数据处理协议
最后更新：2026 年 11 月 7 日
版本 1.1
本数据处理协议（DPA）规范您使用本服务期间 OwnersPal 代表您处理个人数据的方式。如果您是美国的小企业，通常无需签署副本——但如果您的客户、法务团队或保险公司提出要求，本页面可供使用。以下条款参照 IAPP 标准处理方协议制定，并根据 OwnersPal 位于 /subprocessors 的数据处理方列表进行了调整。
变更记录
1.1 版增加了说明，并在第 2、3、8 条中说明如何处理您授权的第三方应用；无需重新接受。 v1.1 — 2026 年 9 月 17 日。自 v1.0（2026 年 7 月 14 日）以来的变更： • 附件 1 — 广告转化衡量的处理记录：为您自己的广告账户向 Meta 和 Google 发送的内容（广告点击标识符，以及预订时所填电子邮箱或电话号码的 SHA-256 哈希值，绝不发送邮箱或号码本身）、每日发送频率、30 天有效期（Meta 为 7 天）以及营销同意条件。（PR #2284，2026 年 9 月 13 日。） • 可下载版 DPA 第 2.7 条 — 随问题报告自愿附上的诊断截图，其中可能无意包含屏幕上显示的个人数据，并说明保存期限与删除方式。（PR #2040，2026 年 8 月 19 日。） • 第 2 条 — 我们代您处理内容的说明现已列出：导入您在自有网站上发布的客户评价、预订与预约处理、订单与报价受理，以及候补名单管理。（PR #2284，2026 年 9 月 13 日。） • 第 10 条 — 您自行删除账户时显示的删除报告，以及发送到该账户邮箱地址的摘要。（账户删除报告 PR，2026 年 9 月 27 日。） • 第 2 条 — 数据类别现已包含您可以为已成为客户的潜在客户记录的销售金额。（潜在客户价值页面 PR，2026 年 9 月 27 日。） • 第 10 条 — 删除后我们保留删除审计记录的期限（3 年），以及数据库备份中的副本（最长 7 天）和托管与错误跟踪日志中的内容（最长 90 天）的保留期限。（删除后保留期限 PR，2026 年 10 月 2 日。） • 第 2 条 — 我们处理内容的说明现已包含本服务向您提出的建议、您对每项建议的决定以及之后结果的记录（计数和总计，最多保留 36 个月）。（决策记录 PR，2026 年 10 月 2 日。） • 第 2、3、8 条（可下载版 DPA 第 2.3、3.2、3.4 和 8.1 条）— 您通过“设置 → AI 助手”授权的第三方应用（例如 AI 助手）。这些条款新增了此类授权如何运作的说明：向这些应用披露数据已列入处理目的；您授予它们的访问权限及您选择的权限构成您有据可查的指示的一部分；这些应用代表您行事，而非作为 VIVE AI, Inc. 的数据处理方，任何后续传输（包括传输至欧洲经济区、英国或瑞士以外）均依据您与该应用提供方之间的自有安排进行；我们在第 8 条中的传输承诺受第 3 条约束。（已连接 AI 助手 PR，2026 年 10 月 2 日。） • 第 10 条 — 您发起但无法当即完成的删除：我们会记录该请求，随后完成删除，并在完成后通过邮件发送报告。（完成中断的账户删除 PR，2026 年 10 月 5 日。） • 第 2 条 — 数据类别现已包含您的网站、企业邮箱和 Google 商户信息的设置进度，包括您域名的 DNS 和电子邮件服务提供商，以及我们从公共 DNS 读取的 DNS 记录。（引导式设置 PR，2026 年 10 月 16 日。） • 第 2 条 — 针对您的企业邮箱设置，数据类别现已同时包含您选择的电子邮件服务提供商、我们从公共 DNS 读取的您域名的邮件服务器（MX 记录），以及您从电子邮件服务提供商处复制的公开 DNS 值（域名验证码、DKIM 公钥，以及 Microsoft 的邮件服务器名称和 DKIM 主机名），绝不包括密码；还包括您要求我们向其发送测试邮件的、您自有域名下的邮箱地址，我们仅将其用于发送该邮件：设置进度中仅保留最近一次测试邮件的发送时间以及您是否确认已收到。（引导式设置邮箱步骤 PR，2026 年 10 月 18 日。） • 第 10 条 — 从未完成注册的账户（其用户从未确认年满 18 周岁并获授权管理该商家的营销事务，也从未接受服务条款、隐私政策和本 DPA）会在提前 7 天发送一封邮件后，于创建 30 天后删除；对于较早的账户，则在我们开始要求之日起 30 天后删除；拥有有效或试用中付费方案的账户不会以这种方式删除。（同意页面 PR，2026 年 10 月 20 日。） • 第 2 条 — 针对您的 Google 商户信息设置，数据类别现已同时包含该商户信息的 Google 地点 ID，以及该商户信息是否显示您的网站和我们最近一次比对的时间；经核实并非您的商户信息的搜索结果的 Google 地点 ID 及我们发现这一点的时间，以免在 29 天内再次查询该结果；您是已有 Google 商户信息还是需要新建；您通过何种方式向 Google 验证该商户信息；以及您告知我们已向 Google 申请明信片的时间。这些 Google 地点 ID 是我们检查商户信息时从 Google 返回内容中保留的唯一数据。（引导式设置 Google 商户信息步骤 PR，2026 年 10 月 23 日。） • 第 2 条 — 如果您在设置过程中连接自己的 Google Search Console，数据类别现已同时包含：Google 为此提供给我们的访问令牌、我们在 Google 登记的您的网站地址、Google 为该地址签发的验证码（您的网站会在页面代码中显示它）以及您对该网站的权限级别；我们仅将其用于验证您的网站、将其添加到您的 Search Console、提交其页面列表，以及检查您是否仍是网站所有者，并遵守《Google API 服务用户数据政策》及其中的“有限使用”要求；我们不会读取您的任何 Search Console 搜索数据；当您断开连接时、在连接以其他方式结束后的 7 天内（如果超过一天无法连接 Google，则为 9 天内）以及删除您的账户时，我们都会删除这些数据。（引导式设置 Search Console 步骤 PR，2026 年 10 月 25 日。） • 第 2 条（可下载 DPA 的第 2.3、2.4 和 2.5 条）— 可选的电话助手：接听您的来电已加入处理目的（2.3），拨打您电话助手号码的人已加入数据主体（2.4），来电者的电话号码、每次通话的时间、时长和结果、通话的文字记录和摘要以及通过电话提供的预订和留言已加入数据类别（2.5）。这些条款还列明处理通话的子处理方（Twilio、ElevenLabs 以及通过 ElevenLabs 使用的 Google Gemini 模型），并说明助手接听的每位来电者首先听到的告知（已接通虚拟助理，并且本次通话可能会被录音；如果助手接起来电但我们的服务无法确认该通话，则会说出同样的告知但不提商家名称，随后告知线路暂不可用并结束通话，且在此类通话中，通过 ElevenLabs 使用的 Google Gemini 模型可能会读取来电者说出的全部内容，我们不保存文字记录）、在电话助手关闭或无法接听时来电仅由 Twilio 处理且没有任何 AI 参与、Twilio 将您的转接号码保存在您电话助手号码的设置中，且当您更改或清除该号码或删除账户时我们会请求 Twilio 将其移除并持续请求直至其被移除、不录制通话语音、我们从文字记录和摘要中去除哪些内容以及这种检测的局限、我们的通话历史在 90 天后自动删除（如果您删除该通话、关闭电话助手或删除账户，则更早删除）、预订和留言与其他预订和留言一样保存、来电者可能提到的健康信息（例如过敏）属于不得提交特殊类别数据这一规则的例外，以及每次通话结束后，我们会请求 ElevenLabs（其最长保留对话 30 天）和 Twilio 删除它们的该通话副本：通常在通话结束后立即请求；如果我们未收到通话结束通知，则在两天之内请求。对于我们的服务无法访问期间发生的通话，我们会在服务恢复访问后约一小时之内请求；在此之前三天以上发生的通话，其日志将按 Twilio 自己的保留期限继续留在 Twilio。（电话助手 PR，2026 年 10 月 24 日。） • 第 2 条 — 针对您的社交媒体主页（Facebook、Instagram 和 Threads）设置，数据类别现已同时包含：您选择的社交平台、您为它们选定的 @用户名、您已有的每个主页链接中的 @用户名、我们为您起草或由您编辑、批准的主页文字、起草方式、您向我们索取草稿的时间，以及您告知我们已完成的事项（您在自己的公开页面上所做的检查，以及您勾选的账户安全步骤），绝不包括密码、双重验证码或恢复码。（引导式设置社交媒体主页步骤 PR，2026 年 10 月 25 日。） • 第 2 条（可下载 DPA 的第 2.5 条）— 针对您的社交媒体主页设置，我们保留的主页文字现描述为我们为您起草、或由您编辑或批准的文字（而不仅是您批准的文字），以及起草方式和您向我们索取草稿的时间。（引导式设置社交媒体主页文字 PR，2026 年 10 月 26 日。） • 第 2 条（可下载 DPA 的第 2.5 条）— 针对您的社交媒体主页设置，数据类别现已同时包含：对于您已连接的 Facebook 主页或 Instagram 账户，对该主页的检查结果（哪些项目与您的设置相符，绝不包括主页内容）；当您断开该平台、Meta 要求我们删除其数据或删除您的账户时，我们会删除这些结果。（引导式设置社交媒体主页检查 PR，2026 年 10 月 26 日。） • 第 2 条（可下载 DPA 的第 2.3 和 2.5 条）— 电话助手：助手接听的每位来电者首先听到的告知现在说明已接通AI助理，并且本次通话可能会被录音，并与我们的服务提供商共享；我们为计费保存的每次通话时长记录现在还会针对助手接听的通话注明所用告知的版本、通话语言以及告知是否被听到；如果来电者要求助手不要保留本次通话的记录，我们不保存其文字记录或摘要。（AI助理告知 PR，2026 年 10 月 25 日。） • 第 2 条（可下载 DPA 的第 2.3 条）— 电话助手：每当 Twilio 呼叫您的转接号码时（我们的服务无法访问期间的来电除外），接起电话的人需要按 1 才能接起这通来电，打到您转接号码的这段通话不会被录音，也没有任何 AI 收听；某次来电进来时，如果助手同时接听的通话已达到您允许的数量，且您的转接号码无人接受该来电，助手只会为记录留言而接听它，并像处理其接听的任何其他通话一样处理和保存该通话。（来电筛选与留言兜底 PR，2026 年 10 月 25 日。） • 第 2 条 — 自动 DNS 设置（Domain Connect）：如果您域名的 DNS 托管在我们已为其开启该功能的提供商处（仅在该提供商接受我们的记录模板之后），我们会将您的域名发送至该提供商的公开 Domain Connect 服务，询问其能否添加您网站或邮箱的设置记录；如果您选择自动设置，我们会将您的浏览器转到该提供商自己的批准页面，并附上写明需要添加的 DNS 记录的签名链接；只有在您在该页面上批准后，提供商才会进行更改，且其代表您行事，而非作为 VIVE AI, Inc. 的数据处理方；我们不会保存其回复中的任何内容。（引导式设置一键 DNS 设置 PR，2026 年 10 月 26 日。） • 第 2 条（可下载 DPA 的第 2.3 条和第 2.5 条）— 电话助手发送预订链接短信：如果您开启此功能（默认关闭），想要预订并明确表示同意的来电者每次通话可收到一条包含您预订链接的短信，该短信代表您发送至来电者正在使用的号码；短信内容固定，不含任何营销信息，且绝不会在您商家所在时区的晚上 8 点至早上 8 点之间发送，不会发送至已回复 STOP 的号码，也不会超过每个号码的每日上限；发送时间、来电者表示同意时所说的话以及短信服务商对该短信的引用编号会随该通话的历史记录一并保存和删除。（向来电者发送预订链接短信 PR，2026 年 11 月 6 日。） • 第 2 条、第 7 条和附件 1 — 更正和补充（2026 年 11 月 6 日）：您网站上的推荐语现在描述为其原话和星级评分，不含客户姓名，我们不保存客户姓名；数据类别现在还列明某人可能在您网站的联系或咨询表单中填写的出生日期、随这些表单保存的同意记录、每条潜在客户线索的事件日志，以及您所连接的 Facebook 公共主页或 Instagram 账户的评论和私信；第 7 条现在说明了如何通过电子邮件确认隐私请求、我们可以发送的访客记录副本、如何核对拒绝出售、共享或定向广告的请求，以及您网站上的表单只接受年满 16 周岁的人这一规则；附件 1 现在说明，使用已拒绝的邮箱地址所做的预订永不发送。 • 第 7 条（可下载 DPA 第 7.2 条和第 7.3 条）——隐私请求（2026 年 11 月 7 日）：对于我们收到的与您数据相关的每项请求，以及在您的 OwnersPal 网站上提出的每项请求，我们仍会转交给您。第 7 条现在说明了我们何时会自行答复或处理请求：仅在您指示我们这样做，或您未在法律规定的期限内作出回应时，以协助您遵守该期限。 • v1.1 未作改动：第 7 条中关于您网站访客的请求如何送达您的说明；上述条目补充了此类请求如何确认和处理，以及我们何时答复或处理请求。 v1.0 — 2026 年 7 月 14 日。首个附有服务器端同意记录的版本。
如何使用此页面
请通读一遍。如果贵司政策要求完整签署的文件，请下载 Markdown 文件、加签后发送至 privacy@ownerspal.app。我们将在五个工作日内完成加签并寄回。否则，您使用本服务即视为接受本协议。
下载数据处理协议（Markdown 格式）1. 范围与角色
当您使用 OwnersPal 时，您（客户）是您所提交的任何个人数据的控制者（controller）——包括您客户的评价、您在自己网站上发布的客户推荐语、潜在客户线索、联系人列表、广告账户令牌，以及您的客户通过您的 OwnersPal 网站提交的预订或预约、订单、报价请求和候补名单登记。OwnersPal 是该等数据的处理者（processor）。本 DPA 在适用于您的范围内涵盖 GDPR、英国 GDPR、CCPA/CPRA 及其他可比的隐私法律。它不涵盖 OwnersPal 作为控制者直接从您处收集的数据（账单电子邮件、登录、产品分析）——该等数据在我们已发布的隐私政策中说明。
2. 标的、期限、性质与目的
主题事项：您或您的最终用户提交至本服务的个人数据。期限：在您的订阅有效期内，外加为删除或导出所需的任何终止后保留期。性质与目的：提供本服务——内容生成、广告管理、评价监测、导入您在自己网站上发布的推荐语、潜在客户线索采集、预订与预约处理、订单与报价受理、候补名单管理、通过可选的电话助手接听您的来电（见下文）、商户信息登录、分析、向您授权的第三方应用披露服务数据及由此得出的统计数据（见第 3 条），以及为交付上述功能而严格必需的任何辅助处理。数据主体：您的客户和潜在客户，以及使用 OwnersPal 的您自己的员工；如果您有电话助手号码，还包括拨打该号码的人。数据类别：姓名、电子邮件地址、电话号码、邮寄地址、线索表单自由文本、您为已成为客户的潜在客户记录的销售金额、预订与预约详情（例如，请求的时间和用餐人数）、拨打您电话助手号码的来电者的电话号码以及通话的时间、时长和结果、电话助手所接听通话的文字记录和摘要、通过电话留下的留言、订单与报价自由文本、公开评价内容、您在网站上发布的客户推荐语（仅保存其原话和星级评分；我们不保存客户姓名）、公开商户信息元数据、您的网站、企业邮箱、Google 商户信息和社交媒体主页的设置进度（包括您域名的 DNS 和电子邮件服务提供商；我们从公共 DNS 读取的 DNS 记录，其中包括您域名使用的邮件服务器，即 MX 记录；您选择的电子邮件服务提供商；您从电子邮件服务提供商处复制并粘贴到 OwnersPal 中的值——域名验证码、DKIM 公钥，以及 Microsoft 的邮件服务器名称和 DKIM 主机名——这些都是公开的 DNS 值，绝不是密码；以及您的 Google 商户信息的 Google 地点 ID、该商户信息是否显示您的网站以及我们最近一次比对的时间、经核实并非您的商户信息的搜索结果的 Google 地点 ID 及我们发现这一点的时间（以免在 29 天内再次查询该结果）、您是已有 Google 商户信息还是需要新建、您通过何种方式向 Google 验证该商户信息（明信片、电话、电子邮件、视频或即时验证）和您告知我们已向 Google 申请明信片的时间；这些 Google 地点 ID 是我们检查商户信息时从 Google 返回内容中保留的唯一数据；以及对于您的社交媒体主页（Facebook、Instagram 和 Threads），您选择的社交平台、您为它们选定的 @用户名、您已有的每个主页链接中的 @用户名、我们为您起草或由您编辑、批准的主页文字、起草方式、您向我们索取草稿的时间，以及您告知我们已完成的事项（您在自己的公开页面上所做的检查，以及您勾选的账户安全步骤），绝不包括密码、双重验证码或恢复码；对于您已连接的 Facebook 主页或 Instagram 账户，还包括对该主页的检查结果（哪些项目与您的设置相符，绝不包括主页内容），当您断开该平台、Meta 要求我们删除其数据或删除您的账户时，我们会删除这些结果）、您要求我们向其发送测试邮件的、您自有域名下的邮箱地址（仅用于发送该邮件；设置进度中仅保留最近一次测试邮件的发送时间以及您是否确认已收到），以及您授权的广告平台访问令牌。如果您在设置过程中连接自己的 Google Search Console，数据类别还包括：Google 为此提供给我们的访问令牌、我们在 Google 登记的您的网站地址、Google 为该地址签发的验证码（您的网站会在页面代码中显示它，以便 Google 确认网站归您所有），以及您在 Search Console 中对该网站的权限级别。我们仅将这些数据用于向 Google 验证您的网站、将其添加到您的 Search Console、提交其页面列表，以及检查您是否仍被列为网站所有者，并遵守《Google API 服务用户数据政策》及其中的“有限使用”要求：我们不会将其用于任何其他用途，除非提供此功能所必需，否则不会转让给任何人，也不会出售。我们不会读取您的任何 Search Console 搜索数据；当您断开 Search Console 时，我们会删除这些数据；如果连接以其他方式结束，我们会在 7 天内删除（如果超过一天无法连接 Google，则在 9 天内删除）；删除您的账户时也会一并删除。如果您域名的 DNS 托管在某个服务提供商处，且我们已为该提供商开启基于 Domain Connect 标准的自动设置（我们仅在提供商接受我们的记录模板后才会为其开启），那么在您的网站或邮箱设置仍有需要添加的 DNS 记录期间，我们会读取您域名的公开 _domainconnect DNS 记录，并将您的域名（不含任何其他个人数据）发送至该提供商的公开 Domain Connect 服务，询问其能否添加这些记录。如果您选择自动设置，我们会将您的浏览器转到该提供商自己的批准页面，并附上一个由 VIVE AI, Inc. 签名的链接，其中写明您的域名、需要添加的 DNS 记录（即设置步骤显示给您手动复制的同一批公开 DNS 记录）以及要返回的 OwnersPal 页面；只有在您在该页面上批准后，提供商才会进行更改。该提供商代表您行事，并非 VIVE AI, Inc. 的数据处理方；我们从不接收您在该提供商处的登录信息，也不会保存 _domainconnect 记录或该提供商回复中的任何内容。除拨打您电话助手号码的来电者可能提到、并按下文所述方式处理的健康信息（例如过敏）外，除非我们已书面同意，否则请勿提交特殊类别数据（健康、生物识别等）。本服务还会为您已发布的网站生成汇总站点统计——每日页面浏览量和按钮点按计数器，并附带粗粒度的流量来源（引荐域名或"直接访问"）。这些计数器不使用 Cookie 和设备标识符，不保留 IP 地址，无法关联到任何个人，并保留 13 个滚动月份。若报告问题的用户明确选择加入（在任何捕获发生之前显示的同意提示中确认），我们还会处理其当时所查看页面的诊断截图，该截图可能会附带包含屏幕上可见的个人数据；截图存储在受访问控制的存储中，最迟 90 天后自动删除（从未附加到报告的上传约在 24 小时内删除），并在账户删除时一并删除。广告转化衡量详见附件 1。本服务还会以计数和总计的形式保存向您提出的建议、您对每项建议的决定以及之后结果的记录，其中不含客户姓名、电子邮件地址、电话号码或评价文字；这些记录最多保留 36 个月，并会随您的账户一并删除。数据类别还包括：某人在您的 OwnersPal 网站的联系或咨询表单中自愿填写的出生日期（在预订或候补名单表单中只做核对，不予保存）；随这些表单给出的每项同意的记录（所同意的确切文字、其版本、时间、IP 地址和浏览器的用户代理）；每条潜在客户线索的事件日志（何时获取、每条已发送的跟进消息以及任何退订）；以及发送到您所连接的 Facebook 公共主页或 Instagram 账户的评论和私信的文字及作者姓名，我们会在您的 OwnersPal 收件箱中显示这些内容。 电话助手：如果您开启它，我们会代您接听打给您电话助手号码的来电。在任何其他内容之前，助手接听的每位来电者都会先用英语听到：已接通AI助理，并且本次通话可能会被录音，并与我们的服务提供商共享。通常听到的是这句话（此处为译文）：“您好，您已接通[您的商家名称]的AI助理。本次通话可能会被录音，并与我们的服务提供商共享。”；如果助手接起来电，但我们的服务无法确认该通话，助手会说：“您好，您已接通AI助理。本次通话可能会被录音，并与我们的服务提供商共享。”，随后告知线路暂不可用并结束通话。通话结束前，通过 ElevenLabs 使用的 Google Gemini 模型可能会读取来电者说出的全部内容；对于此类通话，我们不保存文字记录。您在问候语中加入的话会在这段告知之后播放；这段告知您无法更改或删除。我们不录制通话语音。Twilio 承载通话，ElevenLabs 实时处理来电者的语音，回复则由通过 ElevenLabs 使用的 Google Gemini 语言模型撰写。助手转接来电时，Twilio 只会将其接通到您的转接号码。在电话助手关闭或无法接听时打给您电话助手号码的来电仅由 Twilio 处理：如果您设定了转接号码，Twilio 会把来电者接通到该号码；未设定或无人接听时，则播放一段固定语音消息，告知线路暂不可用。没有任何 AI 收听这些通话，ElevenLabs 和 Google Gemini 模型都不会收到它们。Twilio 还会将您的转接号码保存在您电话助手号码的设置中，以便我们的服务无法访问时仍能接通来电；当您更改或清除该号码或删除账户时，我们会请求 Twilio 将其从中移除，并持续请求直至其被移除（在此之前，我们的服务无法访问期间的来电仍可能被接通到原来的号码）。每当 Twilio 因助手未接听的来电或助手转接的来电而呼叫您的转接号码时（我们的服务无法访问期间的来电除外），最先接起电话的人会先听到 Twilio 播放的一段固定语音消息，其中会说出您的商家名称并请其按 1 接听；只有在此人约 8 秒内按 1 之后，来电者才会被接通。如果无人接起或无人按 1，该来电即视为未接听（因此该号码上的语音信箱不会接起它），来电者会听到告知线路暂不可用的固定语音消息。打到您转接号码的这段通话不会被录音，也没有任何 AI 收听。只有一种例外：如果某次来电进来时，助手同时接听的通话已达到您允许的数量，且您的转接号码无人接受该来电，助手只会为记录留言而接听该来电。来电者会先听到开场告知，然后听到大家都在忙、助手可以记录留言；助手可以根据您已发布的信息回答问题并记录留言，但不能预订，也不能转接，通话最长约 3 分钟。此类通话与助手接听的任何其他通话一样按此处所述进行处理和保存，且不计入您的同时通话数上限；如果剩余分钟数不足，或该来电无法访问助手，来电者会听到告知线路暂不可用的固定语音消息，您的转接号码不会被再次呼叫。对于助手接听的通话，我们保存来电者的电话号码（除非已隐藏）、通话的时间、时长和结果，以及文字记录和摘要；对于打给您号码的其他通话（包括我们的服务无法确认的通话），我们最多保存来电者的电话号码以及通话的时间、时长和结果。在保存文字记录或摘要之前，我们会自动去除我们检测到的支付卡号、银行账号、政府证件号码和医学术语；检测可能会有遗漏，且医学术语仅能检测英语。这些通话历史会在 90 天后自动删除；如果您删除该通话、关闭电话助手或删除账户，则会更早删除。助手接受的预订或留言（预订还包括来电者对您预订条款的口头同意）会作为普通预订或收件箱消息送达给您；它属于您的数据，与其他预订或留言一样保存和删除，直到您删除它或删除您的账户为止。它会按来电者所说的内容送达给您，仅去除我们检测到的支付卡号，以便您能据此处理过敏等信息；我们仅为处理通话、向您提供通话历史以及来电者的预订或留言而使用此类信息。我们还会为计费保存一份不含来电者数据的每次通话时长记录，并随您的账户一并删除。对于助手接听的通话（我们的服务无法确认的通话除外），该记录还会注明所用开场告知的版本、通话语言以及告知是否被听到；这一点我们会在去除任何内容之前根据该通话的文字记录进行核对。其他通话的记录不注明版本，也不将告知标记为已听到。如果来电者要求助手不要保留本次通话的记录，助手被要求告诉对方本次通话不会被保留，并记下这一请求，届时我们不保存该通话的文字记录或摘要；我们仍会在您的通话历史中保存来电者的电话号码以及通话的时间、时长和结果；通话中接受的预订或留言以及该通话的计费记录照常保存；我们也会像对待每一通来电一样，请求 ElevenLabs 和 Twilio 删除它们的副本。ElevenLabs 处理的是尚未去除任何内容的对话。每次通话结束后，我们会请求 ElevenLabs 和 Twilio 删除它们所持有的该通话副本：通常在通话结束后立即请求；如果我们未收到通话结束通知，则在两天之内请求。对于我们的服务无法访问期间发生的通话，我们会在服务恢复访问后约一小时之内请求；在此之前三天以上发生的通话，其日志将按 Twilio 自己的保留期限继续留在 Twilio。如果该通知始终未送达我们，而且通话开始时我们也未能把该通话与其 ElevenLabs 对话关联起来，我们就无法告知 ElevenLabs 应删除哪一段对话；此时只能由 ElevenLabs 自身的 30 天期限将其删除。无论如何，ElevenLabs 对一段对话最长保留 30 天。在您删除账户时，我们还会针对仍在您通话历史中的通话再次向 Twilio 请求；Twilio 可能会保留法律要求其保留的记录。电话助手不接受付款或订单，也不主动拨出电话；它只会把来电者转接到您的转接号码。除一种情况外，它不发送短信：如果您开启预订链接短信（默认关闭，且仅在我们提供时可用），当来电者想要预订时，助手可以提出把您的预订链接用短信发给对方，并且按照指示只有在来电者明确表示同意后才发送。随后，我们会代表您通过 Twilio 从我们的号码向来电者正在使用的号码发送一条短信，每次通话最多一条。短信内容固定，使用来电者的语言：写明您的商家名称、您的预订链接以及回复 STOP 退订的方法；不含任何营销信息。短信绝不会在您商家所在时区的晚上 8 点至早上 8 点之间发送（也不会改在之后补发），不会发送至曾对我们号码发出的短信回复 STOP 的号码，也不会发送至已达到此类短信每日上限的号码。我们会随通话记录保存短信的发送时间、来电者表示同意时所说的话（已删除我们检测到的银行卡号）以及 Twilio 对该短信的引用编号；这些信息会随该通话记录一并保存和删除。
3. 客户指示
OwnersPal 仅根据您有据可查的指示处理个人数据。您在 OwnersPal 仪表盘中配置的设置——平台连接、受众定义、审批规则、您通过“设置 → AI 助手”授予第三方应用的访问权限（包括您在授权页面上选择的权限）、管理操作——即构成 GDPR 第 28(3)(a) 条所指的有据可查的指示。如果我们认为其中某项指示可能违法，会及时告知您；但我们不提供法律建议。 您通过“设置 → AI 助手”授权的应用（例如 AI 助手）代表您行事，并非 VIVE AI, Inc. 的数据处理方。我们不会主动将您的数据发送给该应用的提供方：该应用依据您的授权、且仅在您选择的权限范围内获取数据。任何后续传输（包括传输到欧洲经济区（EEA）、英国或瑞士以外）均依据您与该应用提供方之间的自有安排进行。
4. 数据处理方
OwnersPal 当前的数据处理方列表位于 /subprocessors 页面。这是唯一的权威信息来源——每当供应商发生变化时我们都会更新。在新增数据处理方之前，我们会至少提前 30 天通知您；如果您在此期间以书面形式提出异议且双方无法达成一致，您可以终止受影响的服务部分。对于我们的数据处理方所做的一切，OwnersPal 始终对您负责。
5. 安全措施
OwnersPal 采取适当的技术和组织保障措施：传输中使用 TLS 1.2 及以上加密，静态数据使用 AES-256 加密；最小权限访问并配合审计日志；每季度进行访问审查；为员工提供书面保密与隐私培训；进行依赖项扫描和补丁管理；提供适合此规模 SaaS 的备份与灾难恢复方案。以上措施是我们截至上述日期的承诺，未来可能会演进，但不会实质性削弱。
6. 个人数据泄露
如果我们确认发生影响您数据的个人数据泄露事件，我们将在不无故拖延的情况下、于 72 小时内通知您。通知内容将包括我们当时已掌握的信息：泄露性质、受影响记录的类别和大致数量、可能造成的后果，以及我们已采取的应对措施。
7. 数据主体请求
我们将协助您回应客户提出的行使自身权利的请求——包括访问、更正、删除、限制处理、数据可携带和反对处理。如果我们直接收到与您数据相关的请求，我们会将其转交给您。只有在您指示我们这样做，或您未在法律规定的期限内作出回应时，我们才会答复或处理此类请求，以协助您遵守该期限。 当 OwnersPal 为您托管的网站的访客使用其“您的隐私选择”表单时，OwnersPal 会通过电子邮件和您的 OwnersPal 收件箱将请求转交给您，由您答复；只有在您指示 OwnersPal 这样做，或您未在法律规定的期限内作出回应时，OwnersPal 才会答复或处理该请求，以协助您遵守该期限，并记录适用的是这两种情况中的哪一种。为协助您答复并记录答复时间，OwnersPal 会将每项此类请求的记录（参考编号、类型、可选留言、访客邮箱地址的单向指纹及接收时间）保存 24 个月，之后删除留言和指纹。访客的姓名和邮箱地址保留在您的收件箱中。 每项隐私请求，无论是通过该表单还是通过 OwnersPal 自己的隐私请求表单提出，都会通过电子邮件确认：我们向所提供的地址发送一个 14 天内有效的链接，在链接被打开之前，我们不会针对该请求提供、更正或删除任何个人数据；我们会记录请求在何时、以何种方式得到确认。当 OwnersPal 向访客发送本服务为您的商家按其邮箱地址保存的记录副本（潜在客户线索、预订、候补名单登记以及收件箱会话及其消息）时，该副本是一个通过 24 小时内有效的链接发送的文件，并会在链接失效后的 24 小时内删除。 访客提出的拒绝出售或共享个人信息、或拒绝定向广告的请求，自收到时起生效，无需确认。在根据附件 1 将某个预订发送给 Meta 或 Google 之前，我们会将随该预订提供的邮箱地址与这些请求所保存的指纹进行比对，不发送使用已拒绝的地址所做的预订。与上文所述通过网站提出的其他请求不同，拒绝请求的指纹在 24 个月后仍会保留，保留时间以继续遵守该拒绝请求所需为准；24 个月后只删除其留言。 您的 OwnersPal 网站上的联系和咨询表单、预订表单和候补名单，以及您的潜在客户采集页面，只接受确认自己年满 16 周岁的人提交的内容，确认方式是勾选一个方框或填写能证明这一点的出生日期。勾选本身不予保存。
8. 国际数据传输
除第 3 条就您通过“设置 → AI 助手”授权的应用另有规定外，在提供服务过程中，若个人数据离开欧洲经济区（EEA）、英国或瑞士，OwnersPal 将使用有效的数据传输机制——包括欧盟标准合同条款（欧盟委员会实施决定 (EU) 2021/914）和英国国际数据传输协议（UK IDTA）——并以引用方式并入本协议。您将与 OwnersPal 签订这些条款的相关模块，并授权 OwnersPal 代表您与我们的数据处理方签订这些条款。
9. 审计
我们会提供必要信息以证明我们遵守本协议，包括对合理安全问卷的书面回复。如果我们取得 SOC 2 / ISO 27001 报告，在保密协议下分享该报告即满足您依据 GDPR 第 28(3)(h) 条享有的审计权。否则，您可在提前 30 天书面通知后，每十二个月进行一次现场审计，费用自理，且须在正常营业时间内进行——不得干扰我们的运营或访问其他客户的数据。
10. 数据返还与删除
订阅结束后，您可在 45 天内选择：(a) 以机器可读格式导出您的个人数据，或 (b) 删除数据并出具书面证明。如果法律要求我们延长保留期限，我们会在本协议的保护下继续保留相关数据。我们还可能出于防止滥用和法律抗辩的目的保留加盐哈希审计记录（2026 年 5 月的 PII 加固升级已将账户删除审计记录中的明文邮箱替换为 HMAC-SHA256 哈希值）——这些记录不属于被删除者的个人数据。 当您在设置中自行删除账户时，我们会当即向您展示一份删除报告（按类别列出：删除了哪些内容、其存储位置，以及我们或我们的子处理方保留哪些内容、原因和期限，并可下载为电子表格），并将同一摘要发送到该账户的邮箱地址。如果删除无法当即完成，我们会记录该请求，随后完成删除，并在完成后通过邮件发送报告；该报告涵盖删除完成时所删除的内容。我们不会保留该报告的副本。我们会在删除后将该删除审计记录保留 3 年，然后将其删除。我们数据库备份中您个人数据的副本会随着这些备份到期，在删除后 7 天内消失；我们托管和错误跟踪日志中的相关内容会在 90 天内消失。在使用账户的人确认其年满 18 周岁并获授权管理该商家的营销事务，并接受服务条款、隐私政策和本 DPA 之前，该账户只会显示要求完成这些步骤的页面。如未完成，我们会在账户创建 30 天后删除该账户及其中存储的全部个人数据；对于在我们开始要求之前创建的账户，则在我们开始之日起 30 天后删除。在此之前 7 天，我们会向账户邮箱发送一封邮件，告知日期并附上完成链接，将该邮件的发送日期与账户一同保存，并且不会在该邮件发出后 7 天内删除账户。拥有有效或试用中付费方案的账户，以及我们自己运营的账户，绝不会以这种方式删除；我们会改为联系账户持有人。
11. 期限
本协议自上述日期起生效，有效期与您的订阅期限一致。第 6、7、9、10 条以及其他依其性质应当继续有效的条款，在协议终止后依然有效。
附件 1. 处理记录：广告转化衡量
目的：为您自己的 Meta 和 Google Ads 账户衡量广告转化，让您了解哪些广告活动带来了真实预订。 个人数据：您的客户在预订时提供的电子邮件地址和电话号码的 SHA-256 哈希值（在发送时于内存中计算，OwnersPal 从不存储或记录；电子邮件地址和电话号码本身从不发送）、其访问中的广告点击标识符（Google 为 gclid，Meta 为 fbclid），以及预订的创建时间。不发送任何预订金额。仅当您的 Google Ads 账户报告已接受 Google 的客户数据条款时，Google 才会收到哈希值；否则仅收到点击标识符。 数据主体：点击您的某条广告后，在您的 OwnersPal 网站上完成预订（已确认或已完成）的客户。 接收方：Meta Platforms（Conversions API）和 Google（Google Ads 离线点击转化），各自为您自己的广告账户接收数据。 频率：每天一次，由自动任务执行。 保留：OwnersPal 不保留哈希值。预订仅可在创建后 30 天内发送（Meta 为 7 天）。OwnersPal 仅保留上传记录（预订 ID、平台和状态）。删除预订（包括通过删除请求删除）会将其连同上传记录一并移除，此后永不发送；断开您的广告账户会停止所有上传。 条件：访客在您的网站上接受了营销 Cookie，且其浏览器未发送 Global Privacy Control 信号。未在该同意下获取点击标识符的预订永不发送。使用已拒绝出售或共享、或已拒绝定向广告的邮箱地址所做的预订（第 7 条）永不发送。
如有疑问、审计回复需求，或需要签署版副本：