1. 双方与角色
本数据处理附录（“DPA”）构成 TalkThem 工作区所有者（“客户/控制者”）与 TalkThem（“处理者”）之间协议的一部分，适用于 TalkThem 代表客户处理客户个人数据的情形。对于账户、安全、计费和服务运营数据，TalkThem 可按 Privacy Policy 所述作为独立控制者。
2. 范围、期限与指示
TalkThem 仅为提供实时聊天、访客状态、消息路由、历史、分析、自动化、客服应用、通知、存储和安全而处理数据，并仅按照客户的书面指示（包括产品设置和 API 使用）处理。
3. 数据主体与数据类别
包括客户网站访客、终端用户、客服人员，以及客户通过服务提交的其他个人。数据可能包括消息、IP 地址、基于 IP 的大致位置、user agent、URL/referrer、会话/资料 ID、时间戳、访客时间线、备注/标签、附件和客服活动。
4. 保密与安全
TalkThem 将访问限制在提供服务所必需的人员，并采用与风险相称的技术和组织措施，包括 TLS、角色权限、安全会话、2FA、敏感秘密静态加密、速率限制、网络保护、日志和备份。
5. 对控制者的协助
根据处理性质，TalkThem 将合理协助客户处理数据主体请求、安全义务、风险评估和 DPIA。客户仍负责确定其访客数据处理的合法依据。
6. 数据事件
如确认发生涉及客户个人数据的安全事件，TalkThem 在知悉后将无不当延迟地通知客户，并提供合理可用的信息。
7. 子处理者
客户授予 TalkThem 使用 Subprocessors 页面中明确标记为子处理者的服务商的一般授权。TalkThem 将对适用的数据保护义务保持责任；在可行情况下，会在新的子处理者开始处理前通过合理电子方式通知重大变更、更新公开列表，并允许客户提出合理的数据保护异议。
8. 国际传输
对于需要 GDPR Article 46 机制的 EEA 传输，适用欧盟委员会现行 SCC 的相应模块及附件。对于 UK GDPR restricted transfer，适用 UK Addendum 或 IDTA（视情况而定），并完成所需的数据保护评估。
9. 删除与返还
服务终止后，TalkThem 按客户合法指示删除或返还客户个人数据，法律、安全、争议或合同证据要求继续保存的有限情形除外。备份按正常轮换删除。
10. 审计
TalkThem 将提供合理必要的信息以证明遵守本 DPA，并允许在合理预告、安全和其他客户保密要求下进行适当审计。
11. 美国州隐私条款
在适用美国州隐私法且 TalkThem 作为 service provider/contractor 时，TalkThem 不出售客户个人信息，不将其用于跨情境行为广告，并仅为合同列明的业务目的处理，也不会将其与来自其他主体或自身消费者互动的个人信息合并，适用法律允许的情形除外。
12. SCC 附件信息
在适用 SCC 时，客户为数据出口方，TalkThem 为数据进口方/处理者（如客户自身为处理者，则 TalkThem 为子处理者）。处理在服务期限内持续或按需进行；数据主体和类别见第 3 节，目的见第 2 节，保存见第 9 节及 Privacy Policy。第 4 节和 Security & Trust 页面中的技术与组织措施构成 Annex II，当前 Subprocessors 页面中标记为子处理者的服务商构成 Annex III。双方联系信息以及所需的适用法律/法院选择，根据客户账户/订单和 TalkThem 法律身份信息完成。
13. 优先顺序
如本 DPA 与一般 Terms 在个人数据处理事项上冲突，本 DPA 优先；强制适用的 SCC/UK Addendum 按其条款优先。