个人资料处理协议

发布于: 2019-03-21

此资料处理协议("DPA")由CodeTwo sp. z o.o. sp. k.，一家根据波兰共和国(欧盟成员国)法律成立的有限合伙企业，注册办事处在沃尔诺西街16号的Jelenia Gora("CodeTwo "或简称为 "我们")和本协议最后一页所列的实体或个人("客户 "或简称为 "您")之间签订，自生效之日起生效。CodeTwo和客户有时被单独称为 "缔约方 "或共同称为 "双方"。

生效日期 "应被双方理解为客户通过在CodeTwo网站上勾选适当的方框确认阅读和接受DPA条款或通过签署通过电子邮件收到的DPA副本来表示同意受DPA条款约束的日期。

本资料处理协议参考了以下事实:

1. 客户有兴趣使用CodeTwo Email Signatures for Office 365 - 一个集中管理的服务器端电子邮件签名管理软件，包括一个基于网络的用户面板和相关服务，如CodeTwo Email Azure服务，托管在Microsoft Azure，在您选择的地理位置（软件和相关服务共同称为 "服务"）；
2. 使用服务需要客户控制的部分个人数据由CodeTwo处理;
3. 根据欧洲议会和欧洲理事会2016年4月27日关于在处理个人数据方面保护自然人以及此类数据自由流动的条例（EU） 2016/679第28条，在客户开始使用服务之前，废除第95/46/EC号指令("GDPR")，客户与CodeTwo之间必须签订数据处理协议。

1. 通用

1. 您作为数据控制者，承认并理解:
   1. 使用服务需要将在您的 Office 365 租户中拥有帐户的人员的某些 Azure Active Directory 用户属性和组成员资格（"客户数据"）与服务相关联；
   2. 使用服务需要从您的 Office 365 用户发送的电子邮件（"客户电子邮件"）通过服务中转。 
2. 您作为数据控制者，确认:
   1. 本DPA以及您对服务的使用和配置是您对我们处理客户数据的完整和最终指示。如果我们认为您的指示可能违反GDPR或其他数据保护法，我们将立即通知您；
   2. 客户数据是并将根据适用法律（包括GDPR）获得的，并且已从使用服务处理其个人数据的人那里收集了所有必要的同意（如必要），并履行了所有信息义务。
3. 作为数据处理者，我们承诺:
   1. 仅在本DPA和适用法律规定的基础上和条件下，通过服务处理客户数据和转发客户电子邮件，以使您能够使用服务。
   2. 不记录、登记、存储、备份或实际访问客户电子邮件的内容。

2. 个人数据的范围和数据主体的类别

1. 客户数据包括以下类别的个人数据：在您的 Office 365 用户中拥有账户的人员的姓名、电子邮件地址、公司联系信息和职位。这些人就是本DPA所关注的人。 

3. 次处理

1. 我们使用 Microsoft Azure 向您提供服务。这意味着客户数据将在您选择的地理位置的 Microsoft Azure 数据中心进行处理。
2. Microsoft Azure 数据中心由 Microsoft Corporation 及其关联公司管理。微软公司使用分包商提供其Microsoft Azure服务。
3. 我们确认，我们已经与微软公司签订了基于欧盟标准合同条款的协议。该协议的目的是确保在将客户数据传输到 Microsoft Azure 数据中心（包括位于欧洲经济区 (EEA) 以外的数据中心）时，与我们所确保的个人数据保护水平类似。 
4. 您承认并同意，本公司可能会使用 Microsoft Corporation、其关联公司和上述分包商作为次处理器向您提供服务。这些实体只能在向您提供服务的范围内并出于向您提供服务的目的而参与。适用于这些次处理器的个人数据保护标准至少与我们提供的保护标准相同。

4. 数据的副本和信息的保密性

1. 我们不会在您不知情的情况下创建任何数据的副本或复制品，但有关以下类型数据的备份副本除外:  
   1. 服务的设置和配置细节;
   2. 客户数据（即在您的 Office 365 用户中拥有账户的人的一些 Azure Active Directory 用户属性和组成员资格，如 1.1 a 中所述）。
2. 这些备份副本对于确保服务的顺利运行是必要的。所有备份副本均由 Microsoft Azure 自动创建，并存储在 Microsoft Azure 中您在将 Office 365 用户与服务关联时选择的地理位置中。我们不会在 Microsoft Azure 环境之外使用这些备份副本，也不会将其用于上述以外的任何其他目的。
3. 除上述第4.1点规定的数据外，我们不会为任何其他类型的数据创建备份。我们不会创建客户电子邮件的备份副本。
4. 我们承认并同意,在某些情况下,客户电子邮件可能包含应合理理解为客户专有或机密信息的信息。我们将采取一切合理的组织、技术和管理步骤,防止客户电子邮件泄露给任何未经授权的人员。由于我们不会记录、登记、存储、备份或实际访问客户电子邮件的内容，因此我们不会向任何第三方披露，并将始终拒绝所有向执法部门披露客户电子邮件的请求。
5. 我们承认并同意，在某些情况下，客户资料可能包含应被合理理解为客户的专有或机密信息的信息。我们将采取所有合理的组织、技术和管理步骤，以防止客户数据被披露给任何未经授权的人。除非法律要求，我们不会向执法部门披露客户资料。如果执法部门与我们联系要求提供客户资料，我们将尝试将执法机构直接转接给您。如果被迫向执法机构披露客户资料，我们将立即通知您并提供一份要求的副本，除非法律禁止我们这样做。

5. 协助实现数据主体的权利和履行其他数据控制者的义务

1. 我们将帮助您履行回应数据主体请求的责任，特别是与被遗忘权、数据可携性权、数据处理限制权或反对数据处理权有关的请求，但您必须立即通知我们任何需要我们协助的数据主体的请求。在任何情况下，您应在收到任何请求后的3个工作日内通知我们。
2. 如果您在收到您的请求后3个工作日内向我们提出请求，并且该请求过于困难或不可能实现，我们有权拒绝您的请求。特别是当请求过于复杂、明显不合理、过度或因技术限制而无法实现时，请求可能是困难的或不可能实现的。
3. 我们将在收到您的请求后的3个工作日内确认收到您的请求。在接下来的3（三）个工作日内，我们将通知您是否能够协助您，并通知您完成您的请求的预计期限。在任何情况下，该期限不得少于2（两）周。
4. 如果我们收到您的数据主体要求行使其在GDPR下的一项或多项权利的请求，我们会将数据主体直接向您提出请求。
5. 考虑到本DPA第1节所述的现有信息和处理性质，我们将向您提供必要的信息，以便您履行GDPR第32-36条规定的义务，包括数据保护影响评估（"DPIA"）。

6. 安全

1. 考虑到侵犯个人权利和自由的风险和技术知识状况、实施成本、处理个人数据的范围、性质、背景和目的，我们声明，根据GDPR第32条，我们已经实施了适当的技术和组织措施，以确保客户数据的处理。 我们承诺保护客户数据，防止未经授权的访问、未经授权的删除、损坏或破坏，我们将采取一切必要的措施对个人数据进行保密，并根据GDPR的规定对其进行保护。
2. 我们承诺保护客户数据，防止未经授权的访问、未经授权的删除、损坏或破坏，我们将采取一切必要的措施对个人数据进行保密，并根据GDPR的规定对其进行保护。
3. 我们声明，我们所有被授权处理个人数据的员工都必须遵守保密规定，并定期接受与其工作相关的数据保护规定的培训。 
4. 我们会定期监控所有内部流程以及技术和组织措施，以确保处理过程符合适用的数据保护法的要求，并保护数据主体的权利。
5. 我们有权实施以上部分和此资料处理协议附录1所述的其他适当措施,特别是由于技术进步和发展。这些措施不得低于上述措施的安全水平。我们将在此资料处理协议期间随时向您提供附录1的最新版本。

7. 资料泄露

1. 我们将在意识到个人数据泄露后，毫不拖延地通知您。该通知至少会：
   1. 说明违反个人资料的性质，如有可能，包括有关资料的类别及大致数目，以及有关个人纪录的类别及大致数目；
   2. 告知可以获得更多信息的名称和联系方式；
   3. 说明违反个人资料的可能后果；以及
   4. 描述你已采取或拟采取的处理个人资料外泄的措施，包括（如适用）减轻其可能的不利影响的措施。

8. 处理和退还数据的期限

1. 您承认并理解，我们将在您的Office 365用户与服务关联后开始处理客户资料。 
2. 我们将在您的服务许可期间处理您委托给我们的个人数据。DPA在使用服务的试用期以及试用期结束后，即购买服务的许可证后仍然有效。此外，无论您是直接从CodeTwo购买服务还是通过经销商购买服务，DPA都将继续有效。 
3. 如果您的许可被终止或到期，我们将在您取消对我们的订阅后180天内从服务中删除客户数据，除非法律要求将该数据处理更长时间。
4. 在您的许可证终止或过期后,我们将不会对客户数据执行任何操作,除非法律要求我们这么做,否则将在服务中存储客户数据。

9. 客户的审计权 

1. 您还可以通过参考 Microsoft Corporation 及其附属机构的在线服务条款来验证其实施的安全措施。
2. CodeTwo已经实施了ISO/IEC 27001和ISO/IEC 27018国际标准认证的信息安全管理系统。为了确认是否符合ISO/IEC 27001和ISO/IEC 27018，我们每年进行一次审核，每三年进行一次重新认证。审核是由外部独立认证机构进行的。为了遵守ISO/IEC 27001和ISO/IEC 27018的规定，我们将以令认证机构满意的方式立即解决审核结果。
3. 根据您的要求，我们将向您提供CodeTwo持有ISO/IEC 27001或ISO/IEC 27018证书的证明。如果您需要更多的信息，我们将与您分享最近在CodeTwo进行的ISO/IEC 27001或ISO/IEC 27018审核的结果，以帮助您验证我们如何履行这些条款中有关信息安全的义务。该报告将受到认证实体的分发和保密限制。在我们与您分享报告之前，您可能会被要求签署一份额外的保密协议。 

10. 控制和审核

1. 如果主管监管机构进行的任何控制或审核与客户资料有关，您应毫不拖延地通知我们。
2. 如果监管机构进行的任何检查和措施与服务或客户资料有关，我们将立即通知您。

11. 其他

1. 此资料处理协议只能由您和我们双方签署的书面文件进行修改。
2. 此资料处理协议应与CodeTwo的销售和服务条款一起阅读和解释。如果CodeTwo的销售和服务条款与资料处理协议的规定相抵触，应以此资料处理协议为准。 
3. 此资料处理协议将受GDPR和波兰共和国法律管辖，不包括任何法律冲突规则。与该协议有关的任何和所有的争议将在您和CodeTwo之间通过真诚的协商解决。如果这些协商不成功，任何后续的争议应在波兰共和国的主管法院进行诉讼。
4. 如果本协议的任何条款被有管辖权的法院认定为无效或不可执行，本协议的其余部分仍将完全有效。
5. 本协议可签署一份或多份副本，每份副本将被视为一份原始协议。所有副本将被视为一份文件，并在各方签署一份或多份副本并交付给对方后成为具有约束力的协议。
6. 此资料处理协议的期限与您的 CodeTwo Email Signatures for Office 365 许可证的期限一致。

附录1-CodeTwo实施的安全措施摘要

本文件描述了我们为确保按照法律和该协议处理客户数据而实施的安全措施。本文件会定期更新，以反映我们的安全和数据隐私合规计划的变化。 

1. 一般性组织措施

1. 数据安全管理员和合规计划。 我们已经任命了至少一名数据安全管理员，负责协调、监督和改进我们的安全和数据隐私合规计划（"合规计划"）。合规计划定义了我们人员的明确角色和责任。数据安全管理员负责协调、监督和改进合规计划。
2. 安全管理系统和外部审核。 CodeTwo已经实施了ISO/IEC 27001和ISO/IEC 27018国际标准认证的信息安全管理系统。为了确认是否符合ISO/IEC 27001和ISO/IEC 27018，我们每年进行一次审核，每三年进行一次重新认证。审核由外部独立认证机构进行。
3. 保密性。 我们的全体人员都有保密义务，只有在事先获得CodeTwo书面授权的情况下，才可以访问个人数据。

2. 培训和认识

1. 个人培训。 我们定期对我们的员工进行培训，使其了解数据保护规则和我们合规计划中的人员角色。我们还将告知我们的员工不遵守规定的可能后果。这些培训课程是使用匿名数据进行的。

3. 物质和环境安全

1. 数据中心的物理访问。 客户数据在 Microsoft Azure 数据中心内处理。对这些数据中心的访问仅限于经确认的 Microsoft 工作人员。我们的工作人员不得实际访问这些中心。 
2. 实际访问我们的设施。 只有经确认和授权的本公司人员才可进入本公司的设施，未经授权的人员不得进入这些设施。未经授权的人员不得进入这些设施。
3. 设施监控。 本公司和外部的保安服务会不断地监控我们的设施，以防止未经授权的访问。访客只能进入本公司设施的指定空间，在那里不处理任何数据。 
4. 免受破坏。 我们采用各种业界公认的解决方案，以防止因电源故障、火灾、自然灾害或线路干扰造成的数据丢失。
5. 组件处理。 当不再需要客户数据时，我们会使用行业认可的解决方案来删除客户数据。

4. 访问控制

1. 访问授权。 我们保留了获准进入我们的设施和信息系统的人员的记录。我们已经实施了一套控制制度，以确保任何人在没有停用其认证证书和撤销所有访问权之前，都不能停止为本组织工作。 此外，我们还定期（至少每6个月一次）进行审计，以确保尚未使用的认证凭证被停用。已停用或过期的标识符不会授予其他人员或新成员。我们维持行业标准程序，以停用已损坏或无意中泄露的密码。
2. 特权限制。 只有少数经过挑选的人员可以授予、更改或取消对我们的设施和信息系统的访问权限。授予我们工作人员的访问权范围严格限于履行其职能所需的资产。
3. 用户认证。 我们使用业界公认的解决方案，如多因素认证，来识别和认证访问我们IT系统的用户。密码会定期更新，并且必须符合我们安全政策的最低要求。我们使用各种最佳实践，旨在维护密码在分配、分发和存储时的保密性和完整性。
4. 监控。 我们监控我们的信息系统，防止所有未经授权的访问和使用过期或无效凭证的企图。 

5. 资产和业务管理

1. 端点保护。 所有的计算端点都经过加密，防止恶意软件。 
2. 备份副本。  
3. 访问备份。 所有备份均由 Microsoft Azure 自动创建，并存储在 Azure 上，其地理位置由您在将 Office 365 用户与服务关联时选择。我们制定了相关流程，确保对备份副本的访问限制在必要的最低限度，不得在 Microsoft Azure 环境之外使用备份，未经高级人员授权，不得恢复任何数据。
4. 完整性和保密性。 我们的工作人员在离开我们的设施或离开无人看管的电脑时，必须关闭所有会话。只有一小部分因工作需要而需要远程访问的员工可以携带移动设备，并在我们的办公场所外使用。所有移动设备都有密码保护，并有加密存储。 
5. 打印和便携式数据载体。 本公司已制定程序，保证未经本公司事先授权，不得将数据打印或复制到便携式数据载体上。本公司人员不得在本公司范围内使用未经授权的便携式数据载体。
6. 网络控制。 只有经授权的设备才能使用我们的网络。我们已采取控制措施，确保未经授权的设备不得在我们的网络中使用。 

6. 事件管理

1. 恶意软件。 我们有反恶意软件控制措施，以帮助避免恶意软件未经授权访问客户数据和我们的信息系统，包括来自公共网络的恶意软件。
2. 事件记录。 我们保留了安全事件的记录，其中包括事件发生的日期和时间、违规的后果以及为避免今后发生类似情况而采取的措施。 
3. 服务监控。 我们对日志进行核实和监控，以防止违规和可疑活动。

7. 应用控制

1. 文档。 我们维护的文档描述了CodeTwo Email Signatures for Office 365的架构和功能。
2. 准则和政策。 我们为开发人员制定了指导方针和政策，以确保在开发我们的应用程序时遵守个人数据处理原则，如设计隐私和默认隐私原则。
3. 代码审查和补丁管理。我们会定期检查应用程序代码的错误，并发布补丁或修复。