資料處理附錄 (DPA)

準據語言聲明： 本繁體中文譯本僅供閱讀便利。在適用法律允許的最大範圍內，如有任何歧義，應以具法律約束力的英文原版 (https://bf16.ai/legal/dpa?hl=en)為準，但這絕不影響您依法享有之強制性法定權利。

生效日期：2026 年 11 月 12 日 · 資料處理者：MAGICFORGE LTD（英格蘭及威爾斯註冊公司 · 公司編號：16211132） · 法定註冊地址：71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom

1. 適用範圍、簽約主體與法律架構

本《資料處理附錄》（「DPA」）構成客戶（「資料控制者」）與 MAGICFORGE LTD（英格蘭及威爾斯公司編號 16211132，法定註冊地址：71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom，「資料處理者」，營運 bf16.ai）間《服務條款》之一部分，依英國 GDPR 第 28 條、英國《2018 年資料保護法》及歐盟 GDPR 第 28 條規範 API、Playground 或遠端 MCP 推論負載中所含個人資料之瞬態處理。

2. 處理性質、目的與零持久化架構

處理標的與期間：於服務期間內嚴格依資料控制者之 API 指令，就開源權重語言與多模態視覺模型請求執行即時路由、協定轉換（/v1/chat/completions、/v1/messages、/v1/responses、POST /mcp）及 SSE 串流傳輸。
零寫入磁碟：MAGICFORGE LTD 僅於揮發性記憶體（RAM）處理提示詞與回應緩衝區，絕不將推論正文寫入磁碟、資料庫或日誌，並於 HTTP 串流結束或連線關閉時立即清除記憶體緩衝。

3. 技術與組織安全措施（TOMs）

資料處理者強制執行傳輸層 TLS 1.3 加密、上游供應商憑證 AES-256-GCM 加密、API 金鑰 SHA-256 / HMAC-SHA256 雜湊儲存、嚴格 SSRF 出站連線驗證、日誌正文自動遮罩、最小權限存取控制及金鑰撤銷即時斷流機制。

4. 授權子處理者與國際跨境資料傳輸（`uk_idta_scc`）

資料控制者授予一般書面授權，允許資料處理者僅將瞬態推論請求路由至通過合規門檻（commercial_resale_permitted = true && zdr_no_training_verified = true）並於各 /models/$slug 頁面揭露之已核驗上游算力子處理者。向英國或歐洲經濟區（EEA）境外進行之受限跨境傳輸，自動納入歐盟標準契約條款（決定 (EU) 2021/914，模組二與模組三）及英國資訊委員辦公室（ICO）發布之英國國際資料傳輸協議（IDTA）/ 英國國際資料傳輸附錄（uk_idta_scc）。

5. 個人資料外洩通報、刪除與聯絡信箱

資料處理者於確認發生影響客戶瞬態推論流量之個人資料外洩事件後，將於不無故遲延之前提下（且至遲於 72 小時內）通知資料控制者，協助辦理法定影響評估，並於契約終止時刪除除英國法律強制留存外之剩餘詮釋資料。企業 DPA 雙簽與洽詢：hello@bf16.ai。