資料處理協議

本資料處理協議（“DPA”）構成ELXAO SASU（“處理器”）和客戶（“控制器”）之間協議的組成部分，並實施法規（歐盟）第28條2016/679（“GDPR”）和法國資料保護法（1978 年 1 月 6 日第 78-17 號法，經修訂）。它適用於ELXAO在提供服務的過程中代表控制者處理個人資料的情況。

定義

術語“個人資料”、“處理”、“控制者”、“處理者”、“分處理者”、“資料主體”、“特殊類別資料”和“個人資料洩露”具有 GDPR 第 4 條中給出的含義。本協議的條款適用於本 DPA，除非本 DPA 明確優先於這些條款。

處理的主題、持續時間和性質

角色和說明

控制者決定處理的目的和方式。 ELXAO 僅根據控制者的書面指示處理個人資料，這些指示由控制者的協議、訂單、SLA、隱私政策以及此後傳送的任何具體書面指示正式確定。如果ELXAO認為指令違反了資料保護法，它將立即通知控制者。

人員保密

ELXAO 確保每個被授權處理個人資料的個人都受到可執行的保密義務（僱傭合同、自由職業合同或保密協議）的約束，並接受了適合其角色的個人資料保護培訓。

安全措施

ELXAO 實施適當的技術和組織措施（GDPR 第 32 條），包括：

• 用於生產資料儲存的傳輸中的 TLS 1.2+ 加密和靜態的 AES-256 加密。
• 基於角色的訪問控制，遵循最小許可權原則；對所有管理員進行強制多重身份驗證。
• 歐盟託管的強化基礎設施，定期進行漏洞掃描和修補。
• 程式碼審查、機密管理、安全 SDLC 以及生產/登臺環境的分離。
• 集中、完整性保護的日誌記錄；針對可疑身份驗證和資料匯出事件發出警報。
• 加密的、地理上分離的備份以及記錄的恢復測試。
• 人員入職/離職程式、密碼管理器、具有全盤加密的安全膝上型電腦。
• 至少每年審查一次業務連續性和事件響應計劃。

分處理

控制者授予ELXAO一般授權，以讓子處理者執行特定的處理活動（託管、電子郵件傳送、分析、廣告平臺、客戶支援工具、事件管理平臺）。 ELXAO 維護當前的子處理者列表，可透過 [email protected] 索取，並且將至少提前三十 (30) 天就任何預期的新增或替換髮出通知，在此期間，控制者可以基於合理的資料保護理由提出反對。 ELXAO 對每個分處理者規定的資料保護義務不低於本 DPA 中規定的保護義務。

跨境傳輸

個人資料主要在歐洲經濟區 (EEA) 內處理。如果處理涉及在 EEA 之外轉移到沒有充分性決定的國家，ELXAO 依賴 GDPR 第 46 條規定的適當保障措施，主要是歐盟委員會 2021 年 6 月 4 日的標準合同條款 (SCC)，並輔以轉移影響評估所需的任何其他措施。

對控制者的協助

ELXAO 透過適當的技術和組織措施協助控制者履行其響應資料主體請求的義務（GDPR 第 12-22 條），並確保遵守 GDPR 第 32-36 條（安全、違規通知、DPIA、事先諮詢）。服務中包含標準協助；每個請求超過一 (1) 個工作日的大量工作可在書面通知後按 ELXAO 當時的專業費率計費。

個人資料洩露

ELXAO 應立即通知控制者，並且無論如何應在發現影響控制者資料的個人資料洩露後七十二 (72) 小時內通知控制者。該通知包括違規的性質、受影響的類別和大致數量、可能的後果以及為解決問題而採取或建議的措施。

審計

ELXAO 應合理請求，每年不超過一次（違規後除外），向控制者提供證明遵守本 DPA 所需的資訊，包括子處理者提供的 ISO 27001 / SOC 2 型別報告（如果有）。現場審計可以由控制者或相互批准的受保密約束的第三方審計員進行，費用由控制者承擔，並在合理的事先通知下，在工作時間內進行，且不會無理擾亂ELXAO的運營。

返回或刪除資料

協議終止後，ELXAO將根據控制者在三十 (30) 天內表達的選擇，以結構化、常用和機器可讀的格式返回所有個人資料，或將其從所有生產和作業系統中刪除。備份副本將按標準輪換週期（最多九十 (90) 天）刪除，並且僅在適用法律要求的情況下才可以在該期限之後保留，在這種情況下，它們仍須遵守本 DPA 的安全和保密義務。

責任

MSA 的責任條款適用於根據本 DPA 產生的索賠。根據 GDPR 第 82 條，各方仍對資料主體和監管機構承擔責任。

聯絡我們

對於本 DPA 項下的任何資料保護問題、請求或通知，請透過 [email protected] 聯絡ELXAO。