GDPR 与数据托管
最后更新：2026年6月4日
本译文仅为方便阅读而提供。本文件以英文版本为准，英文版本具有法律约束力。
本页说明 JWP, LLC（“我们”）如何依据《欧盟通用数据保护条例》 （“GDPR”）及英国 GDPR，处理位于欧洲经济区（“EEA”）、英国和瑞士的 用户的个人数据，以及 Sparkbooth AI 平台（“本服务”）的托管位置。 本页是对我们 隐私政策的补充， 后者描述了我们的整体数据处理做法。
1. 数据控制者
对于我们为运营本服务而收集的个人数据，JWP, LLC 是数据控制者：
- JWP, LLC
- 400 Spear Street, San Francisco, California, United States
- 联系方式：hello@sparkbooth.com
由于我们不属于 GDPR 第 37 条规定的必须任命数据保护官的情形， 我们未任命数据保护官。如有隐私相关问题，请通过上述电子邮件地址 与我们联系，邮件主题注明“GDPR Request”。
2. 本服务的托管位置
本服务运行于位于美国东部（俄亥俄）区域（us-east-2）的 Amazon Web Services（AWS）基础设施上。Sparkbooth AI 平台的所有 应用服务器、数据库和 S3 存储桶均部署在这一单一区域。 数据库备份进行静态加密，并保留在同一区域。
部分处理活动由我们依赖的子处理者（支付、AI 转换、身份验证提供商） 在 us-east-2 之外进行。下文第 5 节列出了每个子处理者及其 处理数据的位置。
3. 国际数据传输
由于我们的基础设施托管于美国，您从 EEA、英国或瑞士使用本服务， 必然涉及 GDPR 第五章意义上的向第三国传输您的个人数据。 我们依赖以下传输机制：
- 欧盟-美国数据隐私框架（DPF）， 包括英国扩展条款和瑞士-美国 DPF（以子处理者已获认证为限）。 截至“最后更新”日期，AWS、Stripe、Google 和 Meta 均已获得 DPF 认证。
- 欧盟委员会批准的标准合同条款（SCCs）， 适用于子处理者未获得 DPF 认证，或 DPF 不适用于相关数据类别 的情形。
JWP, LLC 本身是一家小型美国公司，目前未自行进行 DPF 认证； 对于从 EEA/英国/瑞士向我们进行的传输，我们依赖用户协议中的 SCCs，并辅以第 4 节和第 5 节所述的保障措施。
4. 处理的合法依据
我们根据具体情形，基于以下 GDPR 第 6 条规定的依据处理个人数据：
- 履行合同（第 6(1)(b) 条） — 账户创建、身份验证、处理您提交的转换请求、计费及客户支持。
- 正当利益（第 6(1)(f) 条） — 欺诈和滥用防范、安全监测、调试及改进本服务。在依赖该依据之前，我们会将这些利益与您的权利和自由进行权衡。
- 履行法律义务（第 6(1)(c) 条） — 为税务和会计目的保留支付记录，以及响应主管机关的合法要求。
- 同意（第 6(1)(a) 条） — 当您就特定目的给予同意时，您可随时撤回，且不影响撤回前的处理。
我们不会将个人数据用于对您产生法律效力或类似重大影响的 自动化决策或画像（GDPR 第 22 条）。
5. 子处理者
我们委托以下子处理者提供本服务。每个子处理者仅依据我们的 书面指示处理个人数据，并承担合同约定的保密和安全义务。
| 子处理者 | 用途 | 处理地点 |
|---|---|---|
| Amazon Web Services, Inc. | 应用托管、数据库、S3 存储 | 美国（us-east-2，俄亥俄） |
| Stripe, Inc. | 支付处理与订阅管理 | 美国和爱尔兰 |
| Google LLC (Gemini) | AI 照片转换 | 美国及其他 Google 区域，依 Gemini API 条款 |
| Replicate, Inc. | AI 照片转换（备选提供商） | 美国 |
| Google LLC、Meta Platforms, Inc.、LinkedIn Corporation | 社交登录（仅用于账户身份验证） | 美国及其他区域，依各提供商的条款 |
当我们新增或移除子处理者时，我们会更新此列表。 重大变更将体现在上方的“最后更新”日期中。
6. 数据保留
数据保留情况概述于我们的 隐私政策第 6 节及 数据删除页面。 特别是：
- 上传的照片依据我们的 S3 生命周期策略在 7 天内自动删除。
- 账户数据在您的账户存续期间保留；您可随时请求删除。
- 支付记录依税务和会计合规要求，最长可保留 7 年。
- 服务器日志出于安全和调试目的保留 30 天。
7. 您作为数据主体的权利
根据 GDPR 和英国 GDPR，您有权访问、更正、删除您的个人数据， 有权限制或反对对其进行处理，以及行使数据可携权。 如需行使上述任何权利，请发送电子邮件至 hello@sparkbooth.com， 主题注明“GDPR Request”，并附上与您账户关联的电子邮件地址， 以便我们核实您的身份。我们将在收到请求后一个月内答复； 对于复杂的请求，依 GDPR 第 12(3) 条的规定， 答复期限最多可再延长两个月。
关于账户删除的具体事宜，请参见我们的 数据删除页面。
8. 投诉权
您有权向 EEA、英国或瑞士的监管机构提出投诉——通常是您的居住地、 工作地或涉嫌侵权行为发生地的监管机构。EEA 监管机构名单载于 edpb.europa.eu。我们希望能有机会首先直接解决您的疑虑； 请通过第 1 节中的地址与我们联系。
9. 本页的变更
我们可能会不时更新本页——例如新增子处理者或变更传输机制时。 更新将体现在顶部的“最后更新”日期中。重大变更亦将反映在我们的 隐私政策中。
JWP, LLC · 400 Spear Street, San Francisco, California