版本1.3 · 最后更新于2026年9月23日
当前版本 · 现行有效
本版本自2026年9月23日起适用。本版本取代版本 1.2。查看上一版本 →
本数据处理附录（“DPA”）构成BCA Labs Corporation（一家在英属维尔京群岛注册成立的公司，其注册办事处位于Intershore Chambers, P.O. Box 4342, Road Town, Tortola, 英属维尔京群岛）（“Blockchain-Ads”或“公司”）与广告主之间的广告主协议的一部分。本DPA通过同一经身份验证的签署记录与广告主协议一并接受和签署，并自该接受之时起生效；其处理者义务在发生属于其范围内的处理时适用。本DPA中未定义的首字母大写术语具有协议所赋予的含义。
公开的Blockchain-Ads网站可能由另一家Blockchain-Ads集团公司运营或管理。除非另有明确说明，该实体并非本DPA或广告主协议的当事方；本DPA仅适用于下文所述范围内的处理。
本DPA仅适用于Blockchain-Ads按下文所述代表广告主处理的个人数据。本DPA不会将独立控制者的处理转变为处理者的处理，亦不规管由另一方独立决定其目的及基本方式的数据。
1.1 适用数据保护法指适用于相关处理的任何隐私或数据保护法律，在适用的情况下包括英属维尔京群岛《2021年数据保护法》（BVI Data Protection Act, 2021）、第(EU) 2016/679号条例（“欧盟GDPR”）、欧盟《电子隐私指令》（ePrivacy Directive）及其各国国内实施法律、英国GDPR及《2018年数据保护法》（Data Protection Act 2018）、经修订的《加州消费者隐私法》（California Consumer Privacy Act，“CCPA”），以及同等的适用法律。
1.2 广告活动数据指代表广告主通过平台处理、用于投放、衡量、保护、归因、优化或报告其广告活动的个人数据，包括通过像素、标签、SDK、API、服务器对服务器连接及转化集成接收的数据、经授权的集成配置数据，以及在广告主为其广告活动目的启用收集的情况下，钱包相关事件或钱包标识符或源自钱包的标识符。
1.3 控制者、处理者、数据主体、个人数据、个人数据泄露、处理及分处理者具有适用数据保护法所赋予的含义。
1.4 如本DPA与协议就本DPA范围内的数据处理事项存在冲突，以本DPA为准。适用的标准合同条款或英国传输附录在其所规管的传输依法所要求的范围内，优先于上述两份文件。
2.1 广告主作为控制者；Blockchain-Ads作为处理者。广告主控制广告活动目的、账户设置、受众、像素/标签配置、已部署的资产、事件选择以及是否启用重定向。对于为提供该等由广告主控制的广告活动服务而处理的广告活动数据，广告主为控制者，BCA Labs Corporation为处理者。广告主记录在案的指示包括协议、本DPA、广告主的账户设置及经授权的广告活动指示，以及与之相一致的合法书面指示。
2.2 Blockchain-Ads作为独立控制者。在BCA Labs Corporation决定相关目的及基本方式的情况下，其就账户管理、合同订立、计费、付款及合规记录、平台安全、欺诈防范、无效流量检测、法律索赔及平台服务分析作为独立控制者行事。根据第2.1条处理的特定广告主的像素、转化及事件数据，不会被Blockchain-Ads用于创建独立的重定向受众或跨客户受众产品，除非广告主另行授权该处理且该处理合法。独立控制者的处理受隐私政策及适用数据保护法规管，而不受本DPA中处理者义务的规管。协议第13.5条规定的公开品牌许可并不授权在公开营销中使用特定广告主的个人数据、保密结果或事件级记录。
2.3 双方不会仅因交换数据或参与同一广告供应链而成为共同控制者。如某项特定处理活动依法构成共同控制关系，双方将在开始该活动前记录所要求的责任分配。
3.1 处理的标的、性质、目的、期限、个人数据类别及数据主体类别载于附表1。
3.2 除适用法律另有要求外，Blockchain-Ads仅应根据广告主记录在案的指示处理广告活动数据。如法律要求进行其他处理，除非法律禁止，Blockchain-Ads将在处理前告知广告主。Blockchain-Ads目前不使用广告活动数据训练或改进通用人工智能或机器学习模型，且在没有新的合法、记录在案的指示或其他法律上有效依据的情况下，不会向第三方人工智能提供商提供广告活动数据以供该提供商训练模型。通过已连接的第三方API接收的数据仍受任何具有约束力的特定提供商数据使用限制的约束。该等做法今后的任何变更仍受本DPA、适用法律以及任何所需的新指示或同意的约束。
3.3 如Blockchain-Ads合理认为某项指示违反适用数据保护法，其将及时告知广告主。在双方处理该问题期间，Blockchain-Ads可暂停受影响的处理。
4.1 广告主声明、保证并承诺：(a) 其具有收集、使用广告活动数据并指示处理该等数据的合法依据；(b) 在需要取得同意的情况下，其在Blockchain-Ads收集工具于其资产上启用之前，提供每一项法律要求的告知并取得每一项所需的同意；(c) 其准确配置并传输适用的同意、选择退出及隐私信号；(d) 其指示、受众列表、事件配置、钱包数据配置及广告活动数据符合适用数据保护法；(e) 除非Blockchain-Ads已明确书面同意且该处理合法，其不会指示Blockchain-Ads根据钱包信息识别自然人、将钱包信息与直接识别信息相结合、推断或定向受法律限制的敏感特征，或处理其他被禁止的数据；以及 (f) 其有权提供广告活动数据并指示Blockchain-Ads对其进行处理。
4.2 广告主仍对广告活动数据的准确性、质量及合法性以及其获取该等数据的方式负责。通过协议接受本DPA，即表示广告主确认：“本人理解并接受，托管协助不会转移本人对合法依据、收集告知、同意信号、指示或本人广告活动数据的来源及准确性所负有的责任。”这并不免除Blockchain-Ads的处理者义务或因其自身独立控制者处理而产生的义务。
4.3 对于因广告主违反本DPA、作出非法指示、缺失告知或同意或告知或同意无效，或非法收集或披露广告活动数据而引起的第三方索赔、数据主体索赔、监管程序及罚款（在依法可予补偿的范围内），广告主应向Blockchain-Ads及根据协议第8条受保护的人员作出补偿。在由Blockchain-Ads的违约、过失、欺诈或故意不当行为所致的范围内，本补偿不适用，且本补偿受协议规定的程序及适用法律的约束。
5.1 对于作为处理者处理的广告活动数据，Blockchain-Ads应：(a) 仅根据记录在案的指示并为附表1所述目的处理广告活动数据；(b) 确保经授权人员受适当保密义务的约束；(c) 实施并维持附表2所述的技术和组织措施；(d) 考虑到处理的性质，通过适当措施协助广告主处理数据主体请求；(e) 考虑到Blockchain-Ads可获得的信息，在安全、泄露通知、数据保护影响评估及与监管机构的咨询方面合理协助广告主；(f) 在知悉影响广告活动数据的个人数据泄露后，无不当延迟地通知广告主；以及 (g) 根据第9条提供为证明遵守本DPA所合理必需的信息。
5.2 本DPA所要求的协助包含在服务之内；Blockchain-Ads不会就此计算或另行收取单独的服务费用。其范围仍限于本DPA所述的协助，并考虑处理的性质及可获得的信息，而不包括无限制的咨询或开发。法定义务及答复期限不以进一步的商业批准为条件。外部审计费用仍受第9.3条规管。
6.1 广告主给予一般书面授权，允许Blockchain-Ads委任分处理者以提供服务。
6.2 Blockchain-Ads维护有关代表Blockchain-Ads实际处理广告活动数据的分处理者的最新信息。该等信息可通过平台、指定的在线通知或应向privacy@blockchain-ads.com提出的请求以电子方式提供，并可不时更新。本DPA并不使Blockchain-Ads承诺使用特定的云服务提供商、基础设施供应商、处理国家、数据中心位置或托管区域。独立供应合作方、支付服务提供商及广告主选定的已连接服务，不会仅因平台与其互操作而成为分处理者。
6.3 如适用数据保护法要求就拟增加或更换分处理者发出通知，Blockchain-Ads将通过已注册的账户电子邮箱、经身份验证的平台通知或其他合理的电子方式发出事先通知，并留出足够时间，使广告主获得法律要求的提出异议的机会。除非适用法律要求，否则无需个别签署或批准。
6.4 广告主可在该期间内基于合理且有据可查的数据保护理由提出异议。双方将本着诚信尝试解决该异议。如无合理的解决方案，广告主仅可终止受影响的处理或广告活动。广告额度及任何退款请求仍专门受协议第17条规管；对分处理者提出异议并不产生自动退款的权利。
6.5 Blockchain-Ads将对每一分处理者施加数据保护义务，该等义务就相关处理而言的保护程度不低于本DPA对Blockchain-Ads所施加的义务，并在适用数据保护法要求的范围内对分处理者的履行继续承担责任。
6.6 广告主选定的已连接服务。由广告主选定、控制并连接的第三方账户、平台或集成，不会仅因平台与其互操作或向其发送经广告主授权的指示而成为Blockchain-Ads的分处理者。广告主仍对该已连接服务及其权限和配置负责，但Blockchain-Ads另行委任该提供商代表Blockchain-Ads处理广告活动数据的除外，在此情况下适用第6.1条至第6.5条。
7.1 在遵守本条及适用数据保护法的前提下，广告主授权Blockchain-Ads及其经授权的分处理者在发生经授权处理的国家处理广告活动数据。处理地点可能随提供商及基础设施的变化而变化；本DPA不保证任何地点或托管区域。
7.2 对于从欧洲经济区向BCA Labs Corporation进行的、需要且可合法使用欧盟委员会第(EU) 2021/914号实施决定（Commission Implementing Decision (EU) 2021/914）所附标准合同条款的传输，该等未经修改的条款以引用方式纳入。适用模块二（控制者至处理者）；适用第7条（对接条款）；第9(a)条采用选项二，且根据第6.3条发出的事先通知足以在新的分处理者开始相关处理之前提供提出异议的合理机会；第11条中可选的独立争议解决措辞予以省略；第17条采用爱尔兰法律，第18条采用爱尔兰法院。附表1构成附件一，附表2构成附件二。如实际角色或传输超出该配置范围，在有效的机制及所需信息到位之前，不得开始受影响的传输。
7.3 对于需要适用欧盟SCC之英国国际数据传输附录（UK International Data Transfer Addendum）的英国受限传输，当时有效的经批准附录中的强制性条款在法律适用的范围内予以纳入。当事方、角色及传输详情载于附表1；欧盟SCC的选择项为第7.2条所列者；安全信息载于附表2。强制性附录所要求的任何额外信息必须反映传输发生时的实际传输情况。如使用其他合法的英国传输机制，则改由该机制规管。
7.4 Blockchain-Ads将实施适用数据保护法合理要求的补充措施，并提供广告主进行传输评估所合理必需的信息。各方仍对其适用的传输义务负责。在受限传输开始之前，双方必须完成任何法律要求的传输评估，并落实有效的补充措施。签署本DPA本身并不确立某一特定目的地或传输属合法。
7.5 如已纳入的传输机制被替代、被宣布无效或在法律上不再可用，双方将合作实施有效的替代机制。在合法机制可用之前，Blockchain-Ads可暂停受影响的处理。
8.1 Blockchain-Ads将维持与广告活动数据的性质及风险相适应的措施，包括附表2所述的措施。在整体保护水平未实质性降低的情况下，Blockchain-Ads可更新该等措施。
8.2 个人数据泄露通知将包括Blockchain-Ads可合理获得的有关事件性质、受影响数据、可能后果、控制措施及联络点的信息。通知并不构成对过错或责任的承认。
8.3 广告主负责保障其资产、账户凭证、集成、端点及经授权用户的安全，并在怀疑发生影响广告活动数据的泄露时及时通知Blockchain-Ads。
9.1 经合理书面请求，Blockchain-Ads将提供为证明遵守本DPA所合理必需的信息。Blockchain-Ads可通过安全文件、问卷、认证或独立审计报告履行该义务。
9.2 如经证明该等信息不足，且适用数据保护法要求进一步检查，广告主可在任何12个月期间内，经至少提前30天通知，进行一次审计。审计必须在营业时间内进行，避免造成不合理的干扰，保护其他客户的数据及Blockchain-Ads的保密信息，并遵守合理的安全及保密要求。
9.3 除非审计确认Blockchain-Ads存在重大违约，否则广告主承担合理的外部审计费用。Blockchain-Ads不会就其根据本DPA所需提供的自身协助另行收取单独的服务费用。在监管机构要求或发生影响广告主广告活动数据的重大个人数据泄露后，允许进行额外审计；强制性的检查及审计权利不受影响。
10.1 如Blockchain-Ads收到仅与其作为处理者处理的广告活动数据相关的请求，其可将请求人转介至广告主，并将合理协助广告主作出答复。
10.2 各方独立负责处理与其作为控制者的数据相关的请求及监管沟通。
10.3 除法律禁止外，广告主在向监管机构作出将违约或违规归咎于Blockchain-Ads的陈述之前，应通知Blockchain-Ads，并在合法且切实可行的情况下提供合理的答复机会。本条并不要求取得联系主管机关的许可，不延迟强制性报告，亦不限制受保护的投诉或披露。
11.1 在服务期间，广告活动数据根据平台适用的保留设置及附表1中的保留标准予以保留。由广告主控制的像素、转化、受众事件及钱包相关广告活动数据最长可保留12个月，但提前删除或为有据可查的法律、安全或争议目的而依法保留更长时间的除外。
11.2 受影响的服务终止后，在遵守适用数据保护法的前提下，Blockchain-Ads可通过其常规删除流程删除广告活动数据。如广告主希望获得返还副本，应在终止时或终止前提出返还请求，且无论如何应在删除开始前提出。如适用数据保护法要求返还且已及时提出请求，Blockchain-Ads将采用合理可用的安全返还方式。强制性的返还、删除及保留要求优先适用。
11.3 Blockchain-Ads可保留其作为独立控制者持有的数据、安全及审计记录、法律索赔记录以及法律要求保留的数据。根据本款保留的特定广告主的个人数据仍受保护，并在适用目的结束时予以删除或去标识化。
11.4 不再构成个人数据的汇总信息或经不可逆去标识化的信息，可在无固定期限的情况下予以保留。
12.1 在BCA Labs Corporation根据CCPA就广告活动数据作为服务提供商或承包商行事的范围内，除CCPA及其实施条例允许的情况外，其不得出售或共享该等广告活动数据，不得在直接业务关系之外保留、使用或披露该等数据，亦不得将其与从其他人处收到的个人数据相结合。
12.2 Blockchain-Ads证明其理解并将遵守第12.1条中的限制，并在其确定无法再满足该等限制时通知广告主。广告主可采取合理措施制止并纠正未经授权的使用。
12.3 第12条不适用于隐私政策中披露的独立控制者处理。Blockchain-Ads负责就该等独立处理提供任何法律要求的告知及选择退出机制。
13.1 各方对其自身的处理记录、影响评估、代表委任、数据保护官义务、向监管机构的登记及其他问责义务负责。
13.2 如欧盟GDPR第27条或英国GDPR第27条要求BCA Labs Corporation委任代表，Blockchain-Ads将在开始受影响的独立控制者处理之前，在其隐私政策中公布所委任代表的联系方式。本DPA的任何内容均不推迟或取代该项法定义务。
13.3 除非Blockchain-Ads已记录证明，使用合理可能采用的手段，该等数据无法被合理地与已识别或可识别的个人相关联，否则Blockchain-Ads不会声称假名化数据属于匿名数据。
14.1 本DPA项下的责任受协议第8条及第16条的约束，但适用法律或已纳入的传输机制不允许限制责任的除外。任何内容均不限制数据主体的权利或监管机构的权力。
14.2 本DPA受英属维尔京群岛法律及协议第15条争议条款的管辖，但已纳入的传输机制就该机制项下的索赔强制性另有规定的除外。
14.3 如某项条款无效或不可执行，该条款将在必要的最小范围内予以修改或被分割，且不影响其余条款。
14.4 广告主通过接受广告主协议的同一电子或书面签署，接受并签署本DPA及其附表；无需另行签署DPA或勾选复选框。所保留的记录载明DPA版本、广告主、授权代表及签署日期。BCA Labs Corporation将本DPA作为广告主协议的一部分提供，并在广告主有效接受后即受其约束；无需公司另行会签。经身份验证的记录亦证明双方同意根据第7条及附表1完成的适用传输条款。该记录并不代表个别数据主体作出同意。DPA的变更遵循广告主协议第14.3条，且不会在其允许的程序之外修改强制性传输条款。
数据输出方：账户及所保留的协议/DPA接受记录中载明的广告主。联系方式：授权代表、已注册的账户电子邮箱或其后指定的隐私联系人。角色：模块二所规管的广告活动数据的控制者。活动：运营广告主的资产及广告活动，并指示广告衡量、投放及报告。签署及日期：经身份验证的协议/DPA接受记录。
数据输入方：BCA Labs Corporation，Intershore Chambers, P.O. Box 4342, Road Town, Tortola, 英属维尔京群岛。联系方式：隐私职能部门，privacy@blockchain-ads.com。角色：本DPA范围内广告活动数据的处理者。活动：提供下文所述的广告技术及受指示的服务。BCA对该等条款的同意通过第14.4条规定的接受机制，于为广告主签署所记录的日期生效。
在相关集成或广告活动处于活动状态期间，传输持续进行。处理可包括为本DPA所述目的而进行的收集、传输、记录、组织、托管、存储、检索、匹配、分析、衡量、报告、安全、更正及删除。敏感类别数据及直接标识符不在范围之内，除非已另行约定并采取所需的保障措施。期限遵循相关服务及下文的保留标准。
就欧盟SCC附件一C部分而言，主管监管机构根据第13条确定：如输出方设立于欧洲经济区成员国，则为负责输出方合规事宜的监管机构；如适用相关规则，则为输出方的第27条代表所在地的监管机构；如输出方没有必须委任的代表，则为账户传输详情中载明的、受影响数据主体所在的欧洲经济区成员国的监管机构。相关输出方的设立地、代表或所选成员国必须在传输前予以记录；爱尔兰法律作为管辖法律本身并不选定爱尔兰监管机构。就英国附录而言，主管机关为英国信息专员（UK Information Commissioner）。
处理标的。 广告活动投放、频次管理、衡量、归因、转化跟踪、报告、广告主配置的受众及重定向、安全以及无效流量过滤。
期限。 受影响服务的期限加上下文所列的保留期。
数据主体。 广告主网站、应用程序及dApps的访问者和用户；广告的接收者；以及其事件通过经广告主授权的集成进行衡量的个人。
个人数据。 Cookie及设备标识符、移动广告标识符、IP地址、用户代理及设备/浏览器信息、粗略位置、发布商或应用程序背景信息、URL及引荐来源、时间戳、竞价及投放数据、展示及点击数据、转化及事件数据、同意或隐私信号，以及在广告主为其广告活动目的启用的情况下，钱包相关事件或钱包标识符或源自钱包的标识符。
拟排除的数据。 特殊类别或敏感数据、儿童数据、密码、支付卡数据、金融账户凭证及直接标识符，除非已明确书面约定。
竞价及投放日志。 在广告活动投放、计费、对账、无效流量及欺诈控制、安全、争议处理及适用法定义务所合理必需的期间内予以保留。
广告主像素及事件广告活动数据。 像素、转化、受众事件及钱包相关广告活动数据自收集之日起最长可保留12个月，但要求提前删除或为有据可查的法律、安全或争议目的而要求依法保留更长时间的除外。
安全、IVT、同意证据、争议、账户、计费、税务、合规及法律记录。 该等记录可作为独立控制者记录单独持有，持有期间为实现其目的及遵守适用法律所合理必需的期间。
Blockchain-Ads维持与风险相适应的措施，包括：
安全措施可随风险及技术的发展而演进，但整体保护水平不得实质性降低。
