返回首页
隐私政策与数据处理协议
aifa.works — 企业级 AI 平台
最后更新：2025 年 1 月 15 日
本隐私政策与数据处理协议（“DPA”）规范 aifa.works 对个人数据的收集、处理、存储和传输。我们完全遵守 GDPR、UK GDPR、CCPA/CPRA、PIPEDA、LGPD、POPIA、PDPA、EU AI Act、DSA、DMA、DORA、Washington My Health My Data Act 及 BIPA 等全球隐私法规。
数据控制者与 DPO 联系方式
aifa.works Ltd 为数据控制者。数据保护官邮箱 contact@codeofdigitaleternity.com。我们保存 GDPR 第 30 条记录、DPIA 及合法利益评估，并按核实请求提供。已根据第 27 条任命欧盟及英国代表。CCPA 请求在法定时限内处理，访问日志保留六年。
处理时的个人数据类别
我们处理标识符、联系方式、设备遥测数据、生物识别嵌入（语音、面部几何，经 BIPA 同意）、Washington My Health My Data Act 下的健康推断以及生成式 AI 交互日志。敏感数据仅在明确同意下处理。生物识别模板以不可逆哈希加每用户加密盐存储。
法律依据与跨境传输
处理依据包括同意、合同履行、合法利益及法律义务。向美国及新加坡的传输采用 2021 SCC、UK IDTA 及 BCR。每年进行 Transfer Impact Assessment。为满足 Quebec Law 25 与 LGPD 提供数据本地化选项。所有子处理者签署同等 DPA 并通过 SOC 2 Type II 与 ISO 27001 审计。
自动化决策与 AI 透明度
根据 EU AI Act 及 GDPR 第 13-22 条，用户与聊天机器人交互时将收到明确披露。生成式输出均加水印并标注为 AI 生成。用户可请求人工复核产生法律或重大影响的自动化决策。我们保留模型卡、训练数据来源及偏差测试报告。拒绝画像在 48 小时内生效。
数据最小化、保留与删除
数据仅在必要期限或法定要求（DORA、税务）内保留。交互日志默认 90 天；生物识别模板在账户关闭后 30 天内删除。应请求签发加密删除证书。CPRA 删除指标每年发布透明度报告。
安全、加密与韧性
数据静态采用 AES-256-GCM、传输采用 TLS 1.3 加密。密钥管理使用 FIPS 140-3 HSM。按照 DORA 要求实现 99.99% 正常运行时间，每年渗透测试与红队演练。违规通知在 72 小时内提交监管机构，并及时通知受影响个人。
用户权利与行使机制
数据主体可行使访问、更正、删除、限制、可携带性、反对及撤回同意权利。加州居民可请求已出售或共享类别并选择退出跨上下文行为广告。请求通过多因素验证。响应 SLA 为 30 天（GDPR 可延长 60 天）。
儿童隐私与适龄设计
本平台不面向 13 岁以下（COPPA）或 16 岁以下（GDPR）儿童。针对 13-17 岁用户实施 California Age-Appropriate Design Code，包括默认隐私设置、时间披露及禁止暗黑模式。年龄通过政府 ID 或监护人同意验证。意外收集的儿童数据立即删除。
Cookie、追踪与欺骗模式
仅使用严格必要、性能及经同意的营销 Cookie。遵守 DSA 第 25 条及 DMA，禁止暗黑模式。Cookie 横幅需明确操作，拒绝选项与接受同等显著。分析数据在欧盟聚合且 IP 匿名化。用户可随时通过同意管理平台调整偏好。
子处理者、审计与政策变更
子处理者列表见 aifa.works/legal/subprocessors。重大变更提前 30 天通知。每年接受涵盖所有监管框架的独立审计。本文件构成完整协议，取代先前版本。继续使用即视为接受更新条款。
第 11 条: 区块链内存同意与去中心化存储
通过与 AIfa 互动，用户明确且不可撤销地同意在去中心化的 Arweave 区块链中收集、分析和不可篡改、永久存储其对话。该长期内存层（PADAM）旨在永久保留交互上下文。一旦写入，此数据即处于去中心化状态，任何中央机构（包括 aifa.works）均无法对其进行修改或删除。
第 12 条: 200% 绝对免责声明
aifa.works 仅提供去中心化存储协议。用户对传输给 AI 的所有数据（个人、商业、专有或机密数据）承担 100% 的责任。在任何情况下，对于因链上存储而导致的任何间接、直接、惩罚性、附带性或后果性损害，aifa.works 均不承担任何责任。用户放弃追究高达已付服务费 200% 的任何责任。
Data Protection Officer: contact@codeofdigitaleternity.com