本資料處理協議（「本協議」）依據 GDPR 第 28 條，規範當你以企業或專業人士身分使用 Nubbo 時，Nubbo 如何處理你透過服務管理的個人資料。本協議是服務條款的一部分，服務條款連結至本協議，而你在註冊時接受服務條款。你使用 Nubbo 即表示接受本協議。
1. 當事人與角色
- 控制者：你，作為 Nubbo 帳戶的持有人，以下稱「使用者」。
- 處理者：Gonzalo Vasco López，NIF ES34884272B，地址 Rúa Farillon 10, 1ºE, 27890 San Ciprián, Lugo, 西班牙，Nubbo 的所有人，以下稱「Nubbo」。
本協議不適用於 Nubbo 作為控制者的資料：你自己帳戶的資料、Nubbo 為自身安全與防止濫用而處理的資料、其不使用 Cookie 的彙總統計資料、以你的名義寄送之電子郵件的投遞紀錄與退訂名單，以及對在登入狀態下造訪你資源的 Nubbo 使用者的識別，這些在隱私權政策中有所說明。
2. 標的與期間
本協議的標的是為向你提供服務條款所述的 Nubbo 服務而必要的個人資料處理。本協議在你保留帳戶期間有效，之後持續至資料依第 11 節的規定刪除為止。
3. 處理的性質與目的
Nubbo 僅為向你提供服務而處理資料。處理包括：儲存你的檔案索引（名稱、路徑、大小與類型）；產生預先簽署的 URL，讓檔案直接在瀏覽器與你的儲存空間之間傳輸；發布並提供你的分享連結、相簿、檔案請求與嵌入元件；記錄其訪客的造訪、下載、按讚、留言與上傳，並向你顯示統計；以你的名義透過電子郵件寄送邀請、交付、提醒與密碼；暫時讀取檔案內容以產生縮圖、相簿尺寸與浮水印，並執行你的自動化；以及僅在你同意時，將完成你的要求所需的內容傳送給 Nubbo AI。
4. 資料當事人與資料類別
資料當事人：你的連結、相簿、檔案請求與嵌入元件的訪客；你邀請或寄送內容的對象；其資料出現在你的檔案、檔案名稱或你與 Nubbo AI 的對話中的人；以及你決定使用 Nubbo 處理其資料的任何其他人。
資料類別：識別與聯絡資料（姓名與電子郵件）；你的資源的使用資料（造訪、下載、按讚、留言、搜尋與上傳）；由 IP 位址與瀏覽器衍生、每天變化的訪客識別碼、國家與裝置類型；檔案中繼資料（名稱、路徑、大小與類型）；暫時處理的檔案內容；以及你在檔案與文字中包含的資料。
特殊類別：Nubbo 並非為處理特殊類別的個人資料（GDPR 第 9 條）而設計。如果你將此類資料儲存在 Nubbo 中，你必須確保存在允許這麼做的合法依據。為保護這些資料，我們建議使用零知識加密，藉此 Nubbo 既無法讀取你檔案的內容，也無法讀取其名稱。請注意，如果你將其中某個檔案傳送給 Nubbo AI，其內容會被處理以便回答你（隱私權政策第 9 節）。
5. 書面指示
Nubbo 僅依照你的書面指示處理資料。你對服務的使用及其設定（你上傳、分享、發布、寄送、自動化或要求 Nubbo AI 執行的內容）即構成這些指示。Nubbo 不為自身目的處理資料。如果歐盟或會員國的法律要求 Nubbo 以其他方式處理資料，Nubbo 會事先通知你，除非該法律禁止通知。如果 Nubbo 認為某項指示違反資料保護法規，會立即告知你。
6. 保密
經 Nubbo 授權處理資料的人員，透過明確承諾或法定義務，負有保密義務。
7. 安全
Nubbo 採取附件 I 所述、GDPR 第 32 條規定的技術與組織措施，並可在不降低保護水準的前提下改進這些措施。
8. 次處理者
- 你授予 Nubbo 一般授權，得使用次處理者清單中的次處理者。該清單也包括僅處理 Nubbo 作為控制者之資料的服務供應商，例如 Creem。
- Nubbo 依據 GDPR 第 28.4 條，與每個次處理者簽訂契約，課予其與本協議相同的資料保護義務並提供充分保證，且 Nubbo 仍就其遵循情形對你負責。
- 在新增或替換次處理者之前，Nubbo 會更新清單，並立即、且至少提前 10 天透過電子郵件或在應用程式內通知。
- 你可以基於合理的資料保護理由，寄信至 [email protected] 反對該變更。如果我們找不到解決辦法，你可以在變更生效前刪除帳戶以終止服務，我們將按比例退還你已預付但尚未享用的部分。
9. 協助
- 資料當事人的權利：Nubbo 透過服務的功能（查看、匯出、停用與刪除你的資源；刪除資源時會刪除其訪客的資料）協助你回應這些權利，如果不足，則透過回覆你的電子郵件要求予以協助。如果資料當事人聯絡 Nubbo，Nubbo 會立即將該要求轉交給你。
- 安全、資料外洩、影響評估與事前諮詢：Nubbo 會考量處理的性質及其掌握的資訊，透過附件 I 的措施、第 10 節的外洩通知，以及向你提供影響評估或向監管機關事前諮詢所需的資訊，協助你遵守 GDPR 第 32 至 36 條。
10. 安全外洩
如果 Nubbo 發生影響其代表你處理之資料的安全外洩，Nubbo 會無不當延遲地通知你，且無論如何不遲於知悉後 48 小時，以電子郵件寄送至你的帳戶信箱。通知將包括 Nubbo 當時掌握的 GDPR 第 33.3 條所列資訊，Nubbo 會在取得其餘資訊後立即補充。
11. 處理的終止
在刪除帳戶之前，你可以從設定 › 個人資料下載你的資料。刪除帳戶後，除非你選擇立即刪除，資料會在 30 天寬限期內保留，之後予以刪除。資料在被刪除前可能在備份中保留最多 14 天。你儲存空間中的檔案屬於你，Nubbo 不會刪除它們，但 Nubbo 在其中產生的縮圖與版本除外。以上均以法律未要求保留某些資料為前提。
基於資料最小化，匯出檔案會以假名化方式提供訪客與收件人的資料（電子郵件經遮蔽、姓名縮減為首字母，並以別名取代工作階段識別碼）。作為這些資料的控制者，你可以在應用程式中查看，或寄信至 [email protected] 向我們索取完整版本，我們將在最長一個月內提供。
12. 稽核
Nubbo 向你提供證明遵守本協議所需的資訊：本文件、隱私權政策、次處理者清單，以及對你合理之書面詢問的答覆。如果監管機關要求，或這些資訊不足以證明遵循，我們將與你議定一次合理的稽核，由你或你指定的稽核人員進行，費用由你負擔，須事先充分通知，負有保密義務，且不得存取其他使用者的資料。
13. 國際傳輸
Nubbo 僅向清單中的次處理者、並依照清單中所載之 GDPR 第五章的保障措施，將資料傳輸至歐洲經濟區以外：歐盟執委會核准的標準契約條款，以及於適用時的 EU-U.S. Data Privacy Framework。
14. 責任
各方的責任受服務條款中責任限制一節的規範，但不影響 GDPR 第 82 條規定的對資料當事人的責任。
15. 優先順序與準據法
在資料保護事項上，本協議優先於服務條款。其他事項適用服務條款，包括其準據法與管轄。
附件 I. 安全措施
- 使用 AES-256-GCM 加密你的儲存桶憑證、雙重驗證金鑰以及與 Nubbo AI 的對話，金鑰存放在資料庫之外。
- 在你的瀏覽器中進行的選用零知識加密，藉此 Nubbo 無法讀取加密檔案的內容或名稱，除非你自己將某個特定檔案傳送給 Nubbo AI（隱私權政策第 9 節）。
- 密碼以 bcrypt 雜湊儲存。
- 選用的雙重驗證（TOTP），附有復原碼。
- 檔案透過預先簽署的 URL 直接在瀏覽器與你的儲存空間之間傳輸；伺服器只會暫時讀取內容，不予保留。
- 以 HTTPS（TLS 1.2 或更高版本）加密的通訊，網頁伺服器僅能透過 Cloudflare 的防護網路存取。
- 自動到期的工作階段、使用中工作階段的管理，以及從新裝置登入時的通知。
- 帳戶活動及對與他人分享之內容的存取紀錄。
- 依 IP 位址限制請求數，並在表單中使用驗證碼。
- 資料庫備份（持續、每日與每晚），在離開伺服器前加密，並在歐盟保存 14 天。每週測試一次還原。
- 伺服器與資料庫位於歐盟，僅能透過私人網路存取；正式環境的存取權限僅限所有人及獲授權人員，並遵循最小必要權限。
附件 II. 次處理者
最新的次處理者清單，包括其用途、處理的資料、所在地與保障措施，請見次處理者頁面。
聯絡方式
如對本協議有任何疑問，請寄信至 [email protected]。