NoteMail.me 数据处理附加协议（DPA）

第一条 定义

• 个人信息：指可用于识别特定个人的信息，包括但不限于邮件内容、IP 地址、设备识别码、位置信息、浏览行为等。
• 终端用户：指使用客户服务并通过 NoteMail.me 平台接收邮件的用户。
• 客户数据：指客户在使用 NoteMail.me 服务过程中提供的与其业务相关的数据，包括但不限于用户画像、访问日志、API 调用、CRM 数据等。
• 子处理者：指经本公司授权，为实现服务目的而处理数据的第三方服务提供者。
• 个人信息保护相关法令：指《日本个人信息保护法》（APPI）、《欧盟通用数据保护条例》（GDPR）及相关政令、指南等。

第二条 处理目的

• 实现 NoteMail.me 的邮件发送和管理功能；
• 分析用户行为并生成营销报告；
• 向客户提供分析和建议报告；
• 保障服务安全性、稳定性；
• 法律规定的其他用途。

客户数据仅用于提供、改进和支持 NoteMail.me 服务，不用于任何形式的广告投放或数据贩卖。

第三条 数据分类与控制者责任

• 客户为终端用户数据的"信息控制者"，本公司为"信息处理者"。
• 客户应确保其收集终端用户信息符合适用法律，必要时应获得用户的同意。
• 客户应承担确保数据准确性、合法来源和处理合法性的责任。

第四条 数据保护与安全措施

• 数据传输采用 TLS 加密；
• 数据存储采用 AES-256 加密；
• 所有生产环境使用多因素身份认证；
• 日志留存与访问控制机制；
• 定期漏洞扫描与灾备机制；
• 拒绝无授权的数据访问请求。

第五条 子处理者与委托处理

• 本公司可能委托以下类型的服务提供商处理数据：
• 云基础设施提供商（如 AWS 日本区域）；
• 邮件发送服务商；
• 服务器维护与日志分析服务商；
• 本公司将与所有子处理者签署数据保护协议，确保其承担同等保护义务。
• 子处理者清单将在官网公开页面维护，客户可申请通知订阅。

第六条 跨境传输

• 本公司优先在日本国内处理和存储个人信息。
• 如因服务运行需要进行跨境数据传输，需符合日本 APPI 第 24 条规定，即：
• 对方国家具有充分的数据保护水平，或；
• 与接收方签署标准合同条款（SCC），或；
• 获得信息主体的明示同意。

第七条 终端用户的权利

• 若终端用户提出以下请求，本公司将合理配合客户响应：
• 访问、修改、删除其个人信息；
• 撤回同意、限制使用；
• 获取其数据副本（可携权）；
• 客户有义务将上述权利在其网站或隐私政策中明确告知终端用户。

第八条 数据泄露应对

• 若发生数据泄露事件，本公司将：
• 在确认后 72 小时内通知客户；
• 提供事件详情、影响范围、已采取的补救措施；
• 配合客户向监管机构或终端用户报告。
• 若泄露系客户疏忽造成，本公司不承担法律责任。

第九条 数据保留与删除

• 客户数据在客户服务终止后 30 天内将自动删除，客户亦可随时通过管理后台申请数据删除。
• 若依据法律规定需保留数据（如会计记录、执法要求），本公司将在合理范围内延长保留期限。

第十条 审计与透明性

• 客户有权每年最多一次提出数据保护合规性审计请求，审计范围限于其自身数据。
• 本公司将提供加密传输记录、访问控制日志、安全政策摘要等作为回应。

第十一条 优先适用条款

• 若主协议、本协议与隐私政策存在不一致，应依以下优先顺序适用：
• 本协议；
• 主协议；
• 隐私政策页面说明。

第十二条 准据法与争议解决

• 本协议适用日本国法律。因本协议产生的争议应提交东京地方裁判所专属管辖。

附录 A：处理范围详情（Processing Scope）