資料處理協議 (DPA)

最後更新：2026年6月7日

1. 本協議之目的

本資料處理協議（以下簡稱「本DPA」）依據EU《通用資料保護規則》(GDPR) 第28條，就Crane Valley合同會社（以下簡稱「處理者」或「本公司」）提供之Framedash服務（以下簡稱「本服務」），規範資料控制者（以下簡稱「控制者」或「客戶」）與處理者之間關於個人資料處理之義務。

本DPA構成服務條款（以下簡稱「主協議」）之一部分。若主協議與本DPA之間存在矛盾，就個人資料處理事項以本DPA為準。

2. 定義

• 「個人資料」「處理」「控制者」「處理者」「資料主體」「監管機關」之定義依GDPR之規定。
• 「子處理方」係指處理者將個人資料處理之全部或部分再委託之第三方。
• 「SCCs」係指依據歐盟執委會實施決定（EU）2021/914之EU標準契約條款。

3. 處理詳情

3.1 處理對象及目的

• 處理目的：提供本服務（遙測資料之收集、儲存、分析及視覺化）
• 處理期間：主協議有效期間內及至本DPA第11條規定之刪除完成為止
• 處理性質：自動化處理（收集、記錄、儲存、結構化、分析、刪除）

3.2 個人資料類別

• 遙測資料：裝置資訊、工作階段中繼資料、玩家座標、效能指標及控制者透過 SDK 設定傳送之其他資料
• 玩家首次觀測記錄：以擬似化之玩家識別碼為鍵之永續性玩家層級彙總記錄，記載該玩家最早被觀測到之時間戳記。該記錄係由遙測資料派生而來，並為留存世代分析之目的予以保留（詳見第11條）。
• 網路中繼資料：處理者於遙測擷取邊緣觀察到之最終使用者 IP 位址。僅基於速率限制及濫用偵測之目的處理（於 Upstash Redis 中以滑動視窗計數器形式短期保留），並不會持久化至遙測資料庫。
• 遙測警示通知資料：控制者為傳送遙測警示而設定之警示規則名稱、專案名稱、地圖名稱、警示指標、警示狀態、失敗及總儲存格數量、失敗百分比、百分比閾值、儀表板連結及通知收件人電子郵件地址

附註：帳戶資訊（姓名、電子郵件地址、組織名稱）及儀表板使用資料由處理者依據其隱私權政策作為獨立控制者處理，不在本DPA之適用範圍內。

3.3 資料主體類別

• 控制者所開發遊戲或應用程式之終端使用者，其個人資料可能包含於傳送至服務之遙測資料中
• 控制者設定為接收遙測警示通知之人員或其他收件人

4. 處理者之義務

處理者應承擔以下義務：

• 僅依控制者之書面指示處理個人資料。但若EU法律或會員國法律要求處理者進行處理，則不在此限，此情況下處理者將在法律允許範圍內事先通知控制者。
• 對從事個人資料處理之人員課以保密義務。
• 依GDPR第32條採取適當之技術及組織措施以確保處理之安全性（詳見第7條）。
• 就子處理方之使用遵守第6條之條件。
• 協助控制者回應資料主體行使權利之請求。
• 就資料保護影響評估及向監管機關之事前諮詢協助控制者。
• 於主協議終止後依第11條刪除個人資料。
• 依GDPR第28條第3項(h)之規定，向控制者提供證明遵守本DPA所需之資訊，並配合稽核。

5. 控制者之義務

控制者應承擔以下義務：

• 確認對處理者之指示符合適用法律。
• 向資料主體提供適當之隱私通知。
• 確保處理個人資料所需之同意或其他法律依據。
• 若遙測資料中包含個人識別資訊，應通知處理者。

6. 子處理方

6.1 已核准之子處理方

控制者核准以下子處理方依本DPA處理個人資料:

• ClickHouse Cloud（所在地：美國。母公司ClickHouse B.V.位於荷蘭） — 遙測資料儲存及查詢處理
• Cloudflare（Workers、Queues、R2。所在地：美國） — 遙測資料擷取及佇列緩衝管線，以及使用者上傳檔案（地圖圖片、專案標誌）之儲存
• Neon（所在地：美國） — PostgreSQL資料庫託管(與遙測相關之專案中繼資料)
• Sentry（Functional Software, Inc.、所在地：美國） — 於本 DPA 適用範圍內，對網頁儀表板伺服器端（查詢與彙總遙測資料之路徑）、遙測擷取 Worker 及消費 Worker 之錯誤監控與效能追蹤。發生例外時之堆疊追蹤、請求／佇列訊息中繼資料（IP 位址、租戶 ID、專案 ID 等處理脈絡），以及在正式環境下該等路徑處理之請求約 10%（網頁伺服器）及約 5%（Worker）之效能交易（路由、處理時間、span 中繼資料等）將傳送至位於美國之 Sentry 基礎設施。針對不處理遙測資料之路徑（公開 Web 頁面、認證、導引流程等）發生之伺服器端例外及效能追蹤，以及針對本服務 Web 應用程式整體（包含公開頁面、認證、導引流程、儀表板等）使用者之瀏覽器端 Sentry 基本錯誤監控·效能追蹤及基於同意之 Sentry Session Replay，係包含儀表板使用資料之獨立控制者處理，由處理者依據隱私權政策作為獨立控制者處理，不屬於本DPA之適用範圍（詳見隱私權政策第2.3條(a)·(b)·(c)）。
• Upstash, Inc.（美國） — 用於遙測擷取管線速率限制及濫用偵測之 Redis。最終使用者之 IP 位址及 API 金鑰雜湊前綴作為識別碼儲存於滑動視窗計數器中（短期保留）。
• Vercel（所在地：美國） — 於本DPA之適用範圍內，僅指網頁應用程式託管及無伺服器執行環境（提供遙測資料之儀表板）。Vercel Web Analytics收集本服務Web應用程式整體（公開頁面、認證、導引流程、儀表板等）之使用狀況資料，並不處理本DPA適用範圍內之遙測資料，因此不屬於本DPA之適用範圍，依據處理者之隱私權政策第2.3條進行處理。
• Resend（所在地：美國） — 於本DPA適用範圍內，向控制者設定之通知收件人傳送遙測警示電子郵件。警示電子郵件內容可能包括警示規則名稱、專案名稱、地圖名稱、警示指標、警示狀態、失敗及總儲存格數量、失敗百分比、百分比閾值及儀表板連結。收件人電子郵件地址作為電子郵件投遞收件人處理。

隱私權政策中亦列出於非遙測情境下接收個人資料之其他第三方服務。Stripe（付款處理）及OAuth提供者（登入認證）就該等個人資料係以獨立控制者身分處理，不屬於處理者之子處理方。除上述遙測警示電子郵件處理外，Resend（交易性電子郵件發送）亦作為子處理方處理非遙測情境下之帳戶相關個人資料。Checkly（外部合成監控、公開狀態頁及狀態頁訂閱者通知）僅處理營運相關個人資料及狀態頁相關個人資料。Checkly未處理本DPA涵蓋之遙測資料。

當控制者設定電子郵件以外之警示通知管道（Slack incoming webhook 或通用 webhook 端點）時，處理者會將警示資料（警示規則名稱、專案名稱、地圖名稱、警示指標、警示狀態、失敗及總儲存格數量、失敗百分比、百分比閾值及儀表板連結）傳送至控制者設定之接收端。對於 Slack 管道，該接收端為 Slack 營運之 Slack incoming webhook。該等接收端為控制者選定並控制之收件人，而非處理者之子處理方，因此未列入第6.1條之清單。

6.2 變更通知

處理者於新增或變更子處理方時，應至少於30日前以電子郵件通知控制者。控制者於收到通知後14日內基於合理理由以書面提出異議時，雙方應本於誠信協商解決方案。若於合理期間內未能達成解決，控制者得終止主協議。

6.3 對子處理方之義務

處理者應與各子處理方簽訂課以與本DPA實質上同等之資料保護義務之合約。子處理方未履行義務時，處理者應就該子處理方之行為對控制者負責。

7. 安全措施

處理者應依處理風險實施適當之技術及組織安全措施，包括但不限於：

• 傳輸中資料之TLS加密
• 儲存資料之業界標準加密
• 存取控制及角色型權限管理
• 基礎設施之監控及記錄
• 定期安全審查及弱點因應措施

8. 資料外洩通知

處理者於得知個人資料外洩時，應不當延遲，且不遲於48小時內通知控制者。通知內容應包括：

• 外洩之性質（包括受影響資料主體之類別及概估數量）
• 處理者資料保護聯絡人之聯絡方式
• 外洩可能導致之後果
• 已採取或建議採取之因應措施

9. 資料主體之權利

處理者應提供技術及組織上之合理協助，以協助控制者回應資料主體行使權利之請求（包括存取、更正、刪除、限制處理、資料可攜及異議）。處理者直接收到資料主體之請求時，應立即轉知控制者。就身為終端使用者（玩家）之資料主體之消去，處理者於開發者平台 API 中提供玩家層級之消去端點，可刪除相關專案中已儲存之該玩家原始事件及首次觀測記錄。該端點刪除執行時已存在之記錄；若同一玩家的事件仍在擷取佇列中，或控制者的SDK於請求後仍持續傳送該玩家識別碼，後續可能建立新記錄，因此控制者應於擷取停止後重新執行消去請求。

10. 國際資料傳輸

10.1 基於適足性認定之傳輸

對於歐盟執委會對日本之適足性認定（2019年1月23日決定）或英國對日本之適足性認定所涵蓋之個人資料傳輸，以該適足性認定作為傳輸之法律依據，無需額外之保護措施。

10.2 適足性認定不適用之傳輸

向適足性認定不適用之第三國傳輸個人資料時，雙方適用EU標準契約條款(SCCs)（歐盟執委會實施決定（EU）2021/914）之模組2（控制者對處理者）。SCCs作為本DPA之附件納入，並依以下方式補充：

• 第9條(a)（子處理方）：適用選項2（一般書面授權）。
• 第11條：不適用任意之投訴處理條款。
• 第17條（準據法）：適用愛爾蘭法律。
• 第18條（管轄法院）：以愛爾蘭法院為管轄法院。
• 附件I（當事人詳情、傳輸說明）：依本DPA第3條之記載。
• 附件II（技術及組織措施）：依本DPA第7條之記載。

自英國之傳輸若適足性認定不適用者，適用英國國際資料傳輸附錄（UK Addendum）。

SCCs第17條及第18條之準據法及管轄法院條款僅適用於SCCs所建立之資料傳輸機制。本DPA或主協議項下之所有其他爭議依主協議所定之準據法及管轄法院。

11. 資料之歸還與刪除

主協議終止後，依控制者之選擇，處理者應將依本DPA處理之個人資料歸還控制者，或予以刪除。資料之歸還應以結構化、通用且機器可讀之格式為之。正式系統之刪除應於主協議規定之寬限期屆滿後30日內完成。備份之完全清除應於正式系統刪除完成後90日內完成。但處理者得於適用法律要求保存，或為合規、防詐欺或安全事件調查所必要之情況下，保留稽核追蹤記錄（如包含使用者識別碼、IP位址及操作內容之操作日誌）。處理者茲以本DPA通知控制者:此類稽核追蹤記錄(包含使用者識別碼、IP位址及操作內容之活動日誌等)保留最長7年,屆滿後予以刪除;法律依據為日本《法人稅法施行規則》及《公司法》第432條第2項規定之帳簿憑證保存義務,以及GDPR第6條第1項(c)款(法律義務)及第6條第1項(f)款(防詐欺與安全之正當利益)。

玩家首次觀測記錄（詳見第3.2條）於主協議存續期間內予以保留：為使留存世代分析於基礎之原始事件因期限屆滿而被刪除後仍維持準確，該等記錄不在按方案定期執行之遙測清除範圍內；惟於帳戶刪除時，將與其他所有租戶遙測資料一併，依上述相同期限予以刪除。此外，經控制者請求，處理者亦將依第9條之營運注意事項，於該時點之前，消去個別玩家之首次觀測記錄及原始事件。

12. 稽核

處理者應配合控制者或其委任之第三方稽核人員進行稽核，並提供證明遵守本DPA所合理需要之資訊。稽核之實施適用以下條件：

• 控制者應於30日前以書面通知稽核之實施。
• 稽核應於營業時間內進行，不得不當妨礙處理者之業務。
• 稽核人員應簽訂適當之保密合約。
• 稽核以每年一次為上限。但監管機關要求之稽核或與資料外洩相關之稽核不在此限。
• 處理者提供第三方安全評估報告、滲透測試報告或同等安全管控體系之證據時，控制者得以該報告代替行使當年度之稽核權。

13. 責任

各當事人依本DPA所負之責任依主協議所定之責任限制。

14. 聯絡方式

有關本DPA之查詢，或對子處理方變更之異議，請聯絡 privacy@framedash.dev。