数据处理协议。

最后更新：2026 年 10 月 9 日

本数据处理协议（"DPA"）由 Crawlbase LLC（以下称"Crawlbase"）与持有 Crawlbase 账户的客户（"客户"）订立。本 DPA 构成 服务条款的一部分，自客户创建账户或使用服务之时起自动适用，无需签署。

（1）角色与范围

对于客户指示 Crawlbase 抓取、存储或交付的内容中所包含的任何个人数据，以及为客户保存的请求日志中所包含的任何个人数据（"客户个人数据"），客户是控制者，Crawlbase 是处理者。对于运营客户账户所需的账户信息，Crawlbase 是控制者，详见 隐私政策。

只要 UK GDPR、Data Protection Act 2018 或 EU GDPR（"数据保护法"）适用于客户个人数据，本 DPA 即适用。

（2）处理详情

• 标的：向客户提供 Crawlbase 服务。
• 期限：在客户使用服务期间，直至数据依据第 9 节被删除为止。
• 性质与目的：检索客户请求的网页、对其进行处理、将结果交付给客户、在客户使用 Cloud Storage 时存储这些结果，以及保存请求日志以便客户查看使用情况。
• 数据主体：其个人数据出现在客户选择抓取的网页上的个人，以及客户自己的用户。
• 个人数据类型：客户选择抓取的页面和 URL 中所包含的任何个人数据。Crawlbase 不会选择或检查这些内容。除非客户具有处理特殊类别数据的合法依据，否则客户不得将服务用于此类数据。

（3）客户指示

除非法律另有要求，Crawlbase 仅根据客户的书面指示处理客户个人数据，这些指示包括服务条款、本 DPA 以及客户通过服务发送的请求和设置。如果 Crawlbase 认为某项指示违反数据保护法，将告知客户。

（4）保密

Crawlbase 确保任何获授权处理客户个人数据的人员均负有保密义务。

（5）安全

Crawlbase 依据 GDPR 第 32 条采取适当的技术和组织措施，包括：

• 使用 SSL/TLS 对传输中的数据进行加密；
• 系统部署在受保护的网络之后，访问权限仅限于需要访问的人员；
• 密码仅以不可逆的哈希值形式存储；
• 定期对我们的系统进行安全扫描和恶意软件扫描。

（6）子处理者

客户授予 Crawlbase 使用子处理者的一般授权。当前的子处理者列表（包括每个子处理者的所在地和用途）发布在 我们隐私政策的子处理者部分。Crawlbase 将在新增或更换子处理者至少 15 天之前更新该列表，以便客户能够基于合理理由提出异议。如果异议无法解决，客户可以停止使用服务并关闭其账户。Crawlbase 对每个子处理者施加与本 DPA 同等的数据保护义务，并对其子处理者承担责任。

（7）协助

考虑到处理的性质，Crawlbase 将协助客户回应数据主体行使其权利的请求，并向客户提供其为履行安全义务、开展数据保护影响评估以及事先咨询监管机构而合理需要的信息。

（8）个人数据泄露

Crawlbase 在知悉影响客户个人数据的个人数据泄露后，将无不当延迟地通知客户，并提供客户为履行其自身通知义务而合理需要的信息。

（9）保留与删除

• Crawling API 返回的页面内容不会被存储。这些内容仅在处理请求期间保存在内存中，并在响应返回后丢弃。
• 客户选择保存在 Cloud Storage 中的页面将在 30 天后删除。
• 请求日志在客户账户存续期间保留，以便客户查看其使用历史，并在账户关闭或客户要求时删除。

当客户关闭其账户时，Crawlbase 将删除客户个人数据，除非法律要求保留。

（10）处理地点与传输

Crawlbase 将客户个人数据托管在欧盟境内的服务器上，英国认可该地区提供了充分的保护水平。在欧洲经济区以外运营的子处理者依赖其自身的传输保障措施，详见隐私政策。

（11）审计

Crawlbase 将以对安全问卷的书面答复及相关安全文件的形式，提供证明其遵守本 DPA 和 GDPR 第 28 条所合理必需的信息。客户可在发出合理的书面通知后索取这些信息，每年不超过一次，并须对其保密。

（12）优先顺序

如果本 DPA 与服务条款在客户个人数据处理方面存在冲突，以本 DPA 为准。Crawlbase 可以更新本 DPA，并会在本页面上公布任何变更；变更不会降低对客户个人数据的保护。

有关本 DPA 的问题，可以通过我们的 联系页面发送。