資料處理附錄（DPA）

最後更新：2026 年 8 月 20 日

本資料處理附錄（「DPA」）構成 ImmerseMe Limited（「ImmerseMe」）與適用訂單、訂閱、服務協議或其他合約中所指明之客戶（「客戶」）間協議的一部分，但以 ImmerseMe 代表客戶處理與 ImmerseMe 服務相關之個人資料的範圍為限。

1. 定義

「適用資料保護法」是指適用於相關處理活動的隱私、資料保護及學生資料法律，包括（如適用）GDPR、UK GDPR、FERPA、COPPA、美國各州隱私／學生隱私法律及《2020 年紐西蘭隱私法》。

「客戶資料」是指代表客戶提交至服務、儲存於服務中、透過服務產生或以其他方式處理的資料，包括個人資料及機構／學生資料。

「個人資料」是指與已識別或可識別之個人相關的資訊，或適用資料保護法下的同等概念。

「次處理者」是指 ImmerseMe 聘用以代表客戶處理與服務相關個人資料的第三方。

2. 角色與指示

在客戶決定處理活動之目的與方式的情況下，客戶為控制者／企業或同等角色，而 ImmerseMe 為處理者／服務提供者。若客戶本身為處理者，ImmerseMe 則為客戶的次處理者。

ImmerseMe 僅會處理客戶個人資料：

• 用於提供、保護、支援及維護服務；
• 依據客戶以協議、本 DPA 及對服務的授權使用所表達之書面指示；
• 依適用法律的其他要求；在此情況下，除非法律禁止，ImmerseMe 會在處理前通知客戶；以及
• 不會用於無關的廣告、銷售、資料仲介或跨情境行為剖析目的。

3. 客戶責任

客戶負責確保：

• 其對提交至服務的個人資料具有合法依據，並已提供所有必要通知、取得必要許可或同意；
• 其指示符合適用資料保護法；
• 僅將適當的個人資料提交至服務；以及
• 帳戶管理員依據客戶的政策與法律義務，設定及使用包括 AI 與整合功能在內的選用功能。

4. 處理的性質、目的與期間

處理的性質與目的，是提供託管式沉浸式語言學習平台，包括帳戶管理、名冊／班級管理、語言學習活動、進度與報告、語音處理、選用的 AI 對話、整合、交易性通訊、支援、安全性、備份及災害復原。

處理會持續至協議期限屆滿，並持續任何為完成刪除、備份到期、履行法律義務或有效保存要求所需的有限保留期間。

5. 資料主體類別

資料主體可能包括學習者／學生、教師、學校或機構管理員、客戶聯絡人、個人訂閱者及提交支援請求／意見回饋者。

6. 個人資料類別

視客戶對服務的使用情況而定，資料可能包括：

• 姓名、電子郵件地址、使用者名稱、角色及個人檔案／地區設定資訊；
• 組織、學校、班級、名冊及關係資訊；
• 驗證及安全性中繼資料，包括 IP 位址、瀏覽器／使用者代理程式及帳戶活動；
• 學習回覆、分數、進度、完成度、XP 及報告資料；
• 啟用時的作業、任務及成績；
• 用於語音／AI 功能的串流麥克風音訊；ImmerseMe 不會刻意將其持續保存為儲存的原始音訊檔案／實體；
• AI 對話文字、產生的回覆、審核中繼資料及工作階段報告／指標；
• 支援／意見回饋內容及技術背景；以及
• 營運記錄、安全遙測資料及備份資料。

7. 學生與教育資料

在適用 FERPA 或類似學生隱私法律的情況下，ImmerseMe 僅會為經授權的教育／服務目的處理教育紀錄及學生資料，並受客戶指示及適用協議約束。

ImmerseMe 不會出售學生個人資料、將其用於針對性第三方廣告，或將其用於無關的商業剖析。

在適用學校關係要求的情況下，ImmerseMe 將以旨在支援機構履行 FERPA 學校官方架構或同等州法服務提供者規定義務的方式行事，但前提是機構維持法律要求的控制權及合約條件。

8. 保密與人員

ImmerseMe 將確保獲授權處理客戶個人資料的人員受保密義務約束，並接受與其職務相關且適當的安全性、隱私及負責任 AI 意識要求訓練。

對客戶資料的存取受角色及業務需求限制。

9. 安全措施

ImmerseMe 維持旨在保護客戶個人資料免於意外或非法破壞、遺失、變更、未經授權揭露或存取的技術與組織措施。措施包括（視適用情況）：

• 以角色為基礎的存取控制及特權存取限制；
• 針對重要管理存取的多因素或其他驗證控制；
• 使用 TLS 進行傳輸中加密，以及雲端提供者提供的靜態加密；
• 安全密碼及密碼編譯金鑰管理；
• Cloudflare WAF 及 Azure 網路控制；
• 應用程式、驗證及基礎架構記錄；
• 弱點掃描及修補程序；
• 安全軟體開發生命週期及變更管理控制；
• 事件回應程序；
• 端點及遠端工作安全要求；
• 備份／復原及業務持續性控制；以及
• 供應商／次處理者風險管理。

客戶確認，具體控制措施可能會隨時間演進，但 ImmerseMe 不會在未進行適當風險審查的情況下，實質降低整體保護程度。

10. 安全事件

在確認涉及客戶個人資料的安全事件後，如適用資料保護法或協議要求通知，ImmerseMe 將在不當延遲的情況下通知客戶。

通知將包括當時合理可取得的資訊，例如事件性質、受影響資料、可能後果、遏制／補救措施及後續聯絡人。隨著調查持續，資訊可能分階段提供。

ImmerseMe 將採取合理措施遏制、調查及補救事件，並配合客戶就該事件提出的合理資訊要求。

11. 次處理者

客戶授權 ImmerseMe 使用次處理者提供服務，但須遵守本條規定。

ImmerseMe 將：

• 維護目前的重大次處理者清單；
• 要求處理客戶個人資料的次處理者，承擔與處理活動相適當的資料保護義務；
• 在將處理活動委託予次處理者的情況下，仍對其於本 DPA 下的義務負責，但受適用合約及法律限制約束；以及
• 透過其供應商風險程序審查重大次處理者變更。

目前的次處理者資訊，包括提供者名稱、服務／目的、資料類別、處理地點及傳輸資訊，會透過 ImmerseMe 的隱私權政策／信任中心發布，並依據權威次處理者登錄表維護。

如客戶基於有文件記錄的資料保護理由，對新的重大次處理者提出合理異議，雙方將本著善意合作以處理該疑慮。若無合理解決方案，適用協議將規範任何終止權。

12. 國際傳輸

ImmerseMe 的核心生產環境位於澳洲東部，但經核准的次處理者可能在全球範圍內處理資料。

如受 GDPR、UK GDPR 或其他限制傳輸制度約束的個人資料進行國際傳輸，ImmerseMe 將在必要時使用適用的合法傳輸機制，其中可能包括歐盟執委會標準合約條款（「SCC」）、英國國際資料傳輸附錄或其他獲認可的保障措施。

如客戶與 ImmerseMe 之間必須適用 SCC，則在法律必要範圍內，SCC 透過引用納入本 DPA，並採用符合雙方角色的模組。適用協議及本 DPA 將在 SCC 所允許的範圍內提供商業及處理細節。

13. 資料主體請求

考量處理活動的性質，對於個人提出行使適用隱私權利的請求，如相關資料由 ImmerseMe 代表客戶處理，ImmerseMe 將向客戶提供合理協助。

如 ImmerseMe 直接收到與學校／機構控制資料相關的請求，除非法律要求 ImmerseMe 直接回應，ImmerseMe 得將請求人轉介給客戶或與客戶協調。

14. 隱私影響與合規協助

考量處理活動的性質及 ImmerseMe 可取得的資訊，ImmerseMe 將提供合理資訊，協助客戶進行適用的隱私影響評估、資料保護影響評估、監管機關詢問及與服務相關的安全／隱私問卷。

15. 稽核與保證

ImmerseMe 將提供證明其遵守本 DPA 所需的合理資訊，包括相關政策、安全問卷、HECVAT 回覆、次處理者資訊及可取得的第三方保證證據，但須受保密及安全限制約束。

如客戶合理要求額外稽核活動，雙方將事先就範圍、時間、保密、不干擾要求及合理費用之負擔達成協議。未經事先書面授權及同意的作業規則，客戶不得進行安全性測試。

16. 返還、刪除與保留

服務關係結束時或收到有效刪除指示後，ImmerseMe 將依據協議及其《資料保留與刪除標準》，刪除或經核准匿名化由客戶控制的生產環境個人資料；除非法律或合約要求不同期間，通常會在確認終止或核准刪除觸發條件後 30 個日曆日內完成。

資料庫備份副本會在 Azure Blob Storage 中保留最長 30 天，暫存的本機備份副本則保留最長 3 天。從生產環境刪除的資料可能會在備份中保留至正常到期，且除非基於合法復原目的，否則不會還原。

如協議合理要求，ImmerseMe 將在刪除前提供匯出可用客戶資料的機會。在計畫性服務退役或業務關閉情況下，ImmerseMe 旨在於可行時至少提前 90 天通知／提供機會，讓客戶匯出或遷移可用資料，但須受法律、安全性、破產及技術限制約束。

17. 所有權

就雙方而言，客戶保留客戶提供的資料、輸入內容及相關機構內容的所有權。ImmerseMe 僅取得依協議及適用資料保護法所允許，為提供、保護、支援及改進約定服務所必要的權利。

18. AI 處理

如客戶啟用 AI 功能，客戶授權透過經核准的 AI／語音次處理者進行提供該功能所合理必要的處理。

ImmerseMe 不會使用客戶機構資料訓練 ImmerseMe 擁有的基礎模型。生產環境 API 組織已停用 OpenAI 模型改進／資料分享功能。在未啟用零資料保留控制的情況下，供應商標準的濫用監控保留政策仍可能適用。

客戶應避免在自由形式的 AI 對話中提交不必要的敏感資訊，並應依據自身政策及法律義務設定 AI 使用方式。

19. 政府要求

ImmerseMe 將審查政府及執法機關要求，以確認其具有有效的法律授權、管轄權、範圍及比例性。在法律允許且合約適當的情況下，ImmerseMe 將在揭露客戶資料前尋求通知客戶。ImmerseMe 僅會揭露法律要求的資訊。

20. 衝突與優先順序

如本 DPA 與主要協議就個人資料的保護或處理發生衝突，則本 DPA 在衝突範圍內具有優先效力，除非雙方另以書面明確同意。

21. 適用協議

除經本 DPA 修改的部分外，主要協議仍然有效。除非適用資料保護法另有要求，準據法、責任限制、爭議解決及其他商業條款均由主要協議決定。

附表 1 — 處理詳情

本附表說明 ImmerseMe 依據 DPA 代表客戶進行的個人資料處理活動。