附件4：个人数据处理协议（DPA）

本中文版本仅供参考，以塞尔维亚语版本为准（《电子商务居间与委托合同》第26.3条）。

本中文版本中的数字按中文习惯书写（千位用逗号、小数用小数点）；具有约束力的塞尔维亚语文本按塞尔维亚语规则书写（例如 300.000 RSD、99,5%）。

本附件是《电子商务居间与委托合同》（Ugovor o posredovanju i nalogu u elektronskoj trgovini）不可分割的组成部分，依据《个人数据保护法》（Zakon o zaštiti podataka o ličnosti，《塞尔维亚共和国官方公报》（„Sl. glasnik RS"）第87/2018号，以下简称“ZZPL”）及《通用数据保护条例》（GDPR），规范与卖家在平台上经营有关的个人数据处理事宜。

第1条：定义

下列术语具有ZZPL所规定的含义：控制者（rukovalac）、处理者（obrađivač）、数据主体（lice na koje se podaci odnose）、处理（obrada）、个人数据（podaci o ličnosti）、个人数据泄露（povreda podataka o ličnosti）、专员（Poverenik，即公共信息及个人数据保护专员，Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti）。“买家”及其他术语具有基础合同所规定的含义。

第2条：合同双方的角色与地位

2.1. 就买家的个人数据而言，合同双方各自作为独立控制者：Vondi就平台运营、账户、支付及数据分析承担控制者职责，卖家就订单履行、配送、税控开票（fiskalizacija）及售后义务承担控制者职责。双方之间不存在控制者与处理者关系。双方确认，各方为自身需要独立、自主地确定处理的目的和方式，且不存在ZZPL第43条意义上对目的和手段的共同决定，但第2.3条明确约定的情形除外。

2.2. Vondi向卖家传输买家数据，按照控制者对控制者原则进行，且仅限于履行订单及卖家法定义务所必需的范围。

2.3. 如双方在个别情形下共同确定处理的目的和方式，则该处理适用关于共同控制者的规定（ZZPL第43条），并按比例分担责任。

第3条：处理的标的、目的和类型

3.1. 处理的标的、目的、数据类型、数据主体类别及保存期限，规定于本DPA附件A。

3.2. 处理仅为上述目的进行；任何其他处理均须具备单独的法律依据。

第4条：处理的法律依据

4.1. 处理的依据为：（a）履行与买家订立的合同（ZZPL第12条第1款第2项）：用于订单履行、支付及配送；（b）法定义务（ZZPL第12条第1款第3项）：用于税控开票、会计核算、商品投诉（reklamacija）及合同撤回（odustanak）；（c）数据主体的同意：用于直接营销及其他非法定强制的处理。

第5条：卖家的义务

5.1. 卖家处理买家数据仅限于履行订单及履行法定义务（配送、税控开票、商品投诉、合同撤回）。

5.2. 未经数据主体单独作出的、依法有效的同意，禁止卖家将通过平台获取的买家数据用于其自身的直接营销、用户画像或平台以外的销售。本项义务是对基础合同第4.9条的补充。

5.3. 卖家应采取适当的技术和组织安全措施（第8条），仅处理必要的数据（最小化原则），且保存时间不得超过必要期限。

5.4. 卖家应将数据主体或专员提出的、涉及通过平台处理的数据的任何请求，毫不迟延地转交Vondi，以便协调答复。

第6条：Vondi的义务

6.1. Vondi确保在订单成立前向买家提供规定的处理信息（隐私政策），包括有关卖家作为数据接收方的信息。

6.2. Vondi仅向卖家传输履行订单所必需的数据，并采取技术和组织安全措施（第8条）。

第7条：数据主体的权利

7.1. 双方应保障数据主体行使ZZPL规定的权利：查阅权、更正权、删除权、限制处理权、可携带权及反对权。

7.2. 各方就其作为控制者的处理部分，毫不迟延地处理请求，最迟不超过30日。如请求同时涉及双方的处理，双方应相互协作，以便作出完整、及时的答复。

第8条：处理的安全

8.1. 双方应采取与风险相称的适当技术和组织措施（ZZPL第50条），特别是：按照“need to know”（仅限确有必要知悉者）原则进行访问控制；对传输中的数据进行加密，并在适当情况下对存储的数据进行加密；在可能的情况下进行假名化处理；定期备份；记录访问日志；以及制定事件处置程序。

第9条：其他接收方和处理者

9.1. 为履行订单，将委托其他接收方/处理者，特别是：配送服务提供者（塞尔维亚邮政（Pošta Srbije））、税控开票服务提供者（Cornerstone CXS：仅在卖家开通了基础合同第10a条规定的可选自动税控开票服务时）、支付服务提供者（PaySpot、AllSecure）以及数据存储服务提供者（托管）。各方应确保其处理者依据ZZPL第45条规定的书面合同、按照ZZPL行事。

第10条：个人数据泄露

10.1. 发生个人数据泄露时，发生泄露的一方应毫不迟延地通知专员，最迟不超过知悉之时起72小时，但该泄露不太可能对数据主体的权利构成风险的除外（ZZPL第53条）。

10.2. 一方应毫不迟延地将泄露情况通知另一方，以便进行协调。如泄露可能造成高风险，还应通知数据主体（ZZPL第54条）。

第11条：数据的境外传输

11.1. 向塞尔维亚共和国境外传输数据，仅在具备ZZPL规定的适当依据（充分保护、标准合同条款或其他规定措施）时进行。

第12条：保存期限与删除

12.1. 数据的保存以实现目的所需时间为限；对于纳入税控及会计记录的数据，按法定期限保存（依照会计及税控开票相关法规，为10年）。期限届满后，数据应予删除或匿名化。

第13条：责任

13.1. 各方对其自身的处理负责，并承诺赔偿另一方因其违反ZZPL/GDPR或本DPA而遭受的损失和罚款。

第14条：期限、适用法律与管辖

14.1. 本DPA在基础合同有效期内有效；依其性质应继续存续的义务（保密、保存、数据主体权利）在合同终止后仍然有效。适用ZZPL及GDPR；监管机关为专员；争议由贝尔格莱德商事法院（Privredni sud u Beogradu）管辖。

第15条：电子签名与证据效力

15.1. 合同双方一致同意，本DPA及以其为组成部分的主合同（glavni Ugovor），连同其附件、补充协议及通知，通过电子签名平台Documenso（sign.vondi.rs）以电子方式订立和签署。双方承认此类电子签名合法有效并具有约束力，与亲笔签名具有同等法律效力，依据为形式自由原则（《债务关系法》（Zakon o obligacionim odnosima）第67条）以及《电子文件、电子身份识别及电子商务信任服务法》（Zakon o elektronskom dokumentu, elektronskoj identifikaciji i uslugama od poverenja u elektronskom poslovanju，《塞尔维亚共和国官方公报》第94/2017号和第52/2021号）。

15.2. 任何一方均不得仅以本合同系以电子形式制作、签署或送达，或未载有亲笔签名或印章为由，对本合同的有效性、订立或可执行性提出异议（上述法律第50条）。

15.3. 双方同意，Documenso平台的签署记录（audit trail）记载签署人身份、进行签署所使用的电子邮件地址和IP地址以及每一操作的日期和时间，构成关于签署事实、内容和时间以及签署人身份的真实且充分的证据。在可能发生的争议中，该记录具有证据效力，除非有相反证据证明。

15.4. 代表合同一方签署本合同的人，以其签名亲自保证其已获得代表该方及承担本合同项下义务的合法授权，且其用于签署的电子邮件地址由其专用并处于其控制之下。因该声明不实而造成的损失，由签署本合同的人承担责任。

15.5. 本条规定不适用于法律明确要求签名认证、公证形式或其他特殊形式的文件；此类文件由合同双方按照法律规定的形式制作和签署。

附件A：处理说明

签字