本数据处理协议（“DPA”）是公司与客户之间协议的补充协议，旨在阐明双方在处理和控制客户作为订阅服务的一部分向公司提供的个人数据方面的各自角色。本协议中任何未定义的术语均应具有协议中赋予它的含义。本DPA将在协议终止或到期时自动终止。本DPA中的任何内容均不影响协议项下适用的法律和管辖权，该等法律和管辖权适用于根据协议和本DPA提出的所有索赔。.
1. 定义
“附属公司”控制方“是指一方控制的、控制另一方的或受双方共同控制的任何法律实体。就本定义而言，”控制”是指对某一实体拥有超过 50% 的权益。.
“协议”指公司与客户之间就提供订阅服务达成的协议”。.
“公司”是指相关订单和/或工作说明书中确定的公司法人实体。.
“公司集团”指 Dilicheck SL 及其附属公司。.
“顾客”是指相关订单和/或工作说明书中确定的客户法人实体。.
“数据保护立法”本条款’应指适用于双方运营或提供服务的任何司法管辖区内，有关个人数据保护、处理、存储、传输或安全、隐私或数据主体权利的任何适用法律、法规、指令或准则。这包括但不限于《通用数据保护条例》(EU) 2016/679（“欧盟GDPR”），以及根据本协议处理个人数据的任何司法管辖区内任何其他性质类似的适用数据保护或隐私法律，以及任何其他性质类似的现行或未来法律法规（所有法律法规均可能不时修订、更新或重新颁布）。.
“数据主体”指通过使用个人数据可以直接或间接识别的任何自然人，包括但不限于客户、员工、用户、承包商或任何其他可识别的个人。.
“个人数据”个人信息”是指以任何形式与已识别或可识别的自然人有关的任何信息。可识别的自然人是指可以通过参考一个或多个因素直接或间接识别的人，这些因素包括但不限于姓名、身份证号码、位置数据、在线标识符，或与其生理、心理、遗传、经济、文化或社会身份相关的特定因素。.
“加工”是指对个人数据或个人数据集执行的任何操作或一系列操作，无论是否通过自动化方式，例如收集、记录、组织、构建、存储、改编或更改、检索、查阅、使用、通过传输、传播或其他方式披露、排列或组合、限制、擦除或销毁。.
“标准合同条款”指欧盟委员会于本数据处理协议签署之日生效的，关于欧洲经济区内控制者向欧洲经济区外处理者传输数据的标准合同条款，具体规定见第[此处应插入相关条款]条。” http s://eur-lex。欧盟。欧盟/法律 –内容 /EN / TXT /PDF /? uri = CELEX : 32021 D 0914
“第三国”指的是任何没有确保充分保护的制度的国家。.
2. 数据保护协议的范围
对于客户根据本协议向公司提供的任何个人数据，公司作为数据处理者，客户作为数据控制者。.
3. 个人数据处理
- 就本协议而言，如果公司作为处理者代表客户行事：
- 个人数据类型和数据主体类别包括：姓名、电子邮件地址、电话号码、邮政（邮寄）地址；
- 处理的性质/目的是为了使公司能够根据 GDPR 第 27 条提供欧盟代表服务，包括处理和促进数据主体请求，处理的持续时间应为本协议的期限。.
- 公司应遵守数据保护法律法规规定的义务，尤其应：
- 仅在为实现本协议所规定的目的所必需的范围内处理个人数据，并在适用情况下按照客户的书面指示处理个人数据；;
- 根据数据保护法规实施适当的技术和组织措施，以确保与此类处理所带来的风险相适应的安全级别；;
- 仅在符合标准合同条款的前提下，通过公司集团实体或分包商在第三国处理任何个人数据；;
- 确保任何获授权处理个人数据的员工或其他人员均承担适当的保密义务；;
- 未经客户事先书面同意，不得聘用任何第三方履行其在本协议项下的处理义务；就本款（v）而言，双方同意，公司可聘用其托管合作伙伴履行其根据本协议所承担的处理义务，公司集团实体也可根据上文第（ii）款履行处理义务；;
- 对于收到的数据主体提出的任何知情权请求或投诉，应在合理可行的范围内尽快通知客户，但不得回应该请求（除非客户授权或适用法律允许），并应在合理可行的范围内通过技术和组织措施协助客户履行其在此类请求和投诉方面的义务；;
- 应客户要求，并考虑到处理的性质和公司可获得的信息，协助客户确保其遵守数据保护法规（如适用）规定的义务，具体包括：(a) 实施适当的技术和组织措施；(b) 在相关情况下，根据适用的数据保护法规，向相关监管机构通报个人数据泄露事件和/或将此类泄露事件告知数据主体；以及 (c) 在必要时，开展和/或审查数据保护影响评估，并在适用情况下就此咨询相关监管机构；;
- 应客户要求，提供一切必要信息以证明公司遵守本第3条的规定；
- 本协议终止或到期后，销毁所有个人数据并删除所有现有个人数据副本，但适用法律另有规定的除外。.
4. 客户义务
客户确认已获得所有相关数据主体的必要授权（如适用），允许公司根据本协议使用和处理此类个人数据。客户应遵守所有适用的数据保护法律法规，包括：(i) 就客户、公司以及任何代表客户行事的第三方收集、使用、处理和传输个人数据，向所有数据主体提供所有必要的通知和适当披露；(ii) 获得数据主体所有必要的权利和可强制执行的同意，以允许公司为履行公司义务或在本协议允许的其他情况下处理个人数据；以及 (iii) 如果客户收集或传输任何特殊类别的个人数据，则应获得数据主体的明确同意并遵守所有适用的数据保护法律法规。客户确认，公司的订阅服务并非旨在收集或处理任何特殊类别的个人数据。.
5. 数据的国际传输
- 双方确认，提供服务可能涉及将个人数据从欧洲经济区（“EEA”）传输至EEA以外的司法管辖区（“第三国”），这些司法管辖区的数据保护水平可能不符合适用数据保护法律的规定。数据处理者应确保任何此类传输均符合适用数据保护法律的规定，并采取适当的保障措施，以确保个人数据受到与GDPR要求基本相同的保护。.
- 从处理器到控制器的传输
如果处理者因提供服务而将个人数据传输给位于第三国的控制者：
（a）双方同意，此类转让应受标准合同条款（欧盟委员会实施决定（EU）2021/914）的约束；;
（b）双方明确同意适用标准合同条款第 4 模块（处理者到控制者）；;
（c）根据标准合同条款，处理者应作为数据导出者，控制者应作为数据导入者；;
（d）标准合同条款通过引用并入本数据处理协议，并完整列于附件四，构成本协议的组成部分。.
- 向子处理器传输
如果处理者聘用位于第三国的子处理者：
（a）处理者应确保此类传输符合数据保护法律规定的适当保障措施；;
（b）在适用的情况下，此类保障措施应包括处理者和相关子处理者之间执行标准合同条款，包括模块 3（处理者对处理者）；;
（c）处理者应要求所有分包处理者承担的合同义务，其保护力度不得低于本数据处理协议中规定的义务；;
（d）处理者对控制者仍应承担其子处理者履行义务的全部责任。.
- 额外保障措施和转移影响评估
处理者应：
（a）实施适当的技术和组织措施，以保护个人数据在传输和后续处理过程中的安全，包括（如适用）传输加密；访问控制；数据最小化措施；;
（b）必要时，逐案评估第三国的法律和惯例是否会影响已实施的保障措施（包括标准合同条款）的有效性；;
（c）根据合理要求，向控制者提供为证明遵守本条款所合理必要的信息，包括任何转让影响评估的相关方面。.
- 法律框架的变化
如果 (a) 标准合同条款无效、修改或被替换；或 (b) 主管监管机构或法院认定所依赖的保障措施不再充分，则双方应真诚合作，实施替代传输机制或补充措施，以确保遵守数据保护法规；如果无法实施此类机制，则控制者可以暂停或终止受影响的传输，而无需承担任何责任。.
- 保障措施的优先性
如果本数据处理协议与标准合同条款之间存在任何冲突，则在确保遵守适用数据保护法律的范围内，应以标准合同条款为准。.
6. 子处理器
- 客户同意，公司可委托第三方分包处理者（统称“分包处理者”）以及公司集团实体代表公司处理个人数据。公司目前的分包处理者名单已列于此处，并将不时更新。公司将尽合理努力通知客户其分包处理者的任何重大变更，以便客户有机会就此类变更提出任何合理的异议。如果客户能够合理证明，委任新的分包处理者将对公司遵守适用数据保护法规的能力产生重大不利影响，则客户必须在此后十 (10) 个工作日内以书面形式立即通知公司其反对使用新的分包处理者的合理理由。.
- 收到客户对公司分包商发生重大变更的书面异议后，客户和公司应立即共同协商，寻求替代方案。如果满足以下所有条件：a) 未能找到双方均可接受且合理的替代方案；b) 客户根据适用的数据保护法律享有终止权；c) 客户已根据本条款及时发出书面通知，则客户仅可就公司在不使用新的分包商的情况下无法提供的服务终止本协议。除非适用的数据保护法律禁止，否则在客户提前终止本协议的情况下，公司可以保留或要求客户支付已终止服务在本协议当前合同期限内的费用。.
- 公司应向该分包商施加类似的数据保护条款，并且对于分包商违反数据处理协议的行为，如果该违反行为是由于公司的任何疏忽行为或不作为造成的，则公司仍应承担责任。.
7. 审计
公司应在收到书面请求并提前合理通知（不少于三十天）后，向客户提供所有合理必要的信息，以证明其已履行本数据处理协议（DPA）规定的义务，并允许客户、客户委托的其他独立审计机构或监管机构对其处理设施进行合理的审计，包括检查。客户可每十二 (12) 个月对公司的处理活动进行一次审计或检查，审计方式为问卷调查，并根据需要进行后续电话跟进，除非适用的数据保护法律另有规定，或发生已确认的、影响客户个人数据的个人数据泄露事件。公司同意，监管机构有权在与监管机构根据适用的数据保护法律对数据控制者进行审计相同的范围和条件下，对公司的处理设施进行审计。如果存在任何适用于公司或任何经批准的子处理者的法律，导致无法根据本款进行审计，公司应立即告知客户。在这种情况下，客户有权暂停任何个人数据的传输。.
8. 责任
各方在本数据处理协议项下的责任应受《主订阅和服务 - 标准条款》或双方之间签署的类似协议中规定的限制和免责条款的约束。.
9. 适用法律
本数据处理协议应受《订阅和服务 - 标准条款》或双方之间签署的类似协议中规定的法律管辖。.