Perplexity 資料處理附錄

最後更新日期：2025年7月8日

本資料處理附錄（「DPA」）構成 Perplexity AI, Inc.（「Perplexity」）與商業客戶（「客戶」）之間明確提及本附錄之特定服務條款及其他協議（包括但不限於Perplexity Pro for Enterprise 服務條款及Perplexity API 服務條款）的一部分並納入其中，旨在規範客戶對 Perplexity 服務（「服務」，且該相關服務條款或其他協議統稱為「協議」）的使用。若 Perplexity 在客戶使用服務的過程中處理任何個人資料，本 DPA 將規定客戶處理該等個人資料的指示，以及雙方的權利與義務。除本 DPA 明確規定外，協議應保持不變且持續完全有效。若本 DPA 與協議之間存在任何衝突，應以本 DPA 為準。

定義。為本 DPA 之目的，下列條款應具有下述含義。本 DPA 中使用但未定義之大寫術語，應具有 Perplexity Pro for Enterprise 條款與條件中所賦予之含義。本 DPA 中未於協議中另行定義之所有其他大寫術語，應具有隱私法律中賦予之對應含義。

「控制者對處理者條款」指：(i) 就受 GDPR 約束之個人資料傳輸而言，指歐盟委員會於 2021 年 6 月 4 日作出之 2021/914 號決定中規定的向第三國傳輸個人資料之標準合約條款，特別包括模組 2（控制者對處理者）（「歐盟 SCC」）；及 (ii) 就受英國 GDPR 約束之個人資料傳輸而言，指英國資訊專員發布之歐盟委員會標準合約條款的國際資料傳輸附錄（版本 B.1.0）（「英國附錄」），上述各項均應視情況不時修訂、更新或替換。

「歐盟/英國隱私法律」指適用之下列各項：(i) 2016/679 號《一般資料保護規則》（「GDPR」）；(ii) 2002/58/EC 號《隱私與電子通訊指令》；(iii) 2018 年《英國資料保護法》、經《2019 年資料保護、隱私與電子通訊（修訂等）（歐盟退出）條例》（與 2018 年《英國資料保護法》合稱「英國 GDPR」）修訂的 2018 年《英國資料保護法》所定義之《英國一般資料保護規則》，以及 2003 年《隱私與電子通訊條例》；及 (iv) 任何實施上述任一項目的相關法律、指令、命令、規則、法規或其他具約束力之文書，於適用及生效時，並經不時修訂、合併、重新制定或替換者。

「個人資料」指 Perplexity 為提供服務而代表客戶處理的任何資訊，且該資訊在任何隱私法律下被定義為「個人資料」、「個人資訊」或「個人身份識別資訊」。

「隱私法律」指適用之歐盟/英國隱私法律、美國隱私法律及任何其他管轄區與資料保護、隱私或使用個人資料相關的類似法律，且要求控制者與處理者就個人資料之處理同意承擔特定合約義務之法律，上述各項均於適用及生效時，並經不時修訂、合併、重新制定或替換者。

「處理者對處理者條款」指：(i) 就受 GDPR 約束之個人資料傳輸而言，指歐盟委員會於 2021 年 6 月 4 日作出之 2021/914 號決定中規定的向第三國傳輸個人資料之標準合約條款，特別包括模組 3（處理者對處理者）；及 (ii) 就受英國 GDPR 約束之個人資料傳輸而言，指英國資訊專員發布之歐盟委員會標準合約條款的國際資料傳輸附錄（版本 B.1.0），上述各項均應視情況不時修訂、更新或替換。

「第三國」指歐洲經濟區或英國資料保護法律範圍以外的任何國家或領土（視情況而定），但不包括相關主管機關不時批准認為對個人資料提供充分保護的國家或領土。

「美國隱私法律」指適用之《加州消費者隱私法》、《科羅拉多州隱私法》、《康乃狄克州資料隱私法》、《猶他州消費者隱私法》、《維吉尼亞州消費者資料保護法》，以及任何其他州與處理個人資料相關的類似法律，以及依據上述任何法律所頒布的法規，上述各項均於適用及生效時，並經不時修訂、合併、重新制定或替換者。

術語「企業」、「控制者」、「處理者」、「銷售」、「服務提供者」及「分享」應具有適用隱私法律所賦予之含義。

雙方之角色。雙方承認，就提供服務時從客戶接收的任何個人資料而言，依據隱私法律之目的，客戶為控制者或處理者或企業，而 Perplexity 為服務提供者或處理者。

客戶義務：客戶應在提供個人資料予 Perplexity 以配合其使用服務時遵守所有隱私法律，包括使用服務之任何整合功能。客戶聲明並保證：(a) 所有個人資料均由客戶或代表客戶依法收集，並始終在符合所有隱私法律的情況下進行處理與維護，包括關於向個人提供通知及/或取得個人同意之任何義務；且 (b) 客戶已遵守隱私法律（包括具備合法基礎），且已具備所有必要權利、許可、同意及授權，得將個人資料揭露予 Perplexity，並使 Perplexity 得依協議及本 DPA 之規定處理該等個人資料。客戶不得採取任何會導致將個人資料提供予 Perplexity 之行為被視為美國隱私法律下之「銷售」或「分享」，或導致 Perplexity 在美國隱私法律下不被視為「服務提供者」或「處理者」。若客戶認定依據協議對個人資料之處理不符合或將不符合隱私法律，客戶應毫不遲延地通知 Perplexity，在此情況下，Perplexity 無需繼續處理該等個人資料。

個人資料之處理。雙方同意處理之細節如附件 1 所述。在依據協議處理個人資料時，Perplexity 將：

僅根據客戶之書面指示，為附件 1 所述之有限且特定目的處理個人資料，除非適用隱私法律另有允許，且須始終符合隱私法律及本 DPA 之條款，提供隱私法律所要求之同等隱私保護水平；

若發生以下情形，應立即通知客戶：(i) Perplexity 認定其無法再遵守客戶關於處理個人資料之指示、其於隱私法律下之義務或本 DPA 之條款；或 (ii) Perplexity 認為客戶之指示違反適用之隱私法律；

在隱私法律要求之範圍內，授予客戶採取合理且適當措施之權利，以協助確保 Perplexity 係以符合客戶於本 DPA 及隱私法律下義務之方式使用個人資料，並停止及補救任何未經授權使用個人資料之行為；以及

要求每位處理個人資料之員工或其他人員，就該等個人資料負有適當之保密義務。

禁止事項。在隱私法律要求之範圍內，Perplexity 不得 (a) 銷售或分享個人資料，(b) 在 Perplexity 與客戶之間的直接業務關係之外保留、使用或揭露個人資料，或將其用於除向客戶提供服務之特定目的以外的任何目的，或 (c) 將從客戶處或代表客戶接收的個人資料，與 Perplexity 可能從與個人資料相關之個人進行的獨立互動中或從任何其他來源收集的任何個人資料進行合併。為免疑義，個人資料不會用於訓練 Perplexity 的大型語言模型。若 Perplexity 接獲 (i) 執法機關關於揭露個人資料之任何具法律約束力之請求；或 (ii) 任何主管機關/監管機構（或類似機構）關於個人資料之任何通知、查詢或調查；或 (iii) 任何資料主體之投訴或請求，且上述各項均與本 DPA 下 Perplexity 代表客戶處理個人資料相關，則 Perplexity（在法律允許之範圍內）應通知客戶。

分包商之使用。

客戶茲此授予 Perplexity 一般書面授權，得依據本第 6 節之要求聘用附件 2 所列之分包商。

若 Perplexity 指派新的分包商，或擬對非模型提供者（定義如下）之任何分包商進行新增或替換，應提前十個工作日以書面通知客戶（電子郵件即視為有效），客戶得於該期間內，基於與個人資料之保密性、安全性或分包商是否遵守隱私法律相關之合理且有憑據之理由提出反對（若客戶未提出反對，Perplexity 得繼續進行指派或替換）。若客戶於五日內提出反對，客戶與 Perplexity 應共同以誠信原則尋求解決方案（例如限制個人資料之使用，或客戶暫時或永久停止使用服務之特定面向或功能）。若經誠信討論後仍無法達成解決方案，客戶得（作為其唯一救濟）終止協議，並獲退還任何未使用的預付費用（定義於協議中）。

若 Perplexity 指派新的分包商，或擬對提供大型語言模型或其他生成式人工智慧模型之任何分包商（「模型提供者」）進行新增或替換，Perplexity 將通知客戶（電子郵件即視為有效），並更新位於 www.perplexity.ai/hub/legal/third-party-models 之「第三方提供者」列表（為明確起見，該列表中每一項均為本 DPA 下之模型提供者）。若客戶反對該指派或替換，客戶之唯一救濟為（且客戶必須）停止使用服務中相關之第三方模型（為明確起見，客戶可於指派或替換後隨時執行此操作）。

Perplexity 聘用分包商時，須簽訂書面協議，其中包含分包商須承擔之義務，且該義務對相關分包商之要求不得低於本 DPA 下 Perplexity 所承擔之義務。

若 Perplexity 依據歐盟/英國隱私法律聘用分包商代表客戶進行特定處理活動，而該分包商未能履行其義務，Perplexity 就該分包商義務之履行，仍應依據適用之歐盟/英國隱私法律對客戶負全責。

協助。就個人資料之處理，為使客戶能夠遵守其因此而產生之義務，Perplexity 應透過以下方式向客戶提供協助：

在可能之範圍內，將個人依據隱私法律行使其權利之請求通知客戶，包括透過提供、刪除或更正相關個人資料，或使客戶能夠執行相同操作；

在隱私法律要求之範圍內，進行資料保護影響評估，並於需要時，事先諮詢相關主管機關；以及

於 Perplexity 知悉任何未經授權或非法存取、銷毀、使用、遺失、修改或揭露個人資料（「個人資料外洩」）時，毫不遲延地通知客戶。

安全措施。Perplexity 應考慮技術水平、實施成本以及處理之性質、範圍、背景和目的，實施適當之技術、物理及組織措施，旨在提供與風險相稱之安全等級，如附件 3 所述，或由客戶與 Perplexity 不時另行協議並記錄之措施，並應在協議期限內持續遵守該等措施。Perplexity 將對獲授權存取個人資料之員工及其他人員提供資料保護與安全培訓。

存取與審計。若客戶提出合理書面請求，且在隱私法律要求 Perplexity 履行之範圍內，Perplexity 應允許並協助客戶進行關於 Perplexity 是否遵守本 DPA 及隱私法律義務之檢查與審計。應客戶請求，Perplexity 將提供合理必要之資訊，以證明該等合規性，及/或安排具備資格且獨立之審計師，使用適用且被認可之控管標準或框架及審計程序，對 Perplexity 之政策以及技術與組織措施進行評估。經合理請求，Perplexity 將向客戶提供該評估報告。客戶得於向 Perplexity 提前 30 天發出書面通知後，每 12 個月申請不超過一次該類資訊及/或審計（在隱私法律要求之範圍內），且僅在雙方就審計範圍達成協議，並確保審計師受保密義務約束之情況下進行。儘管有上述規定，若給予客戶存取資訊、設施或系統之權限將導致賣方違反對其他客戶之保密義務或其法律義務，則賣方在任何情況下均無需提供此類權限。

個人資料之刪除。 Perplexity 應於提供客戶服務結束後三十日內刪除（或依客戶選擇，歸還）所有個人資料，除非法律要求保留該等個人資料，在此情況下，Perplexity 應毫不遲延地通知客戶有關此類法律要求，並於該保留義務期滿後刪除（或依客戶選擇，歸還）個人資料。

資料傳輸。在 Perplexity 於第三國處理受歐盟/英國隱私法律約束之個人資料，且作為資料進口方時，Perplexity 應遵守控制者對處理者條款或處理者對處理者條款（視情況而定）中規定之資料進口方義務，該等條款茲此納入本 DPA 並成為其一部分，且：

就附件 I 或第 1 部分（視情況而定）之目的而言，(i) 客戶為控制者或處理者（視情況而定），Perplexity 為處理者；且 (ii) 協議、本 DPA 及附件 1 中載明之雙方、聯絡人詳情及處理細節均適用，且開始日期為協議生效日期；

若適用，就英國附錄第 1 部分之目的而言，相關附錄歐盟 SCC（該術語在英國附錄中有定義）係指依據本第 11 節納入本 DPA 之歐盟 SCC；

就附件 II 或第 1 部分（視情況而定）之目的而言，技術與組織安全措施，以及 Perplexity 為協助客戶而採取之技術與組織措施（如附件 3 各自所述）均適用；

若適用，就附件 III 或第 1 部分（視情況而定）之目的而言，附件 2 中所列之獲授權分包商列表適用；以及

若適用，就以下條款而言：(i) 第 9 條，選項 2（「一般書面授權」）視為已選定，並提及第 6.b 及 6.c 節關於通知期限之規定；(ii) 第 11(a) 條，與獨立爭議解決相關之選填用語視為已包含；(iii) 第 13 條及附件 I.C，主管監督機關應為愛爾蘭監管機構；(iv) 第 17 及 18 條，選項 1 視為已選定，準據法及主管法院應分別為愛爾蘭法律及愛爾蘭法院；且 (v) 第 1 部分，客戶作為出口方得依據該英國附錄第 19 節終止英國附錄。

在 Perplexity 指派關係企業或第三方分包商於第三國處理個人資料之範圍內，Perplexity 應代表客戶與其指派之任何相關分包商（包括關係企業）簽署處理者對處理者條款。經客戶請求，Perplexity 應與客戶另行簽署控制者對處理者條款，並採取客戶合理要求之任何其他替代或額外步驟，以確保 Perplexity 處理個人資料之行為符合隱私法律之要求。

責任。受限於歐盟標準合約條款 (EU SCCs) 第 12 條及任何不得以合約限制之適用法律，各方因本 DPA、歐盟標準合約條款及英國附加條款所產生或相關之合約、侵權或其他形式之全部賠償責任總額，均受協議中所規定之責任排除與限制之約束；且本 DPA、歐盟標準合約條款或英國附加條款下之任何責任皆計入該限制內，且不會增加該限制。本條之任何規定均不限制任何一方根據歐盟標準合約條款第 12(b) 條或第 12(c) 條對資料主體所負之責任，亦不限制任何依適用資料保護法不得限制之責任。

附件 1

處理細節：

處理之性質

協議中所述向客戶提供服務。

處理目的

協議中所述向客戶提供服務。

被處理個人資料之個人類別

服務之獲授權使用者，以及客戶另行確定之其他人員。

被處理個人資料之類別

獲授權使用者之帳戶資訊，以及客戶所確定透過服務提交之輸入內容中包含的個人資訊。輸入內容中包含的任何個人資訊將儲存至下列日期中較晚者為止：(a) 客戶透過服務介面將其刪除之日；及 (b) Perplexity 不再向客戶提供服務後三十日之日。

隱私法律下被視為「敏感」或「特殊類別」且受處理之個人資料類型

除非獲授權使用者在輸入內容中意外包含，否則無意處理任何敏感資料。

處理頻率（例如一次性或持續性）及持續期間

於協議期限內及協議中所述之任何終止後保留期內，持續進行處理。

依據第 6 節獲授權之任何分處理者所進行之處理的主旨、性質及持續期間，如本附件 1 及附件 2 所述。

附件 2

獲授權分包商：

如 https://perplexity.coolkeypoint.com/__p/trust.perplexity.ai/subprocessors（「信任中心次委外處理廠商清單」）所述。

附件 3

安全措施：

Perplexity 維持與個人資料處理所呈現風險相稱之合理安全措施，並依賴附件 2 所列分包商（包括 Amazon 及 Microsoft）實施並維護之安全措施。有關 Perplexity 安全承諾之詳細資訊，請參閱協議。