Cursor · SpaceX Super Intelligence 合作伙伴数据处理协议

本 SpaceX Super Intelligence 合作伙伴数据处理协议 (“合作伙伴 DPA”) 构成 Anysphere, Inc. (一家德克萨斯州公司，“Anysphere”) 与已接受该协议的实体 (“合作伙伴”) 之间签订的 SpaceX Super Intelligence 合作伙伴网络协议 (“合作伙伴协议”) 的组成部分。本合作伙伴 DPA 即合作伙伴协议第 12.2 条 (数据处理协议) 所述的合作伙伴数据处理协议，用于管控任一方在合作伙伴计划相关事项中从另一方接收的个人数据的处理。本合作伙伴 DPA 是合作伙伴协议的附录。合作伙伴协议可通过 https://cursor.com/terms/spn (或 Anysphere 指定的任何后续 URL) 及合作伙伴门户获取，并通过合作伙伴门户进行管理。

合作伙伴可通过以下任一方式接受本合作伙伴 DPA：接受合作伙伴协议；在合作伙伴门户中点击接受本合作伙伴 DPA；或在本合作伙伴 DPA 已向其呈现或其已获得本合作伙伴 DPA 的访问权限后，以其他方式参与合作伙伴计划。代表合作伙伴接受本合作伙伴 DPA 的个人声明，其已获授权，可代表合作伙伴以及根据合作伙伴协议第 2.3 条获准参与合作伙伴计划的任何合作伙伴关联实体签署具有约束力的协议。

定义。
1. 解释。 本合作伙伴 DPA 中使用但未定义的首字母大写术语，具有《合作伙伴协议》中赋予的含义。“控制者”“处理者”“数据主体”“处理” (及“进行处理”) “企业”“服务提供商”“承包商”“第三方”“出售”“共享”和“监管机构”等术语，具有适用的数据保护法律中赋予的含义，并包含这些法律中使用的任何同等术语。
2. 定义条款。 在本合作伙伴 DPA 中：
  
  “合规审查数据”是指 Anysphere 为评估合作伙伴参与合作伙伴计划及持续参与该计划的资格而收集的、与合作伙伴的所有者、高级职员、董事、人员或代理人相关的个人数据，包括：有关现任或前任政府任职或政府关联关系的信息、与 Anysphere 或其人员之间的雇佣或业务关系、制裁及受限方状态，以及与反腐败、反洗钱、制裁或出口管制法律相关的任何违规、自愿披露、调查、问询、指控或执法行动。
  
  “数据保护法” 指适用于一方处理计划个人数据的、与隐私、数据保护、数据安全或电子营销相关的所有法律法规，在适用的情况下包括：(a) 欧盟《通用数据保护条例》2016/679 (“GDPR”) 及《电子隐私指令》2002/58/EC，以及各国为实施上述法规而制定的国内法；(b) 构成英国法律一部分的 GDPR (“UK GDPR”) 、英国《2018 年数据保护法》以及《2003 年隐私和电子通信条例》；(c) 瑞士《联邦数据保护法》 (“FADP”) ；(d) 美国各州隐私法；(e) 加拿大《个人信息保护和电子文件法》及加拿大《反垃圾邮件法》；(f) 澳大利亚《1988 年隐私法》及《2003 年反垃圾邮件法》；(g) 新加坡《2012 年个人数据保护法》；(h) 日本《个人信息保护法》；(i) 印度《2023 年数字个人数据保护法》；以及 (j) 巴西《通用数据保护法》 (Lei Geral de Proteção de Dados) ；上述各项均包括其不时经修订、替代或补充后的版本。
  
  “披露方”指向另一方提供计划个人数据或使另一方可获取计划个人数据的一方 (包括其关联实体及代表其行事的任何人) ，“接收方”指接收该等数据的一方 (包括其关联实体) 。
  
  “合作伙伴提供的数据” 指合作伙伴、其关联实体或代表其行事的任何人向 Anysphere 或其关联实体提供或以其他方式使其可获取的计划个人数据。
  
  “个人数据” 指与已识别或可识别的自然人相关的任何信息，以及在数据保护法中被定义为“个人数据”“个人信息”或类似术语的任何其他信息。
  
  “个人数据泄露” 是指在计划个人数据由接收方或代表接收方处理该数据的任何人占有、保管或控制期间，因安全违规导致该数据遭到意外或非法的销毁、丢失、篡改、未经授权的披露或访问。
  
  “计划个人数据”指披露方就合作伙伴计划向接收方提供或以其他方式使其可获取的个人数据，无论是通过合作伙伴门户、合作伙伴计划表单、交易报备提交、账户映射工具、共享协作频道、电子邮件、会议还是其他途径，但不包括第 2.2 条所述的数据和活动。
  
  “受限传输”指在不适用任何其他合法传输机制的情况下，将受 GDPR、UK GDPR 或 FADP 约束的计划个人数据传输至主管机构未认定其能为个人数据提供充分保护水平的国家或地区。
  
  “SCCs” 指欧盟委员会于 2021 年 6 月 4 日发布的第 (EU) 2021/914 号实施决定所附的标准合同条款 (及其不时修订或替代的版本) ；“模块一”和“模块二”分别指 SCCs 中的控制者对控制者模块和控制者对处理者模块。
  
  “敏感数据”指：(a) 数据保护法所界定的特殊类别个人数据、敏感个人数据或敏感个人信息，包括揭示种族或民族出身、政治观点、宗教或哲学信仰、工会成员资格的数据，基因数据、生物识别数据或健康数据，以及涉及个人性生活或性取向的数据；(b) 与刑事定罪、犯罪或指控相关的个人数据；(c) 政府签发的身份标识号码，包括社会保障号码、税务识别号码、护照号码和驾驶执照号码；(d) 金融账户、银行账户或支付卡号码；(e) 精确地理位置数据；(f) 账户密码及其他身份验证凭证；以及 (g) 儿童的个人数据。
  
  “Anysphere 提供的数据”指 Anysphere、其关联实体或代表其行事的任何人向合作伙伴或其关联实体提供或开放使用的计划个人数据。
  
  “SpaceXSI 隐私声明” 指 Anysphere 发布于 https://cursor.com/privacy (或 Anysphere 指定的任何后续 URL) 的隐私声明，以及不时更新后的版本。
  
  “英国附录” 指由英国信息专员发布的《欧盟委员会标准合同条款国际数据传输附录》 (版本 B.1.0) ，包括其不时修订或替换后的版本。
  
  “美国各州隐私法”指经《2020 年加州隐私权法案》 (California Privacy Rights Act of 2020) 修订的《2018 年加州消费者隐私法案》 (California Consumer Privacy Act of 2018) 及其实施条例 (“CCPA”) ，以及美国其他所有州级综合性消费者隐私法律，上述各项法律均以不时生效的版本为准。
界定范围。
1. 适用范围。 本合作伙伴 DPA 适用于各方对其从另一方接收的计划个人数据的处理。计划个人数据通常产生于附件 1 (处理描述) 所述的合作伙伴计划活动，此类活动可能会不时在计划规则中更新。
2. 除外情形。 本合作伙伴 DPA 不适用于以下个人数据，且计划个人数据亦不包括以下个人数据：
  1. 合作伙伴对服务的使用。 合作伙伴 (或其关联实体) 以客户身份购买、访问或使用服务 (包括通过任何公司套餐、评估许可证、沙箱或非转售访问权限进行的购买、访问或使用) 过程中处理的个人数据；此类数据受主服务协议或其他适用的客户条款、https://cursor.com/terms/dpa 上提供的数据处理附录以及任何适用的使用条款管辖；
  2. 合作伙伴服务与客户数据。 客户数据，以及合作伙伴在履行合作伙伴服务时为客户或根据与客户的协议处理的任何其他个人数据；此类数据仅受合作伙伴与该客户之间的协议管辖。如合作伙伴向某一客户提供合作伙伴服务，而 Anysphere 亦向同一客户提供服务，则双方各自依据其与该客户之间的协议处理该客户的个人数据，任何一方均不作为另一方的处理方或子处理方；
  3. 应用市场活动。 与任何插件或合作伙伴参与应用市场相关而处理的个人数据 (包括 SpaceXSI Marketplace Terms 中称为“插件数据”或“用户内容”的任何数据) ；此类数据受 SpaceXSI Marketplace Terms 管辖；
  4. 单独协议。 依据授权合作伙伴转售、分发或分包服务的任何单独书面协议处理的个人数据，或依据双方之间订有自身数据保护条款的任何其他单独协议处理的个人数据，但以该协议的适用范围为限；以及
  5. 独立收集的数据。 一方自行独立收集、而非从另一方获取的个人数据，即使该等数据涉及相同的个人或组织，包括 Anysphere 直接从客户或潜在客户处收集的个人数据。
3. 与第 12.1 条的关系。 本合作伙伴 DPA 是对合作伙伴协议第 12.1 条 (通知与同意) 项下合作伙伴义务的补充，并不限制该等义务。
各方角色。
1. 独立控制者。 除第 8 条 (处理者安排) 另有规定外，对于从另一方接收的计划个人数据，各方均以独立控制者的身份行事 (在适用美国各州隐私法的情况下，则以企业或第三方的身份行事) 。各方独立决定其自身处理活动的目的和方式。双方并非共同控制者，任何一方均不代表另一方处理计划个人数据。
2. 各方自身的合规性。 各方应就其对计划个人数据的处理自行负责遵守数据保护法，包括提供告知、确立合法依据、回应数据主体的请求、保存处理活动记录，以及履行其对监管机构的义务。任何一方均不得明知而以导致另一方违反数据保护法的方式处理计划个人数据。
披露计划个人数据。
1. 合法披露。 各披露方应确保其收集计划个人数据以及向接收方披露该等数据的行为符合数据保护法律。在不限制《合作伙伴协议》第 12.1 条 (通知与同意) 的前提下，合作伙伴声明并保证，对于所有合作伙伴提供的数据，合作伙伴已根据数据保护法律的要求，就以下事项提供了所有必要通知、获得了所有必要同意并确立了所有必要的合法依据：(a) 合作伙伴向 Anysphere 披露该等数据；以及 (b) Anysphere 为第 5.1(a) 条所述目的处理该等数据，包括就服务事宜联系相关客户或潜在客户，以及核实合作伙伴与该客户的合作情况。
2. 对客户及潜在客户的通知。 在适用法律有要求的情况下，合作伙伴在提交交易注册或以其他方式向 Anysphere 披露客户或潜在客户人员的个人数据之前，应告知相关个人 (或确保其已被告知) ：合作伙伴可能与 Anysphere 共享其联系信息和商机信息；Anysphere 可能按照《SpaceXSI 隐私声明》所述使用该等信息；以及如该客户或潜在客户向 Anysphere 采购，合作伙伴可能因此获得合作伙伴计划权益。如任何个人已反对或选择退出与 Anysphere 共享其个人数据，合作伙伴不得向 Anysphere 披露该个人的个人数据。
3. 对合作伙伴人员的通知。 合作伙伴向 Anysphere 提供其及其关联实体的人员、承包商、所有者、高级职员和董事 (包括合作伙伴门户用户和管理员、正在申请认证的个人、共享协作频道的成员，以及合规筛查数据中所识别的个人) 的个人数据的，应告知上述人员 Anysphere 将按照本《合作伙伴 DPA》及《SpaceXSI 隐私声明》所述处理其个人数据，包括向其提供《SpaceXSI 隐私声明》。
4. 数据最小化与敏感数据。 各披露方仅应披露为实现相关合作伙伴计划目的而合理必需的计划个人数据。合作伙伴不得向 Anysphere 提供敏感数据，但以下情况除外：(a) Anysphere 通过合作伙伴门户表单、计划规则或其他书面请求提出要求，例如支付费用所需的付款路由信息和税务信息，或合规筛查数据；或 (b) Anysphere 另行书面批准。就《合作伙伴协议》第 12.1 条 (通知与同意) 而言，任何此类请求均构成 Anysphere 的明确书面请求，但仅限于所请求的敏感数据。在提交营销活动证明、活动成果或类似信息时，合作伙伴应尽可能使用汇总指标、公司域名或职位名称，而非个人层面的个人数据。
5. 准确性与更新。 各披露方应采取合理措施，确保其披露的计划个人数据准确且为最新；如获悉其披露的任何计划个人数据不准确或已过时，或某一个人已撤回对接收方处理行为的同意或对该处理提出反对，应及时通知接收方。合作伙伴应确保其合作伙伴门户用户信息保持最新；当拥有合作伙伴门户账户、有效认证或共享协作频道成员资格的个人离开合作伙伴的组织或不再参与合作伙伴的合作伙伴计划活动时，合作伙伴应通过合作伙伴门户或发送邮件至 partnersupport@x.ai 及时通知 Anysphere。
接收方的处理行为。
1. 目的限制。
  1. Anysphere。 Anysphere 可出于以下目的处理合作伙伴提供的数据：(i) 运营、管理和改进合作伙伴计划，包括用于附件 1 所述目的；(ii) 依据 SpaceXSI 隐私声明和数据保护法律，营销、销售、提供和支持服务，并管理其与合作伙伴提供的数据中所识别的客户及潜在客户之间的关系；(iii) 验证合作伙伴是否遵守合作伙伴协议、计划规则和适用法律，以及检测和防范欺诈、滥用和安全事件；(iv) 履行法律义务，以及确立、行使或抗辩法律主张；以及 (v) 用于数据保护法律允许且 SpaceXSI 隐私声明所述的任何其他目的。
  2. 合作伙伴。 合作伙伴仅可为 Anysphere 提供该等数据时所针对的具体合作伙伴计划目的 (例如，就已确定的商机开展联合销售、与 Anysphere 共同进行客户账户规划，或管理合作伙伴参与合作伙伴计划的相关事务) ，并依据合作伙伴协议、计划规则、本合作伙伴 DPA 及数据保护法律，处理 Anysphere 提供的数据。合作伙伴不得：(i) 出售、出租或许可他人使用 Anysphere 提供的数据；(ii) 使用 Anysphere 提供的数据营销或推广与服务存在竞争关系的任何产品或服务，或将其用于与 Anysphere 提供该数据的目的无关的任何营销活动；(iii) 为与合作伙伴计划无关的目的，将 Anysphere 提供的数据与其他数据合并，以构建或丰富联系人数据库、个人资料或潜在客户名单；或 (iv) 向任何第三方披露 Anysphere 提供的数据，但第 5.4 条允许的情形除外。
  3. 其他处理。 如适用法律有此要求、为保护个人重大利益所必需，或个人已同意进一步处理，任何一方亦可出于其他目的处理计划个人数据。
2. 透明度。 各方应就其对计划个人数据的处理，维护并提供符合数据保护法要求的隐私声明。如 Anysphere 联系的个人，其个人数据系 Anysphere 从合作伙伴处获得，则 Anysphere 应在规定时限内提供数据保护法所要求的信息，该时限可能为 Anysphere 与该个人首次通信之时。
3. 保密与安全。 各接收方应：(a) 综合考虑现有技术水平、实施成本、处理的性质、范围、背景和目的，以及对个人造成的风险，实施并维护适当的技术和组织措施，以保护计划个人数据免遭个人数据泄露，此类措施至少应包含附件 2 (最低安全措施) 中所述的措施；(b) 仅允许为第 5.1 条所允许之目的而需要访问计划个人数据的员工、承包商和服务提供商访问该等数据；以及 (c) 确保经授权处理计划个人数据的人员受适当保密义务的约束。合作伙伴应依据合作伙伴协议第 8 条 (合作伙伴门户访问) 负责保护其合作伙伴门户账户和凭证的安全。
4. 服务提供商与向第三方转移披露。
  1. 处理者。 各接收方可委托处理者和服务提供商代表其处理计划个人数据，包括合作伙伴门户及合作伙伴关系管理平台、客户关系管理系统、账户映射工具、协作与通信工具、学习管理系统、支付与税务服务、云端托管服务以及 AI 赋能的生产力工具的提供商。接收方仅可依据书面协议委托此类处理者，该协议须要求其以符合本合作伙伴 DPA 及数据保护法律的方式保护计划个人数据；接收方仍须对其处理活动负责。
  2. Anysphere 关联实体。 Anysphere 可为第 5.1(a) 条所述目的向其关联实体披露合作伙伴提供的数据。接收合作伙伴提供的数据的每一 Anysphere 关联实体均应按照本合作伙伴 DPA 处理该等数据。
  3. 其他披露。 除本第 5.4 条允许的情形外，接收方不得向任何第三方披露计划个人数据，但以下情形除外：(i) 向其自身及其关联实体受保密义务约束的专业顾问披露；(ii) 在合作伙伴协议允许的范围内，因合并、收购、公司重组或出售其全部或实质上全部资产而向继任者披露；(iii) 根据适用法律、法院命令或有管辖权的政府机关的要求披露，但须遵守第 5.7 条；或 (iv) 数据保护法律另行允许的其他情形，且就合作伙伴而言，须事先获得 Anysphere 的书面同意。
5. 数据主体请求。 对于各方所控制的计划个人数据，各方负责响应个人依据数据保护法行使其权利而提出的请求。如一方收到的请求涉及另一方的处理，则该方应在合法的前提下，及时 (且无论如何不晚于五 (5) 个工作日内) 将该请求转交另一方，或告知该个人如何联系另一方，双方应合理配合以响应该请求。如个人反对接收营销通信、撤回同意或要求删除，且该请求与另一方对计划个人数据的处理相关，则收到请求的一方应及时通知另一方，以便另一方采取数据保护法所要求的任何行动。
6. 个人数据泄露。 接收方在知悉涉及从披露方处获得的计划个人数据的个人数据泄露后，应及时通知披露方，不得无故拖延，且无论如何不晚于七十二 (72) 小时。该通知应在当时已知的范围内说明个人数据泄露的性质、所涉个人及记录的类别和大致数量、可能造成的后果，以及为应对个人数据泄露并减轻其影响而已采取或拟采取的措施；接收方应在获得进一步信息后补充该通知。接收方应采取合理措施控制、调查和补救个人数据泄露，并应与披露方合理配合。各方作为控制者，负责向监管机构和个人发出数据保护法要求其发出的任何通知，双方应本着诚信原则就该等通知的内容和时间进行协调。除法律要求外，未经另一方事先书面同意，任何一方均不得在有关个人数据泄露的任何通知或公开声明中提及另一方名称。合作伙伴应将本第 5.6 条项下的通知发送至 legal@cursor.com，且就该个人数据泄露而言，该等通知亦视为已满足合作伙伴协议第 5(g) 条 (合作伙伴义务) 的要求。
7. 政府及监管机构请求。 如接收方收到监管机构、执法机构或其他政府机构针对从另一方处获得的计划个人数据提出的请求，则接收方应在法律允许的情况下及时通知披露方，仅披露响应该请求所需的最少量计划个人数据，并在披露方响应或质疑该请求时予以合理配合。
8. 保留与删除。
  1. 一般规定。 各接收方仅可在实现第 5.1 条所允许目的之必要期限内保留计划个人数据，期满后应将其删除或匿名化，但适用法律另有要求或允许的除外。
  2. Anysphere 提供的数据。 合作伙伴协议到期或终止时，或 Anysphere 在此之前提出书面请求时，合作伙伴应停止使用 Anysphere 提供的数据，并在三十 (30) 天内将其删除 (或应 Anysphere 的请求予以返还) ；经 Anysphere 要求，合作伙伴还应书面证明已完成上述操作，但适用法律要求合作伙伴保留的部分除外。常规备份中保留的计划个人数据可按照合作伙伴的标准备份周期删除，前提是该等数据仍受本合作伙伴 DPA 的保护，且未被主动使用。
  3. 合作伙伴提供的数据。 合作伙伴协议到期或终止后，Anysphere 可在合理必要的范围内保留合作伙伴提供的数据，用于：(i) 处理终止前已产生的注册费用、推荐费用及其他款项；(ii) 维护与合作伙伴计划相关的记录，包括在合作伙伴协议第 20.5 条 (记录) 所述期间内维护该等记录；(iii) 继续维系与客户及潜在客户的直接关系；(iv) 履行法律义务；以及 (v) 确立、行使法律主张或就法律主张进行抗辩。对于合规审查数据，Anysphere 仅可在实现其收集所服务的合规性目的之必要期限内，并按适用法律的要求予以保留。
9. 自动化工具与 AI。 Anysphere 可以使用自动化工具 (包括由 Anysphere、其关联实体或其服务提供商运营的 AI 模型和智能体) 来协助审查和处理合作伙伴申请、交易登记、权益请求、营销活动提交材料，以及其他与合作伙伴计划相关的提交材料和通信。批准、拒绝、附条件批准或撤销合作伙伴申请或交易登记的决定由 Anysphere 人员作出；除非数据保护法律允许，否则 Anysphere 不得使任何个人受制于仅基于自动化处理作出、对该个人产生法律效力或类似重大影响的决定。Anysphere 不会使用合作伙伴提供数据中包含的个人数据来训练 Anysphere 向第三方正式发布的 AI 模型。如任何 AI 工具或其他第三方服务会使用 Anysphere 提供数据训练模型以使合作伙伴以外的任何人受益，或以其他方式将这些数据用于其自身目的，则合作伙伴不得将 Anysphere 提供数据输入该等工具或服务。
10. 合作。 为使另一方能够履行其在数据保护法律下与计划个人数据相关的义务，各方应自行承担费用，向另一方提供所需的合理信息与合作，包括与数据保护影响评估、处理活动记录以及监管机构问询相关的信息与合作。
美国各州隐私法律。
1. 非出售。 双方确认，根据合作伙伴计划提供的任何注册费用、推荐费用或其他合作伙伴权益，均为合作伙伴依据《合作伙伴协议》第 7 条 (交易登记、费用与付款) 所述推荐、客户开发、联合销售及相关服务的对价，而非计划个人数据的对价。任何一方均不以换取金钱或其他有价对价为目的向另一方披露计划个人数据，且双方无意使本合作伙伴 DPA 项下的任何披露构成美国各州隐私法所规定的个人数据出售或共享。
2. 第三方条款。 如接收方依据美国各州隐私法以第三方身份接收计划个人数据，或本合作伙伴 DPA 项下的披露因其他原因被视为出售或共享，则接收方应：(a) 仅为第 5.1 条及附件 1 所列的有限且特定的目的处理该计划个人数据；(b) 履行其在美国各州隐私法项下的适用义务，并按照美国各州隐私法的要求，为该计划个人数据提供同等水平的隐私保护；(c) 在收到书面通知后，允许披露方采取合理且适当的措施，确保接收方使用该计划个人数据的方式符合披露方在美国各州隐私法项下的义务，并制止和纠正任何未经授权的使用；(d) 如认定自身已无法继续履行美国各州隐私法项下的义务，应通知披露方；以及 (e) 按照美国各州隐私法的要求，执行披露方向其转达的任何选择退出请求或其他消费者请求。
跨境数据传输。
1. 一般规定。 各方可在美国以及其本身、其关联实体或其处理者开展业务的任何其他国家处理计划个人数据，前提是其遵守数据保护法律中有关数据传输的要求。
2. EEA 传输。 如果披露方向接收方披露计划个人数据构成受 GDPR 约束的受限传输，双方同意适用 SCCs 的模块一 (或者，在第 8 条适用且接收方作为披露方的处理者行事时，适用 SCCs 的模块二) ，SCCs 通过引用并入本合作伙伴 DPA，并且：
  1. 披露方为“数据输出方”，接收方为“数据输入方”；
  2. 第 7 款中的可选对接条款适用；
  3. 在模块二第 9 款中，适用选项 2 (一般书面授权) ，通知期限依第 8.2(d) 条的规定；
  4. 第 11(a) 款中的可选措辞不适用；
  5. 在第 13 款中，主管监管机构依第 13(a) 款确定；如果数据输出方未在 EEA 设立机构，且未根据 GDPR 第 27 条指定代表，则主管监管机构为爱尔兰数据保护委员会；
  6. 在第 17 款中，适用选项 1，SCCs 受爱尔兰法律管辖；
  7. 在第 18(b) 款中，争议由爱尔兰法院解决；
  8. SCCs 附件 I 按本合作伙伴 DPA 附件 1 中的信息填写；以及
  9. SCCs 附件 II 按本合作伙伴 DPA 附件 2 中的信息填写。
3. 英国传输。 如果受限传输受 UK GDPR 约束，则 SCCs 依第 7.2 条的规定适用，并经 UK Addendum 修订，UK Addendum 通过引用并入本合作伙伴 DPA，并且：(a) UK Addendum 的表 1 至表 3 按第 7.2 条及本合作伙伴 DPA 附件 1 和附件 2 中的信息填写；以及 (b) 就表 4 而言，任何一方均不得根据 UK Addendum 第 19 条终止 UK Addendum。
4. 瑞士传输。 如果受限传输受 FADP 约束，则 SCCs 依第 7.2 条的规定适用，但作如下更改：(a) 凡提及 GDPR 之处，均指 FADP；(b) 凡提及“EU”、“Union”和“Member State”之处，均包括瑞士，且“Member State”一词不妨碍瑞士的数据主体在其惯常居住地提出法律主张；以及 (c) 主管监管机构为瑞士联邦数据保护和信息专员。
5. 替代传输机制。 一方可依据充分性认定、EU-U.S. Data Privacy Framework 及其英国和瑞士扩展 (如该方已获认证) 或数据保护法律认可的任何其他传输机制，以替代 SCCs。如果根据本第 7 条所依据的传输机制被认定无效或不再可用，双方应本着诚信原则合作，实施替代的合法传输机制，Anysphere 可为此根据第 11.2 条更新本合作伙伴 DPA。
6. 其他司法管辖区。 如果任何其他司法管辖区的数据保护法律要求就将计划个人数据传输至该司法管辖区以外订立具体的合同条款，双方同意本合作伙伴 DPA (包括在允许的情况下，经针对该司法管辖区调整的 SCCs) 即构成该等条款，且各方应签订 Anysphere 为满足该等要求而通过合作伙伴门户合理提供的任何附加传输条款。
7. 冲突。 如本合作伙伴 DPA 与 SCCs (包括经 UK Addendum 或第 7.4 条修订的 SCCs) 之间存在任何冲突，则就冲突部分以 SCCs 为准。
处理者相关约定。
1. 适用范围。 本第 8 条仅在以下情形适用：双方在附录、计划规则或其他书面文件中明确约定，由一方 (“处理方”) 代表另一方 (“指示方”) 并按照其书面指令处理计划个人数据，例如合作伙伴代表 Anysphere 为 Anysphere 主办的活动收集报名信息。就该等处理而言，指示方为控制者，处理方为其处理者 (在适用情况下，亦为美国各州隐私法项下的服务提供商或承包商) ，且第 3.1 条和第 5.1 条不适用于该等处理。
2. 处理者义务。 处理方应当：
  1. 仅按照指示方的书面指令处理计划个人数据，包括涉及数据传输的处理，但适用法律另有要求的除外 (在此情况下，处理方应在处理之前告知指示方，除非法律禁止此类告知) ；如处理方认为某项指令违反数据保护法，应及时告知指示方；
  2. 确保经授权处理计划个人数据的人员受保密义务约束；
  3. 实施附件 2 所述措施，以及在适用情况下 GDPR 第 32 条要求的任何其他措施；
  4. 未经指示方的一般书面授权，不得聘用其他处理者；指示方在约定相关安排时，即授权处理方届时列明的处理者。处理方拟新增或更换任何处理者时，应至少提前三十 (30) 天通知指示方 (Anysphere 可通过合作伙伴门户或其子处理方页面发出通知) ，指示方可在此期间基于合理的数据保护理由提出异议；处理方应通过书面条款约束每一处理者，确保其提供的保护水平不低于本第 8 条，并对每一处理者的履约行为承担责任；
  5. 在考虑处理性质的基础上，通过适当措施协助指示方回应数据主体请求，并协助其履行在安全、个人数据泄露通知、数据保护影响评估以及事先咨询监管机构等方面的义务；
  6. 在知悉影响其代表指示方处理的计划个人数据的个人数据泄露后，应及时通知指示方，不得无故拖延，且无论如何不得迟于四十八 (48) 小时；
  7. 在处理结束时，按指示方的选择删除或返还计划个人数据，并删除现有副本，但适用法律要求保留的除外；
  8. 向指示方提供证明其遵守本第 8 条所合理必需的信息，并允许和配合指示方或其委托的独立审计师进行审计 (包括检查) 。审计在任何十二 (12) 个月期间内不得超过一次 (发生个人数据泄露后或监管机构要求的情况除外) ，须至少提前三十 (30) 天通知，受合理保密义务约束，且费用由指示方承担；但如现行有效的独立认证或审计报告能够合理涵盖审计范围，处理方可改为提供该等认证或报告；以及
  9. 在美国各州隐私法适用的情况下：不得出售或共享计划个人数据；不得为指示方指定的业务目的以外的任何目的，或在双方直接业务关系之外，保留、使用或披露该等数据；除美国各州隐私法允许的情形外，不得将其与从其他来源获得的个人数据合并；遵守美国各州隐私法，并提供该等法律所要求的同等水平的隐私保护；在无法继续履行其义务时通知指示方；并允许指示方采取合理且适当的措施，制止和纠正任何未经授权的使用。
责任与救济措施。
1. 责任。 各方因本 Partner DPA 引起或与之相关的责任 (包括双方之间在 SCCs 项下的责任) ，均受 Partner 协议第 17 条 (责任限制) 的约束，包括该条关于除外法律主张的规定，并以任何适用附录所作的修改为准。本 Partner DPA 的任何内容均不限制任何一方在 SCCs 项下对数据主体承担的责任，亦不限制根据适用法律不得限制的任何责任。
2. 赔偿。 就 Partner 协议第 16.1 条 (合作伙伴赔偿) 而言，合作伙伴违反本 Partner DPA 即构成对 Partner 协议的违反。
3. 暂停。 如合作伙伴违反本 Partner DPA，或 Anysphere 合理认为继续向合作伙伴披露计划个人数据将违反数据保护法律，Anysphere 可暂停向合作伙伴披露 Anysphere 提供的数据，并暂停合作伙伴提交计划个人数据的能力，且无需为此承担任何责任；该项权利不影响其根据 Partner 协议第 18 条 (期限和终止) 所享有的权利。
合规性验证。
1. 合作伙伴。 经 Anysphere 提出合理书面请求，合作伙伴应填写一份合理的书面隐私与安全调查问卷，并提供合理的证明文件，以证明其遵守本合作伙伴 DPA；此类请求在任何十二 (12) 个月期间内不得超过一次 (但发生个人数据泄露后、应监管机构要求或 Anysphere 有合理依据怀疑存在不合规情形的除外) 。Anysphere 根据合作伙伴协议第 20.5 条 (记录) 享有的权利，同样适用于合作伙伴对本合作伙伴 DPA 的遵守情况。
2. Anysphere。 Anysphere 通过其信任中心 https://trust.cursor.com (或 Anysphere 不时通知合作伙伴而指定的其他 URL) 提供有关其安全计划的信息 (包括其 SOC 2 Type II 报告) ，并应答复合作伙伴就 Anysphere 处理合作伙伴提供数据的情况所提出的合理书面疑问。
期限、更新及一般条款。
1. 期限。 本合作伙伴 DPA 自以下两者中较早者起生效：(a) 合作伙伴通过合作伙伴门户接受本合作伙伴 DPA (包括通过接受合作伙伴协议的方式) 之日；或 (b) 合作伙伴在获悉或获得访问本合作伙伴 DPA 的权限后，经 Anysphere 许可首次参与合作伙伴计划之日。只要任何一方仍在处理从另一方收到的计划个人数据，本合作伙伴 DPA 即持续有效。第 5.8 条、第 9 条和第 11 条在本合作伙伴 DPA 或合作伙伴协议到期或终止后继续有效。
2. 更新。 Anysphere 可根据合作伙伴协议第 20.4 条 (修订与计划更新) ，在合作伙伴门户或适用 URL 上发布更新后的合作伙伴 DPA，以此更新本合作伙伴 DPA。为遵守数据保护法律或监管机构的指导或决定而必需的更新，可自发布时生效，或按法律的其他要求生效。任何更新均不得修改 SCC 或英国附录，但采用主管机构发布的修订版本或替代版本的情况除外。
3. 优先顺序。 本合作伙伴 DPA 是合作伙伴协议项下的附录之一。除本合作伙伴 DPA 另有规定外，合作伙伴协议保持不变并继续完全有效。就计划个人数据的处理而言，如发生任何冲突，在冲突范围内按以下顺序优先适用：(a) SCC (在其适用的范围内) ；(b) 本合作伙伴 DPA；(c) 合作伙伴协议及任何其他附录；(d) 计划规则。
4. 适用法律与争议。 除 SCC 或数据保护法律另有要求外，本合作伙伴 DPA 受合作伙伴协议第 19 条 (争议解决) 所规定的法律管辖，由此产生的争议亦按该条规定的方式解决。
5. 关联实体。 如合作伙伴的关联实体根据合作伙伴协议第 2.3 条参与合作伙伴计划，则合作伙伴代表其接受本合作伙伴 DPA，应确保其遵守本合作伙伴 DPA，并对其合规情况承担责任。处理合作伙伴提供数据的 Anysphere 关联实体，除享有合作伙伴协议第 20.6 条 (第三方受益人) 规定的第三方受益人权利外，还可作为明示的第三方受益人援引并强制执行本合作伙伴 DPA。
6. 隐私联系人。 合作伙伴应在合作伙伴门户中指定一名隐私联系人；如未指定，Anysphere 可将本合作伙伴 DPA 项下的通知发送给合作伙伴的合作伙伴门户管理员。Anysphere 的隐私联系人为 legal@cursor.com，或 Anysphere 不时通过合作伙伴门户或通过电子邮件向合作伙伴指定的隐私联系人告知的其他联系方式。
7. 无其他第三方受益人。 除第 11.5 条的规定以及 SCC 中为数据主体规定的情形外，本合作伙伴 DPA 不为任何第三方创设任何权利。

附件 1 – 处理说明

如根据第 7 条适用 SCCs，本附件 1 同时构成 SCCs 的附件 I。

A 部分 – 各方列表

	Anysphere	合作伙伴
名称	Anysphere, Inc.，一家德克萨斯州公司	已接受《合作伙伴协议》的实体，以合作伙伴门户中的标识为准。
地址	2261 Market Street, Ste 86466, San Francisco, CA 94114, USA	合作伙伴的注册营业地址，以合作伙伴门户中的记载为准。
联系方式	legal@cursor.com	合作伙伴在合作伙伴门户中指定的隐私联系人；如未指定，则为合作伙伴的合作伙伴门户管理员。
角色	控制者 (就 Anysphere 提供的数据而言为数据输出方；就合作伙伴提供的数据而言为数据输入方) 。适用第 8 条时为处理者。	控制者 (就合作伙伴提供的数据而言为数据输出方；就 Anysphere 提供的数据而言为数据输入方) 。适用第 8 条时为处理者。
活动	运营 SpaceXSI 合作伙伴网络，并向客户提供服务。	参与 SpaceXSI 合作伙伴网络，包括推荐、联合销售及相关活动。
签名和日期	接受《合作伙伴协议》或本合作伙伴 DPA (包括通过合作伙伴门户以电子方式接受) ，即构成对 SCCs 附件 I 的签署，签署日期为接受之日。	同 Anysphere。

B 部分 – 按合作伙伴计划活动划分的处理

活动	数据主体	个人数据类别	通常流向
合作伙伴申请、入门引导和尽职调查	合作伙伴申请人、管理员、所有者、高级职员、董事及其他人员	姓名、工作邮箱、职位、公司名称及注册地址、Cursor 或 xAI Console 团队 ID；合规筛查数据；受限方筛查结果；尽职调查往来信函	合作伙伴至 Anysphere
合作伙伴门户和计划管理	合作伙伴门户用户和管理员	姓名、业务联系方式、职位、角色、用户 ID、身份验证数据、门户活动日志、通知偏好及通信内容	合作伙伴至 Anysphere
资质认证和培训	参加培训的合作伙伴人员	姓名、工作邮箱、雇主、课程进度、考核结果、凭证、认证状态及有效期，以及雇佣验证信息	合作伙伴至 Anysphere
交易注册、联合销售和业绩归属	客户及潜在客户的人员；合作伙伴的销售和技术人员	姓名、工作邮箱、电话号码、职位、公司、商机详情、使用场景、预期范围和时间、备注及相关通信内容	合作伙伴至 Anysphere；就注册状态和联合销售而言为 Anysphere 至合作伙伴
销售线索和客户规划	客户及潜在客户的人员；Anysphere 客户经理和合作伙伴经理	姓名、业务联系方式、职位、公司，以及商机和互动信息；Anysphere 人员的业务联系方式	Anysphere 至合作伙伴
客户映射	客户及潜在客户的人员 (如共享) ；客户负责人	客户名称及状态 (通常不属于个人数据) ；如一方选择共享，则包括联系人姓名、职位和工作邮箱；客户负责人姓名	双向
协作和通信	各方人员；通信中提及的客户人员	姓名、业务联系方式、个人资料信息、消息、文件，以及会议纪要或录音录像 (以已通知参与者为前提)	双向
营销活动、会议活动和联合营销	合作伙伴人员；活动演讲者；活动参与者 (仅限根据第 8 条约定的情况)	执行证明 (链接、截图、照片) 、汇总指标、演讲者及联系人姓名，以及经同意提供的引语和肖像	合作伙伴至 Anysphere
合作伙伴权益申请	合作伙伴申请人和授权用户	姓名、业务联系方式、职位、团队 ID 及申请详情	合作伙伴至 Anysphere
费用、付款和税务	合作伙伴财务联系人、收款人、签署人，以及 (如需要) 受益所有人	姓名、业务联系方式、银行及付款路由信息、税务表格和识别号码，以及付款历史	合作伙伴至 Anysphere
合规、审计和争议	各方人员；客户人员	与上述活动相关的记录，以相关合规、审计或争议所需为限	双向

C 部分 – 其他处理详情

处理目的： 如第 5.1 条所述。

处理性质： 收集、记录、组织、结构化、存储、检索、查阅、使用、分析 (包括根据第 5.9 条进行的自动化审查和 AI 辅助审查) 、通过传输进行披露、校准或合并、限制、删除和销毁。

敏感数据： 除以下数据外，双方无意交换敏感数据：(a) 合规筛查数据，其中可能包括与公共部门的关联关系及涉嫌违法行为的相关信息；以及 (b) 支付和税务标识符。防护措施：目的限制、基于“需知”原则的访问限制、传输中加密和静态加密，以及有限保留，详见第 4.4 条和第 5.8 条。

传输频率： 在合作伙伴协议有效期内持续进行。

保留期限： 详见第 5.8 条。

接收方及再传输： 详见第 5.4 条。

主管监管机构： 对于 EEA 传输，详见第 7.2(e) 条；对于英国传输，为英国信息专员；对于瑞士传输，为瑞士联邦数据保护和信息专员。

附件 2 – 最低安全措施

在根据第 7 条适用 SCCs 的情况下，本附件 2 亦构成 SCCs 的附件 II。各方应针对其占有、保管或控制的计划个人数据，至少维护以下措施：

治理。 制定书面信息安全计划并指定负责人，同时制定安全和隐私政策，且至少每年审查一次。
访问控制。 基于最小权限原则实施基于角色的访问、使用唯一用户 ID、对存储计划个人数据的系统 (包括合作伙伴门户账户，如可用) 启用多因素身份验证，并在人员变更角色或离开组织后及时移除其访问权限，且无论如何不得晚于五 (5) 个工作日。
人员。 所有具有访问权限的人员均须承担保密义务；在合法且与其角色相适应的情况下进行背景调查；并至少每年开展一次安全和隐私培训。
加密。 计划个人数据在传输中使用 TLS 1.2 或更高版本加密，在静态存储时使用行业标准加密。
端点和网络安全。 使用配备端点保护的受管设备，及时安装安全补丁，并采用防火墙和入侵检测等网络控制措施。
日志记录和监控。 对存储计划个人数据的系统的访问进行日志记录，并实施旨在检测未经授权访问的监控。
漏洞管理。 定期进行漏洞扫描，并根据严重程度及时修复已识别的漏洞。
处理者管理。 在聘用处理者之前对其进行安全和隐私尽职调查，并订立与本合作伙伴 DPA 一致的书面合同保护条款。
事件响应。 制定书面事件响应计划并定期测试，使该方能够满足本合作伙伴 DPA 规定的通知时限。
业务连续性。 制定与风险相适应的备份和恢复程序。
最小化和处置。 仅收集必要的数据，并在计划个人数据不再需要时对其进行安全删除或匿名化处理。
经批准的工具。 仅在经批准的业务系统中处理计划个人数据，不得在个人电子邮件账户、缺乏适当控制措施的个人设备或未经批准的 AI 工具中处理。

此外，Anysphere 维护其 SOC 2 Type II 报告及其信任中心 https://trust.cursor.com (或 Anysphere 不时通知合作伙伴指定的其他 URL) 中所述的技术和组织措施。

定义。
1. 解释。 本合作伙伴 DPA 中使用但未定义的首字母大写术语，具有《合作伙伴协议》中赋予的含义。“控制者”“处理者”“数据主体”“处理” (及“进行处理”) “企业”“服务提供商”“承包商”“第三方”“出售”“共享”和“监管机构”等术语，具有适用的数据保护法律中赋予的含义，并包含这些法律中使用的任何同等术语。
2. 定义条款。 在本合作伙伴 DPA 中：
  
  “合规审查数据”是指 Anysphere 为评估合作伙伴参与合作伙伴计划及持续参与该计划的资格而收集的、与合作伙伴的所有者、高级职员、董事、人员或代理人相关的个人数据，包括：有关现任或前任政府任职或政府关联关系的信息、与 Anysphere 或其人员之间的雇佣或业务关系、制裁及受限方状态，以及与反腐败、反洗钱、制裁或出口管制法律相关的任何违规、自愿披露、调查、问询、指控或执法行动。
  
  “数据保护法” 指适用于一方处理计划个人数据的、与隐私、数据保护、数据安全或电子营销相关的所有法律法规，在适用的情况下包括：(a) 欧盟《通用数据保护条例》2016/679 (“GDPR”) 及《电子隐私指令》2002/58/EC，以及各国为实施上述法规而制定的国内法；(b) 构成英国法律一部分的 GDPR (“UK GDPR”) 、英国《2018 年数据保护法》以及《2003 年隐私和电子通信条例》；(c) 瑞士《联邦数据保护法》 (“FADP”) ；(d) 美国各州隐私法；(e) 加拿大《个人信息保护和电子文件法》及加拿大《反垃圾邮件法》；(f) 澳大利亚《1988 年隐私法》及《2003 年反垃圾邮件法》；(g) 新加坡《2012 年个人数据保护法》；(h) 日本《个人信息保护法》；(i) 印度《2023 年数字个人数据保护法》；以及 (j) 巴西《通用数据保护法》 (Lei Geral de Proteção de Dados) ；上述各项均包括其不时经修订、替代或补充后的版本。
  
  “披露方”指向另一方提供计划个人数据或使另一方可获取计划个人数据的一方 (包括其关联实体及代表其行事的任何人) ，“接收方”指接收该等数据的一方 (包括其关联实体) 。
  
  “合作伙伴提供的数据” 指合作伙伴、其关联实体或代表其行事的任何人向 Anysphere 或其关联实体提供或以其他方式使其可获取的计划个人数据。
  
  “个人数据” 指与已识别或可识别的自然人相关的任何信息，以及在数据保护法中被定义为“个人数据”“个人信息”或类似术语的任何其他信息。
  
  “个人数据泄露” 是指在计划个人数据由接收方或代表接收方处理该数据的任何人占有、保管或控制期间，因安全违规导致该数据遭到意外或非法的销毁、丢失、篡改、未经授权的披露或访问。
  
  “计划个人数据”指披露方就合作伙伴计划向接收方提供或以其他方式使其可获取的个人数据，无论是通过合作伙伴门户、合作伙伴计划表单、交易报备提交、账户映射工具、共享协作频道、电子邮件、会议还是其他途径，但不包括第 2.2 条所述的数据和活动。
  
  “受限传输”指在不适用任何其他合法传输机制的情况下，将受 GDPR、UK GDPR 或 FADP 约束的计划个人数据传输至主管机构未认定其能为个人数据提供充分保护水平的国家或地区。
  
  “SCCs” 指欧盟委员会于 2021 年 6 月 4 日发布的第 (EU) 2021/914 号实施决定所附的标准合同条款 (及其不时修订或替代的版本) ；“模块一”和“模块二”分别指 SCCs 中的控制者对控制者模块和控制者对处理者模块。
  
  “敏感数据”指：(a) 数据保护法所界定的特殊类别个人数据、敏感个人数据或敏感个人信息，包括揭示种族或民族出身、政治观点、宗教或哲学信仰、工会成员资格的数据，基因数据、生物识别数据或健康数据，以及涉及个人性生活或性取向的数据；(b) 与刑事定罪、犯罪或指控相关的个人数据；(c) 政府签发的身份标识号码，包括社会保障号码、税务识别号码、护照号码和驾驶执照号码；(d) 金融账户、银行账户或支付卡号码；(e) 精确地理位置数据；(f) 账户密码及其他身份验证凭证；以及 (g) 儿童的个人数据。
  
  “Anysphere 提供的数据”指 Anysphere、其关联实体或代表其行事的任何人向合作伙伴或其关联实体提供或开放使用的计划个人数据。
  
  “SpaceXSI 隐私声明” 指 Anysphere 发布于 https://cursor.com/privacy (或 Anysphere 指定的任何后续 URL) 的隐私声明，以及不时更新后的版本。
  
  “英国附录” 指由英国信息专员发布的《欧盟委员会标准合同条款国际数据传输附录》 (版本 B.1.0) ，包括其不时修订或替换后的版本。
  
  “美国各州隐私法”指经《2020 年加州隐私权法案》 (California Privacy Rights Act of 2020) 修订的《2018 年加州消费者隐私法案》 (California Consumer Privacy Act of 2018) 及其实施条例 (“CCPA”) ，以及美国其他所有州级综合性消费者隐私法律，上述各项法律均以不时生效的版本为准。
界定范围。
1. 适用范围。 本合作伙伴 DPA 适用于各方对其从另一方接收的计划个人数据的处理。计划个人数据通常产生于附件 1 (处理描述) 所述的合作伙伴计划活动，此类活动可能会不时在计划规则中更新。
2. 除外情形。 本合作伙伴 DPA 不适用于以下个人数据，且计划个人数据亦不包括以下个人数据：
  1. 合作伙伴对服务的使用。 合作伙伴 (或其关联实体) 以客户身份购买、访问或使用服务 (包括通过任何公司套餐、评估许可证、沙箱或非转售访问权限进行的购买、访问或使用) 过程中处理的个人数据；此类数据受主服务协议或其他适用的客户条款、https://cursor.com/terms/dpa 上提供的数据处理附录以及任何适用的使用条款管辖；
  2. 合作伙伴服务与客户数据。 客户数据，以及合作伙伴在履行合作伙伴服务时为客户或根据与客户的协议处理的任何其他个人数据；此类数据仅受合作伙伴与该客户之间的协议管辖。如合作伙伴向某一客户提供合作伙伴服务，而 Anysphere 亦向同一客户提供服务，则双方各自依据其与该客户之间的协议处理该客户的个人数据，任何一方均不作为另一方的处理方或子处理方；
  3. 应用市场活动。 与任何插件或合作伙伴参与应用市场相关而处理的个人数据 (包括 SpaceXSI Marketplace Terms 中称为“插件数据”或“用户内容”的任何数据) ；此类数据受 SpaceXSI Marketplace Terms 管辖；
  4. 单独协议。 依据授权合作伙伴转售、分发或分包服务的任何单独书面协议处理的个人数据，或依据双方之间订有自身数据保护条款的任何其他单独协议处理的个人数据，但以该协议的适用范围为限；以及
  5. 独立收集的数据。 一方自行独立收集、而非从另一方获取的个人数据，即使该等数据涉及相同的个人或组织，包括 Anysphere 直接从客户或潜在客户处收集的个人数据。
3. 与第 12.1 条的关系。 本合作伙伴 DPA 是对合作伙伴协议第 12.1 条 (通知与同意) 项下合作伙伴义务的补充，并不限制该等义务。
各方角色。
1. 独立控制者。 除第 8 条 (处理者安排) 另有规定外，对于从另一方接收的计划个人数据，各方均以独立控制者的身份行事 (在适用美国各州隐私法的情况下，则以企业或第三方的身份行事) 。各方独立决定其自身处理活动的目的和方式。双方并非共同控制者，任何一方均不代表另一方处理计划个人数据。
2. 各方自身的合规性。 各方应就其对计划个人数据的处理自行负责遵守数据保护法，包括提供告知、确立合法依据、回应数据主体的请求、保存处理活动记录，以及履行其对监管机构的义务。任何一方均不得明知而以导致另一方违反数据保护法的方式处理计划个人数据。
披露计划个人数据。
1. 合法披露。 各披露方应确保其收集计划个人数据以及向接收方披露该等数据的行为符合数据保护法律。在不限制《合作伙伴协议》第 12.1 条 (通知与同意) 的前提下，合作伙伴声明并保证，对于所有合作伙伴提供的数据，合作伙伴已根据数据保护法律的要求，就以下事项提供了所有必要通知、获得了所有必要同意并确立了所有必要的合法依据：(a) 合作伙伴向 Anysphere 披露该等数据；以及 (b) Anysphere 为第 5.1(a) 条所述目的处理该等数据，包括就服务事宜联系相关客户或潜在客户，以及核实合作伙伴与该客户的合作情况。
2. 对客户及潜在客户的通知。 在适用法律有要求的情况下，合作伙伴在提交交易注册或以其他方式向 Anysphere 披露客户或潜在客户人员的个人数据之前，应告知相关个人 (或确保其已被告知) ：合作伙伴可能与 Anysphere 共享其联系信息和商机信息；Anysphere 可能按照《SpaceXSI 隐私声明》所述使用该等信息；以及如该客户或潜在客户向 Anysphere 采购，合作伙伴可能因此获得合作伙伴计划权益。如任何个人已反对或选择退出与 Anysphere 共享其个人数据，合作伙伴不得向 Anysphere 披露该个人的个人数据。
3. 对合作伙伴人员的通知。 合作伙伴向 Anysphere 提供其及其关联实体的人员、承包商、所有者、高级职员和董事 (包括合作伙伴门户用户和管理员、正在申请认证的个人、共享协作频道的成员，以及合规筛查数据中所识别的个人) 的个人数据的，应告知上述人员 Anysphere 将按照本《合作伙伴 DPA》及《SpaceXSI 隐私声明》所述处理其个人数据，包括向其提供《SpaceXSI 隐私声明》。
4. 数据最小化与敏感数据。 各披露方仅应披露为实现相关合作伙伴计划目的而合理必需的计划个人数据。合作伙伴不得向 Anysphere 提供敏感数据，但以下情况除外：(a) Anysphere 通过合作伙伴门户表单、计划规则或其他书面请求提出要求，例如支付费用所需的付款路由信息和税务信息，或合规筛查数据；或 (b) Anysphere 另行书面批准。就《合作伙伴协议》第 12.1 条 (通知与同意) 而言，任何此类请求均构成 Anysphere 的明确书面请求，但仅限于所请求的敏感数据。在提交营销活动证明、活动成果或类似信息时，合作伙伴应尽可能使用汇总指标、公司域名或职位名称，而非个人层面的个人数据。
5. 准确性与更新。 各披露方应采取合理措施，确保其披露的计划个人数据准确且为最新；如获悉其披露的任何计划个人数据不准确或已过时，或某一个人已撤回对接收方处理行为的同意或对该处理提出反对，应及时通知接收方。合作伙伴应确保其合作伙伴门户用户信息保持最新；当拥有合作伙伴门户账户、有效认证或共享协作频道成员资格的个人离开合作伙伴的组织或不再参与合作伙伴的合作伙伴计划活动时，合作伙伴应通过合作伙伴门户或发送邮件至 partnersupport@x.ai 及时通知 Anysphere。
接收方的处理行为。
1. 目的限制。
  1. Anysphere。 Anysphere 可出于以下目的处理合作伙伴提供的数据：(i) 运营、管理和改进合作伙伴计划，包括用于附件 1 所述目的；(ii) 依据 SpaceXSI 隐私声明和数据保护法律，营销、销售、提供和支持服务，并管理其与合作伙伴提供的数据中所识别的客户及潜在客户之间的关系；(iii) 验证合作伙伴是否遵守合作伙伴协议、计划规则和适用法律，以及检测和防范欺诈、滥用和安全事件；(iv) 履行法律义务，以及确立、行使或抗辩法律主张；以及 (v) 用于数据保护法律允许且 SpaceXSI 隐私声明所述的任何其他目的。
  2. 合作伙伴。 合作伙伴仅可为 Anysphere 提供该等数据时所针对的具体合作伙伴计划目的 (例如，就已确定的商机开展联合销售、与 Anysphere 共同进行客户账户规划，或管理合作伙伴参与合作伙伴计划的相关事务) ，并依据合作伙伴协议、计划规则、本合作伙伴 DPA 及数据保护法律，处理 Anysphere 提供的数据。合作伙伴不得：(i) 出售、出租或许可他人使用 Anysphere 提供的数据；(ii) 使用 Anysphere 提供的数据营销或推广与服务存在竞争关系的任何产品或服务，或将其用于与 Anysphere 提供该数据的目的无关的任何营销活动；(iii) 为与合作伙伴计划无关的目的，将 Anysphere 提供的数据与其他数据合并，以构建或丰富联系人数据库、个人资料或潜在客户名单；或 (iv) 向任何第三方披露 Anysphere 提供的数据，但第 5.4 条允许的情形除外。
  3. 其他处理。 如适用法律有此要求、为保护个人重大利益所必需，或个人已同意进一步处理，任何一方亦可出于其他目的处理计划个人数据。
2. 透明度。 各方应就其对计划个人数据的处理，维护并提供符合数据保护法要求的隐私声明。如 Anysphere 联系的个人，其个人数据系 Anysphere 从合作伙伴处获得，则 Anysphere 应在规定时限内提供数据保护法所要求的信息，该时限可能为 Anysphere 与该个人首次通信之时。
3. 保密与安全。 各接收方应：(a) 综合考虑现有技术水平、实施成本、处理的性质、范围、背景和目的，以及对个人造成的风险，实施并维护适当的技术和组织措施，以保护计划个人数据免遭个人数据泄露，此类措施至少应包含附件 2 (最低安全措施) 中所述的措施；(b) 仅允许为第 5.1 条所允许之目的而需要访问计划个人数据的员工、承包商和服务提供商访问该等数据；以及 (c) 确保经授权处理计划个人数据的人员受适当保密义务的约束。合作伙伴应依据合作伙伴协议第 8 条 (合作伙伴门户访问) 负责保护其合作伙伴门户账户和凭证的安全。
4. 服务提供商与向第三方转移披露。
  1. 处理者。 各接收方可委托处理者和服务提供商代表其处理计划个人数据，包括合作伙伴门户及合作伙伴关系管理平台、客户关系管理系统、账户映射工具、协作与通信工具、学习管理系统、支付与税务服务、云端托管服务以及 AI 赋能的生产力工具的提供商。接收方仅可依据书面协议委托此类处理者，该协议须要求其以符合本合作伙伴 DPA 及数据保护法律的方式保护计划个人数据；接收方仍须对其处理活动负责。
  2. Anysphere 关联实体。 Anysphere 可为第 5.1(a) 条所述目的向其关联实体披露合作伙伴提供的数据。接收合作伙伴提供的数据的每一 Anysphere 关联实体均应按照本合作伙伴 DPA 处理该等数据。
  3. 其他披露。 除本第 5.4 条允许的情形外，接收方不得向任何第三方披露计划个人数据，但以下情形除外：(i) 向其自身及其关联实体受保密义务约束的专业顾问披露；(ii) 在合作伙伴协议允许的范围内，因合并、收购、公司重组或出售其全部或实质上全部资产而向继任者披露；(iii) 根据适用法律、法院命令或有管辖权的政府机关的要求披露，但须遵守第 5.7 条；或 (iv) 数据保护法律另行允许的其他情形，且就合作伙伴而言，须事先获得 Anysphere 的书面同意。
5. 数据主体请求。 对于各方所控制的计划个人数据，各方负责响应个人依据数据保护法行使其权利而提出的请求。如一方收到的请求涉及另一方的处理，则该方应在合法的前提下，及时 (且无论如何不晚于五 (5) 个工作日内) 将该请求转交另一方，或告知该个人如何联系另一方，双方应合理配合以响应该请求。如个人反对接收营销通信、撤回同意或要求删除，且该请求与另一方对计划个人数据的处理相关，则收到请求的一方应及时通知另一方，以便另一方采取数据保护法所要求的任何行动。
6. 个人数据泄露。 接收方在知悉涉及从披露方处获得的计划个人数据的个人数据泄露后，应及时通知披露方，不得无故拖延，且无论如何不晚于七十二 (72) 小时。该通知应在当时已知的范围内说明个人数据泄露的性质、所涉个人及记录的类别和大致数量、可能造成的后果，以及为应对个人数据泄露并减轻其影响而已采取或拟采取的措施；接收方应在获得进一步信息后补充该通知。接收方应采取合理措施控制、调查和补救个人数据泄露，并应与披露方合理配合。各方作为控制者，负责向监管机构和个人发出数据保护法要求其发出的任何通知，双方应本着诚信原则就该等通知的内容和时间进行协调。除法律要求外，未经另一方事先书面同意，任何一方均不得在有关个人数据泄露的任何通知或公开声明中提及另一方名称。合作伙伴应将本第 5.6 条项下的通知发送至 legal@cursor.com，且就该个人数据泄露而言，该等通知亦视为已满足合作伙伴协议第 5(g) 条 (合作伙伴义务) 的要求。
7. 政府及监管机构请求。 如接收方收到监管机构、执法机构或其他政府机构针对从另一方处获得的计划个人数据提出的请求，则接收方应在法律允许的情况下及时通知披露方，仅披露响应该请求所需的最少量计划个人数据，并在披露方响应或质疑该请求时予以合理配合。
8. 保留与删除。
  1. 一般规定。 各接收方仅可在实现第 5.1 条所允许目的之必要期限内保留计划个人数据，期满后应将其删除或匿名化，但适用法律另有要求或允许的除外。
  2. Anysphere 提供的数据。 合作伙伴协议到期或终止时，或 Anysphere 在此之前提出书面请求时，合作伙伴应停止使用 Anysphere 提供的数据，并在三十 (30) 天内将其删除 (或应 Anysphere 的请求予以返还) ；经 Anysphere 要求，合作伙伴还应书面证明已完成上述操作，但适用法律要求合作伙伴保留的部分除外。常规备份中保留的计划个人数据可按照合作伙伴的标准备份周期删除，前提是该等数据仍受本合作伙伴 DPA 的保护，且未被主动使用。
  3. 合作伙伴提供的数据。 合作伙伴协议到期或终止后，Anysphere 可在合理必要的范围内保留合作伙伴提供的数据，用于：(i) 处理终止前已产生的注册费用、推荐费用及其他款项；(ii) 维护与合作伙伴计划相关的记录，包括在合作伙伴协议第 20.5 条 (记录) 所述期间内维护该等记录；(iii) 继续维系与客户及潜在客户的直接关系；(iv) 履行法律义务；以及 (v) 确立、行使法律主张或就法律主张进行抗辩。对于合规审查数据，Anysphere 仅可在实现其收集所服务的合规性目的之必要期限内，并按适用法律的要求予以保留。
9. 自动化工具与 AI。 Anysphere 可以使用自动化工具 (包括由 Anysphere、其关联实体或其服务提供商运营的 AI 模型和智能体) 来协助审查和处理合作伙伴申请、交易登记、权益请求、营销活动提交材料，以及其他与合作伙伴计划相关的提交材料和通信。批准、拒绝、附条件批准或撤销合作伙伴申请或交易登记的决定由 Anysphere 人员作出；除非数据保护法律允许，否则 Anysphere 不得使任何个人受制于仅基于自动化处理作出、对该个人产生法律效力或类似重大影响的决定。Anysphere 不会使用合作伙伴提供数据中包含的个人数据来训练 Anysphere 向第三方正式发布的 AI 模型。如任何 AI 工具或其他第三方服务会使用 Anysphere 提供数据训练模型以使合作伙伴以外的任何人受益，或以其他方式将这些数据用于其自身目的，则合作伙伴不得将 Anysphere 提供数据输入该等工具或服务。
10. 合作。 为使另一方能够履行其在数据保护法律下与计划个人数据相关的义务，各方应自行承担费用，向另一方提供所需的合理信息与合作，包括与数据保护影响评估、处理活动记录以及监管机构问询相关的信息与合作。
美国各州隐私法律。
1. 非出售。 双方确认，根据合作伙伴计划提供的任何注册费用、推荐费用或其他合作伙伴权益，均为合作伙伴依据《合作伙伴协议》第 7 条 (交易登记、费用与付款) 所述推荐、客户开发、联合销售及相关服务的对价，而非计划个人数据的对价。任何一方均不以换取金钱或其他有价对价为目的向另一方披露计划个人数据，且双方无意使本合作伙伴 DPA 项下的任何披露构成美国各州隐私法所规定的个人数据出售或共享。
2. 第三方条款。 如接收方依据美国各州隐私法以第三方身份接收计划个人数据，或本合作伙伴 DPA 项下的披露因其他原因被视为出售或共享，则接收方应：(a) 仅为第 5.1 条及附件 1 所列的有限且特定的目的处理该计划个人数据；(b) 履行其在美国各州隐私法项下的适用义务，并按照美国各州隐私法的要求，为该计划个人数据提供同等水平的隐私保护；(c) 在收到书面通知后，允许披露方采取合理且适当的措施，确保接收方使用该计划个人数据的方式符合披露方在美国各州隐私法项下的义务，并制止和纠正任何未经授权的使用；(d) 如认定自身已无法继续履行美国各州隐私法项下的义务，应通知披露方；以及 (e) 按照美国各州隐私法的要求，执行披露方向其转达的任何选择退出请求或其他消费者请求。
跨境数据传输。
1. 一般规定。 各方可在美国以及其本身、其关联实体或其处理者开展业务的任何其他国家处理计划个人数据，前提是其遵守数据保护法律中有关数据传输的要求。
2. EEA 传输。 如果披露方向接收方披露计划个人数据构成受 GDPR 约束的受限传输，双方同意适用 SCCs 的模块一 (或者，在第 8 条适用且接收方作为披露方的处理者行事时，适用 SCCs 的模块二) ，SCCs 通过引用并入本合作伙伴 DPA，并且：
  1. 披露方为“数据输出方”，接收方为“数据输入方”；
  2. 第 7 款中的可选对接条款适用；
  3. 在模块二第 9 款中，适用选项 2 (一般书面授权) ，通知期限依第 8.2(d) 条的规定；
  4. 第 11(a) 款中的可选措辞不适用；
  5. 在第 13 款中，主管监管机构依第 13(a) 款确定；如果数据输出方未在 EEA 设立机构，且未根据 GDPR 第 27 条指定代表，则主管监管机构为爱尔兰数据保护委员会；
  6. 在第 17 款中，适用选项 1，SCCs 受爱尔兰法律管辖；
  7. 在第 18(b) 款中，争议由爱尔兰法院解决；
  8. SCCs 附件 I 按本合作伙伴 DPA 附件 1 中的信息填写；以及
  9. SCCs 附件 II 按本合作伙伴 DPA 附件 2 中的信息填写。
3. 英国传输。 如果受限传输受 UK GDPR 约束，则 SCCs 依第 7.2 条的规定适用，并经 UK Addendum 修订，UK Addendum 通过引用并入本合作伙伴 DPA，并且：(a) UK Addendum 的表 1 至表 3 按第 7.2 条及本合作伙伴 DPA 附件 1 和附件 2 中的信息填写；以及 (b) 就表 4 而言，任何一方均不得根据 UK Addendum 第 19 条终止 UK Addendum。
4. 瑞士传输。 如果受限传输受 FADP 约束，则 SCCs 依第 7.2 条的规定适用，但作如下更改：(a) 凡提及 GDPR 之处，均指 FADP；(b) 凡提及“EU”、“Union”和“Member State”之处，均包括瑞士，且“Member State”一词不妨碍瑞士的数据主体在其惯常居住地提出法律主张；以及 (c) 主管监管机构为瑞士联邦数据保护和信息专员。
5. 替代传输机制。 一方可依据充分性认定、EU-U.S. Data Privacy Framework 及其英国和瑞士扩展 (如该方已获认证) 或数据保护法律认可的任何其他传输机制，以替代 SCCs。如果根据本第 7 条所依据的传输机制被认定无效或不再可用，双方应本着诚信原则合作，实施替代的合法传输机制，Anysphere 可为此根据第 11.2 条更新本合作伙伴 DPA。
6. 其他司法管辖区。 如果任何其他司法管辖区的数据保护法律要求就将计划个人数据传输至该司法管辖区以外订立具体的合同条款，双方同意本合作伙伴 DPA (包括在允许的情况下，经针对该司法管辖区调整的 SCCs) 即构成该等条款，且各方应签订 Anysphere 为满足该等要求而通过合作伙伴门户合理提供的任何附加传输条款。
7. 冲突。 如本合作伙伴 DPA 与 SCCs (包括经 UK Addendum 或第 7.4 条修订的 SCCs) 之间存在任何冲突，则就冲突部分以 SCCs 为准。
处理者相关约定。
1. 适用范围。 本第 8 条仅在以下情形适用：双方在附录、计划规则或其他书面文件中明确约定，由一方 (“处理方”) 代表另一方 (“指示方”) 并按照其书面指令处理计划个人数据，例如合作伙伴代表 Anysphere 为 Anysphere 主办的活动收集报名信息。就该等处理而言，指示方为控制者，处理方为其处理者 (在适用情况下，亦为美国各州隐私法项下的服务提供商或承包商) ，且第 3.1 条和第 5.1 条不适用于该等处理。
2. 处理者义务。 处理方应当：
  1. 仅按照指示方的书面指令处理计划个人数据，包括涉及数据传输的处理，但适用法律另有要求的除外 (在此情况下，处理方应在处理之前告知指示方，除非法律禁止此类告知) ；如处理方认为某项指令违反数据保护法，应及时告知指示方；
  2. 确保经授权处理计划个人数据的人员受保密义务约束；
  3. 实施附件 2 所述措施，以及在适用情况下 GDPR 第 32 条要求的任何其他措施；
  4. 未经指示方的一般书面授权，不得聘用其他处理者；指示方在约定相关安排时，即授权处理方届时列明的处理者。处理方拟新增或更换任何处理者时，应至少提前三十 (30) 天通知指示方 (Anysphere 可通过合作伙伴门户或其子处理方页面发出通知) ，指示方可在此期间基于合理的数据保护理由提出异议；处理方应通过书面条款约束每一处理者，确保其提供的保护水平不低于本第 8 条，并对每一处理者的履约行为承担责任；
  5. 在考虑处理性质的基础上，通过适当措施协助指示方回应数据主体请求，并协助其履行在安全、个人数据泄露通知、数据保护影响评估以及事先咨询监管机构等方面的义务；
  6. 在知悉影响其代表指示方处理的计划个人数据的个人数据泄露后，应及时通知指示方，不得无故拖延，且无论如何不得迟于四十八 (48) 小时；
  7. 在处理结束时，按指示方的选择删除或返还计划个人数据，并删除现有副本，但适用法律要求保留的除外；
  8. 向指示方提供证明其遵守本第 8 条所合理必需的信息，并允许和配合指示方或其委托的独立审计师进行审计 (包括检查) 。审计在任何十二 (12) 个月期间内不得超过一次 (发生个人数据泄露后或监管机构要求的情况除外) ，须至少提前三十 (30) 天通知，受合理保密义务约束，且费用由指示方承担；但如现行有效的独立认证或审计报告能够合理涵盖审计范围，处理方可改为提供该等认证或报告；以及
  9. 在美国各州隐私法适用的情况下：不得出售或共享计划个人数据；不得为指示方指定的业务目的以外的任何目的，或在双方直接业务关系之外，保留、使用或披露该等数据；除美国各州隐私法允许的情形外，不得将其与从其他来源获得的个人数据合并；遵守美国各州隐私法，并提供该等法律所要求的同等水平的隐私保护；在无法继续履行其义务时通知指示方；并允许指示方采取合理且适当的措施，制止和纠正任何未经授权的使用。
责任与救济措施。
1. 责任。 各方因本 Partner DPA 引起或与之相关的责任 (包括双方之间在 SCCs 项下的责任) ，均受 Partner 协议第 17 条 (责任限制) 的约束，包括该条关于除外法律主张的规定，并以任何适用附录所作的修改为准。本 Partner DPA 的任何内容均不限制任何一方在 SCCs 项下对数据主体承担的责任，亦不限制根据适用法律不得限制的任何责任。
2. 赔偿。 就 Partner 协议第 16.1 条 (合作伙伴赔偿) 而言，合作伙伴违反本 Partner DPA 即构成对 Partner 协议的违反。
3. 暂停。 如合作伙伴违反本 Partner DPA，或 Anysphere 合理认为继续向合作伙伴披露计划个人数据将违反数据保护法律，Anysphere 可暂停向合作伙伴披露 Anysphere 提供的数据，并暂停合作伙伴提交计划个人数据的能力，且无需为此承担任何责任；该项权利不影响其根据 Partner 协议第 18 条 (期限和终止) 所享有的权利。
合规性验证。
1. 合作伙伴。 经 Anysphere 提出合理书面请求，合作伙伴应填写一份合理的书面隐私与安全调查问卷，并提供合理的证明文件，以证明其遵守本合作伙伴 DPA；此类请求在任何十二 (12) 个月期间内不得超过一次 (但发生个人数据泄露后、应监管机构要求或 Anysphere 有合理依据怀疑存在不合规情形的除外) 。Anysphere 根据合作伙伴协议第 20.5 条 (记录) 享有的权利，同样适用于合作伙伴对本合作伙伴 DPA 的遵守情况。
2. Anysphere。 Anysphere 通过其信任中心 https://trust.cursor.com (或 Anysphere 不时通知合作伙伴而指定的其他 URL) 提供有关其安全计划的信息 (包括其 SOC 2 Type II 报告) ，并应答复合作伙伴就 Anysphere 处理合作伙伴提供数据的情况所提出的合理书面疑问。
期限、更新及一般条款。
1. 期限。 本合作伙伴 DPA 自以下两者中较早者起生效：(a) 合作伙伴通过合作伙伴门户接受本合作伙伴 DPA (包括通过接受合作伙伴协议的方式) 之日；或 (b) 合作伙伴在获悉或获得访问本合作伙伴 DPA 的权限后，经 Anysphere 许可首次参与合作伙伴计划之日。只要任何一方仍在处理从另一方收到的计划个人数据，本合作伙伴 DPA 即持续有效。第 5.8 条、第 9 条和第 11 条在本合作伙伴 DPA 或合作伙伴协议到期或终止后继续有效。
2. 更新。 Anysphere 可根据合作伙伴协议第 20.4 条 (修订与计划更新) ，在合作伙伴门户或适用 URL 上发布更新后的合作伙伴 DPA，以此更新本合作伙伴 DPA。为遵守数据保护法律或监管机构的指导或决定而必需的更新，可自发布时生效，或按法律的其他要求生效。任何更新均不得修改 SCC 或英国附录，但采用主管机构发布的修订版本或替代版本的情况除外。
3. 优先顺序。 本合作伙伴 DPA 是合作伙伴协议项下的附录之一。除本合作伙伴 DPA 另有规定外，合作伙伴协议保持不变并继续完全有效。就计划个人数据的处理而言，如发生任何冲突，在冲突范围内按以下顺序优先适用：(a) SCC (在其适用的范围内) ；(b) 本合作伙伴 DPA；(c) 合作伙伴协议及任何其他附录；(d) 计划规则。
4. 适用法律与争议。 除 SCC 或数据保护法律另有要求外，本合作伙伴 DPA 受合作伙伴协议第 19 条 (争议解决) 所规定的法律管辖，由此产生的争议亦按该条规定的方式解决。
5. 关联实体。 如合作伙伴的关联实体根据合作伙伴协议第 2.3 条参与合作伙伴计划，则合作伙伴代表其接受本合作伙伴 DPA，应确保其遵守本合作伙伴 DPA，并对其合规情况承担责任。处理合作伙伴提供数据的 Anysphere 关联实体，除享有合作伙伴协议第 20.6 条 (第三方受益人) 规定的第三方受益人权利外，还可作为明示的第三方受益人援引并强制执行本合作伙伴 DPA。
6. 隐私联系人。 合作伙伴应在合作伙伴门户中指定一名隐私联系人；如未指定，Anysphere 可将本合作伙伴 DPA 项下的通知发送给合作伙伴的合作伙伴门户管理员。Anysphere 的隐私联系人为 legal@cursor.com，或 Anysphere 不时通过合作伙伴门户或通过电子邮件向合作伙伴指定的隐私联系人告知的其他联系方式。
7. 无其他第三方受益人。 除第 11.5 条的规定以及 SCC 中为数据主体规定的情形外，本合作伙伴 DPA 不为任何第三方创设任何权利。

附件 1 – 处理说明

如根据第 7 条适用 SCCs，本附件 1 同时构成 SCCs 的附件 I。

A 部分 – 各方列表

	Anysphere	合作伙伴
名称	Anysphere, Inc.，一家德克萨斯州公司	已接受《合作伙伴协议》的实体，以合作伙伴门户中的标识为准。
地址	2261 Market Street, Ste 86466, San Francisco, CA 94114, USA	合作伙伴的注册营业地址，以合作伙伴门户中的记载为准。
联系方式	legal@cursor.com	合作伙伴在合作伙伴门户中指定的隐私联系人；如未指定，则为合作伙伴的合作伙伴门户管理员。
角色	控制者 (就 Anysphere 提供的数据而言为数据输出方；就合作伙伴提供的数据而言为数据输入方) 。适用第 8 条时为处理者。	控制者 (就合作伙伴提供的数据而言为数据输出方；就 Anysphere 提供的数据而言为数据输入方) 。适用第 8 条时为处理者。
活动	运营 SpaceXSI 合作伙伴网络，并向客户提供服务。	参与 SpaceXSI 合作伙伴网络，包括推荐、联合销售及相关活动。
签名和日期	接受《合作伙伴协议》或本合作伙伴 DPA (包括通过合作伙伴门户以电子方式接受) ，即构成对 SCCs 附件 I 的签署，签署日期为接受之日。	同 Anysphere。

B 部分 – 按合作伙伴计划活动划分的处理

活动	数据主体	个人数据类别	通常流向
合作伙伴申请、入门引导和尽职调查	合作伙伴申请人、管理员、所有者、高级职员、董事及其他人员	姓名、工作邮箱、职位、公司名称及注册地址、Cursor 或 xAI Console 团队 ID；合规筛查数据；受限方筛查结果；尽职调查往来信函	合作伙伴至 Anysphere
合作伙伴门户和计划管理	合作伙伴门户用户和管理员	姓名、业务联系方式、职位、角色、用户 ID、身份验证数据、门户活动日志、通知偏好及通信内容	合作伙伴至 Anysphere
资质认证和培训	参加培训的合作伙伴人员	姓名、工作邮箱、雇主、课程进度、考核结果、凭证、认证状态及有效期，以及雇佣验证信息	合作伙伴至 Anysphere
交易注册、联合销售和业绩归属	客户及潜在客户的人员；合作伙伴的销售和技术人员	姓名、工作邮箱、电话号码、职位、公司、商机详情、使用场景、预期范围和时间、备注及相关通信内容	合作伙伴至 Anysphere；就注册状态和联合销售而言为 Anysphere 至合作伙伴
销售线索和客户规划	客户及潜在客户的人员；Anysphere 客户经理和合作伙伴经理	姓名、业务联系方式、职位、公司，以及商机和互动信息；Anysphere 人员的业务联系方式	Anysphere 至合作伙伴
客户映射	客户及潜在客户的人员 (如共享) ；客户负责人	客户名称及状态 (通常不属于个人数据) ；如一方选择共享，则包括联系人姓名、职位和工作邮箱；客户负责人姓名	双向
协作和通信	各方人员；通信中提及的客户人员	姓名、业务联系方式、个人资料信息、消息、文件，以及会议纪要或录音录像 (以已通知参与者为前提)	双向
营销活动、会议活动和联合营销	合作伙伴人员；活动演讲者；活动参与者 (仅限根据第 8 条约定的情况)	执行证明 (链接、截图、照片) 、汇总指标、演讲者及联系人姓名，以及经同意提供的引语和肖像	合作伙伴至 Anysphere
合作伙伴权益申请	合作伙伴申请人和授权用户	姓名、业务联系方式、职位、团队 ID 及申请详情	合作伙伴至 Anysphere
费用、付款和税务	合作伙伴财务联系人、收款人、签署人，以及 (如需要) 受益所有人	姓名、业务联系方式、银行及付款路由信息、税务表格和识别号码，以及付款历史	合作伙伴至 Anysphere
合规、审计和争议	各方人员；客户人员	与上述活动相关的记录，以相关合规、审计或争议所需为限	双向

C 部分 – 其他处理详情

处理目的： 如第 5.1 条所述。

传输频率： 在合作伙伴协议有效期内持续进行。

保留期限： 详见第 5.8 条。

接收方及再传输： 详见第 5.4 条。

主管监管机构： 对于 EEA 传输，详见第 7.2(e) 条；对于英国传输，为英国信息专员；对于瑞士传输，为瑞士联邦数据保护和信息专员。

附件 2 – 最低安全措施

在根据第 7 条适用 SCCs 的情况下，本附件 2 亦构成 SCCs 的附件 II。各方应针对其占有、保管或控制的计划个人数据，至少维护以下措施：

治理。 制定书面信息安全计划并指定负责人，同时制定安全和隐私政策，且至少每年审查一次。
访问控制。 基于最小权限原则实施基于角色的访问、使用唯一用户 ID、对存储计划个人数据的系统 (包括合作伙伴门户账户，如可用) 启用多因素身份验证，并在人员变更角色或离开组织后及时移除其访问权限，且无论如何不得晚于五 (5) 个工作日。
人员。 所有具有访问权限的人员均须承担保密义务；在合法且与其角色相适应的情况下进行背景调查；并至少每年开展一次安全和隐私培训。
加密。 计划个人数据在传输中使用 TLS 1.2 或更高版本加密，在静态存储时使用行业标准加密。
端点和网络安全。 使用配备端点保护的受管设备，及时安装安全补丁，并采用防火墙和入侵检测等网络控制措施。
日志记录和监控。 对存储计划个人数据的系统的访问进行日志记录，并实施旨在检测未经授权访问的监控。
漏洞管理。 定期进行漏洞扫描，并根据严重程度及时修复已识别的漏洞。
处理者管理。 在聘用处理者之前对其进行安全和隐私尽职调查，并订立与本合作伙伴 DPA 一致的书面合同保护条款。
事件响应。 制定书面事件响应计划并定期测试，使该方能够满足本合作伙伴 DPA 规定的通知时限。
业务连续性。 制定与风险相适应的备份和恢复程序。
最小化和处置。 仅收集必要的数据，并在计划个人数据不再需要时对其进行安全删除或匿名化处理。
经批准的工具。 仅在经批准的业务系统中处理计划个人数据，不得在个人电子邮件账户、缺乏适当控制措施的个人设备或未经批准的 AI 工具中处理。

此外，Anysphere 维护其 SOC 2 Type II 报告及其信任中心 https://trust.cursor.com (或 Anysphere 不时通知合作伙伴指定的其他 URL) 中所述的技术和组织措施。

定义。
1. 解释。 本合作伙伴 DPA 中使用但未定义的首字母大写术语，具有《合作伙伴协议》中赋予的含义。“控制者”“处理者”“数据主体”“处理” (及“进行处理”) “企业”“服务提供商”“承包商”“第三方”“出售”“共享”和“监管机构”等术语，具有适用的数据保护法律中赋予的含义，并包含这些法律中使用的任何同等术语。
2. 定义条款。 在本合作伙伴 DPA 中：
  
  “合规审查数据”是指 Anysphere 为评估合作伙伴参与合作伙伴计划及持续参与该计划的资格而收集的、与合作伙伴的所有者、高级职员、董事、人员或代理人相关的个人数据，包括：有关现任或前任政府任职或政府关联关系的信息、与 Anysphere 或其人员之间的雇佣或业务关系、制裁及受限方状态，以及与反腐败、反洗钱、制裁或出口管制法律相关的任何违规、自愿披露、调查、问询、指控或执法行动。
  
  “数据保护法” 指适用于一方处理计划个人数据的、与隐私、数据保护、数据安全或电子营销相关的所有法律法规，在适用的情况下包括：(a) 欧盟《通用数据保护条例》2016/679 (“GDPR”) 及《电子隐私指令》2002/58/EC，以及各国为实施上述法规而制定的国内法；(b) 构成英国法律一部分的 GDPR (“UK GDPR”) 、英国《2018 年数据保护法》以及《2003 年隐私和电子通信条例》；(c) 瑞士《联邦数据保护法》 (“FADP”) ；(d) 美国各州隐私法；(e) 加拿大《个人信息保护和电子文件法》及加拿大《反垃圾邮件法》；(f) 澳大利亚《1988 年隐私法》及《2003 年反垃圾邮件法》；(g) 新加坡《2012 年个人数据保护法》；(h) 日本《个人信息保护法》；(i) 印度《2023 年数字个人数据保护法》；以及 (j) 巴西《通用数据保护法》 (Lei Geral de Proteção de Dados) ；上述各项均包括其不时经修订、替代或补充后的版本。
  
  “披露方”指向另一方提供计划个人数据或使另一方可获取计划个人数据的一方 (包括其关联实体及代表其行事的任何人) ，“接收方”指接收该等数据的一方 (包括其关联实体) 。
  
  “合作伙伴提供的数据” 指合作伙伴、其关联实体或代表其行事的任何人向 Anysphere 或其关联实体提供或以其他方式使其可获取的计划个人数据。
  
  “个人数据” 指与已识别或可识别的自然人相关的任何信息，以及在数据保护法中被定义为“个人数据”“个人信息”或类似术语的任何其他信息。
  
  “个人数据泄露” 是指在计划个人数据由接收方或代表接收方处理该数据的任何人占有、保管或控制期间，因安全违规导致该数据遭到意外或非法的销毁、丢失、篡改、未经授权的披露或访问。
  
  “计划个人数据”指披露方就合作伙伴计划向接收方提供或以其他方式使其可获取的个人数据，无论是通过合作伙伴门户、合作伙伴计划表单、交易报备提交、账户映射工具、共享协作频道、电子邮件、会议还是其他途径，但不包括第 2.2 条所述的数据和活动。
  
  “受限传输”指在不适用任何其他合法传输机制的情况下，将受 GDPR、UK GDPR 或 FADP 约束的计划个人数据传输至主管机构未认定其能为个人数据提供充分保护水平的国家或地区。
  
  “SCCs” 指欧盟委员会于 2021 年 6 月 4 日发布的第 (EU) 2021/914 号实施决定所附的标准合同条款 (及其不时修订或替代的版本) ；“模块一”和“模块二”分别指 SCCs 中的控制者对控制者模块和控制者对处理者模块。
  
  “敏感数据”指：(a) 数据保护法所界定的特殊类别个人数据、敏感个人数据或敏感个人信息，包括揭示种族或民族出身、政治观点、宗教或哲学信仰、工会成员资格的数据，基因数据、生物识别数据或健康数据，以及涉及个人性生活或性取向的数据；(b) 与刑事定罪、犯罪或指控相关的个人数据；(c) 政府签发的身份标识号码，包括社会保障号码、税务识别号码、护照号码和驾驶执照号码；(d) 金融账户、银行账户或支付卡号码；(e) 精确地理位置数据；(f) 账户密码及其他身份验证凭证；以及 (g) 儿童的个人数据。
  
  “Anysphere 提供的数据”指 Anysphere、其关联实体或代表其行事的任何人向合作伙伴或其关联实体提供或开放使用的计划个人数据。
  
  “SpaceXSI 隐私声明” 指 Anysphere 发布于 https://cursor.com/privacy (或 Anysphere 指定的任何后续 URL) 的隐私声明，以及不时更新后的版本。
  
  “英国附录” 指由英国信息专员发布的《欧盟委员会标准合同条款国际数据传输附录》 (版本 B.1.0) ，包括其不时修订或替换后的版本。
  
  “美国各州隐私法”指经《2020 年加州隐私权法案》 (California Privacy Rights Act of 2020) 修订的《2018 年加州消费者隐私法案》 (California Consumer Privacy Act of 2018) 及其实施条例 (“CCPA”) ，以及美国其他所有州级综合性消费者隐私法律，上述各项法律均以不时生效的版本为准。
界定范围。
1. 适用范围。 本合作伙伴 DPA 适用于各方对其从另一方接收的计划个人数据的处理。计划个人数据通常产生于附件 1 (处理描述) 所述的合作伙伴计划活动，此类活动可能会不时在计划规则中更新。
2. 除外情形。 本合作伙伴 DPA 不适用于以下个人数据，且计划个人数据亦不包括以下个人数据：
  1. 合作伙伴对服务的使用。 合作伙伴 (或其关联实体) 以客户身份购买、访问或使用服务 (包括通过任何公司套餐、评估许可证、沙箱或非转售访问权限进行的购买、访问或使用) 过程中处理的个人数据；此类数据受主服务协议或其他适用的客户条款、https://cursor.com/terms/dpa 上提供的数据处理附录以及任何适用的使用条款管辖；
  2. 合作伙伴服务与客户数据。 客户数据，以及合作伙伴在履行合作伙伴服务时为客户或根据与客户的协议处理的任何其他个人数据；此类数据仅受合作伙伴与该客户之间的协议管辖。如合作伙伴向某一客户提供合作伙伴服务，而 Anysphere 亦向同一客户提供服务，则双方各自依据其与该客户之间的协议处理该客户的个人数据，任何一方均不作为另一方的处理方或子处理方；
  3. 应用市场活动。 与任何插件或合作伙伴参与应用市场相关而处理的个人数据 (包括 SpaceXSI Marketplace Terms 中称为“插件数据”或“用户内容”的任何数据) ；此类数据受 SpaceXSI Marketplace Terms 管辖；
  4. 单独协议。 依据授权合作伙伴转售、分发或分包服务的任何单独书面协议处理的个人数据，或依据双方之间订有自身数据保护条款的任何其他单独协议处理的个人数据，但以该协议的适用范围为限；以及
  5. 独立收集的数据。 一方自行独立收集、而非从另一方获取的个人数据，即使该等数据涉及相同的个人或组织，包括 Anysphere 直接从客户或潜在客户处收集的个人数据。
3. 与第 12.1 条的关系。 本合作伙伴 DPA 是对合作伙伴协议第 12.1 条 (通知与同意) 项下合作伙伴义务的补充，并不限制该等义务。
各方角色。
1. 独立控制者。 除第 8 条 (处理者安排) 另有规定外，对于从另一方接收的计划个人数据，各方均以独立控制者的身份行事 (在适用美国各州隐私法的情况下，则以企业或第三方的身份行事) 。各方独立决定其自身处理活动的目的和方式。双方并非共同控制者，任何一方均不代表另一方处理计划个人数据。
2. 各方自身的合规性。 各方应就其对计划个人数据的处理自行负责遵守数据保护法，包括提供告知、确立合法依据、回应数据主体的请求、保存处理活动记录，以及履行其对监管机构的义务。任何一方均不得明知而以导致另一方违反数据保护法的方式处理计划个人数据。
披露计划个人数据。
1. 合法披露。 各披露方应确保其收集计划个人数据以及向接收方披露该等数据的行为符合数据保护法律。在不限制《合作伙伴协议》第 12.1 条 (通知与同意) 的前提下，合作伙伴声明并保证，对于所有合作伙伴提供的数据，合作伙伴已根据数据保护法律的要求，就以下事项提供了所有必要通知、获得了所有必要同意并确立了所有必要的合法依据：(a) 合作伙伴向 Anysphere 披露该等数据；以及 (b) Anysphere 为第 5.1(a) 条所述目的处理该等数据，包括就服务事宜联系相关客户或潜在客户，以及核实合作伙伴与该客户的合作情况。
2. 对客户及潜在客户的通知。 在适用法律有要求的情况下，合作伙伴在提交交易注册或以其他方式向 Anysphere 披露客户或潜在客户人员的个人数据之前，应告知相关个人 (或确保其已被告知) ：合作伙伴可能与 Anysphere 共享其联系信息和商机信息；Anysphere 可能按照《SpaceXSI 隐私声明》所述使用该等信息；以及如该客户或潜在客户向 Anysphere 采购，合作伙伴可能因此获得合作伙伴计划权益。如任何个人已反对或选择退出与 Anysphere 共享其个人数据，合作伙伴不得向 Anysphere 披露该个人的个人数据。
3. 对合作伙伴人员的通知。 合作伙伴向 Anysphere 提供其及其关联实体的人员、承包商、所有者、高级职员和董事 (包括合作伙伴门户用户和管理员、正在申请认证的个人、共享协作频道的成员，以及合规筛查数据中所识别的个人) 的个人数据的，应告知上述人员 Anysphere 将按照本《合作伙伴 DPA》及《SpaceXSI 隐私声明》所述处理其个人数据，包括向其提供《SpaceXSI 隐私声明》。
4. 数据最小化与敏感数据。 各披露方仅应披露为实现相关合作伙伴计划目的而合理必需的计划个人数据。合作伙伴不得向 Anysphere 提供敏感数据，但以下情况除外：(a) Anysphere 通过合作伙伴门户表单、计划规则或其他书面请求提出要求，例如支付费用所需的付款路由信息和税务信息，或合规筛查数据；或 (b) Anysphere 另行书面批准。就《合作伙伴协议》第 12.1 条 (通知与同意) 而言，任何此类请求均构成 Anysphere 的明确书面请求，但仅限于所请求的敏感数据。在提交营销活动证明、活动成果或类似信息时，合作伙伴应尽可能使用汇总指标、公司域名或职位名称，而非个人层面的个人数据。
5. 准确性与更新。 各披露方应采取合理措施，确保其披露的计划个人数据准确且为最新；如获悉其披露的任何计划个人数据不准确或已过时，或某一个人已撤回对接收方处理行为的同意或对该处理提出反对，应及时通知接收方。合作伙伴应确保其合作伙伴门户用户信息保持最新；当拥有合作伙伴门户账户、有效认证或共享协作频道成员资格的个人离开合作伙伴的组织或不再参与合作伙伴的合作伙伴计划活动时，合作伙伴应通过合作伙伴门户或发送邮件至 partnersupport@x.ai 及时通知 Anysphere。
接收方的处理行为。
1. 目的限制。
  1. Anysphere。 Anysphere 可出于以下目的处理合作伙伴提供的数据：(i) 运营、管理和改进合作伙伴计划，包括用于附件 1 所述目的；(ii) 依据 SpaceXSI 隐私声明和数据保护法律，营销、销售、提供和支持服务，并管理其与合作伙伴提供的数据中所识别的客户及潜在客户之间的关系；(iii) 验证合作伙伴是否遵守合作伙伴协议、计划规则和适用法律，以及检测和防范欺诈、滥用和安全事件；(iv) 履行法律义务，以及确立、行使或抗辩法律主张；以及 (v) 用于数据保护法律允许且 SpaceXSI 隐私声明所述的任何其他目的。
  2. 合作伙伴。 合作伙伴仅可为 Anysphere 提供该等数据时所针对的具体合作伙伴计划目的 (例如，就已确定的商机开展联合销售、与 Anysphere 共同进行客户账户规划，或管理合作伙伴参与合作伙伴计划的相关事务) ，并依据合作伙伴协议、计划规则、本合作伙伴 DPA 及数据保护法律，处理 Anysphere 提供的数据。合作伙伴不得：(i) 出售、出租或许可他人使用 Anysphere 提供的数据；(ii) 使用 Anysphere 提供的数据营销或推广与服务存在竞争关系的任何产品或服务，或将其用于与 Anysphere 提供该数据的目的无关的任何营销活动；(iii) 为与合作伙伴计划无关的目的，将 Anysphere 提供的数据与其他数据合并，以构建或丰富联系人数据库、个人资料或潜在客户名单；或 (iv) 向任何第三方披露 Anysphere 提供的数据，但第 5.4 条允许的情形除外。
  3. 其他处理。 如适用法律有此要求、为保护个人重大利益所必需，或个人已同意进一步处理，任何一方亦可出于其他目的处理计划个人数据。
2. 透明度。 各方应就其对计划个人数据的处理，维护并提供符合数据保护法要求的隐私声明。如 Anysphere 联系的个人，其个人数据系 Anysphere 从合作伙伴处获得，则 Anysphere 应在规定时限内提供数据保护法所要求的信息，该时限可能为 Anysphere 与该个人首次通信之时。
3. 保密与安全。 各接收方应：(a) 综合考虑现有技术水平、实施成本、处理的性质、范围、背景和目的，以及对个人造成的风险，实施并维护适当的技术和组织措施，以保护计划个人数据免遭个人数据泄露，此类措施至少应包含附件 2 (最低安全措施) 中所述的措施；(b) 仅允许为第 5.1 条所允许之目的而需要访问计划个人数据的员工、承包商和服务提供商访问该等数据；以及 (c) 确保经授权处理计划个人数据的人员受适当保密义务的约束。合作伙伴应依据合作伙伴协议第 8 条 (合作伙伴门户访问) 负责保护其合作伙伴门户账户和凭证的安全。
4. 服务提供商与向第三方转移披露。
  1. 处理者。 各接收方可委托处理者和服务提供商代表其处理计划个人数据，包括合作伙伴门户及合作伙伴关系管理平台、客户关系管理系统、账户映射工具、协作与通信工具、学习管理系统、支付与税务服务、云端托管服务以及 AI 赋能的生产力工具的提供商。接收方仅可依据书面协议委托此类处理者，该协议须要求其以符合本合作伙伴 DPA 及数据保护法律的方式保护计划个人数据；接收方仍须对其处理活动负责。
  2. Anysphere 关联实体。 Anysphere 可为第 5.1(a) 条所述目的向其关联实体披露合作伙伴提供的数据。接收合作伙伴提供的数据的每一 Anysphere 关联实体均应按照本合作伙伴 DPA 处理该等数据。
  3. 其他披露。 除本第 5.4 条允许的情形外，接收方不得向任何第三方披露计划个人数据，但以下情形除外：(i) 向其自身及其关联实体受保密义务约束的专业顾问披露；(ii) 在合作伙伴协议允许的范围内，因合并、收购、公司重组或出售其全部或实质上全部资产而向继任者披露；(iii) 根据适用法律、法院命令或有管辖权的政府机关的要求披露，但须遵守第 5.7 条；或 (iv) 数据保护法律另行允许的其他情形，且就合作伙伴而言，须事先获得 Anysphere 的书面同意。
5. 数据主体请求。 对于各方所控制的计划个人数据，各方负责响应个人依据数据保护法行使其权利而提出的请求。如一方收到的请求涉及另一方的处理，则该方应在合法的前提下，及时 (且无论如何不晚于五 (5) 个工作日内) 将该请求转交另一方，或告知该个人如何联系另一方，双方应合理配合以响应该请求。如个人反对接收营销通信、撤回同意或要求删除，且该请求与另一方对计划个人数据的处理相关，则收到请求的一方应及时通知另一方，以便另一方采取数据保护法所要求的任何行动。
6. 个人数据泄露。 接收方在知悉涉及从披露方处获得的计划个人数据的个人数据泄露后，应及时通知披露方，不得无故拖延，且无论如何不晚于七十二 (72) 小时。该通知应在当时已知的范围内说明个人数据泄露的性质、所涉个人及记录的类别和大致数量、可能造成的后果，以及为应对个人数据泄露并减轻其影响而已采取或拟采取的措施；接收方应在获得进一步信息后补充该通知。接收方应采取合理措施控制、调查和补救个人数据泄露，并应与披露方合理配合。各方作为控制者，负责向监管机构和个人发出数据保护法要求其发出的任何通知，双方应本着诚信原则就该等通知的内容和时间进行协调。除法律要求外，未经另一方事先书面同意，任何一方均不得在有关个人数据泄露的任何通知或公开声明中提及另一方名称。合作伙伴应将本第 5.6 条项下的通知发送至 legal@cursor.com，且就该个人数据泄露而言，该等通知亦视为已满足合作伙伴协议第 5(g) 条 (合作伙伴义务) 的要求。
7. 政府及监管机构请求。 如接收方收到监管机构、执法机构或其他政府机构针对从另一方处获得的计划个人数据提出的请求，则接收方应在法律允许的情况下及时通知披露方，仅披露响应该请求所需的最少量计划个人数据，并在披露方响应或质疑该请求时予以合理配合。
8. 保留与删除。
  1. 一般规定。 各接收方仅可在实现第 5.1 条所允许目的之必要期限内保留计划个人数据，期满后应将其删除或匿名化，但适用法律另有要求或允许的除外。
  2. Anysphere 提供的数据。 合作伙伴协议到期或终止时，或 Anysphere 在此之前提出书面请求时，合作伙伴应停止使用 Anysphere 提供的数据，并在三十 (30) 天内将其删除 (或应 Anysphere 的请求予以返还) ；经 Anysphere 要求，合作伙伴还应书面证明已完成上述操作，但适用法律要求合作伙伴保留的部分除外。常规备份中保留的计划个人数据可按照合作伙伴的标准备份周期删除，前提是该等数据仍受本合作伙伴 DPA 的保护，且未被主动使用。
  3. 合作伙伴提供的数据。 合作伙伴协议到期或终止后，Anysphere 可在合理必要的范围内保留合作伙伴提供的数据，用于：(i) 处理终止前已产生的注册费用、推荐费用及其他款项；(ii) 维护与合作伙伴计划相关的记录，包括在合作伙伴协议第 20.5 条 (记录) 所述期间内维护该等记录；(iii) 继续维系与客户及潜在客户的直接关系；(iv) 履行法律义务；以及 (v) 确立、行使法律主张或就法律主张进行抗辩。对于合规审查数据，Anysphere 仅可在实现其收集所服务的合规性目的之必要期限内，并按适用法律的要求予以保留。
9. 自动化工具与 AI。 Anysphere 可以使用自动化工具 (包括由 Anysphere、其关联实体或其服务提供商运营的 AI 模型和智能体) 来协助审查和处理合作伙伴申请、交易登记、权益请求、营销活动提交材料，以及其他与合作伙伴计划相关的提交材料和通信。批准、拒绝、附条件批准或撤销合作伙伴申请或交易登记的决定由 Anysphere 人员作出；除非数据保护法律允许，否则 Anysphere 不得使任何个人受制于仅基于自动化处理作出、对该个人产生法律效力或类似重大影响的决定。Anysphere 不会使用合作伙伴提供数据中包含的个人数据来训练 Anysphere 向第三方正式发布的 AI 模型。如任何 AI 工具或其他第三方服务会使用 Anysphere 提供数据训练模型以使合作伙伴以外的任何人受益，或以其他方式将这些数据用于其自身目的，则合作伙伴不得将 Anysphere 提供数据输入该等工具或服务。
10. 合作。 为使另一方能够履行其在数据保护法律下与计划个人数据相关的义务，各方应自行承担费用，向另一方提供所需的合理信息与合作，包括与数据保护影响评估、处理活动记录以及监管机构问询相关的信息与合作。
美国各州隐私法律。
1. 非出售。 双方确认，根据合作伙伴计划提供的任何注册费用、推荐费用或其他合作伙伴权益，均为合作伙伴依据《合作伙伴协议》第 7 条 (交易登记、费用与付款) 所述推荐、客户开发、联合销售及相关服务的对价，而非计划个人数据的对价。任何一方均不以换取金钱或其他有价对价为目的向另一方披露计划个人数据，且双方无意使本合作伙伴 DPA 项下的任何披露构成美国各州隐私法所规定的个人数据出售或共享。
2. 第三方条款。 如接收方依据美国各州隐私法以第三方身份接收计划个人数据，或本合作伙伴 DPA 项下的披露因其他原因被视为出售或共享，则接收方应：(a) 仅为第 5.1 条及附件 1 所列的有限且特定的目的处理该计划个人数据；(b) 履行其在美国各州隐私法项下的适用义务，并按照美国各州隐私法的要求，为该计划个人数据提供同等水平的隐私保护；(c) 在收到书面通知后，允许披露方采取合理且适当的措施，确保接收方使用该计划个人数据的方式符合披露方在美国各州隐私法项下的义务，并制止和纠正任何未经授权的使用；(d) 如认定自身已无法继续履行美国各州隐私法项下的义务，应通知披露方；以及 (e) 按照美国各州隐私法的要求，执行披露方向其转达的任何选择退出请求或其他消费者请求。
跨境数据传输。
1. 一般规定。 各方可在美国以及其本身、其关联实体或其处理者开展业务的任何其他国家处理计划个人数据，前提是其遵守数据保护法律中有关数据传输的要求。
2. EEA 传输。 如果披露方向接收方披露计划个人数据构成受 GDPR 约束的受限传输，双方同意适用 SCCs 的模块一 (或者，在第 8 条适用且接收方作为披露方的处理者行事时，适用 SCCs 的模块二) ，SCCs 通过引用并入本合作伙伴 DPA，并且：
  1. 披露方为“数据输出方”，接收方为“数据输入方”；
  2. 第 7 款中的可选对接条款适用；
  3. 在模块二第 9 款中，适用选项 2 (一般书面授权) ，通知期限依第 8.2(d) 条的规定；
  4. 第 11(a) 款中的可选措辞不适用；
  5. 在第 13 款中，主管监管机构依第 13(a) 款确定；如果数据输出方未在 EEA 设立机构，且未根据 GDPR 第 27 条指定代表，则主管监管机构为爱尔兰数据保护委员会；
  6. 在第 17 款中，适用选项 1，SCCs 受爱尔兰法律管辖；
  7. 在第 18(b) 款中，争议由爱尔兰法院解决；
  8. SCCs 附件 I 按本合作伙伴 DPA 附件 1 中的信息填写；以及
  9. SCCs 附件 II 按本合作伙伴 DPA 附件 2 中的信息填写。
3. 英国传输。 如果受限传输受 UK GDPR 约束，则 SCCs 依第 7.2 条的规定适用，并经 UK Addendum 修订，UK Addendum 通过引用并入本合作伙伴 DPA，并且：(a) UK Addendum 的表 1 至表 3 按第 7.2 条及本合作伙伴 DPA 附件 1 和附件 2 中的信息填写；以及 (b) 就表 4 而言，任何一方均不得根据 UK Addendum 第 19 条终止 UK Addendum。
4. 瑞士传输。 如果受限传输受 FADP 约束，则 SCCs 依第 7.2 条的规定适用，但作如下更改：(a) 凡提及 GDPR 之处，均指 FADP；(b) 凡提及“EU”、“Union”和“Member State”之处，均包括瑞士，且“Member State”一词不妨碍瑞士的数据主体在其惯常居住地提出法律主张；以及 (c) 主管监管机构为瑞士联邦数据保护和信息专员。
5. 替代传输机制。 一方可依据充分性认定、EU-U.S. Data Privacy Framework 及其英国和瑞士扩展 (如该方已获认证) 或数据保护法律认可的任何其他传输机制，以替代 SCCs。如果根据本第 7 条所依据的传输机制被认定无效或不再可用，双方应本着诚信原则合作，实施替代的合法传输机制，Anysphere 可为此根据第 11.2 条更新本合作伙伴 DPA。
6. 其他司法管辖区。 如果任何其他司法管辖区的数据保护法律要求就将计划个人数据传输至该司法管辖区以外订立具体的合同条款，双方同意本合作伙伴 DPA (包括在允许的情况下，经针对该司法管辖区调整的 SCCs) 即构成该等条款，且各方应签订 Anysphere 为满足该等要求而通过合作伙伴门户合理提供的任何附加传输条款。
7. 冲突。 如本合作伙伴 DPA 与 SCCs (包括经 UK Addendum 或第 7.4 条修订的 SCCs) 之间存在任何冲突，则就冲突部分以 SCCs 为准。
处理者相关约定。
1. 适用范围。 本第 8 条仅在以下情形适用：双方在附录、计划规则或其他书面文件中明确约定，由一方 (“处理方”) 代表另一方 (“指示方”) 并按照其书面指令处理计划个人数据，例如合作伙伴代表 Anysphere 为 Anysphere 主办的活动收集报名信息。就该等处理而言，指示方为控制者，处理方为其处理者 (在适用情况下，亦为美国各州隐私法项下的服务提供商或承包商) ，且第 3.1 条和第 5.1 条不适用于该等处理。
2. 处理者义务。 处理方应当：
  1. 仅按照指示方的书面指令处理计划个人数据，包括涉及数据传输的处理，但适用法律另有要求的除外 (在此情况下，处理方应在处理之前告知指示方，除非法律禁止此类告知) ；如处理方认为某项指令违反数据保护法，应及时告知指示方；
  2. 确保经授权处理计划个人数据的人员受保密义务约束；
  3. 实施附件 2 所述措施，以及在适用情况下 GDPR 第 32 条要求的任何其他措施；
  4. 未经指示方的一般书面授权，不得聘用其他处理者；指示方在约定相关安排时，即授权处理方届时列明的处理者。处理方拟新增或更换任何处理者时，应至少提前三十 (30) 天通知指示方 (Anysphere 可通过合作伙伴门户或其子处理方页面发出通知) ，指示方可在此期间基于合理的数据保护理由提出异议；处理方应通过书面条款约束每一处理者，确保其提供的保护水平不低于本第 8 条，并对每一处理者的履约行为承担责任；
  5. 在考虑处理性质的基础上，通过适当措施协助指示方回应数据主体请求，并协助其履行在安全、个人数据泄露通知、数据保护影响评估以及事先咨询监管机构等方面的义务；
  6. 在知悉影响其代表指示方处理的计划个人数据的个人数据泄露后，应及时通知指示方，不得无故拖延，且无论如何不得迟于四十八 (48) 小时；
  7. 在处理结束时，按指示方的选择删除或返还计划个人数据，并删除现有副本，但适用法律要求保留的除外；
  8. 向指示方提供证明其遵守本第 8 条所合理必需的信息，并允许和配合指示方或其委托的独立审计师进行审计 (包括检查) 。审计在任何十二 (12) 个月期间内不得超过一次 (发生个人数据泄露后或监管机构要求的情况除外) ，须至少提前三十 (30) 天通知，受合理保密义务约束，且费用由指示方承担；但如现行有效的独立认证或审计报告能够合理涵盖审计范围，处理方可改为提供该等认证或报告；以及
  9. 在美国各州隐私法适用的情况下：不得出售或共享计划个人数据；不得为指示方指定的业务目的以外的任何目的，或在双方直接业务关系之外，保留、使用或披露该等数据；除美国各州隐私法允许的情形外，不得将其与从其他来源获得的个人数据合并；遵守美国各州隐私法，并提供该等法律所要求的同等水平的隐私保护；在无法继续履行其义务时通知指示方；并允许指示方采取合理且适当的措施，制止和纠正任何未经授权的使用。
责任与救济措施。
1. 责任。 各方因本 Partner DPA 引起或与之相关的责任 (包括双方之间在 SCCs 项下的责任) ，均受 Partner 协议第 17 条 (责任限制) 的约束，包括该条关于除外法律主张的规定，并以任何适用附录所作的修改为准。本 Partner DPA 的任何内容均不限制任何一方在 SCCs 项下对数据主体承担的责任，亦不限制根据适用法律不得限制的任何责任。
2. 赔偿。 就 Partner 协议第 16.1 条 (合作伙伴赔偿) 而言，合作伙伴违反本 Partner DPA 即构成对 Partner 协议的违反。
3. 暂停。 如合作伙伴违反本 Partner DPA，或 Anysphere 合理认为继续向合作伙伴披露计划个人数据将违反数据保护法律，Anysphere 可暂停向合作伙伴披露 Anysphere 提供的数据，并暂停合作伙伴提交计划个人数据的能力，且无需为此承担任何责任；该项权利不影响其根据 Partner 协议第 18 条 (期限和终止) 所享有的权利。
合规性验证。
1. 合作伙伴。 经 Anysphere 提出合理书面请求，合作伙伴应填写一份合理的书面隐私与安全调查问卷，并提供合理的证明文件，以证明其遵守本合作伙伴 DPA；此类请求在任何十二 (12) 个月期间内不得超过一次 (但发生个人数据泄露后、应监管机构要求或 Anysphere 有合理依据怀疑存在不合规情形的除外) 。Anysphere 根据合作伙伴协议第 20.5 条 (记录) 享有的权利，同样适用于合作伙伴对本合作伙伴 DPA 的遵守情况。
2. Anysphere。 Anysphere 通过其信任中心 https://trust.cursor.com (或 Anysphere 不时通知合作伙伴而指定的其他 URL) 提供有关其安全计划的信息 (包括其 SOC 2 Type II 报告) ，并应答复合作伙伴就 Anysphere 处理合作伙伴提供数据的情况所提出的合理书面疑问。
期限、更新及一般条款。
1. 期限。 本合作伙伴 DPA 自以下两者中较早者起生效：(a) 合作伙伴通过合作伙伴门户接受本合作伙伴 DPA (包括通过接受合作伙伴协议的方式) 之日；或 (b) 合作伙伴在获悉或获得访问本合作伙伴 DPA 的权限后，经 Anysphere 许可首次参与合作伙伴计划之日。只要任何一方仍在处理从另一方收到的计划个人数据，本合作伙伴 DPA 即持续有效。第 5.8 条、第 9 条和第 11 条在本合作伙伴 DPA 或合作伙伴协议到期或终止后继续有效。
2. 更新。 Anysphere 可根据合作伙伴协议第 20.4 条 (修订与计划更新) ，在合作伙伴门户或适用 URL 上发布更新后的合作伙伴 DPA，以此更新本合作伙伴 DPA。为遵守数据保护法律或监管机构的指导或决定而必需的更新，可自发布时生效，或按法律的其他要求生效。任何更新均不得修改 SCC 或英国附录，但采用主管机构发布的修订版本或替代版本的情况除外。
3. 优先顺序。 本合作伙伴 DPA 是合作伙伴协议项下的附录之一。除本合作伙伴 DPA 另有规定外，合作伙伴协议保持不变并继续完全有效。就计划个人数据的处理而言，如发生任何冲突，在冲突范围内按以下顺序优先适用：(a) SCC (在其适用的范围内) ；(b) 本合作伙伴 DPA；(c) 合作伙伴协议及任何其他附录；(d) 计划规则。
4. 适用法律与争议。 除 SCC 或数据保护法律另有要求外，本合作伙伴 DPA 受合作伙伴协议第 19 条 (争议解决) 所规定的法律管辖，由此产生的争议亦按该条规定的方式解决。
5. 关联实体。 如合作伙伴的关联实体根据合作伙伴协议第 2.3 条参与合作伙伴计划，则合作伙伴代表其接受本合作伙伴 DPA，应确保其遵守本合作伙伴 DPA，并对其合规情况承担责任。处理合作伙伴提供数据的 Anysphere 关联实体，除享有合作伙伴协议第 20.6 条 (第三方受益人) 规定的第三方受益人权利外，还可作为明示的第三方受益人援引并强制执行本合作伙伴 DPA。
6. 隐私联系人。 合作伙伴应在合作伙伴门户中指定一名隐私联系人；如未指定，Anysphere 可将本合作伙伴 DPA 项下的通知发送给合作伙伴的合作伙伴门户管理员。Anysphere 的隐私联系人为 legal@cursor.com，或 Anysphere 不时通过合作伙伴门户或通过电子邮件向合作伙伴指定的隐私联系人告知的其他联系方式。
7. 无其他第三方受益人。 除第 11.5 条的规定以及 SCC 中为数据主体规定的情形外，本合作伙伴 DPA 不为任何第三方创设任何权利。

附件 1 – 处理说明

如根据第 7 条适用 SCCs，本附件 1 同时构成 SCCs 的附件 I。

A 部分 – 各方列表

	Anysphere	合作伙伴
名称	Anysphere, Inc.，一家德克萨斯州公司	已接受《合作伙伴协议》的实体，以合作伙伴门户中的标识为准。
地址	2261 Market Street, Ste 86466, San Francisco, CA 94114, USA	合作伙伴的注册营业地址，以合作伙伴门户中的记载为准。
联系方式	legal@cursor.com	合作伙伴在合作伙伴门户中指定的隐私联系人；如未指定，则为合作伙伴的合作伙伴门户管理员。
角色	控制者 (就 Anysphere 提供的数据而言为数据输出方；就合作伙伴提供的数据而言为数据输入方) 。适用第 8 条时为处理者。	控制者 (就合作伙伴提供的数据而言为数据输出方；就 Anysphere 提供的数据而言为数据输入方) 。适用第 8 条时为处理者。
活动	运营 SpaceXSI 合作伙伴网络，并向客户提供服务。	参与 SpaceXSI 合作伙伴网络，包括推荐、联合销售及相关活动。
签名和日期	接受《合作伙伴协议》或本合作伙伴 DPA (包括通过合作伙伴门户以电子方式接受) ，即构成对 SCCs 附件 I 的签署，签署日期为接受之日。	同 Anysphere。

B 部分 – 按合作伙伴计划活动划分的处理

活动	数据主体	个人数据类别	通常流向
合作伙伴申请、入门引导和尽职调查	合作伙伴申请人、管理员、所有者、高级职员、董事及其他人员	姓名、工作邮箱、职位、公司名称及注册地址、Cursor 或 xAI Console 团队 ID；合规筛查数据；受限方筛查结果；尽职调查往来信函	合作伙伴至 Anysphere
合作伙伴门户和计划管理	合作伙伴门户用户和管理员	姓名、业务联系方式、职位、角色、用户 ID、身份验证数据、门户活动日志、通知偏好及通信内容	合作伙伴至 Anysphere
资质认证和培训	参加培训的合作伙伴人员	姓名、工作邮箱、雇主、课程进度、考核结果、凭证、认证状态及有效期，以及雇佣验证信息	合作伙伴至 Anysphere
交易注册、联合销售和业绩归属	客户及潜在客户的人员；合作伙伴的销售和技术人员	姓名、工作邮箱、电话号码、职位、公司、商机详情、使用场景、预期范围和时间、备注及相关通信内容	合作伙伴至 Anysphere；就注册状态和联合销售而言为 Anysphere 至合作伙伴
销售线索和客户规划	客户及潜在客户的人员；Anysphere 客户经理和合作伙伴经理	姓名、业务联系方式、职位、公司，以及商机和互动信息；Anysphere 人员的业务联系方式	Anysphere 至合作伙伴
客户映射	客户及潜在客户的人员 (如共享) ；客户负责人	客户名称及状态 (通常不属于个人数据) ；如一方选择共享，则包括联系人姓名、职位和工作邮箱；客户负责人姓名	双向
协作和通信	各方人员；通信中提及的客户人员	姓名、业务联系方式、个人资料信息、消息、文件，以及会议纪要或录音录像 (以已通知参与者为前提)	双向
营销活动、会议活动和联合营销	合作伙伴人员；活动演讲者；活动参与者 (仅限根据第 8 条约定的情况)	执行证明 (链接、截图、照片) 、汇总指标、演讲者及联系人姓名，以及经同意提供的引语和肖像	合作伙伴至 Anysphere
合作伙伴权益申请	合作伙伴申请人和授权用户	姓名、业务联系方式、职位、团队 ID 及申请详情	合作伙伴至 Anysphere
费用、付款和税务	合作伙伴财务联系人、收款人、签署人，以及 (如需要) 受益所有人	姓名、业务联系方式、银行及付款路由信息、税务表格和识别号码，以及付款历史	合作伙伴至 Anysphere
合规、审计和争议	各方人员；客户人员	与上述活动相关的记录，以相关合规、审计或争议所需为限	双向

C 部分 – 其他处理详情

处理目的： 如第 5.1 条所述。

传输频率： 在合作伙伴协议有效期内持续进行。

保留期限： 详见第 5.8 条。

接收方及再传输： 详见第 5.4 条。

主管监管机构： 对于 EEA 传输，详见第 7.2(e) 条；对于英国传输，为英国信息专员；对于瑞士传输，为瑞士联邦数据保护和信息专员。

附件 2 – 最低安全措施

在根据第 7 条适用 SCCs 的情况下，本附件 2 亦构成 SCCs 的附件 II。各方应针对其占有、保管或控制的计划个人数据，至少维护以下措施：

治理。 制定书面信息安全计划并指定负责人，同时制定安全和隐私政策，且至少每年审查一次。
访问控制。 基于最小权限原则实施基于角色的访问、使用唯一用户 ID、对存储计划个人数据的系统 (包括合作伙伴门户账户，如可用) 启用多因素身份验证，并在人员变更角色或离开组织后及时移除其访问权限，且无论如何不得晚于五 (5) 个工作日。
人员。 所有具有访问权限的人员均须承担保密义务；在合法且与其角色相适应的情况下进行背景调查；并至少每年开展一次安全和隐私培训。
加密。 计划个人数据在传输中使用 TLS 1.2 或更高版本加密，在静态存储时使用行业标准加密。
端点和网络安全。 使用配备端点保护的受管设备，及时安装安全补丁，并采用防火墙和入侵检测等网络控制措施。
日志记录和监控。 对存储计划个人数据的系统的访问进行日志记录，并实施旨在检测未经授权访问的监控。
漏洞管理。 定期进行漏洞扫描，并根据严重程度及时修复已识别的漏洞。
处理者管理。 在聘用处理者之前对其进行安全和隐私尽职调查，并订立与本合作伙伴 DPA 一致的书面合同保护条款。
事件响应。 制定书面事件响应计划并定期测试，使该方能够满足本合作伙伴 DPA 规定的通知时限。
业务连续性。 制定与风险相适应的备份和恢复程序。
最小化和处置。 仅收集必要的数据，并在计划个人数据不再需要时对其进行安全删除或匿名化处理。
经批准的工具。 仅在经批准的业务系统中处理计划个人数据，不得在个人电子邮件账户、缺乏适当控制措施的个人设备或未经批准的 AI 工具中处理。

此外，Anysphere 维护其 SOC 2 Type II 报告及其信任中心 https://trust.cursor.com (或 Anysphere 不时通知合作伙伴指定的其他 URL) 中所述的技术和组织措施。