法律信息
数据处理协议
用于遵守 GDPR 和瑞士 FADP 的标准合同条款。自动适用于所有付费订阅。
最后更新：2026 年 5 月 25 日
“控制者” 指在其 Clavitor 保管库中创建并拥有数据的自然人。您始终是您自己的凭据和个人数据的控制者。
“处理者” 指 Clavitor.ai，即代表控制者提供托管基础设施、加密编排和数据存储服务的实体。
“数据主体” 指其个人数据被处理的自然人——这可能是您（控制者）或您将其数据存储在保管库中的其他人（家庭成员、员工、客户）。
“个人数据” 指存储在您的保管库中与已识别或可识别自然人相关的任何信息，包括但不限于：凭据、密码、API 密钥、支付卡数据、身份证件和联系信息。
“处理” 指对个人数据执行的任何操作，包括收集、存储、加密、传输、备份和删除。
| 项目 | 详情 |
|---|---|
| 主题事项 | 加密凭据保管库托管及相关服务 |
| 期限 | 在您的订阅期内，外加取消后的 30 天只读宽限期。宽限期结束后将删除保管库数据。合规备份将在删除后 30 天销毁。可根据要求立即删除。 |
| 性质和目的 | 加密数据存储；身份验证编排；备份和灾难恢复；技术支持（受零知识架构限制） |
| 个人数据类型 | 用户凭据、身份验证令牌、支付卡数据、身份证件、安全笔记、TOTP 种子、元数据 |
| 数据主体类别 | 控制者（账户持有人）以及控制者选择存储其数据的第三方 |
3.1 仅根据书面指示进行处理。 Clavitor 仅为了提供我们的服务条款中所述的保管库服务而处理个人数据。我们不会将数据用于自身目的、训练 AI 模型、获取洞察或通过订阅费以外的方式变现。
3.2 确保机密性。 所有可能访问基础设施的 Clavitor 人员均受保密协议约束。访问权限基于最小特权原则授予并记录在案。
3.3 实施安全措施。 我们实施：
- 端到端加密：静态和传输中的数据均经过加密
- 分层加密（L2/L3）：身份字段使用从您的设备派生的密钥（WebAuthn PRF）进行加密——我们无法解密
- 零知识架构：我们无法解密保管库内容；只有元数据（条目 ID、类型、时间戳）是可读的
- 基于设备的身份验证（WebAuthn）：服务器端不存储密码
- 地理分布：21 个存在点（POP），具有加密复制功能
- 事件响应：全天候监控、自动警报、记录在案的数据泄露处理程序
3.4 子处理者透明度。 我们仅使用我们的子处理者列表中列出的子处理者。在添加任何新的子处理者之前，我们会提前 30 天通知订阅者。
3.5 协助行使数据主体权利。 根据您的请求，我们将协助您响应数据主体行使 GDPR/FADP 规定的权利（访问、更正、删除、可携权、限制、反对）的请求。注意：由于加密架构，我们无法访问或修改加密的保管库内容；协助仅限于账户级操作。
3.6 协助履行安全义务。 我们根据请求提供安全文档、渗透测试摘要（详细信息需签署 NDA）和审计日志。
3.7 删除或返还数据。 订阅终止后，您的保管库将变为只读状态 30 天。30 天后，保管库数据将被永久删除。合规备份将在删除后 30 天销毁。对于因未付款而暂停的账户，数据将在暂停后 30 天删除，备份将在其后 60 天轮换。可随时根据要求立即删除。数据无法以解密形式返还（我们没有密钥）。完整详情请参阅我们的服务条款。
3.8 审计和检查。 在提前 30 天发出书面通知后，您可以审计我们对本 DPA 的遵守情况。审计在我们的苏黎世总部或线上进行。我们提供相关文档；直接访问基础设施需要安全许可。
3.9 通知数据泄露。 在发现任何影响您个人数据的泄露事件后 24 小时内，我们会通知您。我们绝不会因调查或法律审查而延迟通知。
3.10 记录处理活动。 我们保留处理活动的记录，并根据要求提供摘要。
您保证：
- 您有合法依据处理保管库中的个人数据
- 您已向您存储其数据的数据主体提供适当的隐私声明
- 您不会违反适用法律存储数据
- 您将及时通知我们任何数据主体请求或监管查询
您的保管库数据以加密形式存储在地理位置最接近您访问模式的存在点（POP）。主 POP 和备份 POP 位于不同区域以提高弹性。包含城市、提供商和合规认证的 21 个 POP 的完整列表维护在我们的 POP 数据库中。
用于 POP 的基础设施提供商包括：Amazon Web Services（17 个 POP，大多数地区的主要提供商）、ISHosting（伊斯坦布尔、阿拉木图、波哥大）和 HostAfrica（拉各斯）。苏黎世总部运营（计费、管理）使用 Hostkey。
所有 POP 均满足以下条件之一：
- 位于具有充分性决定的司法管辖区（欧盟、EEA、瑞士、英国、加拿大等）
- 在没有充分性决定的情况下受标准合同条款（SCC）约束
由于我们的加密架构（零知识），即使存储在非充分性司法管辖区的数据在技术上也是受保护的。我们无法解密；当地当局也无法解密。DNS 解析由 Cloudflare 处理；没有任何保管库数据会通过其网络。
静态数据我们无法解密。保管库文件已加密，且加密密钥未存储在服务器上。当智能体或用户连接时，他们会随身携带 L1 密钥——从技术上讲，我们可以在传输过程中拦截它（尽管我们不会这样做，且 TLS 可防止第三方这样做）。即使拥有 L1，也只有元数据可见。凭据和身份字段保持密封状态。
- L1（保管库加密）： 保管库在静态时使用 AES-256-GCM 进行加密。8 字节的 L1 密钥由智能体或用户在每次请求时携带——它不存储在服务器上。使用 L1，条目名称、类型和时间戳可见。这是处理请求所需的最低操作要求。
- L2（凭据字段）： 密码、API 密钥、TOTP 种子、OAuth 令牌——使用 16 字节密钥逐字段加密，该密钥绝不存在于服务器上。L2 仅由用户的浏览器及其注册的智能体持有。我们无法解密凭据字段，且任何服务器端进程都无权访问 L2。
- L3（身份字段）： 信用卡、CVV、护照号码、SSN、恢复码——使用在创建保管库时生成的纯随机熵的 32 字节密钥进行加密。用户不知道此密钥。我们也没有。L3 绝不存在于任何服务器上。它通过使用您的硬件密钥的 PRF（指纹、面部或通过 WebAuthn PRF 的安全密钥）的 32 字节输出进行包装来保护。没有物理设备，L3 无法解包。从数学上讲，我们无法解密身份字段，也无法被强迫提供我们没有的密钥。
有关 DPA 的咨询：
数据保护官 (DPO) Clavitor LLC c/o Johan Jongsma
本 DPA 自您的订阅开始之日起生效，并持续有效直至终止。变更将提前 30 天通知。继续使用即构成接受。
最后更新：2026 年 5 月 25 日 · 版本 1.1