數據處理協議

版本：1.0

最近更新日期：2023年5月10日

生效日期：2023年5月10日

一、定義

1. 1.1. 除本協議和主協議中其他地方定義的條款外，對於本協議的全部內容，附件 1 中的條款（"定義"）所包含的術語應具有其中所列的含義。
2. 1.2. 各方互相同意並理解，對於本協議而言，採用歐洲數據保護法律的所有定義。

二、您的責任

1. 2.1. 根據本 DPA 和主協議的規定，您作為數據控制者有責任遵守適用的數據保護法律下您操作所需的所有要求，以進行個人數據的處理。
2. 2.2. 您同意並承認，除以下內容的一般性之外，您有以下責任：
   1. （i）提供給公司用於服務目的的個人數據的準確性、質量和合法性，以及相應的獲取方式和方法；
   2. （ii）遵守適用的數據保護法律（包括歐洲數據保護法律）下的所有必要的透明度和合法性要求；
   3. （iii）對個人數據的收集和使用，包括獲得任何必要的同意和授權，特別是用於用戶的市場營銷目的；
   4. （iv）確保您有權根據本 DPA 和主協議的條款將個人數據轉移或提供給我們進行處理；
   5. （v）確保您遵守適用於您的所有法律，包括但不限於數據保護法律，涉及通過我們的服務創建、發送或以其他方式管理的任何電子郵件或其他內容。
3. 2.3. 您在此確認並同意，如果您無法履行本協議和適用的數據保護法律下的義務，特別是在適用的數據保護法律下，應及時且無不當延遲地通知公司。
4. 2.4. 您在此確認並理解，本協議的規定以及主協議的相關規定和您作為數據主體的任何其他書面要求，將構成您作為數據控制者的完整和最終指示，用於本 DPA 的目的和關於您的個人數據的處理。
5. 2.5. 您在此確認、理解並同意，除本範圍之外的任何其他指示均需要您的事先書面請求。

三、公司的責任

1. 3.1. 公司僅對本 DPA 中描述的目的進行個人數據的處理，並根據附件 2（"處理詳細信息"）中的內容或根據您合法指示的範圍內的其他協議進行處理，除非數據保護法律，包括但不限於歐洲數據保護法律和其他適用於雙方的法律和法規要求另外處理。
2. 3.2. 公司不對只適用於您和/或您所在行業而對 PinChat 的運營無法律適用的適用數據保護法律的合規負責和承擔責任。
3. 3.3. 公司應在法律允許的範圍內立即且無不當延遲地通知您，如果根據適用法律和/或法規的法律要求，認為公司無法按照本 DPA 的規定進行個人數據的處理。

四、數據主體請求

1. 4.1. 您在此確認、同意並接受，公司將通過軟件為您提供控制功能，以便您能夠檢索、更正、刪除或限制個人數據，以協助您遵守數據保護法律的要求。
2. 4.2. 公司可以根據您的書面請求，在個人數據處理的範圍內提供合理的協助，以回應任何數據主體的請求。
3. 4.3. 公司在此確保，將采取適當的技術和組織措施，以保護您根據本 DPA 提供給我們的個人數據，免受未經授權的訪問、更改、披露或刪除。
4. 4.4. 公司在此確保，公司將按照適用的數據保護法律的規定，處理由您作為數據控制者提供的數據主體請求。

五、外部服務商

1. 5.1. 您同意並理解，公司可以委託第三方作為外部服務商，來進行處理根據本 DPA 的個人數據。公司將與任何委託的外部服務商簽訂合同，要求外部服務商遵守適用的數據保護法律的要求。
2. 5.2. 公司將對其委託的外部服務商的行為負責。

六、數據轉移

1. 6.1. 公司同意，如果您根據本 DPA 和主協議的規定要求，將個人數據轉移給第三方，公司將提供合理的協助，以確保該個人數據的轉移的技術和組織措施的安全性。
2. 6.2. 公司在此確認，公司在其控制下的個人數據不會轉移到不符合歐洲數據保護法律要求的國家或地區，除非在適用的數據保護法律允許的情況下或在您的事先書面請求下。

七、監管和審計

1. 7.1. 雙方同意，根據主協議為提供服務而應當締結的標準合同條款以及作為本資料處理協議的一部分，應適用於此處的附件 5，並自動修訂以反映歐洲數據保護法律的任何變化。
2. 7.2. 根據第 7.1 條，雙方在此互相理解並同意，公司承擔數據引進方的權利和義務，您則承擔數據引出方的權利和義務，正如標準合同條款中所定義的，這些權利和義務將在雙方成為標準合同條款的一方以及相關數據傳輸開始之日生效，以較晚者為準。
3. 7.3. 雙方在此互相同意，如果標準合同條款適用且與本資料處理協議的任何條款相衝突，則在相關事項上，標準合同條款將優先適用於此衝突的範圍內。

八、 附加條款

九、DPA 的當事方

1. 9.1. 當您註冊並接受 PinChat.me 軟件解決方案的《 PinChat.me 服務條款 》時，您作為系統的用戶代表自己以及在法律和適用的數據保護法律允許的範圍內的授權聯繫公司，代表自己與您的每個授權聯繫公司建立獨立的 DPA，受到協議和本協議條款的約束。
2. 9.2. 您在此同意並承認，每個授權聯繫公司同意受到本 DPA 的義務約束，適用於主協議。
3. 9.3. 您在此同意並承認，除本協議另有規定外，根據法律允許的範圍，對於本 DPA 的目的，“用戶”、“您”和“您的”將包括您和這些授權聯繫公司。
4. 9.4. 作為用戶同意此 DPA 的法律實體代表自己和（如適用）其每個授權聯繫公司，並且有權同意並簽署此 DPA。

十、一般條款

1. 10.1. 本 DPA 自生效日起有效，直到數據控制者或數據處理者根據適用的規定終止主協議為止。
2. 10.2. 雙方可以根據主協議的規定以書面通知 30（三十）天終止本 DPA，並通過系統設置中的取消系統來實現。
3. 10.3. 不受本 DPA 和主協議中其他相反規定的限制， PinChat.me 保留隨時對本 DPA 進行任何更新和修訂的權利，但需遵守本 DPA 中的其他附加條款。
4. 10.4. 如果本 DPA 的任何單獨條款被確定為無效或不可執行，該無效或不可執行的條款將不影響本 DPA 的其他條款的有效性和可執行性。
5. 10.5. 未經對方事先書面同意，任何一方不得轉讓、讓與、設定負擔、許可或以其他方式處理或處置本協議下的任何契約權利或義務。
6. 10.6. 雙方和授權聯繫公司因本 DPA 全部或部分產生的責任，不論是合同、侵權還是其他責任理論，都將受制於主協議中的責任限制和排除條款。
7. 10.7. 雙方在此同意並接受主協議中指定的管轄權選擇，涉及本 DPA。

附件 1：定義

• 「數據控制者」：指單獨或與他人共同確定個人數據處理目的和手段的自然人、法人、公共機構、機構或其他機構。
• 「數據保護法律」：指適用於協議下相應數據處理角色的與數據保護和隱私有關的適用全球性法規，包括但不限於：
  • (1) 歐洲的數據保護法律；
  • (2) 2018年《加利福尼亞消費者隱私法》（CCPA）；
  • (3) 澳大利亞和新加坡的數據保護和隱私法律；
  • (4) 其他；在任何情況下，根據需要修訂、廢除、合併或替換。
• 「數據主體」：指與個人數據相關的個人。
• 「數據處理者」：指代表數據控制者處理個人數據的自然人、法人、公共機構、機構或其他機構。
• 「歐洲」：指歐洲聯盟、歐洲經濟區及其成員國。
• 「歐洲數據」：指受歐洲數據保護法律保護的個人數據。
• 「歐洲數據保護法律」：指適用於歐洲的數據保護法律，包括：
  • (1) 2016/679號條例 - 歐盟通用數據保護條例（「GDPR」）；
  • (2) 2002/58/EC指令 - 隱私和電子通信指令；
  • (3) 第1點和第2點的相應國家實施；
  • (4) 任何適用的國家法律，根據英國脫歐而取代或轉換GDPR或任何其他與數據和隱私有關的法律；在任何情況下，均可能經修訂、替換或廢除。
• 「EU-US隱私盾」：由美國商務部運營、獲得歐洲委員會批准的自我認證計劃，可能經修訂、替換或廢除。
• 「指示」：指數據控制者向數據處理者發出的任何書面、文件化的指示，指導其針對個人數據執行特定或一般行動，包括但不限於去個人化、阻止、刪除、提供。
• 「許可的關聯方」：包括任何根據主協議允許代表您獲取服務的任何關聯方，但未與我們簽訂獨立協議且不符合作為我們處理的個人數據的控制者的標準，且可能受到歐洲數據保護法律的約束。
• 「個人數據」：指在主協議中定義的帳戶內（如主協議中定義）所包含的與已識別或可識別個人有關的任何信息，並受適用的數據保護法律下的其他個人信息或可識別信息的保護。
• 「個人數據違規」：指在提供服務的過程中，由我們和/或我們的外部服務商意外或非法銷毀、遺失、更改、未經授權披露或訪問的個人數據傳輸、存儲或以其他方式處理，但不包括未成功的嘗試或不會危及個人數據安全的活動，包括未成功的登錄嘗試、ping、端口掃描、阻斷服務攻擊以及針對防火牆或網絡系統的其他網絡攻擊。
• 「處理」：指對個人數據進行的任何操作或操作集，包括但不限於收集、記錄、組織、結構化、存儲、適應或更改、檢索、查閱、使用、通過傳輸進行披露、傳播或以其他方式提供、對齊或結合、限制或刪除個人數據，並且相應地理解「處理」、「處理」和「處理」等術語。
• 「服務」：與主協議中的定義相同。
• 「標準合同條款」：指歐洲委員會根據相關決定批准的數據處理者的標準合同條款，並包含在本附件 5 中，作為協議的一部分，可能經修訂、替換或廢除。
• 「外部服務商」：指我們委托的任何數據處理者，以協助我們履行主協議下提供服務的義務，並且可能包括第三方，但不包括 PinChat.me 的任何雇員或顧問。

附件 2：處理的詳細信息

此附件 2：處理的詳細信息是 DPA 的一部分。

• 處理的性質和目的： 公司將根據提供服務的需要處理個人數據，根據主協議，並可能在其他文件中進一步明確指定，該文件是主協議和 DPA 的一部分。
• 處理的持續時間： 除非另有明確規定，個人數據的處理將在主協議的持續時間內進行，除非另有書面協議。
• 數據主體類別： 根據主協議的規定，數據主體將包括任何類型的用戶客戶，因此可能因數據控制者的系統使用而有所不同。
• 個人數據類別： 根據主協議的規定，個人數據的類別可能根據系統的使用而有所不同，包括但不限於以下內容：
  • 姓名
  • 電子郵件地址
  • 電話號碼
  • 數據控制者通過使用其他字段請求的信息
  • 數據控制者和個體之間的聊天記錄
  • 數據控制者的使用情況，並不是絕對的。
• 處理操作： 包括統一的內部流程，其中系統用戶的數據將持續或系統性地收集、存儲和用於提供服務，符合主協議的要求。數據處理者將代表數據控制者處理個人數據。
• 個人數據的保護措施： 數據處理者將採取適當的技術和組織措施來保護個人數據的機密性、完整性和可用性，並根據適用的數據保護法律要求進行操作。
• 數據主體權利： 數據處理者將根據適用的數據保護法律允許的範圍內，協助數據控制者處理數據主體的權利請求，並確保遵守相關的義務和流程。
• 個人數據違規通知： 在發現個人數據違規時，數據處理者將立即通知數據控制者，並在合理範圍內提供協助，以幫助數據控制者遵守相關的義務和流程。
• 外部服務商的參與： 數據處理者將遵從主協議對外部服務商進行監督和管理的義務。該監督和管理將包括選擇和監測外部服務商，確保其遵守適用的數據保護法律要求，並適當保護個人數據的安全性。

附件 3：安全措施

• 此附件 3 的安全措施是 DPA 的一部分，除非另有定義，否則所有大寫字母開頭的術語應與主協議中所定義的含義相同。
• 這些措施是ISMS的一部分，將按照最佳實踐和標準進行維護。

附件 4：安全措施

閱讀此附件 4 時，請結合 DPA 的第 5 條和其他適用的條款。

附件 5：標準合同條款

• 根據歐洲委員會官方網站上的最新版本標準合同條款，可在此處找到 連結，並對相關事項進行實施和遵循。
• 標準合同條款是本協議的一部分，適用於根據歐洲數據保護法律對當事方進行的範圍內。
• 為了本協議和當事方的合同關係，採用第二模塊：控制者對處理者之間的數據傳輸。