次级处理者清单

Animiyo 是一个面向宠物管理的多租户 SaaS 平台：一个托管在 Google Cloud Run 上的 Next.js 网页应用与一个原生 iOS 应用共享同一个 Firebase 后端，位于 Google Cloud 项目 petdiary-10327 中。这些组件没有一项运行在服务开发者自有的机器上，因此平台处理的每一份数据都要经过某个第三方提供商。公布这些提供商的清单，是让任何人都能核查自己数据去向的最直接方式。

Animiyo 具有两种截然不同的角色。对于宠物主人账户，也就是那些为自己注册并使用应用的人，它是控制者。而对于租户，即兽医诊所和商店，就其自身客户所处理的数据而言，它则是处理者。本清单在两种情形下都适用，区别在于法律定性：在第一种情形下，提供商是由 Animiyo 委任的处理者；在第二种情形下，它们是根据《条例（欧盟）2016/679》第 28 条第 2 款和第 4 款获得授权的次级处理者。

有两类读者会使用本页。数据主体，即数据被处理的当事人，用它来核查 /privacy 处的声明是否属实，并行使 /diritti-privacy 处所述的各项权利。租户控制者用它来履行 /dpa 处协议所规定的告知义务，更新自身的处理活动记录，并决定是接受某一提供商还是对其提出异议。因此，公布本清单既满足了对数据主体的透明义务，也满足了对租户控制者的告知义务。

下方的表格是本文件的实质内容：各段落的存在只是为了对其加以说明。如果某一行发生变更，页首的更新日期也会随之变更，并在文末的变更日志中出现一条记录。

只有在通过一套固定的核查之后，某一提供商才会被启用，这些核查始终按同一顺序进行。这并非一种自由裁量的评估：它们是最低要求，未能满足的提供商无法进入平台，无论其服务多么便利或廉价。

• 符合第 28 条第 1 款所要求的充分保证：已签署的数据处理协议、有文件记录的安全措施、对数据存放地点的透明公开。
• 绝对禁止允许提供商为其自身目的处理数据的条款，包括未经单独且可撤销的同意而训练人工智能模型。
• 在二十四小时内通报数据泄露，最长可接受至四十八小时。
• 在关系终止后三十天内删除数据的义务，并以书面形式确认删除已经完成。
• 提供商公布其自身进一步次级处理者的清单。
• 最小化：对于同一功能，我们选择接收所需数据量最小的提供商。

唯有一项条款不容协商。任何提供商都不得为其自身目的处理用户数据，尤其不得用于训练人工智能模型，除非获得单独、知情且可撤销的同意。在其他任何方面，较为不利的条款都可以通过技术或组织措施加以平衡；唯独在这一点上不能，因为已进入模型的数据无法再以任何可核查的方式被取回或删除。如果某一提供商在其条款中引入了此类条款，则会通过下文所述的程序更换该服务。

这是本文件的主表。对于每一提供商，它说明所提供的服务、所接收的数据类别、处理发生的地点以及法律角色。角色一栏写作处理者，因为提供商代表 Animiyo 并按照其指示处理数据；而在面对租户控制者时，同一提供商则是获得授权的次级处理者。

Google 集团出现了八次，而非一次。这并非无谓的重复：每一行都是一项独立的服务，各有其配置、其地点和其数据类别。Firebase Authentication 知道电子邮件地址，却不知道健康记录的内容；Cloud Storage for Firebase 保存照片，却对预约一无所知；Google Analytics 4 只看到公开站点，从不触及已登录区域。将各项服务分开列出，使人能够理解在仅影响其中之一的事件中会涉及哪些数据，并能在不触动其他服务的情况下更换其中一项。

全球基础设施这一措辞标示的是那些不允许选择处理区域的服务：提供商通过一个分布式网络交付这些服务，数据可能在不止一个地点被处理。这适用于推送通知、欺诈防范核查以及公开站点的统计，也就是处理技术标识符而非账户内容的各项服务。对于这些情形，传输依据与数据存放地点一节所述相同。

Stripe Payments Europe Limited 出现在清单中，尽管它并不接收任何数据。集成已存在于代码中，但网关被一个配置开关关闭，因此没有任何支付信息离开平台。该行留在表中是为了透明：在开关被打开的那一天，它不会成为一个隐蔽的新增项，而其启用无论如何都将遵循为次级处理者变更所设定的通知期。

平台的某些功能会从公共数据库读取信息：一份药品说明、一种食物的营养值、一段品种描述、一个汇率、一块地图瓦片。这些调用只读取数据，它们从用户的浏览器发起，既不携带账户标识符，也不携带任何日记内容。不过，它们确实会传输浏览器的 IP 地址以及请求的技术细节，因此必须予以声明。

这些服务不是处理者，因为它们并不代表 Animiyo 处理数据，也不接受 Animiyo 关于如何使用其所获信息的任何指示。就它们所收集的连接数据而言，它们是独立控制者：它们自行确定目的和方式，适用其自身的声明，并直接为其自身的选择负责。这种区别并非形式上的。处理者只按照被告知的方式处理数据，并在被要求时删除数据；独立控制者则以自身名义承担责任，而涉及这些连接数据的请求必须向其提出。

平台的主要资源位于 us-central1 区域，在美国。这意味着账户数据、上传内容和系统日志是在欧洲经济区之外被处理的，因而该传输必须建立在有效的法律依据以及充分的技术措施之上。

伴随向美国传输的各项保障措施如下。

• 以 Google Ireland Limited 作为签约对方，依据 Google Cloud Data Processing Terms。
• 欧盟委员会以第 2021/914 号实施决定所通过的标准合同条款。
• Google LLC 在 EU United States Data Privacy Framework 下的认证。
• 以 TLS 对传输中的数据、以 256 位 AES 对静态数据进行加密。
• 由所有者记录在案的传输影响评估。
• Google 关于处理公共机关请求的政策。

将资源迁移到位于 europe-west 区域的欧洲区域正在考虑之中。这尚非既定决定，因为这意味着要重建部分基础设施，并接受一段服务不可用的时间窗口。若此事付诸实施，将在本页公告，并采用与新增或更换次级处理者相同的通知期，以便租户控制者能够在变更生效之前更新自身的文件。

在面对租户控制者时，对所列提供商的使用建立在《条例（欧盟）2016/679》第 28 条第 4 款所规定的一般授权之上。一般授权并非一张空白支票：授予它的一方保留提前知悉何事将发生变更并提出异议的权利。下述程序说明该权利在实践中如何行使。

1. 1

   发布通知

   在新增或更换次级处理者之前至少三十天，该变更会在本页发布，说明提供商、服务、所涉数据以及计划启用日期。

2. 2

   向租户发送消息

   在发布的同时，通知会被发送至租户在其个人资料中填写的电子邮件地址。使该地址保持更新并有人查看，是租户的责任。

3. 3

   有理据的异议

   租户可以在通知发出后十五天内提出异议，并陈述异议的理由。异议通过 /contatti 页面提交，且必须有理据，也就是必须说明何种风险或何种约束使得所提议的提供商不可接受。

4. 4

   寻求替代措施

   在启用日期之前，我们会评估该异议是否能够通过替代措施解决：不同的配置、不同的区域、减少所传输的数据，或为该功能采用不同的提供商。

5. 5

   无违约金终止

   如果异议无法解决，租户控制者可以无违约金地终止受该变更影响的那部分服务，方式依据 /dpa 处所发布的协议。

三十天通知期只有一个例外。如果某一提供商必须基于安全理由被更换，例如在出现严重漏洞或某项服务突然停止之后，更换可以在缩短的通知期内进行。在这种情况下，向租户发送的消息是即时的，而提出异议的权利依然完整，只是它在变更之后而非之前行使。在面对持续风险时还要等待三十天，恰恰会损害该程序本意要保护的那些人。

本清单涵盖的是由 Animiyo 选择用来运行平台的提供商。它不涵盖由租户选择的提供商。当兽医诊所或商店接入其自身的工具、从平台导出数据或将数据交给其自身的提供商时，那些提供商不会出现在这里，并且仍属租户的责任：租户必须将它们委任为处理者，并告知其自身的数据主体。

这一区分对于那些将数据留在某一诊所或商店的人尤为重要。如果某项请求涉及租户自行选择的某一提供商，则必须向租户提出，因为租户是该项处理的控制者，而且只有租户知道自己接入了哪些工具。尽管如此，本页依然是理解哪些提供商对所有人通用、哪些不通用的出发点。

一份次级处理者清单通过它所略去的内容说明了许多。下面这些提供商类别在平台中并不存在，而它们的缺席是一项设计选择，而非一种等待预算的临时状况。

• 没有任何广告网络、任何数据经纪商、任何商业画像提供商。
• 没有任何接收用户数据的人工智能模型提供商。
• 没有任何可访问数据的第三方客户支持服务。
• 没有任何以用户群为素材的营销邮件系统。
• 不向第三方出售或转移数据。

这些条目中的每一条都对应一个不出现在主表中、且未经上述通知也不会出现的提供商。如果这些类别中的某一类有朝一日变得必要，则该新增项将遵循为其他提供商所设定的同一通知与异议程序，而对于需要同意的目的，该同意将被单独且可撤销地收集。

对本清单的每一项变更都会在这同一页发布，而本页即为权威来源。此外，租户控制者还会在其个人资料中填写的电子邮件地址收到通知，因为对他们而言，该通知具有合同上的效力，而不仅仅是告知性的。

判断某事是否发生变更的最简单方式，是查看页首的更新日期，并将其与文末的变更日志进行比对。关于本清单的问题、索取与某一提供商相关的合同文件，或提出异议，请使用 /contatti 页面，它是就本文件进行一切沟通的唯一渠道。

后续的修订会被加入本表，并在代码的版本控制历史中被追踪，该历史连同变更日期一并保留每一版本的确切文本。任何需要重建某一时刻所生效清单的人，都可以通过 /contatti 页面提出请求。