Perplexity 数据处理附录

最后更新日期：2025年7月8日

本数据处理附录（“DPA”）构成 Perplexity AI, Inc.（“Perplexity”）与企业客户（“客户”）之间明确提及本附录的特定服务条款及其他协议（包括但不限于 Perplexity Pro 企业版服务条款 和 Perplexity API 服务条款，统称“协议”）的一部分，并纳入其中，旨在管理客户对 Perplexity 服务（“服务”）的使用。若 Perplexity 在客户使用服务过程中处理任何个人数据，本 DPA 规定了客户处理此类个人数据的指示，以及双方的权利与义务。除非本 DPA 中明确规定，否则协议应保持不变，并完全有效。若本 DPA 与协议发生冲突，应以本 DPA 为准。

定义。 就本 DPA 而言，下列术语应具有下文规定的含义。本 DPA 中使用但未定义的大写术语应具有《Perplexity Pro 企业版条款与条件》中赋予的含义。本 DPA 中所有其他未在协议中定义的大写术语应具有隐私法赋予的相应含义。

“控制者至处理者条款”是指 (i) 针对受《通用数据保护条例》（GDPR）约束的个人数据传输，指欧盟委员会 2021 年 6 月 4 日第 2021/914 号决定中规定的向第三国传输个人数据的标准合同条款，具体包括模块 2（控制者至处理者）（“欧盟标准合同条款”）；以及 (ii) 针对受英国《通用数据保护条例》（UK GDPR）约束的个人数据传输，指英国信息专员发布的《欧盟委员会标准合同条款国际数据传输附录》（版本 B.1.0）（“英国附录”），以上均指不时修订、更新或替换后的版本。

“欧盟/英国隐私法”是指：(i) 2016/679 号《通用数据保护条例》（“GDPR”）；(ii) 2002/58/EC 号《电子隐私指令》；(iii) 2018 年英国《数据保护法》、由 2018 年英国《数据保护法》定义的并经 2019 年《数据保护、隐私和电子通讯（修正案等）（欧盟退出）条例》修订的英国《通用数据保护条例》（连同 2018 年英国《数据保护法》合称“英国 GDPR”），以及 2003 年《隐私和电子通讯条例》；以及 (iv) 实施上述任何内容的任何相关法律、指令、命令、规则、法规或其他具有约束力的文书，以上均指在各自适用且不时有效的情况下，以及不时修订、整合、重颁或替换后的版本。

“个人数据”是指 Perplexity 为提供服务而代表客户处理的任何根据任何隐私法被定义为“个人数据”、“个人信息”或“个人身份信息”的信息。

“隐私法”是指在适用的情况下，欧盟/英国隐私法、美国隐私法以及任何其他司法管辖区内与数据保护、隐私或个人数据使用相关，且要求控制者和处理者就个人数据处理达成特定合同承诺的任何类似法律，以上均指在各自适用且不时有效的情况下，以及不时修订、整合、重颁或替换后的版本。

“处理者至处理者条款”是指 (i) 针对受 GDPR 约束的个人数据传输，指欧盟委员会 2021 年 6 月 4 日第 2021/914 号决定中规定的向第三国传输个人数据的标准合同条款，具体包括模块 3（处理者至处理者）；以及 (ii) 针对受英国 GDPR 约束的个人数据传输，指英国信息专员发布的《欧盟委员会标准合同条款国际数据传输附录》（版本 B.1.0），以上均指不时修订、更新或替换后的版本。

“第三国”是指欧洲经济区或英国相关数据保护法律范围之外的任何国家或地区，不包括相关主管机关不时批准为个人数据提供充分保护的国家或地区。

“美国隐私法”是指在适用的情况下，《加州消费者隐私法》、《科罗拉多州隐私法》、《康涅狄格州数据隐私法》、《犹他州消费者隐私法》、《弗吉尼亚州消费者数据保护法》，任何其他州与个人数据处理相关的类似法律，以及根据上述任何法律颁布的法规，以上均指在各自适用且不时有效的情况下，以及不时修订、整合、重颁或替换后的版本。

“商业实体 (Business)”、“控制者 (Controller)”、“处理者 (Processor)”、“出售 (Sell)”、“服务提供商 (Service Provider)”和“共享 (Share)”等术语应具有适用隐私法赋予的含义。

双方的角色。 双方承认，就提供服务时从客户处收到的任何个人数据而言，出于隐私法之目的，客户为控制者、处理者或商业实体，而 Perplexity 为服务提供商或处理者。

客户义务： 客户在提供与使用服务相关的个人数据给 Perplexity 时（包括使用与服务的任何集成），应遵守所有隐私法。客户声明并保证：(a) 所有个人数据均由客户或代表客户收集，并始终在遵守所有隐私法的前提下进行处理和维护，包括关于向个人提供通知和/或获取个人同意的任何义务；(b) 客户已在披露个人数据给 Perplexity 并使 Perplexity 能够按照协议和本 DPA 所述处理个人数据方面遵守了隐私法（包括拥有合法的处理依据），并拥有所有必要的权利、许可、同意和授权。客户不得采取任何会导致向 Perplexity 提供个人数据的行为成为美国隐私法项下的“出售”或“共享”，或导致 Perplexity 成为美国隐私法项下的非服务提供商或非处理者。若客户认定协议项下的个人数据处理不符合或将不符合隐私法，客户应立即通知 Perplexity，在此情况下，Perplexity 无需继续处理该个人数据。

个人数据的处理。 双方同意，处理详情如附件 1 所述。在协议项下处理个人数据时，Perplexity 应：

仅根据客户的书面指示，为附件 1 所述的有限及特定目的处理个人数据，除非适用隐私法另有许可，且始终遵守隐私法及本 DPA 的条款，并提供隐私法所要求的同等水平的隐私保护；

若发生以下情况，应立即通知客户：(i) Perplexity 认定其无法再遵守客户关于处理个人数据的指示、其在隐私法项下的义务或本 DPA 的条款；或 (ii) Perplexity 认为客户的指示违反了适用的隐私法；

在隐私法要求的范围内，授予客户采取合理且适当措施的权利，以帮助确保 Perplexity 以符合客户在本 DPA 及隐私法项下义务的方式使用个人数据，并停止和纠正任何未经授权使用个人数据的行为；以及

要求每位处理个人数据的员工或其他人员就此类个人数据承担适当的保密义务。

禁止行为。 在隐私法要求的范围内，Perplexity 不得 (a) 出售或共享个人数据，(b) 在 Perplexity 与客户的直接业务关系之外保留、使用或披露个人数据，且除为客户提供服务的特定目的外，不得将其用于任何其他目的，(c) 将从客户处或代表客户接收到的个人数据，与可能从 Perplexity 与相关个人进行的独立互动或从任何其他来源收集的任何个人数据相结合。为免生疑，个人数据不得用于训练 Perplexity 的大型语言模型。若 Perplexity 收到 (i) 执法机关任何具有法律约束力的个人数据披露请求；或 (ii) 任何监督机构/监管机构（或类似机构）关于个人数据的任何通知、询问或调查；或 (iii) 任何数据主体的投诉或请求，且均与 Perplexity 在本 DPA 项下代表客户处理个人数据相关，则 Perplexity 应（在法律允许的范围内）通知客户。

分包商的使用。

客户特此授予 Perplexity 一般书面授权，允许其聘用附件 2 中列出的分包商，但须遵守本第 6 条的要求。

若 Perplexity 指定新的分包商，或拟对任何非模型提供商（定义见下文）的分包商进行增加或替换，Perplexity 应提前十个工作日向客户提供书面通知（电子邮件即可）。在此期间，客户可以保密性、个人数据安全或分包商对隐私法的遵守情况为由，提出合理且有据可查的反对意见（若客户未提出反对，Perplexity 可继续进行任命或替换）。若客户在五天内提出反对，客户与 Perplexity 应诚实信用地合作以达成解决方案（例如限制个人数据的使用，或客户临时或永久不使用服务的特定方面或功能）。若在诚实信用的讨论后仍无法达成解决方案，则客户（作为唯一救济）可终止协议，并获得任何未使用的预付费用（定义见协议）的退款。

若 Perplexity 指定新的分包商，或拟对提供大型语言模型或其他生成式人工智能模型的分包商（“模型提供商”）进行增加或替换，Perplexity 将通知客户（电子邮件即可），并更新 www.perplexity.ai/hub/legal/third-party-models 上列出的“第三方提供商”清单（为明确起见，清单中的每一家均属于本 DPA 项下的模型提供商）。若客户反对该指定或替换，客户的唯一追索权是（且客户必须）停止通过服务使用相关第三方模型（为明确起见，客户可在指定或替换后的任何时间执行此操作）。

Perplexity 仅应根据书面协议聘用分包商，该协议中包含对分包商的义务，且该义务对相关分包商的要求不得低于本 DPA 项下对 Perplexity 的要求。

若 Perplexity 根据欧盟/英国隐私法代表客户聘请分包商执行特定处理活动，且该分包商未能履行其义务，Perplexity 应根据适用的欧盟/英国隐私法对客户就该分包商义务的履行承担全部责任。

协助。 在涉及个人数据处理且为了使客户能够履行因处理活动而产生的义务时，Perplexity 应通过以下方式向客户提供协助：

通知客户根据隐私法行使权利的个人请求，包括通过提供、删除或更正相关个人数据，或促使客户执行相同操作，且在可行的情况下进行；

在隐私法要求的范围内，进行数据保护影响评估，并在必要时事先与相关主管机关进行磋商；以及

在 Perplexity 知悉任何未经授权或非法的个人数据访问、销毁、使用、丢失、修改或披露（“个人数据泄露”）后，立即通知客户。

安全措施。 Perplexity 应考虑到现有技术水平、实施成本以及处理的性质、范围、背景和目的，实施适当的技术、物理和组织措施，旨在提供与风险相适应的安全水平（如附件 3 所述，或由客户与 Perplexity 不时另行商定并记录），并应在协议有效期内持续遵守该等措施。Perplexity 应向获准访问个人数据的员工及其他人员提供数据保护和安全培训。

访问与审计。 在客户合理书面请求且隐私法要求 Perplexity 配合的范围内，Perplexity 应允许并配合针对 Perplexity 在本 DPA 和隐私法项下履行义务情况的检查和审计。应客户要求，Perplexity 应向客户提供 Perplexity 持有的、证明该合规性合理必要的信息，和/或安排合格且独立的审计师对 Perplexity 的政策、技术和组织措施进行评估，并使用适当且公认的控制标准或框架及评估程序进行此类评估。Perplexity 将在收到客户合理请求后向其提供此类评估报告。客户获准在提前 30 天向 Perplexity 发出书面通知的情况下，每 12 个月最多请求一次此类信息和/或审计（在隐私法要求的范围内），且仅在双方就审计范围达成一致且审计师承担保密义务的前提下进行。尽管有上述规定，若供应商提供访问权限会导致其违反对他方客户承担的保密义务或其法律义务，供应商在任何情况下均无需向客户提供对此类信息、设施或系统的访问权限。

个人数据的删除。 在停止向客户提供服务后三十天内，Perplexity 应删除（或根据客户选择，退还）所有个人数据，除非法律要求保留该个人数据。在此情况下，Perplexity 应立即将该法律要求通知客户，并在该保留义务到期后删除（或根据客户选择，退还）该个人数据。

数据传输。 在 Perplexity 在第三国处理受欧盟/英国隐私法约束的个人数据，且作为数据进口方行事时，Perplexity 应遵守“控制者至处理者条款”或“处理者至处理者条款”（视情况而定）中规定的数据进口方义务，该等条款特此纳入本 DPA 并构成其一部分，并且：

就附件 I 或第 1 部分（相关时）而言，(i) 客户为控制者或处理者（视情况而定），Perplexity 为处理者，(ii) 协议、本 DPA 和附件 1 中规定的双方、联系人详情及处理细节应适用，且开始日期为协议生效日期；

若适用，就英国附录第 1 部分而言，相关的“附录欧盟标准合同条款”（术语定义见英国附录）系指通过本第 11 条纳入本 DPA 的欧盟标准合同条款；

就附件 II 或第 1 部分（相关时）而言，附件 3 中规定的技术和组织安全措施，以及 Perplexity 为协助客户而采取的技术和组织措施应适用；

若适用，就附件 III 或第 1 部分（相关时）而言，附件 2 中列出的授权分包商清单应适用；以及

若适用，就下列事项而言：(i) 第 9 条，选项 2（“一般书面授权”）视为已被选择，并就通知期限提及第 6.b 和 6.c 条；(ii) 第 11(a) 条，关于独立争议解决的可选措辞视为已被包含；(iii) 第 13 条及附件 I.C，主管监管机构应为爱尔兰监管机构；(iv) 第 17 条及第 18 条，选项 1 视为已被选择，管辖法律和主管法院应分别为爱尔兰法律和爱尔兰法院；(v) 第 1 部分，作为出口方的客户可根据该英国附录的第 19 条终止英国附录。

若 Perplexity 指定关联公司或第三方分包商在第三国处理个人数据，Perplexity 应代表客户与其聘用的任何相关分包商（包括关联公司）签署“处理者至处理者条款”。应客户要求，Perplexity 应与客户单独签署“控制者至处理者条款”，并采取客户合理要求的任何其他替代或额外步骤，以确保 Perplexity 对个人数据的处理符合隐私法的要求。

责任。根据欧盟标准合同条款（EU SCCs）第 12 条以及任何合同不得限制的适用法律，各方因本 DPA、欧盟标准合同条款及英国附录引起或与之相关的全部赔偿责任总额（无论是合同、侵权还是其他原因），均受《协议》中规定的责任排除和限制条款的约束，并且本 DPA、欧盟标准合同条款或英国附录项下的任何责任均计入该限额且不会增加该限额。本节中的任何内容均不限制任何一方根据欧盟标准合同条款第 12(b) 或 12(c) 条对数据主体承担的责任，也不限制适用数据保护法规定不得限制的任何责任。

附件 1

处理详情：

处理的性质

协议中规定的向客户提供服务。

处理目的

协议中规定的向客户提供服务。

个人数据被处理的个人类别

服务的授权用户，以及客户指定的其他人员。

被处理的个人数据类别

授权用户的账户信息，以及客户在通过服务提交的输入内容中所包含的个人信息。输入内容中包含的任何个人信息将保留至以下较晚的时间：(a) 客户通过服务界面将其删除之日；(b) Perplexity 停止向客户提供服务后三十天之日。

根据隐私法被视为“敏感”或“特殊类别”的个人数据类型

除授权用户在输入内容中意外包含外，不打算处理任何敏感数据。

处理的频率（如一次性或持续）及持续时间

持续进行，直至协议期限届满及协议规定的任何终止后保留期结束。

根据第 6 条授权的任何子处理者所执行处理的主题、性质和持续时间，如本附件 1 及附件 2 所述。

附件 2

授权分包商：

如 https://trust.perplexity.ai/subprocessors（“信任中心分包处理商列表”）所述。

附件 3

安全措施：

Perplexity 维持与处理个人数据所带来的风险成比例的合理安全措施，并依赖于附件 2 中列出的分包商（包括亚马逊和微软）实施和维持的安全措施。关于 Perplexity 安全承诺的更多详情，请参阅协议。