数据处理协议

‍ 本数据处理协议 (”DPA”），自 2023 年 12 月 21 日起生效 客户 （”数据 控制器” 或”客户”）和 Eton Solutions, L.P. （”数据处理器” 或”伊顿”) 根据伊顿与客户（和/或其关联公司）之间的任何协议，阐述了与处理者向控制者（和/或其关联公司）提供的服务和/或产品相关的个人数据（定义见下文）的隐私、机密性、安全和保护相关的条款和条件，无论此类协议在生效之日或之后是否存在（如适用的协议，”服务协议”），与本《达尔富尔和平协议》一起，”协议”）。

‍

1。 定义

”附属公司” 是指现在或将来直接或间接控制、受共同控制或所有权的任何实体，只要此类控制存在即处于共同控制或所有权之下，其中 “控制权”（包括 “受控制” 和 “共同控制” 这两个术语）是指通过合同或其他方式，直接或间接拥有指导、影响或促使某一实体管理政策方向的权力。

”聚合” 指合并与某一群体或一类个人相关的信息，这些信息已从中删除个人身份，与任何个人或家庭没有关联或合理的关联，包括通过设备进行的。

”匿名化” 应具有 GDPR 中赋予的含义，还应包括 CCPA 和 CPRA 中定义的 “去识别身份”。

”CCPA” 指2018年《加州消费者隐私法》及其实施条例。”CPRA” 指2020年《加州隐私权法》及其实施条例。

”客户个人数据” 指伊顿作为处理者根据服务协议代表客户或其关联公司处理的个人数据。

”控制器到处理器 SCC” 的意思是 2010 年 2 月 5 日欧盟委员会决定附件中的标准合同条款（处理者）， 因为它们可能会不时修改或更换.

 “数据控制器“ 指确定处理个人数据的目的和方式的实体。

“数据处理器“ 指代表数据控制者处理个人数据的实体。

”数据保护法” 指当前生效的所有适用数据保护法律、规则、规章、指令和政府要求，以任何方式与个人数据的隐私、保密、安全或保护有关，应包括GDPR、PDPA、CCPA和CPRA，

”数据主体” 指个人数据所涉及的已识别或可识别的自然人。

”欧洲” 或”欧盟” 指欧洲经济区加上瑞士和英国。

”GDPR” 统指欧洲议会和理事会2016年4月27日不时修订或替换的第2016/679号一般数据保护条例，以及2018年英国数据保护法（“英国GDPR”，因为它构成保留的欧盟法律的一部分（定义见2018年《欧盟（退出）法》））。

”PDPA” 指2012年的《个人数据保护法》。

“个人数据“ 指与服务协议相关的任何数据、信息或记录（i）与已识别或可识别的自然人有关，或（ii）识别、相关、描述、合理能够与特定个人或家庭直接或间接关联或可以合理地与其直接或间接关联的任何数据、信息或记录，无论其保存于何种媒体中。

”个人数据泄露” 指 (1) 安全漏洞导致意外或非法破坏、丢失、更改、未经授权披露或未经授权访问根据服务协议处理的客户个人数据，或 (2) 涉及客户个人数据的类似事件。

“流程，””处理中“或”已处理“ 指对个人数据或个人数据集进行的任何操作或一系列操作，无论是否采用自动化方式，例如收集、记录、组织、结构、存储、改编或更改、检索、咨询、使用、通过传输、传播或以其他方式提供、调整或组合、限制、删除或销毁。

”卖出” 应具有《加拿大竞争和消费者保护法》中赋予的含义。

“敏感 个人 数据“ 手段应具有 GDPR、PDPA 和 CPRA 中规定的含义。

”标准合同条款” 要么 ”SCC” 视情况指双方之间签订的控制器到处理器的 SCC。

”监管机构” 指对个人数据的隐私、保密、安全或保护拥有监管或执法权的政府监管机构或执法机构。

‍

2。 数据处理的本质

2.1 处理限制。伊顿将仅根据附录1（A节）中规定的处理时间表，代表客户在服务协议中或根据其书面指示处理客户的个人数据和敏感个人数据。伊顿将把客户个人数据视为机密信息，并对所有处理客户个人数据的人员规定保密义务。伊顿不会 (i) 出售客户个人数据或敏感个人数据；(ii) 保留、使用或披露客户个人数据（a）用于除协议规定的特定目的以外的任何目的，或（b）在伊顿与客户（及其关联公司）之间的直接业务关系之外的任何目的保留、使用或披露客户个人数据。

如果适用法律要求伊顿（或为避免疑问，任何分处理者）进行与客户指示不一致或可能被解释为不一致的处理，则除非法律禁止通知，否则伊顿将在开始（或继续）处理之前立即将此类不一致之处通知客户。
‍

2.2 缔约方的作用。在伊顿与客户（及其关联公司）之间，客户（或其关联公司）是客户个人数据的数据控制者，而伊顿是数据处理者，代表客户（或其关联公司）处理客户的个人数据，对客户个人数据没有所有权或利益。双方承认并同意（i）客户或其关联公司向伊顿公学披露的客户个人数据是出于商业目的提供给伊顿，并且客户不向伊顿出售与协议相关的个人数据；以及（ii）在伊顿处理客户个人数据和敏感个人数据期间，客户（或其关联公司）不知道或没有理由相信伊顿无法遵守本DPA的规定。客户（或其关联公司）如果他们无法提供服务。
‍

2.3 匿名化或聚合数据。除非事先获得客户对此类活动的书面同意，否则伊顿不得将客户的个人数据和敏感个人数据作为其履行服务协议的一部分或用于任何其他目的的匿名化。如果客户提供了此类同意，则此类匿名化或聚合（视情况而定）只能在该活动符合适用的数据保护法要求的适用标准的范围内进行。伊顿可以汇总客户个人数据和敏感数据，作为其在服务协议下的绩效的一部分，以显示财务数据表现的统计数据。

‍
‍

3. 遵守适用法律

各方应遵守数据保护法。本 DPA 并不旨在降低适用于每个数据主体的保护级别。如果 DPA 与服务协议之间存在任何冲突，则以 DPA 的条款为准。如果本 DPA 与数据保护法之间存在任何冲突，则以适用的数据保护法的规定为准。根据下文第5节，伊顿将遵守适用于伊顿的行业标准和要求，这些标准和要求与客户个人数据的隐私、机密性、安全、保护或电子存储有关。如果伊顿认为客户的任何指示违反了适用法律或将导致处理过程违反适用法律，则伊顿将立即通知客户。

‍
‍

4。 子处理器

4.1 任命子处理者。未经客户事先书面同意，伊顿不会将其在本协议下的任何权利或义务分包出去。除非在服务协议中另有约定，否则客户特此同意伊顿使用其关联公司作为次级处理者，并将任何其他第三方用作次级处理者，前提是服务协议（包括任何适用的工作说明书或订单表）中明确指出了此类第三方。伊顿应向客户提供关于任何预期变更的书面通知，并应立即以书面形式将对此类变更的任何异议通知伊顿，这是合理的，与数据保护相关的任何异议。如果伊顿经客户同意（除非出现上述异议，否则不会拒绝接受此类同意），将服务协议下的义务分包给被认为能够保护客户个人数据的分处理者，则伊顿只能通过与该分处理方签订书面协议的形式这样做，该分处理者对分处理者施加的隐私、保密、安全和数据保护义务至少等同于本 DPA 中规定的义务，包括有义务将这些义务强加给任何人进一步的子处理器。
‍

4.2 责任。伊顿将继续对客户承担以下责任：(i) 其在本协议下的义务，即使此类义务已委托给分处理商，包括适当和及时地提供服务，以及 (ii) 伊顿委托任何此类义务的任何个人或实体的作为或不作为。

‍
‍

5。 安全

5.1 安全计划。 考虑到最先进的技术、实施成本和处理的性质、范围、背景和目的，以及数据主体的权利和自由可能性和严重程度各异的风险，伊顿将维持或促使维持一个合理、适当的信息安全计划，该计划符合数据保护法，旨在合理地确保所有客户个人数据的机密性、完整性、可用性和可复原性。
 

5.2 安全措施。伊顿应保持合理和适当的管理、物理、技术（包括电子）和组织安全措施，酌情包括：（i）加密和假名化；（ii）确保处理系统和服务的持续机密性、完整性、可用性和弹性的能力；（iii）在发生物理或技术事故时及时恢复客户个人数据可用性和访问权限的能力；以及（iv）定期测试流程，评估和评估这些措施的有效性。伊顿表示并保证已实施所附附录2中描述的行政、物理、技术和组织安全措施，以保护客户的个人数据。伊顿同意根据服务协议在美国存储客户个人数据，并进一步承认不得将个人数据与其关联公司的个人数据合并。
‍

5.3 访问客户个人数据。伊顿将确保客户个人数据仅提供给具有合法业务需求以访问客户个人数据的伊顿公民，他们受法律强制执行的保密义务的约束，接受过有关适用数据保护政策和程序的培训，并且只会按照客户的指示处理客户个人数据。如果伊顿在处理客户个人数据的过程中无法按照客户的指示进行处理，伊顿将立即通知客户。
‍

5.4 个人数据泄露响应和通知。对于伊顿得知的任何个人数据泄露事件，伊顿将在72小时内立即通知客户，通过电子邮件发送书面通知。伊顿将提供进一步的通知，其中将合理详细地总结个人数据泄露的性质，包括受影响的数据主体的类别和大致人数；客户个人数据是否丢失、被盗或泄露（如果已知）；伊顿对个人数据泄露后果的评估；采取的纠正措施或由伊顿公学；任何负责管理或应对违规行为的内部联系人；以及适用的数据保护法规定的伊顿数据保护官员或同等人员（如果有）。伊顿将立即采取所有必要和可取的纠正措施，并将与客户充分合作，尽一切合理合法的努力来防止、缓解或纠正此类个人数据泄露事件。如果根据客户的评估，影响客户个人数据的个人数据泄露应披露或报告给第三方，包括数据主体、监管机构或政府机构，则伊顿将在72小时内与客户充分合作并协助客户进行此类报告或披露。

‍
‍

6。 审计/检查

伊顿将向客户提供所有必要的信息，以证明他们遵守了本DPA的义务。客户有权核实伊顿公学和任何分处理方是否遵守本DPA中有关客户个人数据处理的条款，或根据合理的保密义务指定第三方审计师（非伊顿的竞争对手）代表客户进行验证。伊顿将授予客户或其代理人必要的访问权限，以完成对所有数据处理设施、数据文件和与协议处理客户个人数据相关的其他文件的检查和审查。伊顿同意为客户提供合理的协助，以促进这项检查职能。客户应提前30天向伊顿公学提供审计意向的书面通知，并且每个日历年提出此类请求的次数不得超过一次（除非发生影响客户个人数据的个人数据泄露事件）。如果伊顿无权审计（或强制执行客户的审计权）任何分处理者，则伊顿应改为向客户提供证明该分处理者遵守适用于客户个人数据处理的现行数据安全标准的证明或报告的副本供客户审查。尽管本 DPA 中有任何相反的规定，但双方同意，适用的控制者对处理器 SCC 中描述的审计应根据本节进行。

‍
‍

7。 伊顿公学的合作义务

7.1 合作。 伊顿将向客户提供合理的协助，包括：（i）回应数据主体行使数据保护法规定的权利的请求；（ii）协助客户根据本DPA对客户个人数据进行数据保护影响评估；（iii）监管机构根据协议对客户个人数据处理向客户提出的要求或调查。伊顿有权为履行本节规定的义务收取合理的费用，并有权报销所产生的所有费用和开支。
‍

7.2 第三方访问请求和投诉。 对于任何监管机构、政府官员、数据主体或任何其他第三方提出的与客户个人数据或数据保护法规定的客户义务相关的任何请求或投诉，伊顿将在72小时内立即通知客户。除非适用法律禁止，否则伊顿将在收到客户个人数据后的五（5）个工作日内将向伊顿提出的任何逮捕令、传票或其他类似请求通知客户。伊顿将遵守客户关于客户个人数据的任何保留请求，并将提供必要的支持，以便在客户无法以其他方式合理获得此类信息的情况下，客户可以遵守第三方的要求。

‍
‍

8。 数据保留、返回和删除

8.1 保留。Eton 保留客户个人数据的时间不会超过实现根据协议处理客户个人数据的预期目的的合理必要时间。
 

8.2 退货和删除。当客户个人数据不再需要用于适用服务协议中规定的目的时，或在协议到期或终止时（以较早者为准），或在客户书面要求的更早时间内，伊顿将 (i) 以客户要求的格式和媒体将客户个人数据的所有部分返还给客户；(ii) 销毁所有客户个人数据，或如果客户指定，则销毁所有客户个人数据，伊顿持有或控制的客户个人数据的任何部分；前提是：（a）如果是客户要求归还或销毁此类客户个人数据，只要伊顿无法或延迟履行其在没有此类客户个人数据的情况下履行其在服务协议下的义务，此类失败或延迟不构成对这些义务的违反；以及 (b) 此类客户个人数据的副本可在根据伊顿正常课程备份程序（包括但不限于电子通信程序）以电子方式存储的范围内予以保留，前提是此类客户个人数据保密否则为必填项根据这个《达尔富尔和平协议》。在伊顿与此类分处理者达成的协议允许的范围内，上述义务也将适用于分处理者持有的客户个人数据。伊顿将应要求提供销毁证明。如果适用的法律不允许伊顿遵守客户个人数据的返还或销毁规定，则伊顿同意根据本DPA的条款，此类保留的客户个人数据仍归伊顿保管，并应在适用法律允许的情况下归还或销毁此类客户个人数据。

‍
‍

9。国际数据传输

9.1转移机制。 如果伊顿根据服务协议提供的服务和/或产品涉及受数据保护法管辖的客户个人数据的国际传输，则此类转移仅在以下情况下发生：（如适用）：（i）要转移的国家或地区位于欧洲经济区或瑞士境内；（ii）欧盟委员会或适用的监管机构认为数据传输的国家或地区足以用于数据保护目的；或（iii）伊顿公学可以提供适当的保障根据适用的数据保护法。此类适当的保障措施可能包括但不限于制定具有约束力的公司规则、以符合亚太经合组织跨境隐私规则体系的方式进行处理，或者遵守经相关监管机构批准的认证机制、合同机制或行为准则。
‍

9.2 标准合同条款。 如果第9.1节中的上述机制均不适用于向欧洲境外转移个人数据，则客户个人数据的传输将分别受适用的控制者到处理者SCC的欧盟版本的约束。SCC 应视为以引用方式纳入此处（本 DPA 的签署被视为对适用 SCC 的签署）。就SCC而言：（i）客户应被视为数据输出者，Eton应被视为数据进口者。在可能和适用的情况下，SCC中对第95/46/EC号指令的任何提及都将被视为对GDPR、2018年《英国数据保护法》或1992年《瑞士联邦数据保护法》的适当条款的引用。本 DPA 中的任何条款均不得解释为优先于 SCC 的任何冲突条款，除非本 DPA 中的规定在 SCC 冲突条款中包含的保障措施之外提供了额外的保障措施，在这种情况下，本 DPA 的规定应被视为对该类 SCC 条款的补充、补充和不冲突。伊顿公学承认它有机会审查适用的SCC。
‍

9.3 控制器到处理器 SCC。 就控制者到处理器 SCC 而言：(i) 第 9 条中的管辖法律应为数据输出者所在司法管辖区的法律；(ii) 根据本节，控制者对处理器 SCC 中的说明性赔偿条款将被视为不适用；(iii) 除非各方另有约定，否则本 DPA 的附录 1（A 节）和 2 应适用并被视为控制器到处理器 SCC 的附录 1 和 2。
‍

9.4 替代数据传输机制。 如果适用，可以依靠上文第 9.1-9.3 节中概述的、经数据保护法批准的传输机制。双方同意在必要时采取合理的努力来建立这些替代机制，并在必要时修订本《数据保护法》，以确保在《数据保护法》发生变化时合规的传输机制。特别是，如果欧盟委员会或根据数据保护法修订、取代或废除SCC，双方将真诚合作，签订SCC的任何更新版本或真诚地协商解决方案，以使个人数据的国际传输能够按照数据保护法进行。
‍

9.5 客户个人数据从伊顿国际转移到第三方。未经客户事先批准，只有在持续采取措施确保此类传输符合数据保护法之后，伊顿才不会将客户个人数据从任何限制向该司法管辖区以外区域进行国际传输的司法管辖区向内部或分处理者转移客户个人数据。如果伊顿在未执行必要的数据传输协议的情况下发现或合理地认为任何客户个人数据已经或正在司法管辖区进行处理，则伊顿将立即签订此类转让协议并立即通知客户。
‍

9.6 在新加坡境外转移个人数据：未经客户事先书面同意，伊顿不会将客户的个人数据转移到新加坡以外的地方。客户表示同意，伊顿将向客户提供书面承诺，在新加坡境外转移的客户个人数据将受到保护，其标准与PDPA相似。如果伊顿将客户个人数据转移给任何第三方或分处理者，则伊顿应从该第三方或分处理者那里获得相同的书面承诺。 
‍

9.7 国际转账评估。 伊顿将在DPA的整个期限内进行并维持一项国际数据传输评估，以证明其遵守了本DPA的条款，如果适用，包括其关联公司和子处理者、数据主体和根据本DPA处理的客户个人数据类别，伊顿将根据要求向客户提供此类评估。伊顿证实，它将随时监控其进行客户个人数据国际传输的能力，并维持其国际数据传输评估。在向监管机构提供此类评估方面，伊顿将与客户合作并向其提供合理的协助。
‍

9.8 与向第三国国际传输个人数据相关的费用。 除非另有规定，否则各方应承担因其根据本节采取的任何行动或措施而产生的费用。

10。 杂项

10.1 保护标准。 本DPA取代服务协议中的任何条款，前提是此类条款与个人数据的隐私、机密性、安全性或保护有关；但是，如果本DPA与服务协议发生任何冲突，Eton将履行为客户个人数据提供最大限度保护的义务。
‍

10.2 管辖法律。本 DPA 以及所有可能基于、源于本 DPA 或以任何方式与本 DPA 相关的索赔或诉讼原因（无论是合同还是侵权行为）将受服务协议中规定的法律管辖和解释，除非数据保护法另有规定。在这种情况下，在要求的范围内，本 DPA 将受此类数据保护法管辖，并在适用的情况下，受出口个人数据的相关数据出口者的管辖。
‍

10.3 数据保护法的变化。为了遵守数据保护法，伊顿将根据客户的合理要求签订任何进一步的协议。如果本 DPA 与任何此类进一步的隐私、保密、安全或数据保护书面协议之间存在任何冲突，则该进一步的书面协议以其适用的个人数据处理为准。
‍

10.4 完整协议/修正案。本DPA包括客户与Eton之间关于本协议标的的的的的全部协议，没有任何其他与本协议标的相关的口头或书面、明示或暗示的协议、谅解、条件或陈述，未合并到本DPA中或被其取代。除非以书面形式作出并由所有各方的授权代表签署，否则对本DPA的任何修订均无效。
‍

10.5 第三方受益人。 在本DPA受益和/或与客户关联公司相关的范围内，此类关联公司应为本DPA的第三方受益人，无论出于何种目的，包括但不限于执行本协议的规定。
‍

10.6对应方/电子签名。本 DPA 可以在对应方中执行，每份文件将被视为原件，但所有这些文件共同构成同一份文书。本 DPA 或任何对应文件可以通过电子方式进行交换，也可以以复印件的形式以电子方式存储（例如.pdf 格式）。双方同意，此类以电子方式交换或存储的副本将作为原始文件执行。双方特此同意使用电子和/或数字签名来执行本 DPA，并进一步同意，在有关本 DPA 的任何争议中，电子和/或数字签名的使用将具有约束力、可强制执行并可作为证据。
‍

自生效之日起，客户和伊顿分别通过其正式授权的代表同意本DPA的条款和条件。

‍

附录 1 处理时间表

以下客户个人数据可能会出于以下目的进行传输和处理。如果适用，本附录应构成 SCC 的一部分，签署服务协议时即视为双方已签署 SCC。视情况而定，以下 A 部分应构成控制器到处理器 SCC 的一部分。
‍

数据导出器: 数据导出者个人或集体是指在欧洲经济区 (EEA)、瑞士和英国设立的客户及其关联公司（定义见适用的服务协议）。
‍

数据导入器: 如果在欧洲经济区、瑞士和英国之外设立，则数据进口商是伊顿。当个人数据从欧洲经济区或瑞士转移到英国时，伊顿也将被视为数据进口者。
‍

A部分（客户个人数据的处理）
‍

题目: 数据导出者可以将客户个人数据传输给与Eton根据服务协议提供的服务和/或产品相关的数据进口商。
‍

处理持续时间: 在服务协议有效期内。
‍

数据主体: 传输的客户个人数据可能涉及以下类别的数据主体（请注明）：

• 第三方供应商和供应商，包括顾问、顾问、专业专家和营销联系人（自然人）及其员工。
• 其他数据主体可以在服务协议下的声明或工作、采购订单或订单表中列出。

数据类别: 传输的客户个人数据可能涉及以下类别的数据（或其中的一部分）（请注明）：

• 姓名和联系信息（包括家庭和公司地址）
• 财务和政府身份证信息
• 银行信息
• 其他数据类别可以在服务协议下的声明或工作、采购订单或订单表中列出。

特殊类别的数据（如果适用）: 传输的客户个人数据可能涉及以下特殊类别的数据（请注明）：

• 没人预料到。

处理和处理操作的性质和目的: 传输的客户个人数据将受以下基本处理活动的约束（请注明）：

数据导入者将按照《服务协议》的规定处理数据导出者的客户个人数据，以提供其服务和/或产品。这可能包括任何操作，例如数据传输以及对客户个人数据的任何收集、记录、组织、结构、存储、改编或更改、检索、咨询、使用、通过传输、传播或以其他方式提供、调整或组合、限制、删除或销毁客户个人数据进行披露（无论是否通过自动方式）。

 ‍

‍ 

附录 2

安全措施

以下详细说明了Eton在个人数据处理方面的行政、物理、技术和组织安全措施。如果适用，本附录构成标准合同条款的一部分，在签署服务协议时即被视为已由双方签署。

伊顿已经实施了与 SSAE SOC 2 类型 2 一致的多层控制以保护信息资产。
‍

人们

• 网络安全意识和卫生
• 背景验证（刑事、教育、以前的工作、信用检查等）
• 员工手册
• 时事通讯和电子邮件可增强网络安全意识。

流程

• 信息安全政策与程序
• 可接受的使用政策
• 违规行为的纪律处分程序
• 变更管理政策
• 事故响应政策
• BCP 和灾难恢复实践
• 第三方（供应商）管理政策
• 数据分类政策
• 根据最小权限原则访问数据：
• 必做之事
• 知情权
• Clear Desk Clear Screen 政策

技术性的

• 物理访问控制
• 基于角色的访问控制，具有精细的角色定义。
• 对静态、处理中和传输中的数据进行加密
• 使用 Windows Bit Locker 加密进行笔记本电脑加密。
• 通过 VPN 进行所有远程访问
• 使用路由器、代理服务器、L7 防火墙、WAF 进行多层网络保护
• 入侵检测系统
• 监控日志、事件检测和响应
• 设备强化政策。
• 备份和恢复
• Azure 安全中心
• Azure 密钥库
• 补丁管理
• 反恶意软件和 AV 引擎