本數據處理協議（“DPA”）構成ELXAO SASU（“處理器”）和客户（“控制器”）之間協議的組成部分，並實施法規（歐盟）第28條2016/679（“GDPR”）和法國數據保護法（1978 年 1 月 6 日第 78-17 號法，經修訂）。它適用於ELXAO在提供服務的過程中代表控制者處理個人數據的情況。
定義
術語“個人數據”、“處理”、“控制者”、“處理者”、“分處理者”、“數據主體”、“特殊類別數據”和“個人數據泄露”具有 GDPR 第 4 條中給出的含義。本協議的條款適用於本 DPA，除非本 DPA 明確優先於這些條款。
處理的主題、持續時間和性質
| 項 | 描述 |
|---|---|
| 主題 | 代表控制者提供營銷運營服務（網站、SEO、付費媒體、分析、CRM/電子郵件、品牌、社交媒體、本地化、PM/活動）。 |
| 期間 | 參與的持續時間，加上下面列出的保留期限。 |
| 性質與目的 | 根據提供服務所需的個人數據的存儲、組織、分析、傳輸、託管和刪除。 |
| 數據主體的類別 | 控制者的最終用户、潛在客户、客户、訂閲者、員工、供應商和活動參與者。 |
| 個人數據的類別 | 身份數據（姓名、職務）、聯繫數據（電子郵件、電話、郵政地址）、專業數據（公司、角色）、在線標識符（IP、Cookie、設備 ID）、行為數據（點擊、會話、轉化）、商業數據（訂單、賬單）、活動數據（註冊、出勤、徽章、錄音）。 |
| 特殊類別數據 | 默認不處理。任何例外情況都需要書面説明和額外的保障措施。 |
角色和説明
控制者決定處理的目的和方式。 ELXAO 僅根據控制者的書面指示處理個人數據，這些指示由控制者的協議、訂單、SLA、隱私政策以及此後發送的任何具體書面指示正式確定。如果ELXAO認為指令違反了數據保護法，它將立即通知控制者。
人員保密
ELXAO 確保每個被授權處理個人數據的個人都受到可執行的保密義務（僱傭合同、自由職業合同或保密協議）的約束，並接受了適合其角色的個人數據保護培訓。
安全措施
ELXAO 實施適當的技術和組織措施（GDPR 第 32 條），包括：
- 用於生產數據存儲的傳輸中的 TLS 1.2+ 加密和靜態的 AES-256 加密。
- 基於角色的訪問控制，遵循最小權限原則；對所有管理員進行強制多重身份驗證。
- 歐盟託管的強化基礎設施，定期進行漏洞掃描和修補。
- 代碼審查、機密管理、安全 SDLC 以及生產/登台環境的分離。
- 集中、完整性保護的日誌記錄；針對可疑身份驗證和數據導出事件發出警報。
- 加密的、地理上分離的備份以及記錄的恢復測試。
- 人員入職/離職程序、密碼管理器、具有全盤加密的安全筆記本電腦。
- 至少每年審查一次業務連續性和事件響應計劃。
分處理
控制者授予ELXAO一般授權，以讓子處理者執行特定的處理活動（託管、電子郵件發送、分析、廣告平台、客户支持工具、事件管理平台）。 ELXAO 維護當前的子處理者列表，可通過 [email protected] 索取，並且將至少提前三十 (30) 天就任何預期的添加或替換髮出通知，在此期間，控制者可以基於合理的數據保護理由提出反對。 ELXAO 對每個分處理者規定的數據保護義務不低於本 DPA 中規定的保護義務。
跨境傳輸
個人數據主要在歐洲經濟區 (EEA) 內處理。如果處理涉及在 EEA 之外轉移到沒有充分性決定的國家，ELXAO 依賴 GDPR 第 46 條規定的適當保障措施，主要是歐盟委員會 2021 年 6 月 4 日的標準合同條款 (SCC)，並輔以轉移影響評估所需的任何其他措施。
對控制者的協助
ELXAO 通過適當的技術和組織措施協助控制者履行其響應數據主體請求的義務（GDPR 第 12-22 條），並確保遵守 GDPR 第 32-36 條（安全、違規通知、DPIA、事先諮詢）。服務中包含標準協助；每個請求超過一 (1) 個工作日的大量工作可在書面通知後按 ELXAO 當時的專業費率計費。
個人數據泄露
ELXAO 應立即通知控制者，並且無論如何應在發現影響控制者數據的個人數據泄露後七十二 (72) 小時內通知控制者。該通知包括違規的性質、受影響的類別和大致數量、可能的後果以及為解決問題而採取或建議的措施。
審計
ELXAO 應合理請求，每年不超過一次（違規後除外），向控制者提供證明遵守本 DPA 所需的信息，包括子處理者提供的 ISO 27001 / SOC 2 類型報告（如果有）。現場審計可以由控制者或相互批准的受保密約束的第三方審計員進行，費用由控制者承擔，並在合理的事先通知下，在工作時間內進行，且不會無理擾亂ELXAO的運營。
返回或刪除數據
協議終止後，ELXAO將根據控制者在三十 (30) 天內表達的選擇，以結構化、常用和機器可讀的格式返回所有個人數據，或將其從所有生產和操作系統中刪除。備份副本將按標準輪換週期（最多九十 (90) 天）刪除，並且僅在適用法律要求的情況下才可以在該期限之後保留，在這種情況下，它們仍須遵守本 DPA 的安全和保密義務。
責任
MSA 的責任條款適用於根據本 DPA 產生的索賠。根據 GDPR 第 82 條，各方仍對數據主體和監管機構承擔責任。
聯繫我們
對於本 DPA 項下的任何數據保護問題、請求或通知，請通過 [email protected] 聯繫ELXAO。