個人資料處理委託契約書

【委託方商號】（以下稱「委託方」）與 AlienPeoples（以下稱「受託方」）就委託方將個人資料處理業務委託受託方一事，依韓國《個人資料保護法》第 26 條，訂立以下契約。

第 1 條目的

本契約旨在約定雙方的權利與義務，由委託方將 SiCusto AI 客服中心營運所需的個人資料處理業務委託受託方，受託方依本契約及相關法令誠實履行。

第 2 條用語

• 最終客戶 — 使用委託方諮詢頁面（https://sicusto.com/chat/{委託方識別碼}）的資料當事人。
• 再受託方 — 由受託方再委託部分業務之對象，列於附件 1。
• 管理頁面 — 由受託方提供，供委託方人員查看對話紀錄、用量及設定的介面（/portal/）。
• 其他用語依韓國《個人資料保護法》及服務使用條款。

第 3 條委託業務範圍與處理項目

① 受託方僅處理下列業務。

② 未經委託方指示，受託方不增加處理項目。委託方協助維持諮詢頁面的提醒，避免最終客戶輸入韓國居民登錄號碼、信用卡號、銀行帳號或密碼（受託方會於伺服器端遮蔽，但因採用正規表示式，仍可能遺漏）。

第 4 條委託期間

委託期間與服務使用契約的有效期間相同（自【開始日期】至服務使用契約終止日）。本契約的保密、銷毀及損害賠償條款，於契約終止後仍有效至其目的達成。

第 5 條再委託限制 【法律審查】再委託同意方式

1. 受託方未經委託方事前同意，不將委託業務再交由第三方處理。委託方簽署本契約，即同意委託附件 1 所列的再受託方。
2. 第一階段服務的 AI 供應商為所有客戶企業共用的同 3 家（附件 1），不為個別委託方另行固定供應商。
3. 受託方新增或變更再受託方時，須於實施前【N】天以書面（含電子郵件）通知。委託方於期間內提出異議時，受託方不對該委託方套用變更，或委託方得無須支付違約金而終止服務使用契約。
4. 受託方須使再受託方承擔與本契約同等的保護義務，並就其處理行為對委託方負責。

第 6 條安全維護措施

受託方依韓國《個人資料保護法》第 29 條及相關公告，採取下列措施。

• 儲存位置與隔離 — 儲存於大韓民國首爾區域（Google Cloud asia-northeast3），依委託方使用不同路徑隔離資料。儲存空間僅供伺服器使用，瀏覽器無法直接讀寫。
• 存取控制 — 受託方僅限營運負責人存取；委託方僅限管理頁面成員（擁有者、成員角色）存取。套用知識、變更成員、匯出等擁有者操作，須再次確認近期登入（12 小時內）。
• 最少儲存 — 諮詢訊息僅儲存已遮蔽敏感資料（韓國居民／外國人登錄號碼、信用卡號、銀行帳號、密碼）、電話及電子郵件的副本，並將其傳送給 AI 供應商。轉接申請的聯絡資訊因回覆所需，會保留原文（期間見附件 2）。
• 存取紀錄 — 管理頁面的完整對話查閱、匯出、設定變更、刪除及成員變更均留下稽核紀錄（期間見附件 2）。
• 傳輸區段 — 諮詢頁面、管理頁面及 AI 供應商 API 呼叫均透過 HTTPS（TLS）傳輸。
• 備份與復原 — 啟用時間點復原及每日備份（保留 7 天）；復原依獨立程序辦理（營運文件 D-5）。

第 7 條禁止目的外利用

1. 受託方不得於執行委託業務以外的目的利用個人資料，或為其他目的提供予第三方。
2. 受託方不將個人資料用於 AI 模型訓練或自有服務改善，亦僅在不供訓練使用的條件下使用 AI 再受託方（附件 3）。
3. 受託方於契約期間及終止後，均不得洩漏因委託業務得知的個人資料。

第 8 條管理與監督

1. 委託方得要求提供處理現況、安全措施執行及再委託現況資料，受託方須不遲延地提交。基本資料包括附件 1（再受託方名冊）、附件 2（保留與刪除表）、營運文件 D-5 及管理頁面活動紀錄。
2. 委託方每年得進行【1】次書面檢查；若因此要求改善，受託方須於合理期間內改善並通知結果。

第 9 條教育訓練

受託方每年至少對個人資料處理人員（含營運負責人）進行一次個人資料保護教育訓練，並依委託方要求提供實施紀錄。必要時，委託方得提出訓練內容。

第 10 條保障資料當事人權利

1. 最終客戶的查閱、更正、刪除及停止處理要求，由委託方受理並處理；受託方依委託方要求協助。若受託方直接收到要求，須不遲延地轉交委託方。
2. 委託方可使用管理頁面的工作階段刪除工具直接刪除一筆對話；若難以找到特定最終客戶的紀錄，可向受託方提出要求。刪除範圍與期限依附件 2。

第 11 條個人資料事故通知 【法律審查】通知期限與通報分工

1. 受託方知悉委託業務相關個人資料遺失、遭竊或外洩（以下稱「事故」）時，須不遲延地通知委託方。首次通知目標為知悉後 24 小時內；尚未確認的內容先標示「確認中」並通知。
2. 通知應載明事故經過、受影響項目及數量（含估計）、受託方已採措施、委託方應採措施及聯絡窗口，並隨事實確認提供後續報告。
3. 通知資料當事人及向韓國個人資料保護委員會、專業機構通報（韓國《個人資料保護法》第 34 條），屬作為個人資料處理者之委託方的義務；受託方提供所需資料與協助。本條契約通知承諾與法定通報義務分別存在。
4. 程序細節（受理管道、證據保存、代表人不在時的替代程序）依營運文件 D-5「事故應變與通知」節。

第 12 條契約終止時返還與銷毀

1. 契約終止時，受託方須於委託方要求的期限內，以匯出檔案（JSON、CSV）交付對話紀錄、轉接申請及用量明細帳。契約期間，委託方亦可由管理頁面下載完整對話。
2. 返還後（若委託方不要求返還，則自終止日起【30】天內），受託方刪除正式環境原始資料並通知結果。備份副本於保留期（7 天）屆滿後消失；再受託方保留資料及已寄送郵件依附件 2 處理。
3. 依法須保留的交易紀錄（稅務發票等）於法定期間內分開保存，之後銷毀；不含個人資料的用量彙總可基於會計目的保留至附件 2 所列期間。

第 13 條境外處理 【法律審查】境外移轉依據（同法第 28 條之 8）

1. 為產生回覆，諮詢訊息（遮蔽後副本）與知識資料會傳送至附件 1 的 AI 供應商（美國等境外地區）；郵件亦可能經境外基礎設施寄送。儲存位置為大韓民國首爾區域。
2. 本契約僅約定雙方的處理條件，本身不構成最終客戶個人資料境外移轉的合法依據。委託方須於自身隱私權政策揭露移轉項目、國家、時間、方式、接收方及聯絡資訊、目的、保留期間、拒絕方式及效果，或取得必要同意；受託方提供相關文案（AI 告知文案組 D-3）。
3. 採用何種依據（同意、公開履約必要的委託處理與保管等），由委託方經法律審查後決定。

第 14 條損害賠償 【法律審查】上限與免責

1. 受託方或再受託方違反本契約，致委託方或資料當事人受損時，由受託方賠償。
2. 賠償上限為【擇一：損害發生月份前 12 個月使用費／定額 ○○ KRW】；但受託方故意或重大過失所致損害，以及依法不得限制的責任，不適用上限。
3. 委託方已向資料當事人賠償，而原因可歸責於受託方時，委託方得向受託方求償。

第 15 條優先順序與其他事項

• 關於個人資料處理，本契約優先於服務使用條款及報價單。
• 本契約未規定事項依韓國《個人資料保護法》等相關法令；爭議管轄依使用條款。

簽約日 【YYYY-MM-DD】

附件 1再受託方（受託方）名冊

本附件應附簽約時版本的受託方與再受託方登錄名冊（D-2）。

附件 2保留與刪除表

保留及刪除期間於簽約時依下表與隱私權政策確認。

按單一最終客戶刪除（委託方要求）

附件 3不供訓練使用與零保留承諾