委外資料處理協議 (DPA)

一、主旨與法律依據

本委外資料處理協議（Data Processing Agreement，以下簡稱「本協議」）構成店家與 kurubiz 平台服務合約之不可分割之一部分。本協議依據中華民國《個人資料保護法》第八條、第十二條及相關委外監督法規訂定，旨在明確規範平台受託處理店家客戶個人資料時之權利、義務與資安責任。

二、雙方角色界定

• 店家（資料控制者 / Data Controller）：對其顧客之個人資料蒐集目的、法定告知及合法利用依據負有最終控制權與法律責任。
• 平台（資料處理者 / Data Processor）：受店家委託，僅依店家之指示、合約服務範圍及本協議內容處理個人資料。

三、平台之資安維護義務與承諾

平台承諾採取下列適當之技術與組織措施，以確保受託處理之個人資料安全：

• 多租戶嚴格邏輯隔離：於資料庫層與應用層均設有 Tenant ID 隔離防護，嚴防不同品牌店家間發生資料越權存取。
• 全鏈路傳輸加密：所有 API 通訊與網頁存取一律強制採用 TLS 1.3 / HTTPS 加密協定。
• 存取權限控管與最小授權：僅經授權之維運工程人員於排除故障所需之極限範圍內，始得依審批紀錄存取系統日誌，且所有敏感資料庫操作均留存審計日誌。
• 定期弱點掃描與備份：每日自動執行遠端快照備份，並進行自動化回歸與資安測試。

四、個資侵害事故通知

若平台發現或合理懷疑發生任何未經授權之存取、洩漏、竄改或毀損店家個資事件，平台將於知悉後 24 小時內 主動通知受影響之店家，並提供事件原因、受影響範圍及已採取之應變補救措施報告，以利店家向主管機關及當事人通報。

五、合約終止時之資料銷毀與返還

於服務合約終止、解約或店家提出書面請求時，平台應依店家之選擇：
(1) 提供標準加密格式將全部顧客資料返還予店家；及
(2) 於解約緩衝期屆滿後，永久刪除或去識別化儲存於伺服器之顧客個資備份（但法律另有保存規定者不在此限）。

六、協議效力

本協議自店家完成線上啟用或簽署之日起生效，其效力至店家完全終止使用本平台且所有資料已完成返還或銷毀之日為止。