本 SpaceX Super Intelligence 合作夥伴資料處理協議 (「合作夥伴 DPA」) 構成 Anysphere, Inc. (一家德州公司，「Anysphere」) 與已接受該協議之實體 (「合作夥伴」) 之間所訂立之 SpaceX Super Intelligence 合作夥伴網絡協議 (「合作夥伴協議」) 的一部分。本合作夥伴 DPA 即為合作夥伴協議第 12.2 條 (資料處理協議) 所稱之合作夥伴資料處理協議，用以規範任一方因合作夥伴計畫而自另一方取得之個人資料的處理。本合作夥伴 DPA 為合作夥伴協議之附錄；合作夥伴協議可於 https://cursor.com/terms/spn (或 Anysphere 指定之任何後續網址) 及合作夥伴入口網站取得，並透過合作夥伴入口網站進行管理。

合作夥伴接受合作夥伴協議、透過合作夥伴入口網站按一下接受本合作夥伴 DPA，或於本合作夥伴 DPA 經呈現或獲給予存取權限後以其他方式參與合作夥伴計畫，即視為接受本合作夥伴 DPA。代表合作夥伴接受本合作夥伴 DPA 之個人聲明，其已獲授權，得使合作夥伴及依合作夥伴協議第 2.3 條獲准參與合作夥伴計畫之任何合作夥伴關係企業受本合作夥伴 DPA 之拘束。

1. 定義。

   1. 解釋。 本合作夥伴 DPA 中使用但未定義之大寫術語，其含義依合作夥伴協議之定義。「控制者」、「處理者」、「資料主體」、「處理」 (及「進行處理」) 、「企業」、「服務供應商」、「承包商」、「第三方」、「出售」、「分享」及「監管機關」等術語，其含義依適用之資料保護法律之定義，並包含該等法律中使用之任何同等術語。

   2. 用語定義。 於本合作夥伴 DPA 中：

      「法規遵循審查資料」係指 Anysphere 為評估合作夥伴參與合作夥伴計畫及持續參與之資格，而蒐集之與合作夥伴之所有人、高階主管、董事、人員或代理人相關之個人資料，包括有關現任或前任政府職務或關係、與 Anysphere 或其人員之僱傭或業務往來關係、制裁及受限制對象身分之資訊，以及與反貪腐、反洗錢、制裁或出口管制法律相關之任何違規、自願揭露、調查、查詢、指控或執法行動。

      「資料保護法」係指與隱私、資料保護、資料安全或電子行銷相關，且適用於任一方處理計畫個人資料之全部法律及法規，於適用情況下包括：(a) 歐盟《一般資料保護規則》2016/679 (「GDPR」) 及《電子隱私指令》2002/58/EC，連同各國之施行法；(b) 構成英國法律一部分之 GDPR (「UK GDPR」) 、英國《2018 年資料保護法》及《2003 年隱私與電子通訊條例》；(c) 瑞士《聯邦資料保護法》 (「FADP」) ；(d) 美國各州隱私法；(e) 加拿大《個人資訊保護及電子文件法》及加拿大《反垃圾郵件法》；(f) 澳洲《1988 年隱私法》及《2003 年垃圾郵件法》；(g) 新加坡《2012 年個人資料保護法》；(h) 日本《個人資訊保護法》；(i) 印度《2023 年數位個人資料保護法》；以及 (j) 巴西《一般資料保護法》 (Lei Geral de Proteção de Dados) ；上述各項均包括其不時修訂、取代或補充之版本。

      「揭露方」係指向另一方提供計畫個人資料或使其可取得該等資料之一方 (包括其關係企業及代表其行事之任何人) ，而「接收方」係指接收該等資料之一方 (包括其關係企業) 。

      「合作夥伴提供之資料」係指由合作夥伴、其關係企業或代表其行事之任何人，向 Anysphere 或其關係企業提供或使其可使用之計畫個人資料。

      「個人資料」係指與已識別或可識別之自然人相關的任何資訊，以及依資料保護法定義為「個人資料」、「個人資訊」或類似用語之任何其他資訊。

      「個人資料外洩」係指計畫個人資料在接收方或代表接收方處理該資料之任何人持有、保管或控制期間，因安全漏洞而遭意外或非法銷毀、遺失、變更、未經授權揭露或存取之情形。

      「計畫個人資料」係指揭露方就合作夥伴計畫相關事宜，向接收方提供或使其可使用之個人資料，無論係透過合作夥伴入口網站、合作夥伴計畫表單、交易登記申請、帳戶對應工具、共享協作頻道、電子郵件、會議或其他方式為之，但排除第 2.2 條所述之資料及活動。

      「受限傳輸」係指將受 GDPR、UK GDPR 或 FADP 規範之程式個人資料，傳輸至主管機關未認定其對個人資料提供充分保護水準之國家或地區，且無其他合法傳輸機制可資適用之情形。

      「SCCs」係指歐盟執行委員會 2021 年 6 月 4 日第 (EU) 2021/914 號執行決定所附之標準契約條款 (含其後不時之修訂或替代版本) ；「模組一」與「模組二」則分別係指 SCCs 中之「控制者對控制者」模組及「控制者對處理者」模組。

      「敏感資料」係指：(a) 依資料保護法屬於特殊類別個人資料、敏感個人資料或敏感個人資訊者，包括揭露種族或民族來源、政治觀點、宗教或哲學信仰、工會成員資格之資料，以及基因、生物特徵或健康資料，或涉及個人性生活或性傾向之資料；(b) 與刑事定罪、犯罪行為或指控相關之個人資料；(c) 政府核發之識別碼，包括社會安全號碼、稅籍編號、護照號碼及駕駛執照號碼；(d) 金融帳戶號碼、銀行帳戶號碼或支付卡卡號；(e) 精確地理位置資料；(f) 帳戶密碼及其他驗證用認證資訊；以及 (g) 兒童之個人資料。

      「Anysphere 提供之資料」係指由 Anysphere、其關係企業或代表其行事之任何人，提供予合作夥伴或其關係企業，或使其可使用之程式個人資料。

      「SpaceXSI 隱私聲明」係指 Anysphere 公布於 https://cursor.com/privacy (或 Anysphere 指定之任何後續網址) 之隱私聲明，及其不時更新之版本。

      「英國附錄」係指英國資訊專員 (UK Information Commissioner) 發布之《歐盟執委會標準契約條款國際資料傳輸附錄》 (版本 B.1.0) ，及其不時修訂或替代之版本。

      「美國各州隱私法」係指經 2020 年《加州隱私權法》 (California Privacy Rights Act) 修訂之 2018 年《加州消費者隱私法》 (California Consumer Privacy Act) 及其施行法規 (「CCPA」) ，以及美國各州所有其他綜合性消費者隱私法律，且均以不時生效之版本為準。

2. 界定範疇。

   1. 適用範圍。 本合作夥伴 DPA 適用於各方對其自另一方取得之計畫個人資料所為之處理。計畫個人資料通常源自附件 1 (處理說明) 所述之合作夥伴計畫活動，該等活動得依計畫規則不時更新。

   2. 排除事項。 本合作夥伴 DPA 不適用於下列事項，且計畫個人資料亦不包括：

      1. 合作夥伴對服務之使用。 與合作夥伴 (或其關係企業) 以客戶身分購買、存取或使用服務相關而處理之個人資料，包括依任何公司方案、評估授權、沙箱或非轉售存取權限所為者；此類資料受主服務協議或其他適用之客戶條款、https://cursor.com/terms/dpa 所載之資料處理附錄，以及任何適用之使用條款規範；

      2. 合作夥伴服務與客戶資料。 客戶資料，以及合作夥伴於提供合作夥伴服務時，為客戶或依其與客戶之協議所處理之任何其他個人資料；此類資料僅受合作夥伴與該客戶間之協議規範。如合作夥伴向某客戶提供合作夥伴服務，而 Anysphere 亦向同一客戶提供服務，則各方係依其各自與該客戶之協議處理該客戶之個人資料，任一方均非另一方之處理者或次處理者；

      3. 市集活動。 與任何外掛程式或合作夥伴參與市集相關而處理之個人資料 (包括 SpaceXSI 市集條款中所稱之任何「外掛程式資料」或「使用者內容」) ；此類資料受 SpaceXSI 市集條款規範；

      4. 個別協議。 依任何授權合作夥伴轉售、散布或轉包服務之個別書面協議，或依雙方間任何其他訂有獨立資料保護條款之個別協議所處理之個人資料，以該協議之範圍為限；以及

      5. 獨立蒐集之資料。 一方自行獨立蒐集、而非自另一方取得之個人資料，即使該資料涉及相同之個人或組織亦同，包括 Anysphere 直接向客戶或潛在客戶蒐集之個人資料。

   3. 與第 12.1 條之關係。 本合作夥伴 DPA 係補充而非限制合作夥伴依合作夥伴協議第 12.1 條 (通知與同意) 所負之義務。

3. 各方角色。

   1. 獨立控制者。 除第 8 條 (處理者安排) 另有規定外，就自另一方收受之計畫個人資料而言，各方均以獨立控制者之身分行事 (並於美國州隱私法適用時，以企業或第三方之身分行事) 。各方自行獨立決定其處理之目的及方式。雙方並非共同控制者，任一方亦均不代表另一方處理計畫個人資料。

   2. 各方自身之法規遵循。 各方就其處理計畫個人資料之行為，應對自身遵循資料保護法之情形負有責任，包括提供告知、確立合法依據、回應資料當事人、保存處理活動記錄，以及履行其對監管機關之義務。任一方均不得明知而以導致另一方違反資料保護法之方式處理計畫個人資料。

4. 計畫個人資料之揭露。

   1. 合法揭露。 各揭露方應確保其對計畫個人資料的蒐集，以及向接收方揭露該等資料的行為，均符合資料保護法。在不限制合作夥伴協議第 12.1 條 (通知與同意) 的前提下，合作夥伴聲明並保證，就所有合作夥伴提供之資料，合作夥伴已依資料保護法之要求提供所有通知、取得所有同意，並具備所有合法依據，以供：(a) 合作夥伴向 Anysphere 揭露該等資料；以及 (b) Anysphere 為第 5.1(a) 條所述目的處理該等資料，包括就本服務聯絡相關客戶或潛在客戶，以及驗證合作夥伴與該客戶之間的合作往來。

   2. 對客戶及潛在客戶的通知。 在適用法律要求的情況下，合作夥伴於提交交易登記或以其他方式向 Anysphere 揭露客戶或潛在客戶人員之個人資料之前，應告知相關個人 (或確保其已獲告知) ：合作夥伴可能與 Anysphere 分享其聯絡資訊及商機資訊；Anysphere 可能依 SpaceXSI 隱私權聲明所述使用該等資訊；以及若客戶或潛在客戶向 Anysphere 購買產品，合作夥伴可能因此獲得合作夥伴計畫權益。對於任何已反對或選擇退出與 Anysphere 分享其個人資料的個人，合作夥伴不得向 Anysphere 揭露其個人資料。

   3. 對合作夥伴人員的通知。 對於合作夥伴向 Anysphere 提供其個人資料之合作夥伴本身及其關係企業之人員、承包商、所有人、高階主管及董事 (包括合作夥伴入口網站使用者及管理員、正在申請認證的個人、共享協作頻道的成員，以及法規遵循審查資料中所識別的個人) ，合作夥伴應告知其 Anysphere 將依本合作夥伴 DPA 及 SpaceXSI 隱私權聲明所述處理其個人資料，包括向其提供 SpaceXSI 隱私權聲明。

   4. 資料最小化與敏感資料。 各揭露方僅應揭露相關合作夥伴計畫目的所合理必要之計畫個人資料。合作夥伴不得向 Anysphere 提供敏感資料，但下列情形除外：(a) Anysphere 透過合作夥伴入口網站表單、計畫規則或其他書面請求要求提供者，例如支付費用所需的付款路徑及稅務資訊，或法規遵循審查資料；或 (b) 經 Anysphere 另行書面核准者。任何此類請求，就合作夥伴協議第 12.1 條 (通知與同意) 而言，均構成 Anysphere 之明示書面請求，惟以所請求之敏感資料為限。提交行銷活動、活動成果或類似資訊的證明時，合作夥伴應盡可能使用彙總指標、公司網域或職稱，而非個人層級的個人資料。

   5. 準確性與更新。 各揭露方應採取合理措施，確保其揭露之計畫個人資料準確且為最新，並應於得知其揭露之任何計畫個人資料不準確或已過時，或有個人已撤回對接收方處理之同意或提出反對時，立即通知接收方。合作夥伴應確保其合作夥伴入口網站使用者資訊維持最新狀態，且當擁有合作夥伴入口網站帳戶、有效認證或共享協作頻道成員資格的個人離開合作夥伴組織，或不再參與合作夥伴的合作夥伴計畫活動時，應立即透過合作夥伴入口網站或寄信至 partnersupport@x.ai 通知 Anysphere。

5. 接收方之處理。

   1. 目的限制。

      1. Anysphere。 Anysphere 得為下列目的處理合作夥伴提供之資料：(i) 營運、管理及改善合作夥伴計畫，包括附件 1 所述之目的；(ii) 依據 SpaceXSI 隱私權聲明及資料保護法，行銷、銷售、提供及支援本服務，並管理其與合作夥伴提供之資料中所識別之客戶及潛在客戶之關係；(iii) 驗證合作夥伴是否遵循合作夥伴協議、計畫規則及適用法律，並偵測及防範詐欺、濫用及安全事故；(iv) 遵循法律義務，以及提出、行使或防禦法律請求；以及 (v) 資料保護法所允許且 SpaceXSI 隱私權聲明所述之任何其他目的。

      2. 合作夥伴。 合作夥伴處理 Anysphere 提供之資料時，僅得用於 Anysphere 提供該資料時所指定之特定合作夥伴計畫目的 (例如針對已識別之商機進行聯合銷售、與 Anysphere 共同進行客戶規劃，或管理合作夥伴參與合作夥伴計畫之相關事宜) ，並應遵循合作夥伴協議、計畫規則、本合作夥伴 DPA 及資料保護法。合作夥伴不得：(i) 出售、出租或授權他人使用 Anysphere 提供之資料；(ii) 使用 Anysphere 提供之資料行銷或推廣任何與本服務競爭之產品或服務，或將其用於與 Anysphere 提供該資料之目的無關之任何行銷活動；(iii) 為與合作夥伴計畫無關之目的，將 Anysphere 提供之資料與其他資料合併，藉以打造或擴充聯絡人資料庫、個人檔案或潛在客戶名單；或 (iv) 向任何第三方揭露 Anysphere 提供之資料，但依第 5.4 條所允許者不在此限。

      3. 其他處理。 於適用法律有所要求、為保護個人之重大利益所必要，或該個人已同意進一步處理之情形下，任一方亦得為其他目的處理計畫個人資料。

   2. 透明度。 各方應就其處理計畫個人資料之行為，維護並提供符合資料保護法要求之隱私權聲明。Anysphere 聯絡其自合作夥伴取得個人資料之個人時，應於資料保護法規定之期限內提供該法所要求之資訊，該期限可能為 Anysphere 首次與該個人溝通之時。

   3. 保密與安全性。 各接收方應：(a) 實作並維護適當之技術及組織措施，以保護計畫個人資料免於個人資料外洩，並應考量現有技術水準、實作成本、處理之性質、範疇、脈絡與目的，以及對個人之風險；該等措施至少應包含附件 2 (最低安全措施) 所述之措施；(b) 將計畫個人資料之存取權限，限於為第 5.1 條所允許之目的而需存取之人員、承包商及服務供應商；以及 (c) 確保經授權處理計畫個人資料之人員受適當保密義務之約束。合作夥伴應依合作夥伴協議第 8 條 (合作夥伴入口網站存取) 之規定，負責確保其合作夥伴入口網站帳戶及認證資訊之安全。

   4. 服務供應商與資料轉揭露。

      1. 處理者。 各接收方得委任處理者及服務供應商代其處理計畫個人資料，包括合作夥伴入口網站及合作夥伴關係管理平台、客戶關係管理系統、帳戶對應工具、協作與溝通工具、學習管理系統、付款與稅務服務、雲端託管，以及具備 AI (人工智慧) 功能之生產力工具等之供應商。接收方僅得依書面協議委任此類處理者，該協議應要求處理者以符合本合作夥伴 DPA 及資料保護法律之方式保護計畫個人資料；接收方並應就該等處理者之處理行為負有責任。

      2. Anysphere 關係企業。 Anysphere 得為第 5.1(a) 條所述之目的，向其關係企業揭露合作夥伴提供之資料。凡接收合作夥伴提供之資料的 Anysphere 關係企業，均應依本合作夥伴 DPA 處理該等資料。

      3. 其他揭露。 除本第 5.4 條允許者外，接收方不得向任何第三方揭露計畫個人資料，但下列情形不在此限：(i) 向其本身及其關係企業負有保密義務之專業顧問揭露；(ii) 於合作夥伴協議允許之範圍內，因合併、收購、公司重組，或出售其全部或實質上全部資產，而向繼受者揭露；(iii) 依適用法律、法院命令或具管轄權之政府機關要求而揭露，惟應受第 5.7 條規範；或 (iv) 經資料保護法律另行允許，且如揭露方為合作夥伴，已事先取得 Anysphere 之書面同意。

   5. 資料主體請求。 個人依資料保護法就計畫個人資料行使權利而提出請求時，由控制該資料之一方負責回應。若一方收到與另一方之處理相關的請求，應在合法範圍內立即 (且無論如何應於五 (5) 個營業日內) 將該請求轉交另一方，或告知該個人如何聯絡另一方，雙方並應合理配合回應。若個人反對行銷通訊、撤回同意或要求刪除，且該請求與另一方對計畫個人資料之處理相關，收到請求之一方應立即通知另一方，使其得以採取資料保護法所要求的任何行動。

   6. 個人資料外洩。 接收方知悉涉及自揭露方所接收之計畫個人資料的個人資料外洩後，應無不當延遲地通知揭露方，且無論如何應於七十二 (72) 小時內通知。該通知應在當時已知的範圍內，說明個人資料外洩的性質、所涉及個人及紀錄的類別與大致數量、可能造成的後果，以及為處理該個人資料外洩並減輕其影響已採取或擬採取的措施；接收方並應於取得進一步資訊時補充該通知。接收方應採取合理措施，以控制、調查及補救該個人資料外洩，並應與揭露方合理配合。資料保護法要求各方以控制者身分向監管機關及個人發出的通知，由各方自行負責，雙方並應就該等通知的內容與時機本於誠信進行協調。除法律另有要求外，未經另一方事先書面同意，任何一方均不得在有關個人資料外洩的任何通知或公開聲明中提及另一方名稱。合作夥伴應將依本第 5.6 條發出的通知寄送至 legal@cursor.com，且就該個人資料外洩而言，該等通知亦視為已符合合作夥伴協議第 5(g) 條 (合作夥伴義務) 之要求。

   7. 政府及監管機關請求。 若接收方收到監管機關、執法機關或其他政府機關要求提供自另一方所接收之計畫個人資料的請求，接收方應在法律允許的範圍內立即通知揭露方，僅揭露回應該請求所需之最低限度計畫個人資料，並應合理配合揭露方為回應或質疑該請求所作的努力。

   8. 保留期限與刪除。

      1. 一般規定。 各接收方保留計畫個人資料之期間，以達成第 5.1 條所允許目的之必要期間為限，期滿後應予以刪除或匿名化，但適用法律另有要求或允許者，不在此限。

      2. Anysphere 提供之資料。 於合作夥伴協議期滿或終止時，或經 Anysphere 提前以書面請求時，合作夥伴應停止使用 Anysphere 提供之資料，並於三十 (30) 日內予以刪除 (或經 Anysphere 請求時予以返還) ，且應於 Anysphere 請求時以書面證明已完成上述事項，但適用法律要求合作夥伴保留者，不在此限。保留於例行備份中之計畫個人資料，得依合作夥伴之標準備份週期予以刪除，惟該等資料應持續依本合作夥伴 DPA 受到保護，且不得主動使用。

      3. 合作夥伴提供之資料。 於合作夥伴協議期滿或終止後，Anysphere 得於合理必要之範圍內保留合作夥伴提供之資料，以：(i) 處理終止前已產生之註冊費用、推薦費用及其他款項；(ii) 維護與合作夥伴計畫相關之記錄，包括於合作夥伴協議第 20.5 條 (記錄) 所定期間內之記錄；(iii) 持續維繫與客戶及潛在客戶之直接關係；(iv) 遵循法律義務；以及 (v) 確立、行使或抗辯法律請求。Anysphere 保留法規遵循審查資料之期間，應以達成蒐集該等資料之法規遵循目的所必要之期間，以及適用法律所要求之期間為限。

   9. 自動化工具與 AI。 Anysphere 得使用自動化工具 (包括由 Anysphere、其關係企業或其服務供應商所操作的 AI 模型與代理) ，協助審查及處理合作夥伴申請、交易登錄、權益請求、行銷活動提交，以及其他與合作夥伴計畫相關的提交內容與溝通。核准、拒絕、附條件核准或撤銷合作夥伴申請或交易登錄之決定，均由 Anysphere 人員作成；除資料保護法律允許之情形外，Anysphere 不得使任何個人受僅基於自動化處理所作成、且對該個人產生法律效果或類似重大影響之決定所拘束。Anysphere 不會使用合作夥伴提供資料中所含之個人資料，訓練 Anysphere 向第三方正式全面推出的 AI 模型。合作夥伴不得將 Anysphere 提供資料輸入任何 AI 工具或其他第三方服務，如該工具或服務會使用該資料訓練模型，以使合作夥伴以外之任何人受益，或以其他方式將該資料用於其自身目的。

   10. 合作。 他方為遵守其依資料保護法律就計畫個人資料所負之義務而有需要時，各方應自行負擔成本，向他方提供合理之資訊與合作，包括與資料保護影響評估、處理活動記錄及監管機關詢問相關之事項。

6. 美國各州隱私法。

   1. 非屬出售。 雙方確認，依合作夥伴計畫提供之任何註冊費用、轉介費用或其他合作夥伴權益，係合作夥伴依合作夥伴協議第 7 條 (交易登記、費用及付款) 所述提供轉介、開發客源、聯合銷售及相關服務之對價，而非計畫個人資料之對價。任一方均不以換取金錢或其他有價對價為目的，向他方揭露計畫個人資料；雙方亦無意使本合作夥伴 DPA 項下之任何揭露構成美國各州隱私法所稱之個人資料出售或分享。

   2. 第三方條款。 若接收方依美國各州隱私法係以第三方身分接收計畫個人資料，或本合作夥伴 DPA 項下之揭露因其他原因被視為出售或分享，接收方應：(a) 僅為第 5.1 條及附件 1 所載之有限且特定目的處理該計畫個人資料；(b) 遵守其依美國各州隱私法應負之義務，並對該計畫個人資料提供美國各州隱私法所要求之同等隱私防護；(c) 允許揭露方於書面通知後採取合理且適當之步驟，以確保接收方使用該計畫個人資料之方式與揭露方依美國各州隱私法應負之義務一致，並制止及補救任何未經授權之使用；(d) 於判定其已無法履行美國各州隱私法項下之義務時，通知揭露方；以及 (e) 依美國各州隱私法之要求，遵循揭露方轉達之任何選擇退出或其他消費者請求。

7. 國際資料傳輸。

   1. 一般規定。 各方得於美國及其本身、其關係企業或其處理者營運所在之任何其他國家處理計畫個人資料，惟應遵守資料保護法有關傳輸之要求。

   2. EEA 傳輸。 若揭露方向接收方揭露計畫個人資料構成受 GDPR 規範之受限傳輸，雙方同意適用 SCCs 第一模組 (或於第 8 條適用且接收方擔任揭露方之處理者時，適用 SCCs 第二模組) ，該等條款以援引方式納入本合作夥伴 DPA，且：

      1. 揭露方為「資料輸出者」，接收方為「資料輸入者」；

      2. 第 7 條 (Clause 7) 之選擇性加入條款適用；

      3. 於第二模組第 9 條 (Clause 9) ，適用選項 2 (一般書面核准) ，通知期間依第 8.2(d) 條之規定；

      4. 第 11(a) 條 (Clause 11(a)) 之選擇性文字不適用；

      5. 於第 13 條 (Clause 13) ，主管監督機關依第 13(a) 條 (Clause 13(a)) 決定；若資料輸出者未設立於 EEA 且未依 GDPR 第 27 條指定代表人，則主管監督機關為愛爾蘭資料保護委員會；

      6. 於第 17 條 (Clause 17) ，適用選項 1，且 SCCs 以愛爾蘭法律為準據法；

      7. 於第 18(b) 條 (Clause 18(b)) ，爭議應由愛爾蘭法院解決；

      8. SCCs 附件 I 以本合作夥伴 DPA 附件 1 之資訊填寫；以及

      9. SCCs 附件 II 以本合作夥伴 DPA 附件 2 之資訊填寫。

   3. 英國傳輸。 若受限傳輸受 UK GDPR 規範，SCCs 依第 7.2 條之規定適用，並經 UK Addendum 修訂，該 UK Addendum 以援引方式納入本合作夥伴 DPA，且：(a) UK Addendum 表 1 至表 3 以第 7.2 條及本合作夥伴 DPA 附件 1 與附件 2 之資訊填寫；以及 (b) 就表 4 而言，任一方均不得依 UK Addendum 第 19 條終止 UK Addendum。

   4. 瑞士傳輸。 若受限傳輸受 FADP 規範，SCCs 依第 7.2 條之規定適用，並作以下變更：(a) 所稱 GDPR 係指 FADP；(b) 所稱「EU」、「Union」及「Member State」包括瑞士，且「Member State」一詞不妨礙瑞士之資料主體於其慣常居所地提出法律請求；以及 (c) 主管監督機關為瑞士聯邦資料保護暨資訊專員。

   5. 替代傳輸機制。 一方得依據適足性認定、EU-U.S. Data Privacy Framework 及其英國與瑞士延伸機制 (以該方已通過認證者為限) ，或資料保護法所認可之任何其他傳輸機制，以取代 SCCs。若依本第 7 條所依據之傳輸機制失效或不再可用，雙方應本於誠信合作，實施替代之合法傳輸機制，且 Anysphere 得為此目的依第 11.2 條更新本合作夥伴 DPA。

   6. 其他司法管轄區。 若任何其他司法管轄區之資料保護法要求就計畫個人資料傳輸至該司法管轄區以外訂定特定契約條款，雙方同意本合作夥伴 DPA (包括於允許時，經針對該司法管轄區調整之 SCCs) 即構成該等條款，且各方應簽署 Anysphere 為符合該等要求而合理透過合作夥伴入口網站提供之任何額外傳輸條款。

   7. 衝突。 若本合作夥伴 DPA 與 SCCs (包括經 UK Addendum 或第 7.4 條修訂者) 有任何衝突，就衝突部分以 SCCs 為準。

8. 處理者相關安排。

   1. 適用範圍。 本第 8 條僅於雙方在增補合約、計畫規則或其他書面文件中明確約定，由一方 (「處理方」) 代表另一方 (「指示方」) 並依其書面指示處理計畫個人資料時適用，例如合作夥伴代表 Anysphere 為 Anysphere 主辦之活動收集報名資料。就該處理而言，指示方為控制者，處理方為其處理者 (並於適用情況下，為美國各州隱私法所定義之服務供應商或承包商) ，且第 3.1 條及第 5.1 條不適用於該處理。

   2. 處理者義務。 處理方應：

      1. 僅依指示方之書面指示處理計畫個人資料，包括與資料傳輸相關之指示，但適用法律另有要求者不在此限 (於此情形，處理方應於處理之前通知指示方，但法律禁止通知者除外) ；且如處理方認為某項指示違反資料保護法，應立即通知指示方；

      2. 確保經授權處理計畫個人資料之人員負有保密義務；

      3. 實施附件 2 所述之措施，以及於適用情況下 GDPR 第 32 條所要求之任何其他措施；

      4. 未經指示方之一般書面核准，不得委任其他處理者；指示方於雙方約定該安排時，即就處理方所指明之處理者授予該項核准；處理方擬新增或更換任何處理者時，應給予指示方至少三十 (30) 日之事先通知 (Anysphere 得透過合作夥伴入口網站或其次處理者頁面提供該通知) ，指示方得於此期間內基於合理之資料保護理由提出異議；處理方應以書面條款約束每一處理者，使其提供至少與本第 8 條同等程度之防護；且處理方應對每一處理者之履行負責；

      5. 考量處理之性質，透過適當措施協助指示方回應資料當事人之請求，並協助其履行有關安全、個人資料外洩通知、資料保護影響評估及事先諮詢監管機關之義務；

      6. 於知悉其代表指示方處理之計畫個人資料發生個人資料外洩事件後，應立即通知指示方，不得無故延遲，且無論如何應於四十八 (48) 小時內通知；

      7. 依指示方之選擇，於處理結束時刪除或返還計畫個人資料，並刪除現有副本，但適用法律要求保留者不在此限；

      8. 向指示方提供合理必要之資訊，以證明其遵循本第 8 條之規定，並允許及配合指示方或其委任之獨立稽核人員進行稽核 (包括檢查) ；稽核於任何十二 (12) 個月期間內以一次為限 (但發生個人資料外洩事件後或經監管機關要求者除外) ，應至少提前三十 (30) 日通知，並受合理之保密義務約束，且費用由指示方負擔；惟如現行有效之獨立認證或稽核報告能合理涵蓋稽核範疇，處理方得改為提供該等認證或報告；以及

      9. 於美國各州隱私法適用時：不得出售或分享計畫個人資料；不得為指示方所指定之商業目的以外之任何目的，或於雙方直接商業關係以外，保留、使用或揭露計畫個人資料；除美國各州隱私法允許者外，不得將其與自其他來源取得之個人資料合併；遵循美國各州隱私法，並提供該等法律所要求之同等程度隱私防護；如無法再履行其義務，應通知指示方；並允許指示方採取合理且適當之措施，以制止及補救任何未經授權之使用。

9. 責任與救濟措施。

   1. 責任。 各方因本合作夥伴 DPA 所生或與其相關之責任，包括雙方之間依 SCCs 所負之責任，均受合作夥伴協議第 17 條 (責任限制) 之規範 (包括該條對除外法律請求 (Excluded Claims) 之處理) ，並以經任何適用附錄修訂後之內容為準。本合作夥伴 DPA 之任何規定均不限制任一方依 SCCs 對資料主體所負之責任，亦不限制依適用法律不得限制之任何責任。

   2. 賠償責任。 就合作夥伴協議第 16.1 條 (合作夥伴賠償責任) 而言，合作夥伴違反本合作夥伴 DPA 即構成違反合作夥伴協議。

   3. 暫停。 若合作夥伴違反本合作夥伴 DPA，或 Anysphere 合理認為繼續向合作夥伴揭露計畫個人資料將違反資料保護法律，則除依合作夥伴協議第 18 條 (期限與終止) 所享有之權利外，Anysphere 另得暫停向合作夥伴揭露 Anysphere 提供之資料，並暫停合作夥伴送出計畫個人資料之能力，且無須因此負擔任何責任。

10. 法規遵循查證。

    1. 合作夥伴。 經 Anysphere 提出合理書面請求時，合作夥伴應填寫合理之書面隱私與安全問卷，並提供合理之佐證文件，以證明其遵循本合作夥伴 DPA；此類請求於任何十二 (12) 個月期間內以一次為限 (但發生個人資料外洩事件後、應監管機關要求，或 Anysphere 有合理依據懷疑有未遵循情事者，不在此限) 。Anysphere 依合作夥伴協議第 20.5 條 (記錄) 所享之權利，亦及於合作夥伴遵循本合作夥伴 DPA 之情形。

    2. Anysphere。 Anysphere 透過其信任中心 https://trust.cursor.com (或 Anysphere 不時以通知方式向合作夥伴指定之其他網址) 提供其安全計畫相關資訊，包括其 SOC 2 Type II 報告，並應回應合作夥伴就其處理合作夥伴提供資料所提出之合理書面疑問。

11. 期限、更新及一般條款。

    1. 期間。 本合作夥伴 DPA 自下列日期中較早者起生效：(a) 合作夥伴透過合作夥伴入口網站接受本合作夥伴 DPA (包括藉由接受合作夥伴協議而接受) 之日；或 (b) 合作夥伴在獲提供本合作夥伴 DPA 或獲得存取本合作夥伴 DPA 之權限後，經 Anysphere 允許首次參與合作夥伴計畫之日；並於任一方處理自他方收受之計畫個人資料期間持續有效。第 5.8 條、第 9 條及第 11 條於本合作夥伴 DPA 或合作夥伴協議期滿或終止後仍繼續有效。

    2. 更新。 Anysphere 得依合作夥伴協議第 20.4 條 (修訂及計畫更新) ，將更新後之合作夥伴 DPA 張貼於合作夥伴入口網站或適用之 URL，以更新本合作夥伴 DPA。為遵循資料保護法，或為遵循監管機關之指引或決定所必要之更新，得於張貼時生效，或於法律另行要求之時點生效。任何更新均不得修改 SCCs 或 UK Addendum，惟為採用主管機關所發布之修訂版本或替代版本者，不在此限。

    3. 優先順序。 本合作夥伴 DPA 為合作夥伴協議項下之附錄之一。除本合作夥伴 DPA 另有規定外，合作夥伴協議維持不變，並繼續具有完全效力。就計畫個人資料之處理而言，如有任何衝突，於衝突範圍內適用下列優先順序：(a) SCCs (於其適用範圍內) ；(b) 本合作夥伴 DPA；(c) 合作夥伴協議及任何其他附錄；以及 (d) 計畫規則。

    4. 準據法及爭議。 除 SCCs 或資料保護法另有要求外，本合作夥伴 DPA 以合作夥伴協議第 19 條 (爭議解決) 所定之法律為準據法，其項下之爭議亦依該條所定方式解決。

    5. 關係企業。 合作夥伴之關係企業依合作夥伴協議第 2.3 條參與合作夥伴計畫者，由合作夥伴代表其接受本合作夥伴 DPA；合作夥伴應確保其遵守本合作夥伴 DPA，並對其遵循情形負責。處理合作夥伴提供資料之 Anysphere 關係企業，除享有合作夥伴協議第 20.6 條 (第三方受益人) 所定之第三方受益人權利外，亦得以明示第三方受益人之身分援引並強制執行本合作夥伴 DPA。

    6. 隱私聯絡窗口。 合作夥伴應於合作夥伴入口網站指定隱私聯絡窗口；未指定者，Anysphere 得將本合作夥伴 DPA 項下之通知寄送予合作夥伴之合作夥伴入口網站管理員。Anysphere 之隱私聯絡窗口為 legal@cursor.com，或 Anysphere 不時透過合作夥伴入口網站，或以電子郵件通知合作夥伴指定之隱私聯絡窗口所指定之其他聯絡資訊。

    7. 無其他第三方受益人。 除第 11.5 條另有規定及 SCCs 為資料主體所提供者外，本合作夥伴 DPA 不為任何第三方創設任何權利。

附件 1 – 處理說明

若依第 7 條適用 SCCs，本附件 1 亦構成 SCCs 之附件 I。

A 部分 – 當事方清單

B 部分 – 依合作夥伴計畫活動區分之處理

C 部分 – 其他處理資訊

處理目的：如第 5.1 條所述。

處理性質：蒐集、記錄、組織、結構化、儲存、檢索、查詢、使用、分析 (包括依第 5.9 條進行之自動化及 AI 輔助審查) 、以傳輸方式揭露、比對或結合、限制、刪除及銷毀。

敏感資料：除 (a) 法規遵循篩查資料 (可能包括有關公部門關係及涉嫌犯罪之資訊) 及 (b) 付款與稅務識別碼外，雙方無意交換敏感資料。防護機制：目的限制、依「有必要知悉」原則之存取限制、傳輸中及靜態加密，以及有限的保留期限，詳見第 4.4 條及第 5.8 條。

傳輸頻率：於合作夥伴協議存續期間持續進行。

保留期限：如第 5.8 條所述。

接收者及後續傳輸：如第 5.4 條所述。

主管監督機關：就 EEA 傳輸而言，如第 7.2(e) 條所述；就英國傳輸而言，為英國資訊專員 (UK Information Commissioner) ；就瑞士傳輸而言，為瑞士聯邦資料保護暨資訊專員 (Swiss Federal Data Protection and Information Commissioner) 。

附件 2 – 最低安全措施

於 SCCs 依第 7 條適用時，本附件 2 亦構成 SCCs 之附件 II。各方就其持有、保管或控制之計畫個人資料，應至少維護下列措施：

1. 治理。 訂有書面資訊安全計畫並指定專責人員，且安全性與隱私政策至少每年審查一次。

2. 存取控制。 依最小權限原則實施以角色為基礎的存取權限、唯一使用者 ID、對儲存計畫個人資料之系統 (包括合作夥伴入口網站帳戶，如可使用) 採用多重要素驗證，並於人員變更角色或離開組織後立即移除其存取權限，且無論如何應於五 (5) 個營業日內完成。

3. 人員。 所有具存取權限之人員均負有保密義務；於合法且適合其角色時進行背景調查；並至少每年接受一次安全性與隱私訓練。

4. 加密。 計畫個人資料於傳輸中應使用 TLS 1.2 或更高版本加密，靜態儲存時則應使用業界標準加密。

5. 端點與網路安全性。 使用具端點防護之受管理裝置、及時套用安全性修補程式，並實施防火牆及入侵偵測等網路控制。

6. 日誌記錄與監控。 記錄對儲存計畫個人資料之系統的存取，並實施用以偵測未經授權存取之監控。

7. 漏洞管理。 定期進行漏洞掃描，並依嚴重程度及時修復已識別之漏洞。

8. 處理者管理。 於委任處理者前對其進行安全性與隱私盡職調查，並訂立與本合作夥伴 DPA 一致之書面合約保障。

9. 事故回應。 訂有書面且定期測試之事故回應計畫，使該方能遵守本合作夥伴 DPA 所定之通知時限。

10. 營運持續。 訂有與風險相當之備份及復原程序。

11. 最小化與處置。 僅蒐集必要之資料，並於計畫個人資料不再需要時予以安全刪除或匿名化。

12. 核准工具。 僅於核准之業務系統中處理計畫個人資料，不得於個人電子郵件帳戶、未具適當控制之個人裝置或未經核准之 AI 工具中處理。

此外，Anysphere 維護其 SOC 2 Type II 報告及其信任中心 https://trust.cursor.com (或 Anysphere 不時以通知方式向合作夥伴指定之其他 URL) 所述之技術及組織措施。