版本：1.0，最后更新日期：2022年10月24日


数据保护附录

IQAX应用程序

本数据保护附录及其附件（本“DPA”）构成贵方与IQAX之间达成的关于贵方使用和接收服务的协议的一部分。发出订单或使用服务即意味着贵方接受本DPA。IQAX可根据使用条款不时修订本DPA。如有不一致，任何特殊条款应优先于本DPA。



1. 应用


1.1 本DPA适用于贵方（包括贵方的用户）在IQAX平台或向IQAX发布的，或代贵方发布的所有与协议（包括贵方使用和接收服务）相关的所有个人数据 (“发布的个人数据”).

1.2 贵方同意，贵方是发布的个人数据的独立控制者，或贵方已获得相关控制者的授权，同意处理与协议有关的发布的个人数据。如果在与协议有关的发布的个人数据的处理方面，贵方不是独立控制者，则贵方同意：

(A) 告知IQAX相关控制者的身份和联系方式；和

(B) 就相关控制者在适用的数据保护法项下的权利和义务，代表相关控制者行事，作为本DPA下的单一联络点。

1.3 贵方指定IQAX作为处理与协议有关的发布的个人数据的处理机构。


2. 处理


2.1 发布的个人数据的详情、数据主体的类别以及与协议有关的发布的个人数据的处理性质、目的、主题和持续时间见本DPA附件A。

2.2 根据第2.3条的规定，IQAX应仅根据贵方的书面指示处理发布的个人数据。书面指示即本DPA附件A中所载指示或贵方与IQAX另外以书面形式约定的指示。

2.3 如适用法律要求，IQAX可为其他目的处理发布的个人数据，前提是应在适用法律允许的范围内，并且IQAX在处理之前通知贵方该等法律要求及拟议处理。


3. 技术和组织安全措施


3.1 IQAX应确保根据其授权有权获得发布的个人数据的任何人，均受适当的合同或法定保密义务的约束。

3.2 IQAX应采取适用的数据保护法要求的措施，包括实施适当的技术和组织措施，以确保达到与发布的个人数据处理相关风险相适应的安全水平。

3.3 贵方同意，本DPA附件A中所载技术和组织措施是根据协议处理贵方发布的个人数据的适当措施。


4. 贵方的责任


4.1 贵方同意：

(A) 贵方应遵守适用的数据保护法以及贵方在本DPA项下与协议以及贵方使用和接收服务有关的义务；

(B) 贵方应全权负责确定服务是否足以使贵方（以及相关控制者（如适用））遵守适用的数据保护法，且贵方已评估了服务和协议（包括本DPA附件A中所述事项），确定服务足以达到如此要求；

(C) 贵方应（并应确保贵方的用户）仅向根据适用的数据保护法，以合法方式根据协议（包括本DPA）处理个人数据的IQAX或IQAX平台发布个人数据；

(D) 贵方不得（并且应确保贵方的用户不会）在IQAX或IQAX平台发布除本DPA附件A规定的或以书面形式另行约定的个人数据类型之外的任何个人数据（尤其是，不得在IQAX或IQAX平台发布特殊类别个人数据）；

(E) 贵方应确保，已向发布的个人数据相关的所有数据主体提供了适用的数据保护法要求的充分公平和透明的处理信息，并涵盖将进行的与协议相关的处理；

(F) 贵方应确保贵方向IQAX发出的与发布的个人数据处理相关的所有指示均符合适用的数据保护法；

(G) 如贵方在任何时候怀疑协议项下发布的个人数据的处理违反适用的数据保护法，贵方应立即通知IQAX；

(H) 贵方（及相关控制者）全权负责回应并遵守与根据适用的数据保护法行使主体权利有关的请求（但IQAX应根据下文第5条提供协助）；

(I) 贵方应在获知与协议有关的任何数据泄露后24小时内立即通知IQAX；和

(J) 协议中的任何规定均不得免除贵方（或相关控制者）根据适用的数据保护法应承担的任何责任。

4.2 贵方应赔偿并使IQAX免受因贵方违反本DPA项下义务，或贵方未尽到责任而产生的或与之相关的所有损失、索赔、损害赔偿、责任、罚款、制裁、利息、处罚、费用（包括在完全弥偿基础上的法律和专业顾问费用）、收费、向数据主体支付的款项和任何其他费用（无论是直接或间接费用）。


5. 数据主体的协助和请求


5.1 贵方（及相关控制者）应全权负责回应和遵守与根据适用的数据保护法行使主体权利有关的请求，IQAX应将其收到的任何该等请求发送给贵方。

5.2 IQAX应考虑处理的性质，通过履行其义务的适当的技术和组织措施，协助贵方回应与根据适用的数据保护法行使数据主体权利有关的请求。

5.3 IQAX应及时向贵方提供贵方不时合理要求的，使贵方能够遵守根据适用的数据保护法而应承担的任何安全、违约通知、违约沟通、文件、数据保护影响评估、事先协商、记录和审查责任的协助。在发生数据泄露的情况下，如果适用的数据保护法要求发送通知，IQAX应在得知该等数据泄露后立即通知贵方。

5.4 对于IQAX根据第5.1至5.3条为贵方提供协助时可能产生的任何和所有合理的额外费用，贵方应按要求及时偿还IQAX。


6. 次级处理者


6.1 根据第6.2条，IQAX应具备：

(A) 聘请本DPA附件A所列其他处理者处理发布的个人数据的特定授权；和

(B) 根据使用条款，通过修改相关列表（及协议）聘请额外或替代处理者处理发布的个人数据的一般授权，以及为贵方提供反对该等修改的机会，如果贵方的反对被驳回，则终止协议的授权，每个额外处理者均为“次级处理者”。

6.2 IQAX应确保每个次级处理者均受其处理发布的个人数据的合同义务的约束，且该等合同义务不低于本DPA（包括实施适当的技术和组织安全措施的保障）的规定。如果次级处理者未能履行其处理发布的个人数据的义务，IQAX应对贵方完全负责（在协议中规定的范围内）。


7. 跨境个人数据传输


7.1 通过下订单或使用服务，贵方与IQAX签订本DPA附件B中所列的协议，在符合第7.2条规定的前提下，该协议适用于以下发布的个人数据：

(A) 从欧洲经济区输出到欧洲经济区以外的司法管辖区，而该司法管辖区并非GDPR第五章有效充分性决定的主体（以及向该等司法管辖区的任何后续传输）；或

(B) 从英国输出到英国以外的司法管辖区，而该司法管辖区并非英国GDPR第五章有效充分性决定的主体（以及向该等司法管辖区的任何后续传输）。

7.2 对于第7.1(A)条中提到的发布的个人数据，本DPA附件B中提及指令95/46/EC应被视为提及GDPR相关相应条款。

7.3 对于第7.1(B)条所述发布的个人数据，本DPA附件B中：

(A) 提及指令95/46/EC应被视为提及英国GDPR的相关相应条款；

(B) 提及成员国应被视为提及英国；和

(C) 提及监管当局应被视为提及英国信息专员办公室。

7.4 在适用法律允许的范围内，本DPA附件B的规定应在遵守本协议的免责条款和责任限制的前提下适用。

7.5 如贵方并非第7.1(A)或7.1(B)条所述类型的任何发布的个人数据的唯一控制者，贵方同意：

(A) 贵方代表相关控制者签署本DPA附件B中的协议；或

(B) 贵方应在发布发布的个人数据之前，促使相关控制者签署本DPA附件B中所述协议，其中相关控制者为数据输出方，IQAX为数据输入方。

7.6 为了使IQAX能够聘请第7.1(A)或7.1(B)条所述类型的任何发布的个人数据的次级处理者，贵方同意（或贵方应促使相关控制者同意），IQAX可与作为数据输入方的IQAX的次级处理者签订与附件B同等条款的协议，作为数据输出方代表贵方（或相关控制者）行事。


7.7 关于从中华人民共和国输出到中华人民共和国境外司法管辖区的发布的个人数据，贵方应:

(A) 确保已将适用的数据保护法要求的充分完整且透明的处理信息通知与发布的个人数据相关的所有数据主体，并事先取得他们的同意；

(B) 履行适用的数据保护法要求的与个人数据跨境传输相关的任何义务，例如（在适用的范围内）进行安全评估、完成认证、签订数据传输合同并进行风险评估；

(C) 遵守适用的数据保护法中关于个人数据跨境传输的任何法律要求。

8. 信息和审查


8.1 根据第8.2和8.4条的规定，IQAX应（应要求）向贵方提供能够证明其遵守本DPA的所有合理的必要信息，并且应允许和促成贵方（或相关控制者）或贵方指定的另一名审查员进行的审查和检查。

8.2 贵方应确保，所有根据第8.1条提出的信息或行使审查或检查权利的要求均是合理的，并至少提前60天以书面通知形式提供给IQAX。任何该等审查或检查应仅限于审查IQAX是否遵守本DPA，并应在工作时间内进行，费用由贵方承担，并应遵守IQAX为防止扰乱IQAX的运营和业务而规定的任何合理条件。贵方应确保为任何审查或检查的结果制定一份书面报告，并立即将其副本提供给IQAX。获取或接收的任何信息只能用于对评估IQAX是否遵守本DPA必要的目的，而不能用于任何其他目的。

8.3 如果IQAX认为贵方作出的关于第8.1条的指示侵犯了适用的数据保护法，IQAX应立即通知贵方。

8.4 应要求，贵方应立即偿还IQAX因第8.1至8.3条项下的任何信息或任何审查或检查要求而产生的任何和所有合理费用。对于贵方（或贵方人员或审查员）违反第8.2条规定的情况，第4.2条规定的赔偿适用。


9. 返还或删除发布的个人数据


9.1 协议终止后120天内，IQAX应（贵方可酌情决定）将发布的个人数据返还给贵方或删除发布的个人数据，除非适用的数据保护法要求保留该等发布的个人数据。其中一些发布的个人数据可保留在系统备份中，直至系统备份到期，不迟于协议终止后120天。


10. 更新


10.1 IQAX可根据使用条款不时修订本DPA。修订可能包括对数据保护细节的更改，包括附件A中所述详细的技术和组织安全措施。贵方可反对任何修订，如果反对被驳回，可根据使用条款中规定的程序终止协议。


11. 不一致的数据保护法


11.1 与平台运作中的个人数据处理相关方面，不同司法管辖区的适用的数据保护法可能存在冲突或不一致或不兼容，或存在遵守一个司法管辖区的政府当局的合法请求可能违反另一个司法管辖区适用的数据保护法的情形（不一致的数据保护法）。

11.2 如果贵方察觉任何数据保护法不一致的问题，贵方应停止使用服务，并通知IQAX。IQAX应考虑在可行范围内遵守适用的数据保护法的必要性，并与相关监管当局和/或其他相关政府当局联系，以确定切实可行的、建设性的解决方案。尽管如此，在无法找到解决数据保护法不一致问题的切实可行的解决方案的情况下，IQAX可选择撤销产生数据保护法不一致问题的一个或多个司法管辖区的部分或所有服务。


12. IQAX 数据保护联系方式


12.1 关于任何隐私和数据保护事宜，请通过customerservices@iqax.com联系IQAX。


13. 定义


13.1 在本DPA中，适用下列定义：

“适用的数据保护法” 指与处理个人数据和隐私相关的所有不时适用的法律，包括但不限于（在适用的范围内）：

(A) GDPR（通用数据保护条例）；

(B) 英国GDPR;

(C) 2018英国数据保护法；

(D) 电子隐私指令和任何实施法律；

(E) 中华人民共和国网络安全法及任何实施法律；

(F) 中华人民共和国民法典；和

(G) 信息安全技术-个人信息安全规范；

“数据泄露” 系指任何意外、非法或未经授权地销毁、遗失、更改、披露或获取发布的个人数据或未经授权或非法传输、储存或以其他方式处理发布的个人数据；

“GDPR” 欧洲议会通用数据保护条例(EU) 2016/679；

“发布的个人数据” 具有第1.1条赋予的含义；

“PRC” 系指中华人民共和国，就本DPA而言，不包括香港特别行政区、澳门特别行政区和台湾地区；

“隐私政策” 系指IQAX不时更新的隐私政策，具体见 [https://www.iqax.com.cn/pss.htm]；

“特殊类别个人数据” 系指显示种族或民族起源、政治观点、宗教或哲学信仰或工会会员身份的个人数据，为唯一识别自然人而处理的遗传数据或生物特征数据，健康数据或有关自然人的性生活或性取向的数据（或适用的数据保护法规定的其他敏感个人数据）；

“次级处理者” 具有第6.1条赋予的含义；和

“英国GDPR” 系指GDPR，因为它是保留欧盟法律（如《2018年退出欧盟法案》所定义）的一部分。

13.2 除上述定义外，使用条款中所载定义适用于本DPA。

13.3 本DPA中未作其他定义的术语和表达应具有赋予其的含义或适用的数据保护法中其他术语和表达在相关时间被赋予的同等含义（包括 “控制者”、 “处理者”、 “数据主体”、 “个人数据” 和 “处理”（及其变体））





附件A

数据处理详情

1. 发布的个人数据的详情


1.1 将要处理的与协议相关的发布的个人数据包括：

(A) 姓名、职务、职能/职位名称及部门、地址、联络方式（包括邮寄地址、电邮地址、电话号码、传真号码）；

(B) 数字标识符，如用户名、哈希密码、设备或应用程序标识符和IP地址;

(C) 数字使用信息，如访问时间和服务日志，访问、创建、修改或删除的文件。

1.2 协议不会处理任何特殊类别个人数据。

1.3 发布的个人数据所涉及的数据主体类别如下：

(A) 服务的用户（包括贵方的用户）；

(B) 贵方认定为与服务有关的贵方董事、员工、代表、承包商、关联方和代理人员；

(C) 航运供应链中的组织的联系人；和

(D) 运载或托运货物的发货人或收货人。

1.4 处理的与协议相关的个人数据的其他详细信息载于隐私政策。

1.5 IQAX无法控制贵方发布到IQAX平台或以其他方式提供给IQAX的所有个人数据。贵方同意，除非事先得到IQAX的书面同意，贵方不得向IQAX或在IQAX平台发布除上述个人数据类型之外的个人数据。


2. 处理详情


2.1 IQAX将为以下目的处理与协议有关的发布的个人数据：

(A) 按照协议向贵方和贵方的用户提供服务;

(B) 创建和管理贵方的账户以及贵方与IQAX的协议（包括IQAX履行其在协议项下的任何义务或行使其在协议项下的任何权利）；和

(C) IQAX在协议项下提供服务附带的合法经营活动（包括监控、测试、修改、改进IQAX所使用的系统和提供的服务）。

2.2 IQAX及其次级处理者将进行的处理操作包括（在协议允许的范围内）：

(A) 收集贵方和贵方用户的发布的个人数据，包括记录数字标识符和数字使用信息;

(B) 组织、构造及储存发布的个人数据；

(C) 通过加密/解密、限制访问的方式保护发布的个人数据；保留其备份并进行与其相关的安全和业务连续性/重整测试；

(D) 使用发布的个人数据，包括检查、分析、汇总、合并及改编该等数据；

(E) 托管发布的个人数据，并将其提供给IQAX平台的用户，包括贵方和贵方的用户；

(F) 在贵方（及相关控制者）、IQAX和IQAX的次级处理者之间传输和传递（包括输入/输出）发布的个人数据，以及协议要求的其他事项（例如：为审核提供协助或协助贵方满足数据主体的要求）；和

(G) 将发布的个人数据归还贵方或删除/禁止访问该等数据。

2.3 除协议另有规定外，发布的个人数据的处理期限与相关服务的期限相对应，并在此之后持续一定的期限。

2.4 IQAX及其与服务提供有关的次级处理者可在多个司法管辖区储存、托管和处理发布的个人数据。上述司法管辖区包括新加坡、香港特别行政区、中华人民共和国和美利坚合众国。

2.5 处理发布的个人数据的其他细节载于私隐政策。


3. 次级处理者


IQAX目前在提供服务中使用的次级处理者如下： https://content.iqax.com/data-protection-addendum/sub-processor/data-processing-addendum_cn.pdf


4. 技术和组织安全措施


4.1 除下文适用于特定次级处理者的措施之外，以下措施适用于与协议有关的所有发布的个人数据的处理：

网络安全和加密 IQAX实施防火墙、内容过滤、网络分割、云安全态势管理、常规漏洞扫描和API管理等网络安全功能。
IQAX希望通过采取加密、基于角色的访问控制、冗余副本和备份等措施维护和保护发布的个人数据的保密性、完整性和可用性。
IQAX平台的数据传入和传出采用TLS 1.2等加密方式予以加密。IQAX支持对储存数据的各个系统组件或服务进行硬盘加密。如果服务包括密钥的管理，IQAX维护安全密钥的生成、发布、分发、储存、轮换、撤销、恢复、备份、销毁、访问和使用的程序。
用于异地储存的物理介质（若有），例如包含备份文件的介质，将在传输之前予以加密。
访问控制/安全策略 IQAX实施旨在从逻辑上防止未经授权人员接触或获取服务的措施。
IQAX对发布的个人数据进行分类，并根据IQAX的访问控制和处理程序管理发布的个人数据。
如果IQAX需要访问数据以提供服务，并且IQAX管理该等访问，IQAX将把访问权限限制在所需的最低级别。该等访问，包括对基础组件的管理性访问（特许访问），应为个人的、基于角色的，并须经授权的IQAX人员按照职责划分原则批准和常规验证。
IQAX采取措施，以通过特许访问权限识别并删除冗余和休眠账户，当账户所有者分离时或应授权IQAX人员（如账户所有者的经理）的要求，立即撤销该访问权限。
IQAX在一段合理的时间内维护系统使用和活动的审核日志。
IQAX维护并遵循其对所有新员工（包括IQAX全资子公司的员工）的标准就业核查要求。根据IQAX的内部流程和程序，将定期审查上述要求，包括教育和专业资格审查、先前职业、性格推荐、身份验证证明（香港居民身份证、护照号等），以及IQAX认为必要的其他核查。在适用且当地法律允许的情况下，IQAX负责在招聘过程中实施上述要求。
IQAX维护并遵循IT安全策略和实践，以控制IQAX员工对IT系统的访问。在角色的基础上评估访问请求，并在需要的基础上予以批准。
物理安全措施 IQAX使用符合ISO27001标准的物理和环境安全控制的云提供商，定义物理安全边界，并实施物理安全控制，以确保办公室、房间和场所免受外部和环境威胁，并确保上述区域是安全的。
除了需要通过互联网访问的客户连接和某些服务/网站外，限制接入IQAX云服务网络。
在本地设备和操作系统功能支持的范围内，IQAX将维护计算机保护，包括端点防火墙、整盘加密、基于签名的恶意软件检测和删除、基于时间的屏幕锁定，以及执行安全配置和修补要求的端点管理解决方案。
IQAX可使用无线联网技术，包括为服务和相关组件提供维护和支持。这种无线网络通信将被加密，并需要安全认证，并且不提供对IQAX云服务网络的直接访问。
应用程序安全测试 IQAX使用行业标准系统进行应用程序代码漏洞评估和测试。
API安全 IQAX使用行业标准系统管理、控制和保护其APIs免受网络安全威胁。
IQAX将为整体服务维护一个文档化的安全架构。IQAX将单独审查安全架构，包括旨在防止未经授权连接到系统、应用程序和网络设备的措施，以便在实施前遵守其网络分割、隔离和纵深防御标准。
威胁检测和响应 IQAX使用行业标准系统针对其服务器进行安全漏洞扫描和恶意行为监控、检测、屏蔽和取证。
IQAX为其在线系统维护适当水平的DDOS保护。
IQAX维护一份它在提供服务时使用的信息技术系统的清单。IQAX持续监控和管理服务和基础组件的状况，包括容量和可用性。
IQAX使用多个第三方公共云服务，每个云提供商提供特许访问监控、维护安全信息和事件管理，以：
(1) 识别未经授权的访问；和
(2) 记录访问尝试（包括密码错误的尝试）。
IQAX监控异常使用情况，例如未经授权的访问，旨在及时并恰当地对此类活动作出回应。
按照IQAX的政策和程序保留记录特许访问和活动的日志。IQAX采取措施防止未经授权访问、修改以及意外或故意破坏日志。
修补和更新 IQAX采取措施，通过针对已知安全漏洞的最新补丁，确保它使用的发布的个人数据处理系统是最新的。
IQAX维护旨在管理与服务变更应用程序相关的风险策略和程序。在实施前，服务（包括其系统、网络和基础组件）的变更应在内部进行记录，包括记录变更说明和原因、实施细节和计划、说明对服务和IQAX客户的影响的风险声明、预期结果、重新运行计划和授权人员的书面批准。
业务连续性管理 IQAX定期进行备份，以确保在发生灾难、恶意软件或勒索软件攻击或网络安全事件时，其系统中最重要的数据可以恢复，系统也可以恢复。
ISO 27001合规性 如果初始合规性认证将于2021年底进行，IQAX保持符合ISO 27001信息安全的最新合规性认证。

4.2 由上文第3.1条所述的次级处理者处理的发布的个人数据应遵守以下技术和组织安全措施： https://content.iqax.com/data-protection-addendum/sub-processor/data-processing-addendum_cn.pdf。




附件B

标准合同条款（控制者至处理者）

就第95/46/EC号指令第26(2)条而言，将个人数据传输到在第三国设立的处理者，而该处理者未确保足够的数据保护程度
贵方，如贵方的订单所确认，以及根据规定的合同详情（数据输出方）
与
和易孚有限公司，根据香港法律注册的公司，公司注册编号为2941508，注册地址为香港湾仔港湾道25号海港中心31楼，可通过贵方订单上所述合同详情或IQAX隐私政策中另行规定的方式与其联系（数据输入方）。
单独称为“一方”；统称为“双方”。
同意下列合同条款（以下称”条款“），就数据输出方将附件1中所述个人数据传输至数据输入方，提出充分保障个人隐私和基本权利及自由的措施。


第1条 定义


为本条款的目的：

(a) ‘个人数据’、‘特殊类别数据’、‘处理’、‘控制者’、‘处理者’、‘数据主体’和‘监管当局’具有欧洲议会和理事会1995年10月24日关于个人数据处理中个人保护和该等数据自由传输的第95/46/EC号指令中赋予的相同的含义；

(b) ‘数据输出方’是指传输个人数据的控制者；

(c) ‘数据输入方’是指同意从数据输出方接收个人数据并根据数据输出方的指示和本附件条款代其处理该等数据的一方，且数据输入方不受第95/46/EC号指令第25(1)条规定的确保充分保护的第三国制度的约束；

(d) ‘次级处理者’是指数据输入方或数据输入方的任何其他次级处理者聘请的任何处理者，同意从数据输入方或数据输入方的任何其他次级处理者接收个人数据，专门用于在传输后按照数据输出方的指示、本条款和书面分包合同条款，代表数据输出方进行处理活动；

(e) ‘适用的数据保护法’是指适用于数据输出方所在成员国的数据控制者的、旨在保护个人的基本权利和自由，特别是处理个人数据方面的隐私权的法律；

(f) ‘技术和组织安全措施’是指旨在保护个人数据不受意外或非法破坏或意外遗失、更改，尤其是处理涉及通过网络传输数据的未经授权披露或访问，以及应对所有其他非法处理的措施。


第2条 传输详情


有关传输的详情，尤其是特殊类别个人数据（如适用）的传输，均列于附件1。附件1构成条款的不可分割的一部分。


第3条 第三方受益人条款


1. 作为第三方受益人，数据主体可强制数据输出方执行本条、第4(b)至(i)条、第5(a)至(e)条、和(g)至(j)条、第6(1)和(2)条、第7条、第8(2)条和第9至12条。

2. 数据输出方已实际消失或在法律上已不复存在的，数据主体可强制数据输入方执行本条、第5(a)至(e)和(g)条、第6条、第7条、第8(2)条和第9至12条，除非任何继任实体已通过合同或依法承担数据输出方的全部法律义务，并因此承担数据输出方的权利和义务，在这种情况下，数据主体可强制该等实体执行上述条款。

3. 数据输出方和数据输入方都已实际消失或在法律上不复存在或已经破产的，数据主体可强制次级处理者执行本条、第5 (a) 至(e)和(g)条、第6条、第7条、第8(2)条和第9至12条，除非任何继任实体已通过合同或依法承担数据输出方的全部法律义务，并因此承担数据输出方的权利和义务，在这种情况下，数据主体可强制该等实体执行上述条款。次级处理者的该等第三方责任应限于其在条款下的处理操作。

4. 双方不反对由协会或其他机构代表的数据主体，前提是数据主体明确希望如此且国家法律允许。


第4条 数据输出方的义务


数据输出方同意并保证:

(a) 个人数据的处理，包括传输本身，已经并将继续按照适用的数据保护法的有关规定进行（以及在适用时，已通知数据输出方所在成员国的有关当局），且并未违反该国的相关规定；

(b) 已经指示并将在整个个人数据处理期间指示数据输入方仅代表数据输出方并根据适用的数据保护法和条款的规定处理传输的个人数据；

(c) 数据输入方应就本合同附件2中所述技术和组织安全措施提供充分保证；

(d) 在评估适用的数据保护法的要求后，安全措施足以保护个人数据不受意外或非法破坏或意外遗失、更改、未经授权的披露或访问，尤其是在处理涉及通过网络传输数据的情形，并且可防止所有其他非法处理方式，并且在考虑到技术发展最新水平和实施成本的情况下，上述措施确保了与处理数据所带来的风险和受保护数据的性质相适应的安全水平；

(e) 它将确保遵守安全措施；

(f) 如果传输涉及特殊类别的数据，已经在传输之前通知或将在传输后尽快通知数据主体，其数据将传输到未提供第95/46/EC号指令所规定的适当保护的第三国；

(g) 如数据输出方决定继续传输或解除暂停，则将根据第5(b)条及第8(3)条从数据输入方或任何次级处理者收到的任何通知，转交给数据保护监管当局；

(h) 应要求，向数据主体提供一份条款（除附件2之外）和安全措施概述，以及按照条款订立的任何次级处理服务合同的副本，除非条款或合同包含商业信息，在这种情况下，它可以删除该等商业信息；

(i) 如果是次级处理，次级处理者根据第11条的规定进行处理活动，并为个人数据和数据主体提供与条款项下数据输入方提供的相同程度的保护；和

(j) 其将确保遵守第4(a)至(i)条。


第5条 数据输入方的义务


数据输入方同意并保证：

(a) 仅代表数据输出方并按照其指示处理个人数据；如果它因任何原因无法遵守，则同意及时通知数据输出方其无法遵守的情况，在这种情况下，数据输出方有权暂停数据传输和/或终止合同；

(b) 没有理由相信，适用于它的法律阻止它履行数据输出方的指示及其在合同项下的义务，如果该等法律发生可能对条款所规定的保证和义务产生重大不利影响的变更，一旦发现变更，它将立即通知数据输出方，在这种情况下，数据输出方有权暂停数据传输和/或终止合同；

(c) 在处理传输的个人数据前，已实施附件2所列技术和组织安全措施；

(d) 它将立即通知数据输出方以下内容：

(i) 执法机构要求披露个人数据的具有法律约束力的要求，除非另有禁止，例如根据刑法为执法调查保密而禁止的要求；

(ii) 任何意外或未经授权的访问；和

(iii) 任何直接从数据主体收到而未作回应的请求，除非已获其他授权；

(e) 立即并适当地处理数据输出方就其处理传输的个人数据所提出的一切询问，并遵从监管当局就处理传输的数据所发表的意见；

(f) 应数据输出方的请求，提交其数据处理设备，以便对条款所涵盖的处理活动进行审核。审核应由数据输出方或由独立成员组成、具有必要的专业资格、负有保密义务、由数据输出方选定的且经监管机构同意（如适用）的检验机构进行；

(g) 应数据主体的请求，向其提供条款或任何现有次级处理合同的副本，除非条款或合同包含商业资料，在这种情况下，它可删除该等商业资料，附件2除外，在数据主体未能从数据输出方获得副本的情况下，可用安全措施概述替代附件2；

(h) 在次级处理的情况下，已事先通知数据输出方并获得其事先书面同意；

(i) 次级处理者将按照第11条的规定进行处理服务；

(j) 立即将其根据条款订立的次级处理者协议发送给数据输出方。


第6条 责任


1. 双方同意，由于任何一方或次级处理者违反第3条或第11条所述义务而遭受损害的任何数据主体有权就所遭受的损害从数据输出方获得赔偿。

2. 如果因为数据输出方已实际消失或在法律上不复存在或已破产，而导致数据主体无法根据第1款向数据输出方提出因数据输入方或其次级处理者违反其在第3条或第11条项下的任何义务而导致的索赔，数据输入方同意，数据主体可向数据输入方提出索赔，如同数据输入方是数据输出方一样，除非任何继任实体通过合同或依法承担了数据输出方的全部法律义务，在这种情况下，数据主体可以对该等实体强制执行其权利。

数据输入方不能因次级处理者违反其义务而免除其自身的责任。

3. 如果因为数据输出方和数据输入方都已实际消失或在法律上不复存在或已破产，而导致数据主体无法根据第1款和第2款向数据输出方或数据输入方提出因次级处理者违反其在第3条或第11条项下的任何义务而导致的索赔，次级处理者同意，数据主体可就次级处理者在条款项下的处理操作向次级处理者提出索赔，如同它是数据输出方或数据输入方一样，除非任何继任实体通过合同或依法承担了数据输出方或数据输入方的全部法律义务，在这种情况下，数据主体可对该等实体强制执行其权利。次级处理者的责任应限于其在条款项下的处理操作。


第7条 调解与管辖


1. 数据输入方同意，如果数据主体对其援引第三方受益人权利和/或根据条款要求赔偿损害，数据输入方将接受数据主体的决定；

(a) 将争议提交独立人士或监管当局（如适用）调解；

(b) 将争议提交数据输出方所在成员国的法院解决。

2. 双方同意，数据主体作出的选择不会损害其根据国内法或国际法的其他规定寻求救济的实质性或程序性权利。


第8条 与监管当局的合作


1. 如果监管当局或适用的数据保护法要求，数据输出方同意将本合同副本交存监管当局。

2. 双方同意，监管当局有权对数据输入方及任何次级处理者进行审核，审核范围和条件与适用的数据保护法下数据输出方的审核相同。

3. 数据输入方应立即通知数据输出方，是否存在适用于数据输入方或任何次级处理者的阻止根据第2款对数据输入方或任何次级处理者进行审核的法律。在这种情况下，数据输出方有权采取第5(b)条所预见的措施。


第9条 适用法律


条款适用数据输出方所在成员国（即订单上明确规定的地址或数据输出方以其他方式指明的地址）的法律。


第10条 合同的变更


双方承诺不变更或修改条款。这并不妨碍双方在必要时添加与业务有关的条款，前提是它们不与条款相抵触。


第11条 次级处理


1. 未经数据输出方事先书面同意，数据输入方不得分包其根据条款代表数据输出方进行的任何处理业务。如数据输入方在数据输出方同意的情况下，分包其在条款项下的义务，则只能通过与次级处理者签订书面协议的方式分包，且该协议应向次级处理者施加与条款向数据输入方施加的相同的义务。如果次级处理者未能履行其在该等书面协议项下的数据保护义务，数据输入方应就次级处理者在该等协议项下的义务的履行向数据输出方承担全部责任。

2. 数据输入方和次级处理者之间的事先书面合同还应规定如第3条所述的第三方受益人条款，以应对下列情形：数据主体因数据输出方或数据输入方已实际消失或在法律上不复存在，或已破产，且没有继任实体通过合同或依法承担其全部法律义务而无法向数据输出方或数据输入方提出第6条第1款所述赔偿要求。次级处理者的该等第三方责任应限于其在条款下的处理操作。

3. 第1款所述与合同次级处理数据保护方面有关的规定应受数据输出方所在成员国（订单上特别指定的或数据输出方另行指定的地址）的法律管辖。

4. 数据输出方应保留根据条款签订的并由数据输入方根据第5(j)条修订的次级处理协议的清单，并应至少每年更新一次。该清单应提供给数据输出方的数据保护监管当局。


第12条 个人数据处理服务终止后的义务


1. 双方同意，终止提供数据处理服务时，数据输入方和次级处理者应根据数据输出方的选择，将所有传输的个人数据及其副本返还数据输出方或销毁所有个人数据并向数据输出方证明个人数据已销毁，除非有法律禁止数据输入方归还或销毁全部或部分传输的个人数据。在这种情况下，数据输入方保证会对传输的个人数据保密，并且不会再主动处理传输的个人数据。

2. 数据输入方和次级处理者保证，应数据输出方和/或监管当局的请求，它将提交其数据处理设施，以便对第1款所述的措施进行审核。




标准合同条款附件1


本附件构成条款一部分。

数据输出方
数据输出方是（请简要说明与传输相关的活动）：协议项下提供的服务的用户。

数据输入方
数据输入方是（请简要说明与传输相关的活动）：协议项下服务的提供者。

数据主体
传输的个人数据涉及下列类别的数据主体：有关数据主体的详情载于本DPA附件A（数据处理详情）第1部分（发布的个人数据的详情）。

数据类别
传输的个人数据涉及下列类别的数据：个人数据类别详情见本DPA附件A（数据处理详情）第1部分（发布的个人数据的详情）。

特殊类别数据（如适用）
传输的个人数据涉及下列特殊类别数据：预计根据协议不会输出特殊类别数据。

处理操作
传输的个人数据将经过以下基本处理：个人数据的处理详情载于本DPA附件A（数据处理详情）第2部分（处理详情）。
数据输入方可聘请次级处理者处理个人数据，详情见本DPA和本DPA附件A（数据处理详情）第3部分（次级处理者）。




标准合同条款附件2


本附件构成条款的一部分。

数据输入方根据第4(d)和5(c)条（或所附文件/法例）实施的技术和组织安全措施的描述：

技术和组织安全措施描述见本DPA附件A（数据处理详情）第4部分（技术和组织安全措施）。