法律

根据 Art. 28 DSGVO 订立的委托处理协议(AVV)

Status: 2026 年 10 月 21 日 · 全部法律文件

本译文仅供参考。仅德文版本具有法律约束力。

本译文仅供参考。仅德文版本具有法律约束力。

本协议的适用情形

本协议仅适用于商业活动——即由企业、政府机关、社团或其他组织在其活动范围内预订的活动。本协议在合同订立时自动成为合同的组成部分,无需另行签署;如有需要,我们可根据请求在 privacy@snapories.com 提供一份经签署的副本。

本协议不适用于私人活动(婚礼、生日、家庭聚会)。在此类情形下,预订人通常不受《欧盟一般数据保护条例》约束(家庭豁免,Art. 2 Abs. 2 lit. c DSGVO),而我们为独立的控制者——在此种情形下不存在委托处理关系。

各方当事人

控制者预订的组织(以下简称「主办方」)
受托处理者Matthias Anderer GmbH, Abt-Kaspar-Str. 19, 83607 Holzkirchen, Deutschland

§ 1 标的、期限与指示约束

1.1 本协议的标的是我们在应主办方委托、提供通用交易条款所述服务时所进行的个人数据处理。处理的性质、目的、范围、数据类别及相关当事人见附件1。

1.2 本协议在主合同存续期间有效，最长持续至依据 § 9 删除所有受托处理的数据为止。

1.3 我们仅按照主办方以书面记录的指示处理数据。指示以文本形式发送至 privacy@snapories.com；产品中所提供的设置选项（活动期间、数据区域、可见性、宾客共享链接、屏蔽图片和宾客、语言、删除请求）视为指示。

1.4 如果我们认为某项指示违法，我们将立即告知。在获得确认或变更之前，我们有权暂停执行（Art. 28 Abs. 3 UAbs. 2 DSGVO）。

1.5 为我们自身目的进行的处理——合同履行与结算、运营和 IT 安全、滥用防范、不涉及个人关联的汇总指标、履行法定义务——不属于本协议的标的。在此范围内，我们系独立的控制者；适用隐私政策。

§ 2 处理地点

2.1 某一活动的数据在预订时为该活动所选的数据区域内处理：欧洲联盟（美因河畔法兰克福）或美利坚合众国（北弗吉尼亚）。两个区域之间不进行镜像。存储、处理和删除仅在该区域内进行；为交付图片，在活动进行期间，这些图片也会临时缓存于所选区域之外的边缘节点（附件3第1.1节）。

2.2 作为例外，AI 照相亭中的生成在所使用的 AI 供应商处进行，也可能在欧洲经济区（EWR）之外（附件3）。主办方对此予以知悉；如其为其活动停用照相亭，则不发生此项传输。

2.3 向第三国的传输仅在充分性决定或标准合同条款（执行决定（欧盟）2021/914）以及传输影响评估的基础上进行。

2.4 与 § 2.1 不同，附件 1 所列的通信数据——即仪表板使用者的电子邮件地址及其登录代码——对于每一场活动均在欧盟（美因河畔法兰克福）处理，无论该活动使用哪个数据区域。一个账户同时管理两个区域的活动；因此该数据记录不属于任何单一活动，也无法跟随某一活动，它只保存一次，并从两个区域读取（附件 3，第 1.2 节）。此过程不涉及任何图像。对于我们依据 § 1.5 作为独立责任人处理的数据，同样适用。

§ 3 保密

3.1 我们仅使用负有保密义务或受适当法定保密义务约束的人员进行处理（Art. 28 Abs. 3 lit. b DSGVO）。

3.2 所使用的人员熟悉相关的数据保护要求，并定期接受培训。

§ 4 技术与组织措施

4.1 我们采取 附件 2 中所述的依据 Art. 32 DSGVO 的措施，并在合同存续期间予以保持。

4.2 只要保护水平不降低，措施可以进一步发展。对于重大变更，我们予以记录，并应请求予以告知。

§ 5 分包处理者

5.1 主办方授予一般书面许可，用于使用分包处理者（Art. 28 Abs. 2 Satz 2 DSGVO）。截至本协议之日所使用的分包处理者在 附件 3 中以名称列明。

5.2 若我们打算增加另一名分包处理者或替换现有的分包处理者，我们将至少提前 30 天以文本形式通知主办方。主办方可在该期限内基于与数据保护相关的重要理由提出异议。如主办方提出异议，我们可调整所涉服务，或以普通通知方式自计划变更之日起解除合同，并退还按比例计算的报酬。

5.3 我们使分包处理者承担与此处约定实质上相符的数据保护义务，并对其行为如同对我们自身的行为一样承担责任。

§ 6 对主办方的支持

6.1 数据主体权利。 若数据主体直接向我们提出请求，我们将立即将该请求转交主办方，且在其涉及处理标的的范围内不自行作答。我们以适当的技术和组织措施支持主办方履行 Art. 12–22 DSGVO 所规定的权利，特别是查阅、更正、删除、限制以及交付某一活动的图像。

6.2 Art. 32–36 DSGVO 所规定的义务。 我们支持主办方确保处理的安全性、报告个人数据泄露事件以及开展数据保护影响评估，每种情形均考虑处理的性质和我们所掌握的信息。

6.3 工作量。 在通常且合理的范围内提供的支持是免费的。对于超出法律所负义务且造成重大工作量的支持，我们可要求适当的报酬；我们将事先予以指出。

§ 7 个人数据保护违规的报告

7.1 在我们获知受托处理范围内发生个人数据保护违规后，我们将立即通知活动主办方——通常在 24 小时内。

7.2 该报告在可获取的范围内包含：违规性质的描述、受影响人员和数据记录的类别及大致数量、可能的后果、已采取和拟采取的措施以及一个联系点。

7.3 向监管机构的报告（Art. 33 DSGVO）以及对受影响人员的通知（Art. 34 DSGVO）由活动主办方负责；我们在此予以协助。

§ 8 证明与检查

8.1 应活动主办方的请求，我们向其提供所有必要的信息，以证明履行了 Art. 28 DSGVO 规定的义务——主要通过文档记录、附件 2 以及（如有）我方次级受托处理方的证书和审查报告。

8.2 若这些证明在个案中不足，我们将允许进行检查，包括现场审查。此类检查须以适当的提前期（至少 14 天）予以通知，不得对运营造成不当干扰，且每年至多进行一次——除非存在具体缘由。实施检查的第三方不得为竞争对手，并须承担保密义务。

§ 9 删除与返还

9.1 在处理结束后，我们将删除受托处理的数据，或根据活动主办方的选择予以返还。活动主办方可随时通过仪表板下载某项活动的图片。

9.2 在没有不同指示的情况下，删除在《一般交易条款》中约定的存储期限届满时进行。应请求，我们将提前删除。

9.3 不在删除之列的是依法负有保存义务的数据；此类数据将被封锁，不再作进一步使用。

9.4 应请求，删除将以文本形式予以确认。

§ 10 责任

责任依据 Art. 82 DSGVO 及主合同的规定确定；主合同的责任限制不适用于受影响人员依据 Art. 82 DSGVO 提出的请求。

§ 11 与主合同的关系

本协议与主合同之间存在矛盾时，就个人数据的处理而言，以本协议为准。

§ 12 最终条款

12.1 修改须采用文本形式。 12.2 适用德国法律。 12.3 若某项条款无效，其余条款的效力不受影响。 12.4 具有约束力的语言版本。

仅本协议的德语版本具有法律约束力。 其他语言的版本我们 仅出于信息目的提供。如有差异， 以德语版本为准。

附件 1 — 处理的标的

种类与目的。 为运营一个封闭式活动图库（包括一个 AI 照相亭）之目的，受活动主办方委托并按其指示，对图像及相关数据进行收集、存储、组织、显示、提供和删除。该照相亭没有自己的摄像头：宾客将其应用于一张由本人拍摄、且已存在于图库中的图像。若主办方已预订 AI 图像，则每一张上传的图像还会被自动检查，以确定能否为其提供该功能（附件 3，Google）。

数据主体

  • 加入活动的宾客
  • 在所贡献或所生成图像中被拍摄到的人员
  • 使用仪表板的主办方员工

数据类别

类别内容
图像数据宾客拍摄的照片、用于某次 AI 生成的某张照片的工作副本、所生成的图像、预览版本
图像元数据拍摄时间、尺寸、与宾客及活动的归属关系、封锁状态、分享标记、自动 AI 适用性检查的结果（一个是/否值）
参与数据自行选择的显示名称、角色、配额及其消耗、加入时间
身份数据（无账户）服务器端颁发的标识符和访问令牌；无设备指纹
活动数据活动名称、时间段、加入代码、设置、语言、数据区域
通信数据仪表板用户的电子邮件地址、一次性代码
文本输入宾客在 AI 照相亭中输入的描述性文字

特殊类别。 不会生成用于唯一识别某一自然人的生物识别数据；在任何环节都不会产生面部模板（Templates）、面部向量或面部比对。

然而，AI 生成之前进行的分析以及对每一张上传图像的自动检查，会生成一段对前景中所拍摄人员的简短描述，其中包括他们表观的肤色和表观的种族出身——属于 Art. 9 DSGVO 意义上的信息。该等信息仅用于在所生成的图像中保留被拍摄人员的样貌；它们不会被写入受托处理方的数据库（在生成时，它们会经加密后随宾客应用所持有的会话令牌一并携带；在自动检查时，一旦由此推导出是/否的答复即被丢弃），也不会被用于对任何人进行归类、画像、评分或重新识别。

此外，图像就其本质而言可能会显露出敏感信息；主办方自行负责评估其活动在此方面是否需要采取特别的预防措施。

附件 2 — 技术与组织措施（Art. 32 DSGVO）

保密性

  • 物理进入： 仅限经认证的供应商的数据中心（ISO 27001、SOC 2）；我们不运营任何自有硬件。
  • 系统访问： 仅指定人员可访问生产系统，通过带有双因素认证的个性化账户；对内部控制台的访问通过一份明确登记的地址清单进行。
  • 数据访问： 绑定角色和适用范围的令牌（活动、主办方、合作伙伴、推荐、员工）；图像文件仅通过经签名的、短时效的调取链接获取。
  • 分离： 针对活动数据的数据区域分离（各自的数据库、各自的存储区域，无跨区域镜像）；账户和业务数据集在欧盟境内保存一份，并从两个区域读取，而非复制到某一区域（§ 2.4）；将六个界面分离至各自的域名，且无共用的浏览器存储；测试数据与生产数据的分离。
  • 假名化： 通过服务器端颁发的标识符实现无账户身份；滥用计数器中的 IP 地址经截短和哈希处理，绝不以明文存储。

完整性

  • 传输： 所有连接均使用 TLS；在处理受托数据的宾客应用和主办方仪表板中，不嵌入任何第三方字体、分析或广告工具；支付数据直接流向支付服务提供商。
  • 输入： 在服务器端依据一套中央化的、类型化的合约模式校验所有输入；对管理操作进行日志记录；配额和成本计数器采用原子操作以防止重复计数。

可用性与弹性

  • 托管的、多重冗余的存储和数据库服务，具备静态加密；应用层自动伸缩；针对 AI 调用的硬性成本上限；防止自动化批量调用的滥用保护。

审查程序

  • 每次发布前进行自动化测试运行（功能性端到端测试、基础设施描述的检查、将浏览器中每一条存储条目与一个中央目录进行自动比对）；
  • 通过一个指定地址以书面记录方式接受指示；
  • 依据本协议 § 5 进行的委托控制。

附录 3 — 次级受托处理方

适用各自最新版本的次级受托处理方清单，该清单构成本协议的组成部分。变更将按照 § 5.2 予以通知。