資料保護附錄

如何執行此資料保護協定：

要完成此資料保護協議，請發送電子郵件。 合法的@digital.ai收到有效填寫的DPA後 Digital.ai此類資料保護協議將具有法律約束力。

可下載《資料保護法》的PDF文件版本。 此處 供客戶評價。

資料保護附錄

本資料保護附錄（“DPA”）構成雙方之間協議（定義見下文）的一部分 Digital.ai 以及客戶 Digital.ai 向客戶提供服務。除非本協議另有定義，所有大寫術語均具有適用協議中賦予它們的含義。

Digital.ai 在根據本協議向客戶提供服務的過程中，可能會處理受資料保護法律約束的客戶個人資料。本資料處理協議規定了雙方根據本協議處理個人資料的義務。

鑑於雙方在此所列的相互義務，雙方同意遵守下列規定，各自以合理和誠信的方式行事。

1. 釋義

“不"成爲Affiliates「控制方」指直接或間接擁有、控制一方或受一方控制，或與一方受同一控制的任何個人或實體，其中控制定義為擁有或支配被控制實體中超過 50% 的有表決權的股權證券或類似所有權權益。

“不"協議「指雙方之間所有現有與未來的協議 Digital.ai 以及與此相關的客戶 Digital.ai 提供涉及代表客戶處理個人資料的服務，例如主訂閱協議（“海事局」）以及所有適用於服務的訂單。本資料處理協議透過此引用併入上述協議。 

“不"控制器「是指單獨或與他人共同決定個人資料處理的目的和方式的實體。

“不"數據保護法「指所有適用於保護個人基本權利和自由以及其在本協議項下處理個人資料方面的隱私權的當地、州、聯邦或國際法律、法規或條約，如該等法律所定義，包括但不限於歐洲區域法律、經2020年加州隱私權法案修訂的2018年加州消費者隱私法案（「CCPA」），以及隨後的任何補充、修訂或替代。 

 “不"歐洲地區」指的是歐盟（“EU”），歐洲經濟區（“EEA”）、瑞士和/或大不列顛及北愛爾蘭聯合王國（“UK“）。

“不"歐洲區域法」指（i）歐盟一般資料保護條例（條例 2016/679）（“GDPR」）；（ii）根據《2018 年英國歐盟（退出）法案》修訂並納入英國法律的 GDPR，以及經《2019 年資料保護、隱私和電子通訊（附錄等）（歐盟退出）條例》（SI 2019/419）附表 1 修訂的 GDPR（統稱「英國資料保護法」）；（三）2020 年 9 月 25 日瑞士聯邦資料保護法（自 2023 年 9 月 1 日起生效）及其相應條例（“瑞士資料保護局」）；或 (iv) 其任何後續版本或修訂版本（包括但不限於成員國將 GDPR 納入其國內法）；或 (v) 適用於歐洲地區的任何其他與個人資料保護、安全或隱私相關的法律。

“不"個人資料「客戶資料」指與已識別或可識別的自然人相關的任何客戶資料（定義見協議）。數據主題」），受資料保護法保護。

“不"個人數據洩露「安全漏洞」是指導致傳輸、儲存或以其他方式處理的個人資料遭到意外或非法銷毀、遺失、更改、未經授權的揭露或訪問，並且根據資料保護法，控制者有義務向主管資料保護機構或資料主體發出通知的安全漏洞。 

“不"處理中「操作」是指對個人資料或個人資料集執行的任何操作或一系列操作，無論是否透過自動化方式，例如收集、記錄、組織、建置、儲存、改編或變更、檢索、查閱、使用、透過傳輸、傳播或其他方式揭露、排列或組合、限制、擦除或銷毀。

"處理器「指代表控制者處理個人資料的實體。

“不"服務範圍」指提供維護和支援服務和/或提供軟體即服務（“SaaS的」）及/或依本協議提供且用於該等目的的任何其他服務（無論託管、管理或其他方式），且該等服務係為上述目的而提供。 Digital.ai 代表客戶處理個人資料。

“不"標準合約條款“或”鱗狀細胞癌」指（i）國際轉帳的標準合約條款 出版 2021年6月4日，歐盟委員會通過了將歐洲地區個人資料傳輸至第三國的法規，該法規由歐盟委員會和瑞士聯邦資料保護和資訊專員共同採納。瑞士聯邦國防採購與資訊中心”）與向第三國傳輸資料有關（統稱為“歐盟 SCC」）；（ii） 國際資料傳輸附錄 （'英國轉讓附錄」）英國資訊專員辦公室 (UK ICO) 為從英國向第三國傳輸資料而製定的任何類似條款；或 (iii) 資料保護監管機構為向第三國傳輸資料而製定的任何類似條款，包括但不限於其任何後續條款。 

“不"分包商」 的意思是 Digital.ai 關聯公司或第三方受聘 Digital.ai 與服務相關，並根據本資料處理協議處理個人資料。 

“不"監管機構「是指根據適用的資料保護法律設立的獨立公共機構。 

“不"第三國「」指根據適用的資料保護法律，尚未收到相關主管機關（包括歐盟委員會、英國資訊專員辦公室或瑞士聯邦資料保護和資訊專員辦公室等監管機構）就資料傳輸所作出的充分性決定的國家。

2. 個人資料處理 
   1. 各方的作用本資料處理協定適用於以下個人資料處理： Digital.ai 及其與提供服務相關的子處理者。就本資料處理協議而言， Digital.ai 是處理器，客戶是控制器。 
   2. 處理範圍個人資料處理的主題和期限在協議中有所規定，該協議描述了向客戶提供的服務。代表客戶處理個人資料的性質和目的、個人資料類型以及資料主體類別均在協議中有所規定。 展覽1 致該資料保護協定。 
   3. 說明. Digital.ai 僅代表客戶並依照客戶的書面指示處理個人數據，包括將個人資料傳輸至第三國或國際組織（如第7節所述）。本協議（包括本資料處理協議）構成處理客戶個人資料的初始書面指示，每次使用服務均構成進一步指示。 Digital.ai 我們將盡合理努力遵守客戶的其他合理指示，前提是這些指示符合本協議的條款、資料保護法律的要求，並且在技術上可行。 Digital.ai 如果無法遵守指示或 Digital.ai根據本公司意見，任何客戶指示均不得違反適用的資料保護法律。
   4. 遵守法律雙方同意遵守所有適用的資料保護法律，詳情如下：
   5. Digital.ai 應遵守所有適用的資料保護法律 Digital.ai 作為個人資料處理者，在提供服務時， Digital.ai 在適用資料保護法律要求的情況下，我們也可能處理個人資料。 Digital.ai 除非法律基於重要的公共利益理由禁止此類通知，否則應在處理之前告知客戶該法律要求。 
   6. 客戶作為資料控制者，應遵守所有適用於客戶的資料保護法律，並應獲得所有必要的同意，並向資料主體提供所有必要的通知，以便其能夠存取和使用資料。 Digital.ai 為依法進行本資料處理協議所設想的處理，客戶應負責個人資料的準確性和質量，以及客戶獲取個人資料的方式。
3. 資料主體權利 
   1. 數據主體請求. Digital.ai 將以與服務功能一致的方式，並且 Digital.ai作為資料處理者，應向客戶提供合理的支持，使客戶能夠回應資料主體根據適用的資料保護法律行使其權利的請求（“數據主體請求“）。 
   2. 回應資料主體請求客戶負責回應資料主體請求。 Digital.ai 收到資料主體關於個人資料處理的請求或其他投訴， Digital.ai 在法律允許的範圍內，如果資料主體已提供足夠的資訊以識別客戶，則將及時通知客戶。除非適用法律另有規定， Digital.ai 未經客戶事先書面授權或指示，不得回應任何此類資料主體請求，但確認該請求與客戶相關的除外。 
4. 個人資料的保留和刪除 
   1. 個人資料保留在雙方協議終止後和/或本資料處理協議適用的服務終止後， Digital.ai 應根據資料保護法律和/或本協議條款，在合理可行的範圍內盡快刪除或返還任何客戶個人數據，除非適用法律要求進一步儲存。
5. 處理安全性 
   1. 安全措施. Digital.ai 將實施並維持適當的技術和組織措施，具體規定見下文。 展覽2 根據本資料處理協議，客戶應根據適用的資料保護法律，保護個人資料免遭意外或非法銷毀、遺失、變更、未經授權的揭露或存取。客戶有責任自行判斷服務的技術和組織措施是否符合客戶的要求，包括其在適用資料保護法律下的任何安全義務。 
   2. 工作人員處理個人數據， Digital.ai 及其分包商僅可向已承諾遵守至少與本資料處理協議或本協議同等保密要求的授權人員授予存取權限。此類人員應依照客戶在本協議中規定的指示處理個人數據，且僅限於履行服務所必需的範圍。 
6. 子處理器 
   1. 子處理器的使用客戶授權 Digital.ai 依本資料處理協議聘用分包商，但前提是： Digital.ai 應與此類分包商簽訂符合本協議條款的書面協議。 Digital.ai 對於任何分包商的行為和不作為，本公司應承擔與分包商自身行為和不作為同等的責任。 Digital.ai. 
   2. 子處理器列表. 使用的子處理器列表 Digital.ai 為提供服務，自本資料處理協議生效日起，相關服務將依附件所示日期提供服務。 展覽3 並發表於 Digital.ai 資料保護常見問題解答 （'子處理器列表“）。 Digital.ai 如擬對子處理商名單進行任何新增或替換，應透過更新已發布的子處理商名單或透過電子郵件（如客戶已註冊接收通知）的方式通知客戶。 https://info.digital.ai/subscribe-to-data-processor-updates.html  至少在授權任何新的子處理者處理個人資料之前三十 (30) 天。  
   3. 反對權本第 6.3 條適用於客戶位於歐洲區域內或資料保護法另有規定的情況。在此情況下，客戶可以基於與資料保護相關的合理理由提出異議。 Digital.ai透過通知使用新的子處理器 Digital.ai 應立即以書面形式，並在以下日期後十五 (15) 天內予以答覆： Digital.ai依上文第 6.2 條的規定發出通知。如果出現此類異議， Digital.ai 將採取商業上合理的措施來解決客戶提出的異議，向客戶提供合理的書面解釋，說明為解決此類異議而採取的措施，並將本著誠意與客戶討論其擔憂，以期達成解決方案。 Digital.ai 如果無法更換新的子處理方，且客戶的異議基於合理的資料保護理由，則客戶可以終止僅適用於無法由該子處理方提供的服務的適用服務。 Digital.ai 無需使用新的子處理者，只需向其發出書面通知即可。 Digital.ai. Digital.ai 對於終止服務生效日期之後剩餘服務期限內預付的任何費用，我們將退還，且不會對客戶處以任何終止罰款。
7. 資料傳輸 
   1. 接駁車客戶授權 Digital.ai 及其子處理者為提供服務之目的處理個人數據，該處理可能包括根據本數據處理協議的條款進行必要的個人數據傳輸。  
   2. 控制器到處理器的 SCC： 所有從歐洲區域向外傳輸個人資料的行為應受雙方在此訂立並透過上述引用納入本資料處理協議的相關標準合約條款的約束。標準合約條款適用於客戶（作為「資料匯出方」）向歐洲區域向歐洲區域向歐洲區域傳輸個人資料的任何行為。 Digital.ai （作為「資料導入者」），具體如下： 
   3. 歐洲經濟區個人數據客戶向歐洲地區傳輸個人數據 Digital.ai or Digital.ai 除非雙方明確約定同時適用本資料處理協議附件中的模組3（「處理者對處理者」），否則提供給第三國客戶的資料處理服務均受標準合約條款模組二（「控制者對處理者」）的約束。標準合約條款所需的資訊已在本文件中提供。 展覽1 雙方同意，標準合約條款無須另行提及、納入或附於本資料處理協議，即視為已簽署標準合約條款。
   4. 瑞士個人數據如果個人資料受瑞士資料保護法 (DPA) 的約束，則上述標準合約條款應按以下方式進行修改（如適用）：(i) 凡提及「(EU) 2016/679 號條例」及其任何條款，均應解釋為包括提及瑞士資料保護法；(ii) 凡提及「歐盟」、「聯盟」和「成員國」，均應解釋為「瑞士」。 
   5. 英國個人數據對於受英國資料保護法約束並依照英國資料傳輸附錄進行的個人資料傳輸，雙方同意如下：  
   6.  雙方同意受英國轉讓附錄中規定的條款和條件的約束，作為交換，另一方也同意受英國轉讓附錄的約束。
   7. 標準合約條款將依照英國轉讓附錄第 2 部分進行解釋。 
   8. 英國轉讓附錄第 9 至 11 條凌駕於歐盟標準合約條款第 5 條（層級）之上。
   9. 為英國轉讓附錄第 12 條之目的，歐盟標準合約條款將依英國轉讓附錄第 15 條進行修訂。 
   10. 英國轉讓附錄第 1 部分要求的資訊在本延期授權協議的附件 1 中提供。
   11. 如果英國資訊專員辦公室 (ICO) 發布任何修訂後的轉讓附錄或機制，雙方同意依照英國轉讓附錄第 18-20 條的規定納入此類修訂。
   12. 澄清說明雙方均無意且本資料處理協議（DPA）的效力在於與標準合約條款（SCC）中的任何規定相抵觸或限制。本DPA在任何情況下均不限製或約束任何資料主體或主管監理機關的權利。本DPA的任何內容均不得解釋為凌駕於SCC中任何與之衝突的條款之上。如果本DPA進一步規定了稽核和子處理規則，則該等規定也適用於SCC。
   13. 取代資料傳輸機制在任何替代或額外適當情況下 safe如果任何資料保護法律要求採取保障措施或機制將個人資料傳輸到第三國，雙方同意盡快實施這些措施或機制，並將此類實施要求記錄在本資料處理協議的附件中。 
8. 個人資料外洩通知 
   1. 個人資料外洩通知。 Digital.ai 在知悉任何涉及客戶個人資料的個人資料外洩事件後，我們將立即通知客戶，且無論如何都將在72小時內通知客戶。 Digital.ai 並提供其所掌握的合理信息，以協助客戶履行其根據資料保護法要求報告個人資料外洩的義務。 Digital.ai 將盡合理努力查明此類個人資料外洩的原因，並採取適當措施減輕影響，盡可能減少個人資料外洩造成的任何損害。 Digital.ai超出合理控制範圍。通知將依照第 8.2 條的規定送達客戶。該通知不應被解釋或理解為承認過錯或責任。 Digital.ai. 
   2. 通知送達。 如發生任何個人資料外洩事件，通知將透過以下方式送達客戶的一位或多位業務、技術或管理聯絡人： Digital.ai 可透過多種方式聯繫，包括電子郵件。客戶有責任確保始終提供並維護準確的聯絡資訊。
9. 審計 
   1. 信息請求. Digital.ai 應在客戶提出合理的書面請求後，向客戶提供與處理客戶個人資料相關的必要信息，以證明其合法性。 Digital.ai遵守本資料處理協議項下的義務。 
   2. 客戶審核. Digital.ai 應允許客戶（或其獨立審計師）就處理的個人資料提出檢查請求 Digital.ai 為了驗證 Digital.ai若符合以下條件，則視為遵守本資料保護協議：（a） Digital.ai 未能提供充分的書面證據證明其符合技術和組織措施，例如符合 ISO 27001 或其他標準的認證；(b) 發生個人資料外洩；(c) 客戶的監管機構正式要求進行審計；或 (d) 資料保護法賦予客戶強制性現場檢查權；但前提是，除非強制性資料保護法要求更頻繁的檢查，否則客戶每年行使該權利超過一次。任何由以下機構提供的信息 Digital.ai 根據本協議第9條，相關人員須遵守本協議的保密義務。此類檢查將以不影響被檢查設施、網路和系統的安全性、保密性、完整性、可用性和連續性，且不損害其中處理的任何機密資料的方式進行。
   3. 審計成本客戶負責承擔任何審計費用，除非審計發現有重大違約行為。 Digital.ai 然後，根據這項資料保護協議 Digital.ai 應自行承擔審計費用。如果審計結果確定： Digital.ai 已違反其在本資料處理協議下的義務， Digital.ai 將立即自費糾正違約行為。
10. 資料保護影響評估 
    1. 如果適用的資料保護法律要求客戶就其使用服務進行資料保護影響評估或事先諮詢監管機構， Digital.ai 應客戶合理要求，我們將提供服務通常可獲得的文件；例如，任何當時有效的服務組織控制 (SOC) SOC 2 報告、ISO/IEC 27001:2013 認證和/或適用於服務的類似行業標準後續報告。 
    2. 根據資料保護法的要求，為配合監管機構履行與本第10條相關的職責而需要的任何額外協助，包括合作或事先磋商，應由雙方根據處理的性質和可獲得的信息協商一致。 Digital.ai在法律允許的範圍內，客戶應承擔由此產生的任何費用。 Digital.ai提供此類援助。
11. 政府調查 
    1. 如果被迫向執法機構或政府實體揭露個人數據， Digital.ai 將給予客戶合理的通知期限，以便客戶在合理範圍內尋求保護令或其他適當的補救措施。 Digital.ai 這樣做是合法的。
12. 其他問題 
    1. 客戶聯盟客戶負責協調與所有溝通事宜。 Digital.ai 客戶代表其關聯公司就本資料處理協議作出聲明。客戶聲明其已取得授權代表其關聯公司簽訂本資料處理協議及任何納入本協議或依本資料處理協議所簽訂的標準合約條款，發出指示，並就本資料處理協議進行及接收任何通訊或通知。 
    2. 衝突本資料處理協議適用其所附主協議的法律和管轄法院。如果本資料處理協議與主協議之間存在任何衝突或不一致之處，則以本資料處理協議為準，但僅限於涉及個人資料的部分。除本協議另有明確規定外，本資料處理協議受主協議條款與條件的約束。
    3. 終止本資料處理協議的期限將根據協議條款終止。
    4. 其他本協議中凡提及「暫緩起訴協議」（DPA），均指本協議及其附件、附錄和/或附錄。本協議中的章節標題僅供參考，不應以任何方式影響本協議的含義或解釋。