本页面列明 Melaya Labs LLC（"Melaya"、"我们"或"我方"）为提供 Melaya 平台而委托代为处理个人信息的第三方次级处理者，所涉平台包括智能体框架、Melaya 引擎、melaya.org 网站及相关子域名、API、客户端及相关服务（统称"本服务"）。本页面应与我们的隐私政策、服务条款及安全概述一并阅读。
1. 次级处理者的定义
次级处理者是指 Melaya 为提供本服务而委托代为处理个人信息的第三方。以下列明的每位次级处理者均依据书面合同履行特定且有限的职能，该合同规定了与我们隐私政策相符的保密义务及数据保护义务。次级处理者仅被允许在向 Melaya 提供服务所必要的范围内处理个人信息，不得出于其自身独立目的进行处理。
2. 我方作为控制者及处理者的角色
对于通过本服务直接收集的个人信息，Melaya 充当控制者，以下次级处理者充当我方的处理者。在 Melaya 依据书面协议代表企业客户处理个人信息的情形下，Melaya 充当处理者，以下次级处理者充当我方的下游次级处理者，企业客户为控制者。在上述任一情形下，本页面所列次级处理者均为可依照 Melaya 指令处理个人信息的当事方。
3. 变更通知
Melaya 将本列表作为其次级处理者的权威性公开记录予以维护。当我们拟新增或更换处理个人信息的次级处理者时，我们将更新本页面，并在新次级处理者开始处理之前至少十五（15）日提前通知受影响的企业客户，但为遵守法律或应对安全或连续性风险而需要更短通知期限的情况除外。在书面协议赋予异议权的情形下，企业客户可在通知期限内以合理的数据保护为由，对新增次级处理者提出异议。
4. 现有次级处理者
以下次级处理者截至本页面顶部所示日期已在生产环境中启用。驻留地反映相关处理实际发生的地点；主要计算和数据库经实时核验确认托管于 Singapore 区域。
| 次级处理者 | 所在地 | 用途 | 传输保障措施 |
|---|---|---|---|
| Cloudflare, Inc. | USA, global edge | TLS termination, WAF, DDoS mitigation | SCCs + Cloudflare DPA |
| Grafana Labs | Singapore (same region as production) | Off-box log + metric collection | SCCs + DPA |
| Infisical, Inc. | USA | Vault for envelope-wrapped credential ciphertext | SCCs + DPA |
| Stripe, Inc. | USA | Payment processing | EU SCCs Module 2 + UK IDTA |
| Alibaba Cloud (compute host) | Singapore (ap-southeast-1) | Primary compute, database, and cache hosting | SCCs + DPA |
| Object storage provider (operator-specified) | Region per deployment | Backups, DSAR exports, audit archive | SCCs + DPA |
| Transactional email provider (operator-specified) | Region per deployment | MFA, password reset, DSAR notices | SCCs + DPA |
5. 数据驻留说明
主要应用服务器、主要 PostgreSQL 数据库及 Redis 缓存均运行于亚太地区（Singapore）（ap-southeast-1）。离机日志及指标收集亦在同一区域运行。某些由运营者指定的次级处理者（对象存储及事务性电子邮件）部署于特定部署所配置的区域，其数据驻留地因具体部署而异。
6. 保密协议下的法律实体名称
上述运营者指定提供商（对象存储及事务性电子邮件）的具体法律实体名称、司法管辖区及已签署的数据处理协议，均保存于我们的内部安全存储库，并可在保密协议约束下向企业客户披露。上述具名次级处理者（Cloudflare、Grafana Labs、Infisical、Stripe 及 Alibaba Cloud）在此完整披露。
7. 联系方式
有关我方次级处理者的问题，或依据保密协议请求获取已签署的次级处理者数据处理协议及传输保障措施文件，请致函：