，合同上禁止使用您的数据进行训练
谷歌有限责任公司
目的： OAuth 认证，Drive API，Sheets API
地点： 美国（您的选择）
保障措施： SOC 2 II 型，ISO 27001，标准合同条款（SCCs）
桨
目的： 支付处理（仅电子邮件，客户ID - 无信用卡）
地点： 美国/英国运营
保障措施： 记录商，合同隐私与安全控制
云基础设施提供商
目的： 托管与计算
地点： 美国
保障措施： SOC 2 II 认证数据中心
我们使用专有算法和信号系统，并结合 SOC 2 认证的第三方 AI 服务。所有子处理器均在合同数据保护义务下运作.
子处理器变更
我们将在任何对子处理器的变更前提前 30 天通知您。您可以在 14 天内基于合理的数据保护理由提出异议.
数据主体权利协助
我们如何帮助您履行 GDPR 义务
访问信息权（第 15 条）
我们将在您请求后的 30 天内以 JSON 格式提供数据导出.
更正权（第 16 条）
我们将根据您的请求更新不准确信息.
删除权 / 被遗忘权（第 17 条）
我们将在您请求后的 24 小时内删除所有个人数据.
处理限制权（第 18 条）
我们将在您请求时暂停处理.
数据可移植权（第 20 条）
我们以结构化、机器可读的 JSON 格式提供数据.
反对权（第 21 条）
我们允许您选择退出非必要处理.
自动决策相关权利（第22条）
我们提供关于人工智能处理逻辑的透明度，并确保数据质量.
请求流程
如果我们收到数据主体请求，我们会在2个工作日内转发给您。您负责向数据主体作出回应（根据GDPR，在30天内）。我们通过在您请求后的7个工作日内提供必要的数据导出、删除或更正来协助您.
零保留收益
由于我们的零保留架构：（1）贷款文件中的个人数据不被保留（短暂处理），（2）提取的数据仅存储在您的Google Drive AppData（加密），（3）数据主体请求可以通过删除您的账户（在24小时内清除我们所有系统）或您手动从自己的Google Drive中删除数据来满足
安全措施
我们如何保护您的数据
加密
访问控制
零保留架构
数据泄露通知
即刻响应（在 1 小时内）
遏制违规，评估范围和影响，启动调查.
控制者通知（在 72 小时内）
通过电子邮件向您通报初步细节（违规性质、受影响数据、估计影响）.
完整报告（在 7 天内）
详细事件报告，包括描述、受影响数据主体/记录、后果、补救措施和建议.
我们将协助您
违规状态
截至 November 14, 2025：零个人数据违规，零未经授权访问事件，零加密密钥泄露。我们的零保留架构将暴露最小化（文档仅在处理运行期间存在），客户特定加密将客户隔离（一个客户违规不会影响其他客户），自动密钥轮换限制影响（泄露的密钥仅在一次处理运行内有效）.
国际数据传输（欧盟至美国）
标准合同条款（SCCs）
我们依赖欧盟委员会批准的标准合同条款（决定 (EU) 2021/914，第二模块：控制者向处理者转移）.
补充技术措施
美国政府访问请求
我们受美国监视法（FISA、CLOUD Act）的约束。然而，我们的零知识架构确保即使被迫披露数据，我们也无法在没有密钥（存储在 YOUR Google Drive）的情况下解密您的数据。零文档保留意味着可披露的数据最小化。我们将在收到政府请求时通知您（除非法律禁止），并对过宽或非法请求提出异议。截至目前：已收到零次政府数据请求（截至 2025 年 11 月 14 日）。
终止时的数据删除
在 24 小时内
在 30 天内
从加密备份中删除所有个人数据并覆盖已删除的数据（安全删除）.
删除证明
根据要求，我们提供删除证明，确认删除日期、删除的数据类别以及使用的安全删除方法.
审计权
您的审计权
您可以每年审计一次我们对本 DPA 的合规性（需提前 30 天通知）。审计必须非干扰性，在工作时间进行，并且须遵守保密协议。您承担所有审计费用.
第三方审计报告
您可以查看我们的 SOC 2 Type II 报告（如可用）、第三方安全审计报告，或请求书面回应标准化问卷.
责任限制
根据 GDPR 第 82 条，我们对违反处理器 GDPR 义务的处理或在我们违背或违反您的合法指令时所造成的损害承担责任。我们的全部责任限于《服务条款》中规定的金额，除非存在重大过失、故意不当行为，或法律无法限制的责任.
我们将在一个工作日内回复.