数据处理协议（DPA）

生效日期: 01.03.2026
最近更新: 01.03.2026

本数据处理协议（“DPA”）是 Evenda 平台的 Organizer Agreement 的组成部分及不可分割的附件，规范 ZURKA CE BITI DOO 代表主办方在使用 Evenda 的 SaaS 平台时对个人数据的处理。

本 DPA 由以下各方签署：

ZURKA CE BITI DOO
PIB: 114432064
MB: 22023195
Beograd, Kraljice Natalije 11, Serbia
Email: [email protected]

（下称—«Evenda»或«处理者»)

和

注册主办方账户、接受本 DPA 或以主办方身份使用 Evenda 平台来举办活动的人员
（下称—「主办方」或「运营方」）。

如果双方之间签署了单独的书面数据处理协议，则在本 DPA 中直接涉及的问题上具有优先效力。

1. 目的与适用范围

1.1. 本 DPA 仅在 Evenda 代表主办方并按照主办方的指示，在使用 Evenda 平台之相关情形下处理个人数据时适用。

1.2. 本 DPA 不适用于 Evenda 作为独立的数据控制者行使权力的情形，包括但不限于：

• 主办方及其团队的账户数据；
• 与订阅、账单及 SaaS 支付相关的数据；
• 支持请求数据；
• 安全数据、日志、反欺诈及保护 Evenda 权益的数据；
• Evenda 必须依法处理的数据。

1.3. 本 DPA 仅就 Evenda 作为处理者执行的数据处理进行规范。平台使用的其他问题由 Organizer Agreement 及 Evenda 的其他适用文件规定。

2. 定义

为本 DPA 的目的使用以下术语：

运营方——主办方，通过 Evenda 平台确定个人数据处理的目的和关键参数。
处理方——Evenda，代表运营方处理个人数据。
适用的数据保护法律——适用的数据保护法律，包括在适用时适用的 GDPR，以及其他监管相关处理的强制性法规。
个人数据——与已识别或可识别的自然人相关的任何信息。
数据主体——指属于个人数据的自然人。
子处理者——任何被 Evenda 派遣的处理者，在代表运营方提供 Evenda 服务时处理个人数据。
个人数据安全性/数据安全事件——导致对个人数据的意外或非法销毁、丢失、修改、未经授权的披露或访问的安全事件。

如果在本 DPA 中使用的术语在适用的数据保护法律中有定义，应按该法律所确立的意义进行解释。

3. 处理的对象、期限、性质和目的

3.1. 本 DPA 的对象是在代表主办方提供 Evenda 平台的 SaaS 功能时，对 Evenda 个人数据进行处理。

3.2. 处理期限自 Evenda 开始代表主办方处理个人数据之时起算，并在使用平台的相应功能的期间内继续，以及在根据本 DPA 与适用数据保护法规规定的存储、删除、返还或其他结束处理的期限内继续。

3.3. 处理的性质可能包括，取决于所使用的平台功能：

• 收集；
• 记录；
• 组织；
• 结构化；
• 存储；
• 适配；
• 提取；
• 查看；
• 使用；
• 传输；
• 提供访问；
• 映射；
• 限制；
• 删除；
• 销毁；
• 以及为提供 Evenda 服务所必需的其他行动。

3.4. 处理目标由主办方确定，可能包括：

• 发布与管理活动；
• 票务销售；
• 处理订单与注册；
• 管理参与者；
• 发送服务通知、票据和二维码；
• 处理由主办方配置的表单、字段和数据；
• 在 Evenda 平台框架下支持主办方的运营活动。

3.5. 数据主体类别、个人数据类别及处理描述在本 DPA 的附件 1 中列明。

4. 各方角色

4.1. 主办方在通过 Evenda 平台进行其活动、订单、票务、注册和与买家及参与者沟通的过程中，作为对个人数据的控制者，对其上传、收集、结构化或以其他方式处理的个人数据。

4.2. Evenda 仅在代表主办方并按照书面指示处理此等个人数据的范围内，作为处理者进行处理。

4.3. 组织者确认，其独立决定处理的目的和基本参数，包括：

• 哪些数据被收集；
• 涉及哪些个人；
• 在主办方目标框架内，数据被使用多久；
• 在主办方账户范围内，谁可以访问数据；
• 使用哪些表单、字段、通知和场景。

5. 操作员指示

5.1. Evenda 仅在主办方的书面指令基础上处理个人数据，除非适用的数据保护法规另有要求。

5.2. 本 DPA、Organizer Agreement、主办方账户设置、所选的平台功能、活动配置、表单、字段、访问权限及主办方在 Evenda 界面上的其他操作，被视为对操作方的书面指令。

5.3. 组织者保留在以下情况下发出合理额外书面指示的权利：

• 与使用服务相关；
• 不与主办方协议、本DPA及适用的数据保护法相冲突；
• 在技术上是可行的；
• 不需要对平台进行不成比例的改造。

5.4. 如果 Evenda 认为主办方的指令违反适用的数据保护法，Evenda 有权通知主办方此事并在获得澄清或合法依据之前暂停执行相应指令。

6. 组织者作为操作员的义务

6. 作为运营方的主办方的义务

6.1. 有处理个人数据和委托 Evenda 处理的法律依据；

6.2. 在法律要求时，适当地通知数据主体；

6.3. 独立决定通过平台收集哪些个人数据，并且不指示 Evenda 以违反法律的方式处理数据；

6.4. 不使用 Evenda 平台处理特殊类别的个人数据、犯罪记录或其他敏感数据，除非此类处理是合法、必要且适当规管的；

6.5. 对其活动、表格、字段、描述、通知、沟通脚本、团队的访问权限和其他影响个人数据处理的设置的合法性负责；

6.6. 在其作为操作员的情况下，负责处理来自客户和参与者的请求。

7. Evenda 作为处理者的义务

Evenda 承诺：

7.1. 仅根据组织者的书面指示处理个人数据；

7.2. 不将个人数据用于与其处理者角色不兼容的目的；

7.3. 确保被授权处理个人数据的人受到保密义务或适当的法律保密责任的约束；

7.4. 根据本DPA第10节和适用数据保护法的要求，实施适当的技术和组织安全措施；

7.5. 遵守第8节中关于聘用次处理者的条款和条件；

7.6. 在可能的范围内协助组织者履行其对数据主体请求的响应义务；

7.7. 在法律要求的情况下，尽可能协助组织者履行其在安全性、违规通知、数据保护影响评估和事前咨询方面的义务；

7.8. 处理完成后，按照本DPA规定的程序删除或返还个人数据，除非法律另有要求；

7.9. 向主办方提供证明遵守本 DPA 所需的信息，并按照本 DPA 规定的程序协助进行审查。

8. 次处理者

8.1. 主办方向 Evenda 提供用于聘请子处理器以提供 Evenda 服务的一般书面授权。

8.2. Evenda 承诺保持最新的子处理器名单，并在主办方请求时向其提供，或将其张贴在主办方可访问的网站或个人账户中。

8.3. 如打算添加新的子处理器或替换现有的子处理器，Evenda 应以合理的方式提前通知主办方，若此类变更对个人数据处理具有实质性影响。

8.4. 如果主办方在通知后有合理期限内对新子处理器提出有根据的异议，若其具备经书面证据的理由，认为该变更会对适用的数据保护法造成实质性风险。

8.5. 如果各方无法就此异议进行合理解决，Evenda 有权停止相关处理部分，或建议主办方停止使用受影响的功能。

8.6. Evenda 承诺与每个子处理器签订书面协议，使其承担的数据保护义务在实质上不低于本 DPA 的规定，只要适用于所提供的服务。

8.7. Evenda 对其子处理器的行为负责，范围按适用的数据保护法律及双方协议的规定进行。

9. 国际数据传输

9.1. Evenda 不会在不违背适用数据保护法的前提下，将个人数据进行跨境传输到适用司法管辖区之外，除非存在适当的法律依据。

9.2. 如果出于为 Evenda 提供服务或使用子处理器而需要跨境传输个人数据，Evenda 必须采用可接受的传输机制，包括在适用时：

• 关于充分保护水平的决定;
• 标准合同条款;
• 以及其他由适用数据保护法允许的合法机制。

9.3. 在主办方的合理请求下，如确有跨境传输，Evenda 提供所使用的跨境传输机制的概览信息。

10. 数据安全

10.1. 考虑到技术状态、实施成本、处理的性质、规模、情境和目的，以及对个人权利和自由的风险，Evenda 采取适当的技术和组织安全措施。

10.2. 此类措施可能包括（如适用）：

• 访问权限分离；
• 身份验证与账户管理；
• 平台内的角色管理；
• 对操作与活动进行日志记录；
• 备份；
• 数据传输保护；
• 基础设施与网络环境保护；
• 活动检测与处理程序；
• 员工与承包商的内部访问规则；
• 对安全措施的测试、评估与改进；
• 降低未授权访问、数据丢失、数据篡改或披露风险的措施。

10.3. 主办方承认，没有任何数据传输或存储方式能够保证绝对的安全性。

10.4. 主办方也对其端的安全措施承担责任，包括：

• 对本团队的访问控制；
• 自身设备、浏览器、邮箱及集成的安全性；
• 所连接的支付方式及其他第三方服务的合法性与安全性。

11. 数据主体请求

11.1. 在 Evenda 处理的性质范围内，在可能的情况下，向主办方提供合理协助以履行其对数据主体请求的响应义务。

11.2. 如果 Evenda 收到与主办方作为处理者所进行处理相关的数据主体请求，Evenda 有权:

• 将此类请求转发给主办方；
• 通知数据主体，相关的处理方就是主办方；
• 向主办方提供处理请求的合理协助；

11.3. 如果法律未另有规定，Evenda 无义务在未获主办方指示的情况下，代表主办方就此类请求就其实质事项作出答复。

12. 协助遵守法律要求

12.1. 在 Evenda 处理的性质及 Evenda 可获得的信息的前提下，Evenda 向主办方提供合理协助，以确保遵守与下列事项相关的义务：

• 处理安全性；
• 关于个人数据安全漏洞的通知；
• 数据保护影响评估；
• 在需要时与监管机构进行初步咨询。

12.2. 如果所需的协助超出 Evenda 的标准功能和常规支持，双方可就此类协助另行商定时间、格式及合理的收费（如法律允许）。

13. 个人数据安全漏洞

13.1. Evenda 将在获知经确认的、涉及 Evenda 代表主办方处理的个人数据的安全漏洞后，毫不拖延地通知主办方。

13.2. Such notification, to the extent possible at the time of its transmission, should include:

• 活动性质描述；
• 已知的或可能涉及的数据类别；
• 已知的或可能涉及的数据主体类别；
• 已知的或可能的后果；
• 为消除活动及降低其后果已采取或提出的措施；

13.3. 如首次通知时无法提供完整数据，Evenda 可以分阶段提供信息。

13.4. 组织者可自行决定是否需要通知监管机构或数据主体，除非适用法律另有规定。

14. 审查与信息权

14.1. 根据主办方的合理书面请求，Evenda 提供用于证明遵守本 DPA 的信息。

14.2. 主办方有权对本 DPA 的遵守情况进行检查，不得超过每个日历年一次，除非另有要求：

• 因个人数据安全漏洞相关；
• 应主管机关的要求；
• 在存在对本 DPA 的重大违规的合理迹象时。

==WEBLATE_PART==

14.3. 在最大可能的程度上，检查应以尽量减少对 Evenda 的负担和安全风险的方式进行，例如：

• 通过书面回答；
• 提供文件；
• 提供报告；
• 远程检查；
• 在适用时，审查证书或控制措施的描述。

14.4. 现场检查只有在以下情况下才允许：

• 其他合理的方式不足以满足；
• 组织方已提前通知 Evenda；
• 检查不会对安全性、保密性和平台运行造成不成比例的风险；
• 检查方承担保密义务。

14.5. 如未另行书面同意，组织方自行承担检查费用。

15. 数据的返回与删除

15.1. 在相关处理结束时，或根据组织方的正当请求，Evenda，按组织方的选择：

• 将个人数据返还给主办方；或
• 在适用的数据保护法未另有规定时删除个人数据。

15.2. 如果在平台的标准功能范围内，技术上无法以合理格式返回数据，Evenda 有权以服务中通常使用的格式提供数据，或按标准程序删除。

15.3. Evenda 在处理结束后，按照需要的程度保留个人数据：

• 依法；
• 用于在有限的保留周期内进行备份；
• 用于确立、执行或保护法律要求；
• 用于确保安全性、日志记录和证据库；
• 在遵守相应访问和保密限制的前提下。

16. 隐私

16.1. Evenda 确保被授权处理个人数据的人员得到适当的指导并受保密义务的约束。

16.2. Evenda 不向第三方披露个人数据，除非以下情况：

• 在按照本 DPA 提供 Evenda 服务时需要时；
• 当适用的数据保护法规要求时；
• 当披露对于保护 Evenda、主办方、数据主体或其他人的权利在法律范围内是必要时。

17. 合规确认

17.1. Evenda 采取并维护为满足其作为处理者义务而合理必要的措施、政策和流程。

17.2. 在组织方的合理请求下，Evenda 提供其可得到的信息，足以证明其履行本 DPA 下处理者的义务。

18. 责任

18.1. 除非本 DPA 另有明确规定，否则双方的责任问题由主办方协议规定。

18.2. 本DPA中的任何条款不得免除任何一方在适用的数据保护法下不能被排除或限制的责任。

19. 优先级

19.1. 在本 DPA 与 Organizer Agreement 之间存在冲突的情况下，本 DPA 的规定在就代表主办方处理 Evenda 的个人数据的部分具有优先效力。

19.2. 在本数据处理协议（DPA）与由各方签署的单独书面数据保护协议之间发生冲突时，该单独协议在其直接涉及的问题方面具有优先权。

20. DPA 的变更

20.1. Evenda 有权在必要时对本 DPA 进行周期性修改，以实现以下目的：

• 使文件与立法变更保持一致；
• 反映服务、基础设施或子处理方的变更；
• 澄清数据保护流程和措施。

20.2. DPA 的最新版本已在网站上发布。如变更具有实质性，Evenda 将尽力通过合理方式通知主办方，例如通过网站、电子邮件或个人账户。

20.3. 继续使用 Evenda（在新版本生效后）即表示接受更新后的 DPA，除非适用的数据保护法另有禁止。

21. 适用法律及争议

21.1. 本 DPA 受塞尔维亚共和国法律管辖并据其进行解释，除非数据保护法的强制性规定另有要求。

21.2. 任何因本 DPA 或与之相关而产生的争议、分歧或请求，应提交塞尔维亚共和国贝尔格莱德的有管辖权法院审理，除非适用法律的强制性规定另有规定。

联系方式

如果您对本 DPA 有任何疑问，您可以与我们联系：

ZURKA CE BITI DOO
PIB: 114432064
MB: 22023195
Beograd, Kraljice Natalije 11, Serbia
[email protected]

附录 1. 处理描述

1. 处理主题

代表主办方对个人数据的处理，涉及使用 Evenda 平台进行活动的发布、订单管理、票务、注册、参与者以及与活动相关的沟通。

2. 处理时间

在主办方使用 Evenda 平台相关功能的期限内以及为返还、删除、备份、遵守法律和保护 Evenda 或主办方的权利所必需的时期，在适用数据保护法允许的范围内。

3. 处理的性质

收集、记录、存储、组织、结构化、查看、使用、传输、提供访问、删除、销毁以及为提供 Evenda 服务所必需的其他操作。

4. 处理的目的

• 创建和发布活动；
• 票务销售及订单处理；
• 参与者报名；
• 票、确认函和二维码的生成与发送；
• 管理订单、参与者名单及相关沟通；
• 按照主办方指示提供平台功能。

5. 数据主体类别

根据平台配置和主办方的行为：

• 购票者；
• 活动参与者；
• 填写注册或下单表格的人员；
• 票的领取人；
• 在活动框架内由主办方添加的联系人；
• 主办方通过平台为其活动上传或收集数据的其他人员。

6. 个人数据类别

根据主办方的设置和所使用的功能：

• 姓名；
• 邮箱；
• 电话号码；
• 订单信息；
• 票信息；
• 活动信息、日期、场次、类别、地点；
• 由主办方创建的附加字段；
• 订单和票的状态历史；
• 用于发送服务通知的数据；
• 主办方自行决定通过平台收集的其他个人数据。

7. 特殊类别的数据

除非双方书面明确同意，Evenda 无义务代表主办方处理特殊类别的个人数据。主办方不得在没有合法依据和充分保护措施的情况下使用平台进行此类处理。

8. 处理操作

按照主办方的指示，提供托管、接口、存储、管理、搜索、结构化、导出、发送服务通知及 Evenda 平台运行所需的其他操作。