法律
次级处理者与外部接收方
本译文仅供参考。仅德文版本具有法律约束力。
本译文仅供参考。仅德文版本具有法律约束力。
本清单系数据处理协议之附件 3，同时也是隐私政策第 10 条所指的具名清单。变更事项，我们依 § 5.2 AVV 至少提前 30 天予以通知。
1. 使用中
| 提供商 | 法律主体 | 服务 | 处理的数据 | 地点 | 传输依据 | 状态 |
|---|---|---|---|---|---|---|
| Amazon Web Services | Amazon Web Services EMEA SARL, 卢森堡（欧盟区域） · Amazon Web Services, Inc., 美国（美国区域） | 主机托管、对象存储、数据库；通过内容分发网络分发图像（第 1.1 节） | 活动数据与图像文件；账户、合作伙伴及业务数据记录（第 1.2 节） | 活动数据：欧盟：法兰克福（eu-central-1） · 美国：北弗吉尼亚（us-east-1），依活动的数据区域而定。账户与业务数据记录：法兰克福（eu-central-1），适用于每一场活动（第 1.2 节）。分发：另在美国、加拿大、欧洲和以色列的边缘节点 | 一场活动的数据仅在为该活动选定的数据区域内存储、处理和删除；账户与业务数据记录在欧盟保存一份，并从两个区域读取（第 1.2 节）。在分发时，图像也会暂时在欧盟境外缓存（第 1.1 节）；依据为附带 SCC 的 AWS-DPA，以及在涉及美国的范围内，EU-US DPF 充分性决定。 | ✅ |
| Google Ireland Limited / Google LLC, 美国 | (a) AI 拍照亭：分析宾客所选的图像、服装建议、图像生成；(b) 对每一张上传的图像自动检查是否可为其提供 AI 功能（第 1.3 节）——两者均通过 Gemini API | 相关图像，以及在进行生成时，宾客的文本输入 | 主要为美国——即使数据区域为欧盟亦然 | EU-US DPF 充分性决定（在已认证的范围内）+ SCC | ✅ | |
| Cloudflare | Cloudflare, Inc., 美国 · Cloudflare Germany GmbH | 拍照亭及发送电子邮件的表单上的机器人防护（Turnstile） | 验证令牌、IP 地址、浏览器信号 | 美国／全球 | EU-US DPF 充分性决定 + SCC | ✅ |
1.1 图像的分发（内容分发网络）
我们通过 Amazon 的内容分发网络（CloudFront）分发一场活动的图像。为使其在各地快速、可靠地送达，图像在此过程中会暂时缓存于边缘节点——包括欧盟境外。就图像的分发而言，地点范围限于美国、加拿大、欧洲和以色列。
该缓存仅在活动进行期间存在。活动结束时，我们即清空缓存；此后便无法再通过此途径调取。
图像的存储版本不会离开预订时所选定的数据区域。数据区域决定的是图像在何处存储、处理和删除——而非为分发目的短暂存放某一字节的每一个地点。
对于营销网站及应用程序的程序文件（JavaScript、样式表、网站图像），我们使用同一网络，但地点范围更大。这些文件不含个人数据。
1.2 账户与业务数据记录（欧盟）
预订时所选定的数据区域决定该活动的数据：即图像，以及就活动及参与其中的人员所记录的内容。这些数据在该区域内存储、处理和删除，不会镜像至另一区域。
账户与业务数据记录位于欧盟——法兰克福（eu-central-1）——且适用于每一场活动，无论其数据区域为何。这些包括：
- 主办方的账户：电子邮件地址、登录码，以及以此管理的各场活动
- 合作伙伴与推荐人数据记录，包括合作伙伴的品牌设置
- 折扣码与优惠券码、其兑换情况以及推荐权益
- 一次预订的账单接收方及相应的开票记录
- 依 § 356a BGB 作出的撤回声明
这些数据记录在欧盟保存一份，并从两个区域读取。这是有意的设计，而非副产品。一个账户管理两个区域内的活动，一个合作伙伴是拥有一份品牌记录的企业，而在某场活动预订期间发放的优惠券，必须能够对另一区域的预订予以兑换——一份必须从两个区域均可读取的记录无法在两者之间拆分，而拆分将意味着在一个区域发放的代码会在另一区域遭到拒绝。出于同样的原因，我们的支付服务提供商与电子邮件发送服务各为一项设于欧盟的单一服务。
对于数据区域为美国的活动，这意味着：该活动的图像及其宾客的数据位于北弗吉尼亚，而用于预订该活动的账户及相应的账单则位于法兰克福。
1.3 对上传图像的自动检查（Google）
除宾客所请求的生成之外，还存在第二次、自动向 Google 的传输。我们在此单独列出，因为它也会触及那些其创作者根本未使用 AI 的图像。
AI 拍照亭没有自己的摄像头：宾客将其应用于一张自己拍摄、且已存于图库中的图像。为使应用程序知晓可对哪些图像提供该功能，每一张上传的图像都会在上传后立即一次性传输至 Gemini API——在我们的软件能够对图像重新编码的范围内，缩小至最长边不超过 1,280 像素，否则不予缩小——并就两点予以判断：图像上是否有人物，以及取景是否足够宽以容纳服装。仅存储由此得出的是／否答复，且系针对该图像存储；一旦从中得出是／否答复，提供商本身的答复即被丢弃。
该检查仅针对活动方已为其预订AI图像的活动运行——对于未预订AI图像的活动则不会传输任何内容。发生错误或超时会使该图像保持未经评估的状态，并不会对其作任何其他更改。
条件、传输依据以及在提供商处的存储与一次生成的情形相同，并已在上方表格中列明。哪些内容会被传输、哪些内容会被保留，以及来宾如何提出异议，载于隐私政策第6.1a条。
2. 计划中
| 提供商 | 法律主体 | 服务 | 处理的数据 | 地点 | 传输依据 | 状态 |
|---|---|---|---|---|---|---|
| Stripe | Stripe Payments Europe, Ltd.，爱尔兰（Stripe, Inc.，美国，作为集团公司） | 支付处理、税务核定、发票数据；PayPal作为Stripe内的一种支付方式 | 姓名、电子邮件、账单地址、国家/地区、金额、支付方式 | 欧盟 / 美国 | Stripe-DPA 及 SCC；EU-US DPF | ⏳ |
| 电子邮件发送服务 | 尚未选定 | 发送一次性验证码、密钥恢复、预订确认、删除通知 | 电子邮件地址、消息内容 | 优先欧盟 | AVV 及 SCC（如涉及第三国） | ⏳ |
3. 已移除
| 提供商 | 法律主体 | 服务 | 地点 | 状态 |
|---|---|---|---|---|
| fal.ai | Features and Labels, Inc.，美国 | 自动图像处理（降噪、锐化、放大） | 美国 | ❌ —— 已于2026年7月30日移除，不再属于本系统的组成部分。该提供商从未被启用；从未向其传输过任何数据。 |
4. 非接收方
我们不使用：
- 分析、统计或覆盖面测量服务
- 广告网络、再营销、转化像素
- 外部字体、图标或脚本服务，第三方内容分发网络
- 社交媒体插件、嵌入式视频或地图
- 客户数据平台、CRM 跟踪、会话记录
- 数据经纪商
营销网站及所有应用程序仅从我们自己的服务器、并通过我们自己的分发网络加载文件（第1.1节）。唯一的例外是第1节中的机器人防护模块；它已在中央存储目录中作为此类模块予以声明。
5. 内部接收方
| 接收方 | 访问权限 | 依据 |
|---|---|---|
| 管理层及员工 | 内部控制台：业务指标、活动及账户主数据、验证码、兑换记录、合作伙伴数据 | 仅通过明确存备的地址列表进行访问；保密义务 |
| 税务咨询 | 发票及记账数据 | 法定义务、职业保密义务 |
| 法律咨询 | 视具体情况 | 正当利益、职业保密义务 |
具约束力的语言版本
本文件仅以德语版本为准。 其他语言的版本 我们仅出于信息目的提供。如有差异， 以德语版本为准。