数据处理协议

1. 定义

• 个人数据：与已识别或可识别的自然人（“数据主体”）相关的任何信息。
• 数据控制者：决定个人数据处理目的和方式的一方。
• 数据处理者：代表控制者处理个人数据的一方。
• 处理：对个人数据执行的任何操作，包括收集、记录、存储、使用、披露、限制、删除或销毁。
• 数据泄露：对个人数据的任何意外或非法的销毁、丢失、篡改、未经授权的披露或访问。

2. 范围与目的

提供方仅为交付与客户协议中所述的服务而处理个人数据，并严格按照客户的书面指示处理，除非适用法律另有要求。处理的主题、期限、性质和目的由客户对本服务的使用所界定。

3. 各方角色

就代表客户处理的个人数据而言，客户作为数据控制者，提供方作为数据处理者。各方均负责遵守适用于其角色的数据保护义务。

4. 提供方的义务

• 仅按客户的书面指示处理个人数据。
• 确保获授权处理个人数据的人员受保密义务约束。
• 采取适当的技术和组织措施，保护个人数据免遭未经授权的处理和意外丢失。
• 在知悉影响客户个人数据的数据泄露后，无不当延迟地通知客户。
• 在考虑处理性质的情况下，协助客户履行其义务，包括数据保护影响评估，以及响应数据主体请求和监管机关。
• 保存代表客户开展的处理活动的记录。

5. 客户的义务

• 确保向提供方提供的所有个人数据均以合法、公平和透明的方式收集和处理。
• 就个人数据的处理提供清晰且合法的书面指示。
• 及时告知提供方处理要求或影响所处理个人数据的情况的任何变化。

6. 次级处理者

客户授权提供方委托次级处理者以支持服务交付。提供方将对每个次级处理者施加与本 DPA 实质等同的数据保护义务，并就拟对次级处理者作出的任何变更向客户提供合理的事先通知，以便客户基于合理理由提出异议。

7. 跨境数据传输

向客户所在司法管辖区以外传输个人数据时，将遵守适用的数据保护法，并采取适当的保障措施，如标准合同条款或同等机制。

8. 安全措施

提供方维持与风险相称的技术和组织安全措施，包括传输中加密、访问控制、身份验证保障和监控。这些措施会随着服务和威胁形势的演变而审查和更新。

9. 数据泄露通知

若提供方知悉影响客户个人数据的数据泄露，将无不当延迟地通知客户，并提供合理可得的信息，以协助客户履行对主管机关或数据主体的任何通知义务。

10. 期限、返还与删除

在提供方代表客户处理个人数据期间，本 DPA 持续有效。在服务终止或到期时，提供方将依客户选择删除或返还代表客户处理的个人数据，除非适用法律要求保留。

11. 审计权

提供方将提供为证明遵守本 DPA 所合理必要的信息，并在合理事先通知、保密以及就时间和范围达成一致的前提下，允许并协助进行合理审计，以免干扰提供方的运营或其他客户。

12. 责任

本 DPA 项下的责任受服务条款中规定的限制和排除条款约束，但适用的数据保护法另有规定的除外。

13. 适用法律

本 DPA 受服务条款中适用法律和争议解决条款的管辖，争议亦据此解决。

14. 修订

对本 DPA 的任何修订均须以书面形式作出。若需变更以反映更新的法律要求，提供方将通知客户，更新后的 DPA 将适用于持续进行的处理。