基于合同的 AI 训练数据采集

• 每个数据采集合作都通过书面协议或项目授权确定范围。
• 客户通常控制项目目的、数据集要求、验收标准和允许用途。
• Bracketbridge 根据约定范围组织招募、采集、验证、质检、去标识化和交付。

• 语言、语音、口音、转录和评估数据。
• 人类反馈、排序、偏好、标注和任务回答数据。
• 智能体轨迹数据，包括操作轨迹、提示-响应流程、屏幕或工具使用序列以及决策路径记录。
• 用于产品测试、模型评估或特定市场 AI 工作流的专门数据采集。

参与必须在采集开始前出于自愿并充分知情。项目负责人必须用易懂语言说明必需与可选数据、目的及 AI 用途、控制者与接收方、存储与传输地点、保留、补偿及撤回渠道。可选用途必须提供独立选择，而非预先勾选。参与者可拒绝或停止，不得受到强迫；超出已披露范围的采集须重新评估，并在需要同意时取得新的选择。

采集工具必须在访问设备、账户或来源前限定授权任务范围，而非仅在上传前限制。参与者应能理解并选择其提供的可选材料。参与者不能自动代表出现在消息、联系人、录音或文件中的他人同意处理。每个项目须在采集或披露前解决第三方数据的合法处理问题，排除不必要内容并提供适当通知及保障。广泛的账户访问权限不能替代此项审查。

在采集时尽量减少标识符，并在可行时分离或移除。去标识化或假名化的数据仍可能属于个人数据；移除姓名不等于让声音、图像或详细活动记录匿名化。匿名化声明必须经过重新识别风险评估。保留计划须涵盖源数据、衍生数据、接收方及备份，并规定有记录的删除程序和严格限定的法律例外。

数据集会根据项目规格、采集规则、重复或欺诈检查、格式要求、市场背景和客户验收标准进行验证。客户需要时，可以保留审计记录。

对于涉及美国的数据集，须评估美国司法部数据安全计划，包括关注国家或受涵盖人员访问相关美国敏感数据或政府相关数据的限制。去标识化和参与者同意并不会自动排除这些限制。批准前须审查交易方、数据类别、数量、访问地点及后续传输。在加州数据经纪规则适用时，须在普通网站隐私通知之外另行评估登记和 DROP 删除义务。

• 奥地利、比利时、法国、德国、意大利、波兰、葡萄牙、西班牙及瑞典：欧盟 GDPR 以及适用的国家隐私、电子通信、录音和其他本地规则。挪威：通过欧洲经济区适用的 GDPR 及挪威实施规则。GDPR 评估不能替代本地网站或录音法律审查。
• 瑞士：FADP 及实施规则，包括透明度、个人权利、安全、境外披露及任何必需的瑞士代表。瑞士要求与 GDPR 不能相互替代。
• 美国：FTC 消费者保护要求及适用州隐私法，包括适用时的 CalOPPA 和 CCPA/CPRA；还须评估录音同意、生物识别、健康数据、儿童数据、泄露通知及数据经纪义务。应关注参与者所在州及实际交易，而非仅合作伙伴的怀俄明州地址。
• 阿联酋：评估联邦 PDPL、DIFC 或 ADGM 制度及适用行业限制。香港：评估 PDPO 及收集声明要求。
• 中国内地：评估 PIPL、相关网络安全和数据规则、本地代表及跨境出境要求。传输前须确定是否需要单独同意、出境评估、标准合同、认证或其他许可途径。
• 韩国：评估 PIPA 对通知、权利、所需同意、境外传输及任何必需的境内代表的要求。
• 墨西哥：评估现行《私人持有个人数据保护联邦法》、隐私通知、ARCO 权利（访问、更正、取消及反对）、同意及传输要求。
• 越南：评估自 2026 年 1 月 1 日起施行的《个人数据保护法》及现行实施规则，包括适用的通知、权利、影响评估和境外传输要求，不得仅依赖已被取代的指引。

法律审查不应仅限于隐私页面文字，还应涵盖经核实的企业身份及法定登记披露、适用的网站无障碍和消费者规则、内容与媒体授权、营销与追踪选择、安全及事件响应、供应商合同与处理国家、可执行的保留和权利请求程序，以及项目专属的录音、敏感数据和儿童保障。须审查是否需要本地代表、登记、许可、影响评估或监管备案。适用的前提条件未满足前，不得开始采集或传输。公开政策描述的是我们的要求，并不能证明某项具体项目已完成这些检查。

每个项目上线前必须按适用情况评估香港 PDPO、欧盟/欧洲经济区 GDPR、英国、瑞士、美国及阿联酋要求。阿联酋审查须区分联邦 PDPL、DIFC、ADGM 及相关行业制度。办公室或合作伙伴地址不代表合规。审查必须记录控制者与处理者角色、合法依据、通知、必要的风险评估、处理者协议、访问控制、安全传输、保留、权利请求及事件响应。这些是项目必须遵循的要求，并非声称每项部署均已通过独立审计或认证。