PhysStar.AI 数据安全协议

版本号：V2.1  |  生效日期：2026年7月1日

本《数据安全协议》（以下简称"本协议"）由北京物以星辰科技有限公司（以下简称"PhysStar.AI"或"平台方"）与通过 PhysStar.AI 平台注册并完成资质审核的合作渠道（以下简称"渠道方"）共同缔结。本协议作为《平台合作协议》的组成部分，与《平台合作协议》具有同等法律效力。渠道方勾选"我已阅读并同意"即视为同时接受本协议的全部约束。

第一条 数据采集规范

1.1 渠道方及其旗下采集员（以下合称"数据提供方"）在通过平台执行数据采集任务时，应严格遵守平台发布的各项数据采集标准与操作规范，确保所采集数据的真实性、准确性与完整性。

1.2 数据提供方在采集过程中应当：

• 在合法场所进行数据采集，严禁未经许可进入他人私密空间或受管制区域；
• 采集涉及个人肖像、声音、行为等个人信息的数据时，应依法取得信息主体的明确同意，并保留同意记录备查；
• 不得采集涉及国家秘密、军事设施、重要基础设施等法律法规禁止采集的敏感场景数据；
• 不得蓄意植入虚假数据、对抗样本或任何形式的恶意数据。

1.3 平台方有权对数据提供方的采集行为进行抽查与审计，发现违反采集规范的，有权要求返工、拒收相关数据，情节严重的可暂停或终止渠道方资格。

第二条 数据传输与存储安全

2.1 数据提供方应通过平台指定的加密传输通道（APP 端加密上传接口或管理后台上传模块）提交数据。严禁通过未授权的第三方工具、公共网络或明文传输方式提交任务数据。

2.2 平台方对接收的数据采取分层存储策略：原始数据存储于对象存储服务并实施 AES-256 静态加密，标注与加工后的数据存储于数据库集群，所有存储介质均部署于境内数据中心并通过等保三级认证。

2.3 平台方建立数据备份与容灾机制，每日进行增量备份、每周进行全量备份，备份数据与生产数据物理隔离，确保在灾难场景下数据可恢复性不低于 99.9%。

2.4 数据传输与存储过程中，平台方须保留完整的操作日志（含上传时间、操作主体、IP 地址、数据指纹等），日志保存期限不少于三年。

第三条 隐私保护

3.1 平台方严格遵循《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》《中华人民共和国网络安全法》及相关配套法规的要求，对数据采集、存储、使用、加工、传输等全生命周期实施隐私保护。

3.2 对于包含个人信息的数据（如含人脸、声纹、车牌号、家庭住址等），平台方在数据入库后 48 小时内自动执行脱敏处理，包括但不限于人脸模糊、声纹去标识化、敏感文本替换等，确保个人信息在后续加工与使用环节不可识别。

3.3 数据提供方不得在任务数据之外另行保存、复制、传播包含个人信息的数据副本。任务完成后，数据提供方应在本地设备上及时清除相关原始数据缓存。

3.4 平台方设立数据保护官（DPO），负责受理数据主体权利请求（查阅、更正、删除、限制处理等），联系方式：dpo@physstar.ai。数据主体请求将在 15 个工作日内完成响应。

第四条 数据使用授权范围

4.1 数据提供方向平台方提交数据，即授予平台方一项全球范围内、非独占、不可撤销的数据使用权，用于：

• 为平台客户提供数据标注、模型训练、算法测试等服务；
• 平台内部的质量分析、算法优化与产品改进；
• 遵循法律法规要求的合规审计与监管报送。

4.2 平台方不得将原始数据或可识别个人身份的数据直接出售、出租或转让给第三方。向客户交付的数据须经过脱敏与质量审核后方可交付。

4.3 如平台方拟将数据用于本协议约定范围之外的用途（如公开发表研究论文、参与行业基准测试等），须事先取得数据提供方及所涉信息主体的另行书面同意。

第五条 安全事件响应

5.1 平台方建立数据安全事件分级响应机制，将安全事件划分为一般、严重、特别严重三个等级，分别制定对应的响应流程与处置时限。

5.2 发生一般安全事件（如单账户异常登录、低风险漏洞）时，安全团队应在 4 小时内响应并完成处置。

5.3 发生严重及以上安全事件（如数据泄露、批量数据篡改、系统遭受外部攻击）时，平台方应：

• 在发现后 1 小时内启动应急响应程序，采取隔离、阻断、取证等处置措施；
• 在 24 小时内完成初步事件评估，形成书面事件报告；
• 在 72 小时内通知受影响的数据提供方及相关监管机构（如需），告知事件概况、可能的影响以及已采取的补救措施。

5.4 渠道方发现任何疑似数据安全事件或漏洞时，应立即通过安全邮箱 security@physstar.ai 或平台紧急热线 400-888-0900 报告，并配合平台方进行事件调查与处置。

第六条 合规性声明

6.1 平台方声明其数据安全管理体系已通过以下认证与评估：

• 信息安全等级保护（等保）三级认证；
• ISO/IEC 27001 信息安全管理体系认证（认证进行中）；
• ISO/IEC 27701 隐私信息管理体系认证（认证进行中）。

6.2 平台方每年至少进行一次全面的数据安全风险评估，评估范围覆盖数据全生命周期管理与全部技术系统组件。评估报告摘要将向合作渠道公示。

6.3 平台方承诺遵守数据跨境传输相关法律法规。在未完成数据出境安全评估并获得主管部门批准前，平台方不会将所涉数据转移至中华人民共和国境外。

6.4 本协议中未尽的数据安全事宜，参照《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》及相关国家标准执行。

第七条 其他

7.1 本协议自渠道方勾选同意并完成入驻审核之日起生效，有效期与《平台合作协议》保持一致。

7.2 平台方有权根据法律法规变化或安全管理需要修订本协议。修订后的协议将在平台公示并通知渠道方。渠道方在修订生效后继续使用平台服务的，视为同意修订后的协议。

7.3 因本协议引起的争议，适用《平台合作协议》第七条争议解决条款的约定。

7.4 本协议中部分条款被认定为无效或不可执行的，不影响其他条款的效力。