数据处理协议

本数据处理协议（“DPA”）说明 Stackable 在向商家提供该应用过程中如何处理个人数据。本协议是对我们《服务条款》和《隐私政策》的补充，适用于下文所述的有限个人数据。

对于任何因您的店铺而经由 Stackable 处理的个人数据（例如通过 Shopify 的强制合规 webhook 传输的数据），您（商家）为数据控制者，Stackable 作为您的数据处理者，仅依据您的指示并在提供服务所需的范围内处理该等数据。

另外，就 Stackable 作为我们的客户所持有的有关您的有限账户数据（您的店铺域名、管理员电子邮箱以及用于应用内操作日志的员工姓名）而言，Stackable 以其自身身份作为控制者，具体如我们《隐私政策》所述。

处理的标的为 Stackable 折扣应用的提供。只要该应用安装在您的店铺上，处理即持续进行，并按照我们《隐私政策》保留条款中的删除时间安排终止（包括卸载后进行的 shop/redact 删除）。

• 通过 Shopify Functions 在服务器端计算并应用您配置的折扣营销活动。
• 记录汇总性的订单级分析数据（订单 ID、总额及所适用的折扣），以便您衡量营销活动效果。
• 代表您响应 Shopify 的强制合规 webhook（customers/data_request、customers/redact、shop/redact），具体如我们《隐私政策》所述。
• 通过将我们隐私政策中所述的商家提供的输入（输入的请求、目录名称或粘贴的 Script）发送给我们的 AI 次级处理方以生成营销活动草稿建议，从而提供可选的 AI 辅助功能（营销活动助手和 Scripts Rescue）。这些输入属于商家的业务数据，而非店面客户的个人数据。

完整清单请参见我们《隐私政策》中的“我们收集的信息”和“我们不收集的信息”部分。简言之：店铺层级及商家账户数据、折扣营销活动配置，以及订单总额/折扣归因分析数据。除上述短暂、自动清除的原始 webhook 数据负载外，我们不处理店铺客户的个人身份信息。

我们使用以下分处理者来提供该服务。此列表与我们《隐私政策》中的分处理者列表保持一致：

Vercel

为该应用及本网站提供托管与基础设施服务（美国）。

Supabase

托管 Postgres 数据库，存储上述店铺、营销活动及分析数据（美国区域）。

Shopify

Stackable 运行所依托的平台，提供身份验证、账单结算，以及折扣引擎所依赖的店铺前台/结账 API（按 Shopify 自身的全球基础设施进行处理）。

Resend

事务性电子邮件服务，用于发送联系表单及候补名单通知（美国）。

Google Analytics

仅在您接受分析 Cookie 后，对本营销网站进行汇总性网站流量分析，详见我们的 Cookie 政策（美国）。

Google (Gemini API)

为应用内营销活动助手和 Scripts Rescue 提供服务的 AI 提供商。当您在助手中描述折扣时，您输入的文本会被发送以草拟相应的营销活动，同时还会发送您商店的目录名称（合集标题、产品标签、产品标题），以便草稿定位到正确的产品。当您将 Shopify Script 粘贴到 Scripts Rescue 中时，该 Script 文本会被发送，以便我们将其重建为等效的营销活动。我们绝不发送客户个人数据 - 不包含姓名、电子邮件、订单或地址（美国）。

OpenAI

为应用内营销活动助手和 Scripts Rescue 提供服务的备用 AI 提供商，仅在主要提供商不可用时使用。处理相同的输入请求和目录名称（合集标题、产品标签、产品标题），或粘贴的 Script 文本，不涉及客户个人数据（美国）。

如果我们新增或更换代表您处理个人数据的分处理者，我们将更新上方列表，并在更新日志中注明该变更。此类更新后继续使用 Stackable 即视为接受新的分处理者。

如果某分处理者在您所在司法管辖区之外处理数据（例如在美国），该等传输依赖于该分处理者自身维持的保障措施，包括适用情形下的标准合同条款（SCC）。我们目前不与各商家分别签署单独的 SCC，但会根据我们商家群体规模及法律义务的需要，应要求提供。

有关我们采取的技术和组织措施（加密连接、限定范围的数据库凭证，以及仅限有需要的团队成员访问），请参见我们《隐私政策》中的“安全”部分。

根据本 DPA 有权访问个人数据的任何人员（包括我们的团队和我们的分处理者）均受涵盖该等数据的保密义务约束，无论是通过雇佣协议、承包商协议，还是分处理者与我们之间自身的条款。

如果我们发现影响我们代表您处理的个人数据的违规事件，我们将在不无故迟延的情况下通知您，且无论如何将在获悉该事件后 72 小时内，以我们当时所掌握的信息进行通知。对于您依法需要进行的任何后续调查或通知，我们将本着诚信原则予以配合。

我们通过直接处理 Shopify 的强制合规 webhook（如我们《隐私政策》所述），以及在合理时间内回应您转交给我们的任何直接请求，协助您响应数据主体请求。

只要 Stackable 代表您处理个人数据，本 DPA 即持续有效。终止（卸载）后，数据将按照我们《隐私政策》中的保留时间安排予以删除。

对本 DPA 有任何疑问？请通过电子邮件联系我们，我们的支持邮箱地址详见联系页面。