1. 角色
你是数据处理者或控制者（取决于你与终端用户的关系），我们是受托处理者。我们仅按你的指示与本说明处理个人数据，不用于自身目的（法律要求除外）。
2. 处理范围
| 项目 | 内容 |
|---|---|
| 数据主体 | 你的账号成员与终端用户 |
| 数据类型 | 账号标识、会话与文件内容、运行日志、用量计数 |
| 处理目的 | 提供运行时、隔离执行、配额与安全审计 |
| 处理期限 | 服务存续期间，按保留表清理 |
3. 技术与组织措施
- 存储隔离：tenant_id + 数据库行级安全；跨租户访问需显式审计通道。
- 加密：传输 TLS；模型 Key 与令牌信封加密（AES-GCM，DEK/KEK 轮换）。
- 访问控制：按角色最小权限，管理员操作全部留痕（180 天）。
- 执行隔离：命令在一次性沙盒中执行，任务结束回收。
- 备份：对象存储备份保留 7 天。
4. 子处理者
清单与用途见《子处理者清单》。新增子处理者会提前 7 天在更新日志公告；如你提出合理异议，可终止使用并申请删除数据。
5. 跨境传输
部分子处理者位于境外。我们在注册与账号设置中取得单独同意，并在本说明中列明接收方所在国；如你所在法域要求额外机制（如标准合同），可邮件与我们签署。
6. 协助数据主体请求
应用内自助提供导出与删除。若你的终端用户直接向我们提出请求，我们会转交给你并不自行处理，除非法律要求。
7. 安全事件
确认发生个人数据泄露后 72 小时内通知你，内容包括影响范围、涉及数据类别、已采取措施与建议你采取的措施。
8. 删除与返还
服务终止或你申请注销后，按保留表在 30 天冷静期结束时硬删；备份最长 7 天后不可恢复。导出可在注销前随时发起。
9. 审计
你可每年一次通过问卷或视频会议核实本说明的履行情况；现场审计需提前 30 天书面申请并承担费用。
10. 签署与联系
需要双方签署版本请邮件 legal@holomer.space，我们提供可签署 PDF（与页面同文本）。
本页是合同文本的一部分；如与签署版 PDF 冲突，以签署版为准。