数据处理协议
最后更新：2026-05-08
1. 各方与主题事项
本数据处理协议（“DPA”）规范由 astropixels.rs 运营的 Formhook（“处理者”）代表创建账户并使用 Formhook 接收表单提交的表单所有者（“控制者”）处理个人数据。它补充我们的 服务条款 和 隐私政策。创建并使用 Formhook 账户即构成接受本 DPA；无需单独签字。
2. 期限
本 DPA 在控制者的 Formhook 账户活动期间以及处理者仍持有控制者数据的任何终止后期间适用（见第 12 条）。
3. 处理的性质和目的
处理者代表控制者处理个人数据，目的是：
- 接收发送到控制者端点的表单提交；
- 存储这些提交并在控制者的仪表盘中显示；
- 向控制者发送运营邮件（账户验证、密码重置、配额警报）；
- 在新提交到达时向控制者已选择加入的设备发送网页推送通知。
4. 数据主体类别
数据主体是填写控制者表单的人（通常是网站访客、客户、潜在客户、申请人 - 任何控制者表单的目标对象）。
5. 个人数据类别
处理者处理：
- 控制者选择在其表单中询问的任何字段（通常是姓名、邮箱地址、消息，但由控制者决定）；
- 提交的技术元数据：IP 地址、User-Agent 字符串、Origin 头、时间戳。
控制者负责不通过 Formhook 收集特殊类别数据（GDPR 第 9 条），除非他们有合法依据并已适当告知提交者。
6. 子处理者
当前的子处理者及其接收的内容列在我们的 隐私政策 中。处理者将在变更生效前至少 14 天通过仪表盘横幅或邮件通知控制者子处理者列表的任何变更。如果控制者反对新的子处理者，他们可以根据下面的第 8 条和第 12 条终止账户并导出数据。
7. 保密和安全措施
处理者维护以下技术和组织措施：
- 所有传输中的数据使用 TLS；
- 账户凭据使用 Argon2id 密码哈希；
- 用 age 加密的夜间 Postgres 备份，保留 14 天；
- 管理访问限于已签署处理者保密条款的运营人员；
- 最小权限的应用数据库角色；服务角色凭据不暴露给浏览器。
8. 协助数据主体权利
GDPR 第 15-22 条下的大多数权利（访问、更正、删除、可移植性、限制）可以由控制者直接通过仪表盘满足：
- 访问/可移植性 - 账户 → 导出您的数据，下载包含我们持有的所有控制者数据的 JSON 文件。
- 删除 - 账户 → 删除账户，永久删除控制者的账户及其所有表单和提交；表单设置中也提供按表单删除。
- 更正 - 控制者可以在其仪表盘中编辑提交和表单配置。
对于不寻常的请求（例如响应控制者无法自助的最终用户数据主体请求），请发邮件至 info@formhook.app。
9. 个人数据泄露通知
处理者将在不延误的情况下（目标：知悉后 72 小时内）通知控制者影响控制者数据的任何个人数据泄露，提供 GDPR 第 33(3) 条要求的信息（泄露性质、受影响数据主体的类别和大致数量、可能的后果、缓解措施）。
10. 国际转移
主要处理位置是德国（Hetzner）。Cloudflare 的边缘仅在传输中处理数据。Resend 在其欧盟发送区域处理出站邮件。我们目前无意将控制者数据转移到欧盟/欧洲经济区之外。如有变更，我们将更新此条款和子处理者列表，并依靠标准合同条款或其他 GDPR 第 V 章保障。
11. 审计权
控制者可以每个日历年最多一次，在合理通知下，请求展示处理者遵守本 DPA 的书面信息。在服务当前规模下，现场审计在范围之外。
12. 终止、返还和删除
在控制者账户终止后，控制者可以在 30 天内使用账户 → 导出功能导出其数据。终止 60 天后，所有控制者数据从实时数据库中删除。包含早期快照的加密备份在我们 隐私政策 中描述的 14 天备份保留窗口内自动滚动。
13. 责任和优先顺序
我们服务条款中的责任条款适用于本 DPA 下的处理。如有冲突，本 DPA 管辖个人数据处理问题；条款管辖其他一切。
14. 变更
我们可能更新本 DPA。实质性变更将在生效前至少 14 天在仪表盘或邮件中标记。