1. 定義
「個人資料」指直接或間接可識別特定個人之資料，包含姓名、聯絡方式、行為紀錄、裝置識別碼等。
「控制者」指品牌主；「處理者」指 HypeLink；「子處理者」指 HypeLink 為提供服務而委託之第三方（例如 AWS、Cloudflare、Stripe、SendGrid 等）。
2. 處理範圍
處理目的：承接品牌頁流量、經營會員、辦理活動、販售數位商品、維運基礎設施與資訊安全。
處理期間：自品牌主建立品牌起至服務終止後 30 日；法定保存除外。
資料類別：會員姓名、電子郵件、電話、社群識別碼、互動紀錄、購買紀錄、裝置資訊。
資料主體：品牌主之會員、活動報名者、商品購買者與互動參與者。
3. 處理者義務
僅依品牌主之書面指示處理個人資料；如法令要求必須偏離指示，將於法令允許範圍內通知品牌主。
對得以接觸個人資料之員工與子處理者施以保密義務與必要訓練。
採取《資安與事故通報附錄》所列之安全控制措施。
4. 子處理者
品牌主同意平台使用以下類別之子處理者：雲端基礎設施（AWS / Cloudflare R2）、金流（Stripe）、電子郵件（SendGrid）、身份驗證（Google OAuth）、通訊（LINE）、分析（匿名化工具）。
平台於新增重大子處理者時將提前公告並允許品牌主合理期間內提出反對；如品牌主之反對無法解決，品牌主得終止相關服務。
5. 資料主體權利協助
平台於技術可行範圍內協助品牌主回應資料主體之查閱、更正、刪除、停止處理等請求；超出合理範圍之客製化協助得另行計費。
6. 事故通報
平台知悉涉及品牌主資料之資安事故時，將於知悉後 72 小時內通知品牌主，並依《資安與事故通報附錄》提供調查與補救。
7. 稽核
品牌主得每年一次要求平台提供資安稽核摘要或第三方認證報告（例如 SOC2、ISO 27001）；如需現場稽核，雙方另行協議時間與費用。
8. 終止後處理
本協議終止後，平台將依品牌主選擇於 30 日內刪除或以加密方式返還個人資料；法令要求保存者依法辦理。