本数据处理协议（DPA）补充了我们的服务条款，适用于在欧盟成立的客户或处理欧盟数据主体个人数据的客户。当使用我们的 API 涉及根据《GDPR》第 28 条的规定，为客户处理个人数据时，本协议适用。已签署的副本可申请获取；联系 info@vehicleimagery.com。
客户是控制方，Vehicle Imagery 是处理方。主题是解析客户提交的车辆识别符，如车辆识别号（VIN）或车牌号，转换为车辆规格和图像。车牌号，以及根据上下文 VIN，可能构成个人数据；本数据处理协议（DPA）正是为这些情况而存在。
为客户处理的内容仅限于通过 API 请求接收车辆标识符，将其与车辆数据进行匹配，返回相应的规格和图像，以及运行、保障和计费服务所需的技术日志。此外，我们作为独立控制器处理去标识化的请求数据，用于提升解析质量、填补目录覆盖空白和保持错误率低。该高质量数据集包含车辆标识符、解析结果和错误代码，永久与 IP 地址、客户身份和任何终端客户上下文脱钩。我们不使用客户提交的数据来构建自然人档案。
处理持续整个客户关系的时间。包含车辆识别符、IP地址和客户上下文的完整请求日志将保留6个月，用于运营、安全和计费，然后删除。在删除之前，车辆识别符及其解析结果将转移到第2节所述的去识别质量数据集中，剥离IP地址和客户关联；解析为车辆后，车牌号码将不再携带。不含个人数据的聚合计费记录将保留最多十年，以满足法定的商业和税务保留义务。终止时，代表客户处理的个人数据将在30天内删除，但需遵守上述法定义务。客户在其自身基础设施中缓存的图像不在我们的控制范围内，是客户的责任。
客户授权以下子处理器进行一般处理。我们提前通知客户意图变更，客户可基于合理的数据保护理由提出异议。
当前下游处理者：Cloudflare, Inc. (美国)，为 API 提供全球托管、内容交付和边缘基础设施。仅用于我们的营销网站和内容生产的工具不处理客户 API 数据，也不属于本 DPA 下的下游处理者。
我们的API运行在Cloudflare的全球网络上，这意味着请求处理可能会在EEA之外进行。向Cloudflare, Inc.的转移受到Cloudflare数据处理条款中包含的欧盟标准合同条款的保护，以及Cloudflare参与欧盟-美国数据隐私框架
我们的技术和组织措施概述可应要求提供：所有 API 流量的传输加密、基于 API 密钥的访问控制、客户环境隔离、访问日志记录以及最低权限管理。
我们主要通过文档和完成的问卷支持审计。在合理通知的情况下，并且每年不超过一次，除非有具体原因，客户可以在工作时间内，通过受保密约束的独立审计员验证遵守情况，而无需访问其他客户的数据。
责任遵循服务条款。如果本DPA的个别条款无效，其余部分仍然有效。适用于服务条款的法律。如果双方之间存在签署的个别DPA，则优先于本版本。
