Perplexity 資料處理附錄

最後更新日期：2026年8月13日

本資料處理附錄（「DPA」）構成 Perplexity AI, Inc.（「Perplexity」）與明示參照本附錄之商業客戶（「客戶」）之間的服務條款或其他協議（各該協議經不時更新，統稱「協議」）的一部分並納入其中，以規範客戶對 Perplexity 服務（「服務」）的使用。就本 DPA 而言，「服務」係指依據協議向客戶提供的任何 Perplexity 產品、功能、API、工具或其他產品服務，包括受納入本 DPA 參考條款所規範之任何未來產品、功能或更新。特定服務（包括但不限於 Embeddings API 與 Perplexity Search）的資料態勢可能與本 DPA 不同，就該等服務及經由其處理之資料的處理方式而言，適用之產品專屬條款應予適用並凌駕於本 DPA 之上。在 Perplexity 就客戶使用服務相關而處理任何個人資料的範圍內，本 DPA 載明客戶關於處理該等個人資料之指示，以及雙方的權利與義務。除本 DPA 明文規定者外，協議應保持未經修改且完全有效。若本 DPA 與協議有任何歧義，應以本 DPA 為準。

1. 定義。就本 DPA 而言，下列詞彙應具有下方賦予之涵義。本 DPA 中使用但未定義的大寫詞彙應具有協議中賦予之涵義。本 DPA 中協議未另行定義的所有其他大寫詞彙，應具有隱私權法律賦予其的對應涵義。

a. 「控制者至處理者條款」係指：(i) 針對受 GDPR 約束之個人資料傳輸，歐盟委員會於 2021 年 6 月 4 日頒布之實施決定 (EU) 2021/914 中所載之將個人資料傳輸至第三國的標準合約條款，明確包括模組 2（控制者至處理者）（「歐盟 SCC」）；及 (ii) 針對受英國 GDPR 約束之個人資料傳輸，由英國資訊專員發布之歐盟委員會標準合約條款國際資料傳輸附錄（版本 B.1.0）（「英國附錄」），各情況均經不時修訂、更新或替換。

b. 「歐盟／英國隱私權法律」係指（如適用）：(i) 《一般資料保護規範 2016/679》（「GDPR」）；(ii) 《隱私與電子通訊指令 2002/58/EC》；(iii) 《英國 2018 年資料保護法》（「英國 DPA 2018」）、經《資料保護、隱私與電子通訊（修正等）（歐盟脫離）2019 年條例》修正之英國 DPA 2018 所定義之英國一般資料保護規範（連同英國 DPA 2018 統稱「英國 GDPR」），以及《2003 年隱私與電子通訊條例》；及 (iv) 實施上述任何項目的任何相關法律、指令、命令、規則、規章或其他具約束力的文書，各情況均為適用且不時生效，並經不時修訂、整併、重新制定或替換。

c. 「個人資料」係指 Perplexity 代表客戶為提供服務而處理的任何資訊，該資訊在任何隱私權法律下被定義為「個人資料」、「個人資訊」或「可資識別個人身份之資訊」。

d. 「隱私權法律」係指（如適用）：歐盟／英國隱私權法律（包括 GDPR）、美國隱私權法律（包括 CCPA），以及任何其他司法管轄區涉及資料保護、隱私權或個人資料使用之任何類似適用法律，且要求控制者與處理者就個人資料處理事宜同意特定合約承諾，各情況均為適用且不時生效，並經不時修訂、整併、重新制定或替換。

e. 「處理者至處理者條款」係指：(i) 針對受 GDPR 約束之個人資料傳輸，歐盟委員會於 2021 年 6 月 4 日頒布之實施決定 (EU) 2021/914 中所載之將個人資料傳輸至第三國的標準合約條款，明確包括模組 3（處理者至處理者）；及 (ii) 針對受英國 GDPR 約束之個人資料傳輸，由英國資訊專員發布之歐盟委員會標準合約條款國際資料傳輸附錄（版本 B.1.0），各情況均經不時修訂、更新或替換。

f. 「第三國」係指：(i) 就受 GDPR 約束之個人資料傳輸而言，歐盟經濟區資料保護法律適用範圍以外的任何國家或地區，但不包括經歐盟委員會不時批准為個人資料提供充分保護的國家或地區；(ii) 就受英國 GDPR 約束之個人資料傳輸而言，英國資料保護法律適用範圍以外的任何國家或地區，但不包括經英國相關主管機關不時批准為個人資料提供充分保護的國家或地區；及 (iii) 就受任何其他隱私權法律約束之個人資料傳輸而言，經相關主管機關不時批准為個人資料提供充分保護之國家或地區以外的任何國家或地區。

g. 「美國隱私權法律」係指（如適用）：《加州消費者隱私法》、《科羅拉多州隱私法》、《康乃狄克州資料隱私法》、《猶他州消費者隱私法》、《維吉尼亞州消費者資料保護法》、任何其他州關於個人資料處理的類似法律，以及根據上述任何法律頒布的任何法規，各情況均為適用且不時生效，並經不時修訂、整併、重新制定或替換。

h. 詞彙「企業」、「控制者」、「資料主體」、「處理者」、「處理」、「銷售」、「服務供應商」及「分享」應具有適用隱私權法律賦予其的涵義。

2. 雙方角色。雙方承認，就提供服務時自客戶收到的任何個人資料而言，就隱私權法律之目的而言，客戶為控制者、處理者或企業，而 Perplexity 則為服務供應商或處理者。

3. 客戶義務。客戶在提供個人資料予 Perplexity 以配合其使用服務（包括使用與服務的任何整合）時，應遵守所有適用的隱私權法律。客戶聲明並保證：(a) 所有個人資料均由客戶或代表客戶依法蒐集，且在所有時間均依循所有隱私權法律進行處理與維護，包括關於向個人發送通知及／或取得個人同意之任何義務；且 (b) 客戶在向 Perplexity揭露個人資料及使 Perplexity 得依協議及本 DPA 所述處理個人資料方面，已遵守隱私權法律（包括具有合法依據），且在其他方面擁有所有必要的權利、許可、同意與授權。客戶不得採取任何會使根據本條提供個人資料予 Perplexity 之行為構成美國隱私權法律下的銷售或分享，或在其他方面使 Perplexity 不符合美國隱私權法律下的服務供應商或處理者身分的行動。若客戶認定根據協議處理個人資料不符合或將不符合隱私權法律，客戶應立即通知 Perplexity，在此情況下，Perplexity 將無需繼續處理該等個人資料。

4. 個人資料之處理。雙方同意處理之詳細資訊如附件 1 所述。在根據協議處理個人資料時，Perplexity 應：

b. 若發生下列情況，應即時通知客戶：(i) 經認定其已無法遵守客戶關於處理個人資料之指示、其於隱私權法律下之義務或本 DPA 之條款；或 (ii) 認為客戶之指示違反適用之隱私權法律；

b. 若發生下列情況，應即時通知客戶：(i) 經認定其已無法遵守客戶關於處理個人資料之指示、其於隱私權法律下之義務或本 DPA 之條款；或 (ii) 認為客戶之指示違反適用之隱私權法律；

c. 在隱私權法律要求的範圍內，授予客戶採取合理且適當步驟的權利，以協助確保 Perplexity 以符合客戶於本 DPA 及隱私權法律下之義務的方式使用個人資料，並停止及補救任何對個人資料之未授權使用；以及

d. 要求處理個人資料的每位員工或其他人員，就該等個人資料承擔適當的保密義務。

5. 禁止事項。在隱私權法律要求的範圍內，Perplexity 不得 (a) 銷售或分享個人資料，(b) 在 Perplexity 與客戶之間的直接業務關係之外保留、使用或揭露個人資料，且不得將其用於向客戶提供服務之特定目的以外的任何目的，或 (c) 將自客戶或代表客戶收到的個人資料，與可能從 Perplexity 與個人資料所涉之個人進行的獨立互動中或從任何其他來源蒐集的任何個人資料相結合。為免生疑義，個人資料將不用於訓練 Perplexity 的大型語言模型。若 Perplexity 接獲：(i) 執法機關要求揭露個人資料的任何具法律約束力之請求；(ii) 任何監管機構／管制機關（或類似機構）就個人資料發出的任何通知、查詢或調查；或 (iii) 來自資料主體的任何申訴或請求（在各情況下均與 Perplexity 根據本 DPA 為客戶或代表客戶處理個人資料有關），則 Perplexity 應（在法律允許的範圍內）通知客戶。

6. 分包商之使用。

a. 客戶特此授予 Perplexity 一般書面授權，以委任載於 https://trust.perplexity.ai/subprocessors（「信任中心分包商列表」）的分包商，惟須受本第 6 條之要求的約束。

b. 若 Perplexity 任命新的分包商，或擬對非模型提供者（定義見下文）之任何分包商之增設或更換進行任何變更，其應提前十個營業日向客戶發出通知。在此期間內，客戶可以基於與個人資料保密性或安全性或分包商對隱私權法律之合規性相關的合理且有據之理由，對該任命或更換提出異議（若客戶未提出此類異議，Perplexity 可以繼續進行任命或更換）。Perplexity 將透過以下方式發布新分包商或更換分包商（模型提供者除外）的通知：(i) 更新信任中心分包商列表；及 (ii) 透過服務內的應用程式內或產品內通知、電子郵件或上述方式的任意組合通知客戶，前提是以電子郵件通知之情況下，客戶已透過 Perplexity 法律或信任中心網站上當時可用的訂閱機制（目前網址為 https://www.perplexity.ai/hub/legal/sub-processor-notification-subscription，或 Perplexity 不時指定的此類其他網址或機制）註冊分包商通知快訊。若客戶在收到通知後五個營業日內提出異議，客戶與 Perplexity 應以誠信原則共同合作，就異議達成解決方案（例如限制使用個人資料，或客戶暫時或永久不使用服務的特定層面或功能）。如果儘管進行了該等誠信協商仍無法找到解決方案，則客戶（作為其唯一濟助）得終止協議，並獲得協議下任何已預付但未使用之費用的退款。

c. 若 Perplexity 任命新的分包商，或擬對提供大型語言模型或其他生成式人工智慧模型之任何分包商（「模型提供者」）之增設或更換進行任何變更，Perplexity 將通知客戶（透過電子郵件或應用程式內或產品內通知即可），並將更新載於 https://www.perplexity.ai/hub/legal/third-party-models 的「第三方提供者」列表（為免生疑義，其中每一項均為本 DPA 下的模型提供者）。若客戶對該任命或更換提出異議，客戶唯一的救濟方式是停止透過服務使用相關第三方模型的所有權限（為免生疑義，客戶可於任命或更換後的任何時間這樣做）。

d. Perplexity 僅得依據書面協議委任分包商，該協議應包含對分包商之義務，且該等義務對相關分包商之嚴格程度不得低於本 DPA 項下對 Perplexity 之義務。

e. 若 Perplexity 根據適用的隱私權法律委任分包商代表客戶執行特定處理活動，就該分包商履行向下流轉之資料保護義務而言，Perplexity 仍應對客戶負擔責任，其範圍與限制與本 DPA 項下 Perplexity 自身履行義務所適用者相同。

7. 協助。就個人資料之處理以及為使客戶能遵守因此而產生之義務，Perplexity 應透過以下方式向客戶提供協助：

a. 在可行範圍內，依據隱私權法律通知客戶個人根據其權利所提出的請求，包括提供、刪除或更正相關個人資料，或使客戶能夠執行相同操作；

b. 在隱私權法律要求的範圍內，進行資料保護影響評估，並在有需要時與相關主管機關進行事前諮詢；以及

c. 在 Perplexity 知悉個人資料遭意外、未授權或非法的存取、銷毀、使用、遺失、修改或揭露（「個人資料外洩」）後，無 undue delay 地通知客戶。

8. 安全措施。Perplexity 應考量最新技術水準、實施成本以及處理的性質、範圍、上下文與目的，根據適用的隱私權法律實施適當的技術、實體與組織措施，以提供符合風險水準的安全等級，如 https://trust.perplexity.ai/ 所述，或由客戶與 Perplexity 不時另行協議並記錄者，且應在協議期限內繼續遵守該等措施。Perplexity 應向獲授權存取個人資料的該等員工和其他人員提供資料保護與安全培訓。

9. 存取與稽核。經客戶提出合理書面請求，且在隱私權法律要求 Perplexity 配合的範圍內，Perplexity 應允許並協助進行關於 Perplexity 遵守本 DPA 及隱私權法律下義務之情況的檢查與稽核。具體方式為：應客戶請求，向客戶提供 Perplexity 持有且為證明該等合規性所合理必要的資訊，及／或安排合格且獨立的稽核員，使用適用且獲接受的控制標準或框架以及評估程序，對 Perplexity 的政策以及技術與組織措施進行評估以驗證合規性。經合理請求，Perplexity 將向客戶提供該評估的報告。客戶獲准請求該等資訊及／或稽核（在隱私權法律要求的範圍內）的頻率不得超過每 12 個月一次，且須提前 30 天以書面形式通知 Perplexity，並僅在雙方就稽核之合理範圍達成誠信協議且稽核員受保密義務約束的前提下方可進行。儘管有上述規定，在任何情況下，若向客戶提供資訊、設施或系統的存取權限會導致 Perplexity 違反對其他客戶所負之保密義務或其法律義務，則 Perplexity 絕無義務提供該等存取權限。

10. 個人資料之刪除。向客戶提供服務結束後三十日內，Perplexity 應刪除（或依客戶選擇，歸還）所有個人資料，除非法律要求保留個人資料；在此情況下，Perplexity 應無 undue delay 地將此法律要求通知客戶，並應於該保留義務到期後刪除（或依客戶選擇，歸還）個人資料。

11. 資料傳輸。在 Perplexity 於第三國處理受歐盟／英國隱私權法律約束之個人資料，且其係擔任資料匯入者之範圍內，Perplexity 應遵守控制者至處理者條款或處理者至處理者條款（視適用情況而定）中所載之資料匯入者義務，該等條款特此納入本 DPA 並構成其一部分，且：

a. 就附件 I 或第 1 部分（視適用情況而定）之目的而言，(i) 客戶為控制者或處理者（視適用情況而定），而 Perplexity 為處理者，且 (ii) 協議、本 DPA 及附件 1 中載明之雙方、聯絡人詳細資訊及處理詳細資訊應予適用，且開始日期為協議之生效日期；

b. 如適用，就英國附錄第 1 部分之目的而言，相關附錄歐盟 SCC（該詞彙在英國附錄中定義）即為依據本第 11 條納入本 DPA 中的歐盟 SCC；

c. 就附件 II 或第 1 部分（視適用情況而定）之目的而言，技術與組織安全措施，以及 Perplexity 為協助客戶所採取之技術與組織措施（如 https://trust.perplexity.ai/ 所載）應予適用；

d. 如適用，就附件 III 或第 1 部分（視適用情況而定）之目的而言，https://trust.perplexity.ai/subprocessors 所載之獲授權分包商列表應予適用；以及

e. 如適用，就以下各項之目的而言：(i) 第 9 條，選項 2（「一般書面授權」）視為已被選定，且關於通知期限請參照第 6.b 條與第 6.c 條；(ii) 第 11(a) 條，與獨立爭端解決相關的選用措辭視為已被納入；(iii) 第 13 條及附件 I.C，主管監管機關應為愛爾蘭資料保護委員會；(iv) 第 17 條與第 18 條，選項 1 視為已被選定，且準據法與主管法院分別應為愛爾蘭法律與愛爾蘭法院；以及 (v) 第 1 部分，身為匯出者的客戶得依據該英國附錄第 19 條終止英國附錄。

在 Perplexity 委任關係企業或第三方分包商在第三國處理個人資料的範圍內，Perplexity 應與其代表客戶委任的任何相關分包商（包括關係企業）簽署處理者至處理者條款。經客戶請求，Perplexity 應與客戶另行簽署控制者至處理者條款，並採取客戶合理要求的任何其他替代或額外步驟，以確保 Perplexity 對個人資料的處理符合隱私權法律的要求。

12. 責任。在符合歐盟 SCC 第 12 條以及任何不得以合約限制之適用法律的前提下，各方因本 DPA、歐盟 SCC 及英國附錄所引起或與之相關的全部累計責任（無論是在合約、侵權或其他方面），均受協議所載之免責聲明與責任限制所規範；本 DPA、歐盟 SCC 或英國附錄項下的任何責任均計入該上限且不會增加該上限。本條中的任何內容均不限制任何一方根據歐盟 SCC 第 12(b) 條或第 12(c) 條對資料主體所負之責任，亦不限制適用資料保護法律下不得限制之任何責任。

附件 1

處理詳細資訊：

處理之性質

協議中所述向客戶提供之服務。

處理之目的

協議中所述向客戶提供之服務。

其個人資料遭處理之個人類別

服務之獲授權使用者，以及由客戶決定的其他人員。

遭處理之個人資料類別

獲授權使用者之帳戶資訊，以及由客戶決定並透過服務提交之輸入內容中所包含的個人資訊。輸入內容中所包含的任何個人資訊將被儲存，直至以下時間中較早者為止：(a) 客戶透過服務介面將其刪除之日；及 (b) Perplexity 不再向客戶提供服務之日起三十日。

在隱私權法律下被視為「敏感」或「特殊類別」之受處理個人資料類型

除非獲授權使用者在輸入內容中意外包含敏感資料，否則無意處理任何敏感資料。

處理之頻率（例如單次或持續性）與持續時間

持續進行，涵蓋協議期限之全期以及協議中所述之任何終止後保留期。

根據第 6 條獲授權之任何分包商所進行之處理的主體事項、性質與持續時間，如本附件 1 及 https://trust.perplexity.ai/subprocessors 所述。

附件 2

獲授權分包商：

如 https://trust.perplexity.ai/subprocessors（「信任中心分包商列表」）所述。

附件 3

安全措施：

Perplexity 維持 https://trust.perplexity.ai/ 所載之技術、實體與組織安全措施，其程度與處理個人資料所呈現之風險相稱，並在其他方面依據附件 2 中針對風險適當實施並維持之由分包商執行的安全措施。關於 Perplexity 安全承諾的更多詳細資訊，請參閱協議。