資料處理附錄（客戶）

最後更新日期： 2023年12月20日

概述

本《資料處理補充協議》，包括其附錄（「DPA」）應規範向訂購單（“客戶」）所提供的任何服務，由OPSWAT Inc.及其關聯企業（「OPSWAT」）以資料處理者或次級資料處理者身分向訂單表所列客戶（「客戶」）提供的任何服務，惟以涉及個人資料處理為限。

本文件中，客戶與OPSWAT 均應稱為「一方」」，合稱「當事方」。

本 DPA 是對雙方之間任何協議的補充並納入其中，包括但不限於 OPSWAT的標準條款和條件，OPSWAT的專業服務條款和條件，OPSWAT的網路安全評估服務條款或其他銷售、許可或類似協定（如適用）（以下簡稱“協定”），並將在該期限內保持有效。

在不限制前述一般性的情況下，本 DPA 項下的處理主題、性質和目的是為了提供本協定項下的服務，個人資料的類別和資料主體的類別是根據本協定提供服務所必需的。

本 DPA 將自 DPA 生效之日起生效，並取代任何先前適用的資料處理和安全條款。

1. 定義

就本 DPA 而言，以下術語應具有以下含義。本 DPA 中使用但未另行定義的大寫術語應具有本協議中規定的含義。

“「關聯方」就各當事方而言，指控制該當事方、受該當事方控制，或與該當事方受共同控制之實體。

“彙總資料」指經移除個人或其他資訊而匿名化處理的統計數據、基準值、指標及其他資訊或資料，使該等資料無法歸屬於特定個人或客戶（須採取商業上合理的努力或符合適用法律之要求）。

“適用法律」指適用的國家、聯邦、州及地方法律、規則、指引、法院或政府機關的命令，以及法規。

“審計報告」指由合格第三方審計師編製的 ISO 27001、SSAE 16 SOC II 或類似的審計報告。

“控制」指對某實體擁有超過百分之五十（50%）的表決權或股權的實益擁有權。

“客戶個人資料」指受《資料保護法規》保護、與已識別或可識別之自然人有關之資訊，該等資訊由客戶提供或提供予OPSWAT ，或由OPSWAT 以其他方式代表客戶處理；在每種情況下，均與根據本協議提供服務有關，或作為服務的一部分，且適用於本協議終止前的任何時間。

“資料控制者關聯企業」指尚未與OPSWAT 簽署其自身的訂購單或本協議之客戶關聯企業，且該等實體須符合以下條件：(a) 受資料保護法規管；及 (b) 根據本協議獲准使用本服務。

“《資料保護法規》」指適用法律，包括但不限於適用於本協議下客戶個人資料處理的歐洲經濟區（EEA）及／或其成員國（例如《一般資料保護條例》（GDPR））、英國及瑞士的法律（在所有情況下，均包含其經修訂、取代或替代之版本）。

“資料當事人」指客戶個人資料所涉及之個人。

“EEA」指歐洲經濟區。

“GDPR」指《一般資料保護條例》（EU 2016/679）。

“資訊安全事件」 指任何導致OPSWAT所持有、保管或控制之客戶個人資料遭意外或非法銷毀、意外遺失、變更、未經授權揭露或存取之安全漏洞。「資訊安全事件」不包括未成功的嘗試或未危及客戶個人資料安全之活動，包括未成功的登入嘗試、ping 測試、埠掃描、拒絕服務攻擊，以及針對防火牆或網路系統之其他網路攻擊。

“訂購單” 是指註冊或訂購檔。

"處理”指針對客戶個人資料所進行的任何操作或一連串操作，涵蓋客戶個人資料的蒐集、記錄、組織、結構化、儲存、調整或變更、檢索、查閱、使用、透過傳輸進行揭露、散佈或以其他方式提供、對照或合併、限制或刪除。術語「處理」、「處理」及「已處理」應據此解釋。

“SCC」指歐洲委員會於2021年6月4日頒布的第(EU) 2021/914號決定，該決定涉及依據歐洲議會及理事會第(EU) 2016/679號規例將個人資料轉移至第三國的標準合約條款，並包含其不時可能經修訂、重述或取代之內容。

“安全措施」指OPSWAT 為保護客戶個人資料所採取之技術及組織措施，詳見第 5.1 節（OPSWAT的安全措施）。

“服務」一詞已於本協議中定義，並另指OPSWAT 依據本協議並如訂購單所詳載，將向客戶提供的服務及／或產品。

“次級處理者」指除OPSWAT 以外，由OPSWAT 根據本《資料處理協議》（DPA）委任並授權，就服務相關事宜處理客戶個人資料的第三方。

“「術語」一詞之定義，應以第 2 條所載之定義為準。

2. DPA 的期限

本 DPA 將在本協定生效時生效，並在本協定終止時自動失效。

3. 資料處理

3.1 處理範圍;客戶須知; OPSWAT 遵守客戶指示。 透過簽訂本 DPA，客戶指示 OPSWAT 僅根據資料保護法規處理客戶個人資料。 OPSWAT 將僅根據客戶的指示處理客戶個人資料：（a） 提供服務;（b） 經本協議授權，包括本 DPA;以及 （c） 在客戶提供的其他書面說明中記錄的，並由 OPSWAT 構成本 DPA 的指示，除非適用法律另有要求。處理的主題和細節在附錄 1（處理細節）中描述。

3.2 客戶的責任。 客戶聲明並保證 （a） 客戶已根據資料保護法規獲得任何必要的授權、同意和許可，用於 OPSWAT對客戶個人資料的處理（包括將客戶個人資料轉移或提供存取權限） OPSWAT） 根據本 DPA 的條款;（b） 客戶關於處理客戶個人資料的指示、決定和行動應遵守適用法律，包括資料保護立法。客戶將通知 OPSWAT 如果客戶無法遵守第 3.2 條（客戶的責任），則不得無故拖延。

3.3 分析。 OPSWAT 可能出於各種目的蒐集、開發、創建、提取、編譯、合成、分析、使用、商業化或與第三方共用匯總資料，包括：（i） 維護、改進、行銷和推廣我們的服務;（ii） 識別、理解和預測性能和安全問題以及影響這些問題的因素;（iii） 為我們的客戶提供更新、增強和個人化體驗;及（iv）研究及開發新產品及服務。為避免疑義，匯總資料應排除客戶個人資料或任何可識別客戶身份的資訊。

4. 刪除或歸還資料。

在本 DPA 的生效終止日期，或應客戶的書面要求， OPSWAT 應從 OPSWAT除非適用法律要求或允許，否則在合理可行的情況下儘快根據適用法律的系統 OPSWAT 保留客戶個人資料（例如，適用法律可能允許 OPSWAT 保留以電子方式儲存在資料存檔或備份系統上的客戶個人資料的副本）。

5. 資料安全。

5.1 OPSWAT的安全措施。 OPSWAT 應實施和維護合理適當的安全措施，以保護客戶個人資料，如附錄 2（安全措施）所述。 OPSWAT 可以不時更新或修改安全措施，前提是此類更新和修改不會實質性降低服務的整體安全性。

5.2 安全合規性 OPSWAT 員工。 OPSWAT 將僅向員工、獨立承包商、 OPSWAT 關聯公司和次級處理者，他們需要在其履行範圍內進行此類存取，並且其保密義務的限制性不低於 OPSWAT本協定中的保密義務。

5.3 資訊安全事件

5.3.1 資訊安全事件通知。 如果 OPSWAT 意識到資訊安全事件， OPSWAT 將：（a） 根據第 13 條（通知），在獲悉資訊安全事件後，立即通知客戶資訊安全事件;以及 （b） 採取合理措施確定此類資訊安全事件的原因，將傷害降至最低，並防止再次發生。除適用法律要求的範圍外， OPSWAT 未經客戶事先書面同意，不得向第三方發出任何明確點名的資訊安全事件通知，但經批准的分包處理者、執法部門、保險理算員和 OPSWAT的資訊安全事件回應服務提供者。

5.3.2 通知。 客戶全權負責遵守適用於客戶的事件通知法律，並履行與任何資訊安全事件相關的第三方通知義務（例如，GDPR 第 33 條和第 34 條）。在本例中， OPSWAT 將向客戶提供合理的協助。

5.3.3 不承認過錯 OPSWAT。 OPSWAT根據本第 5.3 條（資訊安全事件）對資訊安全事件的通知或回應不會被解釋為以下機構的確認 OPSWAT 與資訊安全事件有關的任何過失或責任。

5.4 客戶的安全責任和評估。

5.4.1 客戶的安全責任。 客戶同意，在不影響 OPSWAT第 5.1 節規定的義務 （OPSWAT的安全措施）和第 5.3 節（資訊安全事件）：

(a) 客戶須就其使用本服務承擔全部責任，包括：

(i) 妥善使用本服務，以確保客戶個人資料的安全性符合相關風險的程度；

(ii) 確保客戶用於存取本服務的帳戶驗證憑證、系統及裝置的安全；

(iii) 確保客戶系統及OPSWAT 用於提供服務的裝置之安全性；以及

(iv) 備份其客戶個人資料。

(b)OPSWAT 無義務保護客戶選擇儲存或傳輸至OPSWAT及其次級處理者系統之外的客戶個人資料（例如，離線或本地儲存）。

5.4.2 客戶的安全評估。

(a) 客戶應自行負責審查及評估，本第 5 條（資料安全）所載之服務、安全措施及OPSWAT的承諾是否符合客戶的需求，包括客戶根據資料保護法規所須履行的任何安全義務。

(b) 客戶確認並同意，（在考量業界標準、實施成本，以及客戶個人資料處理的性質、範圍、背景及目的，並綜合評估資料當事人所面臨的風險後），OPSWAT 所實施及維護、且載於附錄 2（OPSWAT的安全措施）中的安全措施，能針對客戶個人資料提供與相關風險相稱的安全等級。

5.5 合規性審查。 審計報告可根據客戶的書面要求提供給客戶，並遵守協定中規定的保密義務。

6. 資料主體權利

6.1 客戶對資料主體請求的責任。 如果 OPSWAT 在適用法律允許的範圍內，接收資料主體關於客戶個人資料的任何請求， OPSWAT 將及時通知客戶任何此類請求。客戶將負責回應任何此類請求。

6.2 OPSWAT的資料主體請求説明。 OPSWAT 將（考慮到客戶個人資料處理的性質）在必要時向客戶提供合理的協助，以便客戶履行其在資料保護立法下的義務，以回應資料主體的請求。客戶應報銷 OPSWAT 與此類協助有關的任何費用或成本，請 OPSWAT當時的專業服務費率。

7. 資料傳輸

OPSWAT 可以在任何地方儲存和處理客戶個人資料 OPSWAT、其關聯公司或其分處理方維持營運，如下文第 8 節所述。對於受歐洲經濟區、瑞士和英國資料保護法規約束的客戶個人資料的國際傳輸，應適用附錄 3 第 1.10 節和/或第 1.11 節的條款。

8. 次級處理者

客戶授權 OPSWAT 聘請其關聯公司和其他第三方作為次級處理者。清單 OPSWAT的分包商可在以下網址獲得 https://www。opswat.com/法律/子處理商 和客戶可以透過 RSS 源訂閱此列表的更新。如果客戶簽訂了 SCC 或其他類似協定，則客戶簽署這些協定即構成客戶對分包的事先書面授權 OPSWAT 如果根據 SCC 或其他類似協定需要此類授權，則處理客戶個人資料。 OPSWAT 應對分包給其分包商的所有義務以及其分包商的所有作為和不作為負責。

9. 資料控制者關聯公司

9.1 關係和溝通。 透過簽署本 DPA，客戶承認並同意其代表自己簽訂本 DPA，並在適用的資料保護法規要求的範圍內，以其資料控制關聯公司的名義並代表其資料控制關聯公司簽訂本 DPA，在 OPSWAT 處理此類資料控制者關聯公司有資格作為控制者的客戶個人資料，從而在 OPSWAT 以及每個資料控制關聯公司，但須遵守本協定和本 DPA 的規定。客戶同意確保每個資料控制者關聯公司同意受本 DPA 義務的約束。但是，資料控制關聯公司不是也不會成為本協定的一方，而只是本 DPA 的一方。資料控制關聯公司對服務的所有存取和使用都必須遵守本協定，資料控制關聯公司違反本協議的行為均應被視為客戶違約。作為本協定締約方的客戶仍應負責協調與 OPSWAT 根據本 DPA，並有權代表其資料控制者關聯公司進行和接收與本 DPA 有關的任何通訊。

9.2 資料控制者關聯公司的權利。 如果資料控制者關聯公司成為 DPA 的一方，則 OPSWAT，則只能在資料保護立法要求的範圍內這樣做。除非資料保護法明確要求資料控制者關聯公司根據本 DPA 行使權利或尋求補救措施 OPSWAT 雙方直接同意：（a） 作為本協定締約方的客戶應有權代表資料控制者關聯公司行使任何此類權利或尋求任何此類補救措施;（b） 作為本協定締約方的客戶應在資料保護立法未禁止的範圍內，以合併方式為其所有資料控制方關聯公司行使本 DPA 項下的任何此類權利。

10. 審計權

根據客戶的書面要求， OPSWAT 應向客戶提供其最新審計報告的副本，該報告應遵守協定的保密條款，即 OPSWAT的機密資訊。 OPSWAT 還應回答客戶提交給其的任何書面審計問題，但客戶每年行使此權利的次數不得超過一次。

11. 特定司法管轄區的規定

如果 OPSWAT 從附錄 3 中列出的司法管轄區處理個人資料，相應規定將適用於此類處理。

12. 責任上限

除適用法律禁止的範圍外，任何一方及其關聯公司（包括資料控制者關聯公司）對另一方及其關聯公司的總綜合責任，無論是在合約、侵權行為還是任何其他責任理論方面，根據本協定、本 DPA 和 SCC（如果簽訂）將僅限於雙方在本協定中約定的責任限制或其他責任上限。 OPSWAT 和 OPSWAT 關聯公司對客戶及其所有資料控制者關聯公司因本協定或任何 DPA 引起的所有索賠的全部責任應合計適用於本協定和所有 DPA 項下的所有索賠，不應被理解為單獨和單獨適用於客戶或作為任何此類 DPA 合約方的任何資料控制關聯公司。

13. 通知

一締約方要求或允許發出的通知可以（a）根據本協定的通知規定發出;（二）一締約方與另一締約方的主要聯絡點;和/或 （c） 客戶為向客戶提供與服務相關的通訊或警報而提供的任何電子郵件。客戶全權負責確保其電子郵件是最新和有效的。所有通知的副本應透過電子郵件發送至：法律聲明@opswat.com。

14. 本條款的效力

除本 DPA 所做的更改外，本協定和/或與服務相關的任何其他協定保持不變且完全有效。如果本協定與本 DPA 之間存在衝突，則本 DPA 的規定應以標的物為準。如果本 DPA 與 SCC 之間存在衝突，則 SCC 的規定應以 SCC 的主題為準。

15. 適用法律

本 DPA 應受與本協定相同的司法管轄區的法律管轄，除非資料保護立法要求本 DPA 受其他司法管轄區的法律管轄。

請參閱我們的隱私政策，網址為 https://www。opswat.com/legal/privacy-policy 以獲取有關如何操作的更多詳細資訊 OPSWAT 處理客戶個人資料。

1. 實體存取控制。

OPSWAT 採取旨在防止未經授權的人員存取處理客戶個人資料的資料處理系統，例如使用安保人員、安全建築物和資料中心場所。

2. 系統存取控制。

除其他控制措施外，根據訂購的特定服務，可以應用以下內容：透過密碼和/或雙因素身份驗證進行身份驗證、記錄在案的授權過程、記錄在案的變更管理過程以及在多個級別上記錄存取。對於託管的服務環境 OPSWAT： （i） 透過以下方式登錄服務環境 OPSWAT 記錄員工和子處理者;（ii） 對資料中心的邏輯存取受到防火牆/VLAN 和路由規則的限制和保護;及（iii）使用入侵檢測系統、集中式日誌記錄和警報以及防火牆。 OPSWAT 使用每個系統的安全策略管理作為服務軟體開發一部分的每個系統。這些政策由 OPSWAT 風險擁有者並由資產擁有者管理。例如，任何獨立承包商都無權存取建構系統。

3. 傳輸控制。

除非服務另有規定（包括訂單、工作說明書或協定中引用的適用服務規範），否則服務環境外的資料傳輸是加密的。 OPSWAT 維護適當的網路安全計劃，包括對客戶個人資料進行加密。某些服務可由客戶配置，以允許存取需要未加密通訊的第三方網站。透過某些電子郵件或消息服務發送的通訊內容（包括寄件人和收件者位址）可能未加密。客戶對其決定使用此類未加密通訊或傳輸的結果負全部責任。

4. 輸入控制。

客戶個人資料的來源由客戶控制，並且客戶個人資料整合到 OPSWAT 系統透過安全檔案傳輸（即透過Web服務或輸入到應用程式中）進行管理 OPSWAT.某些服務允許客戶使用未加密的檔案傳輸協定。在這種情況下，客戶對其使用此類未加密欄位傳輸協議的決定負全部責任。

5. 資料備份。

對於託管的服務 OPSWAT：定期進行備份;備份使用技術和實體控制的組合進行保護，具體取決於訂單中詳述的服務。

6. 業務連續性；災難復原。

OPSWAT 已實施業務連續性和災難恢復計劃。

7.Supply Chain 安全性。

服務的子處理者或第三方元件由 OPSWAT 官員和 OPSWAT 在將其用作服務的一部分之前，是合法的。

8. 漏洞掃描。

每周執行一次漏洞掃描，以持續確定針對此環境進行修正的風險威脅。

9.OPSWAT 次級處理者。

OPSWAT 用於 OPSWAT 產品經過安全風險評估，需要簽署資料處理附錄 （DPA） 和/或標準合約條款，並附上 OPSWAT 以確保遵守GDPR下的最低安全要求和服務級別。

10.Software 開發。

服務軟體開發遵循嚴格的系統開發生命週期 （“SDLC”） 程式，包括 OPSWAT 產品經理 （“PM”） 設置和執行需求、設計、實施、單元測試、代碼審查、自動化測試、手動品質保證 （“QA”） 測試和驗收測試。

11.Secure 軟體開發生命週期（SDLC）。

OPSWAT 採用 OWSAP SAMMSoftware 保證成熟度模型) 和 OWASP ASVS (應用程式安全驗證標準) 作為安全 SDLC。

12. 資訊安全。

OPSWAT 使用多重身份驗證 （“MFA”） 進行安全身份驗證，並遵循 NIST 800-63B 標準： https://pages.nist.gov/800-63-3/sp800-63b.html#memsecretver。

1. 歐洲經濟區、瑞士和英國

1.1 適用範圍。以下規定僅適用於OPSWAT處理受歐洲經濟區（EEA）、瑞士及英國資料保護法規管之客戶個人資料之情形。

1.2 定義。

(a) 「資料控制者」、「資料處理者」及「監督機關」等術語，其涵義應以《一般資料保護規則》（GDPR）所定義者為準。

(b) 「英國附錄」指由英國資訊專員公署頒布的《標準合同條款》（SCC）之《國際資料傳輸附錄》（版本 B1.0）。

1.3 處理者與控制者的責任。各方 確認並同意：

(a) 根據《資料保護法規》，OPSWAT 係客戶個人資料之處理者或次級處理者（視情況而定）；

(b) 客戶係依據《資料保護法規》所定義之客戶個人資料之「資料控制者」或「資料處理者」（視情況而定）；

(c) 客戶應就客戶個人資料的準確性、品質及合法性，以及客戶取得該等資料的方式，承擔全部責任；及

(d) 各訂約方將就客戶個人資料的處理，遵守數據保護法例所規定且適用於該訂約方的義務。

1.4 第三方控制者的授權。若客戶為處理者，客戶茲向OPSWAT 聲明並保證，客戶針對客戶個人資料所作出的指示及行為（包括委任OPSWAT 為處理者），均已獲得相關控制者的授權。客戶確認，OPSWAT 無須負責就客戶個人資料之處理徵求同意或授權。

1.5OPSWAT 為遵守適用法律而進行的資料處理。若OPSWAT 必須違反客戶指示，或根據本協議（包括本《資料處理協議》）的授權，為遵守適用法律而處理客戶個人資料，則OPSWAT 應在處理前將適用法律告知客戶，除非適用法律基於重要的公共利益理由禁止此類通知。

1.6 安全措施。 OPSWAT 應（在考量當前技術水準、實施成本，以及資料處理的性質、範圍、背景與目的，並考量對資料當事人權利與自由所構成之各種可能性與嚴重程度各異的風險後），實施適當的安全措施，以確保達到與風險相稱的安全水準，包括附錄 2 中詳述的安全措施，並視情況：

（a） 客戶個人資料的假名化和加密;

（b） 確保處理系統和服務的持續機密性、完整性、可用性和彈性的能力，包括以下具體措施和做法;

（c） 在發生實體或技術事件時及時恢復客戶個人資料的可用性和存取的能力;和

（d） 定期測試、評估和評估技術和組織措施的有效性以確保客戶個人資料處理安全性的過程。

1.7 合理協助。 OPSWAT 將依據適用於OPSWAT作為資料處理者之角色的相關法律規定，向客戶提供合理協助，以協助客戶履行其根據《一般資料保護條例》（GDPR）第 35 條進行資料保護影響評估之義務。 若客戶對其個人資料之處理導致資料當事人之權利與自由面臨高風險，OPSWAT 將根據《一般資料保護條例》（GDPR）第 36 條之規定，在客戶向監管機關尋求事先諮詢時，向客戶提供合理協助。

1.8 資訊安全事件的詳情。根據《資料保護法》（DPA）第 5.3 條（資訊安全事件）所發出的通知應：

（a） 描述資訊安全事件的性質，包括（如可能）有關資料主體的類別和大致數量，以及有關個人資料記錄的類別和大致數量;

（b） 傳達資料保護官或其他可以獲得更多資訊的聯絡點的姓名和聯繫方式;

（c） 描述資訊安全事件的可能後果;和

（d） 說明已採取或擬採取的措施 OPSWAT 處理資訊安全事件，包括在適當情況下採取措施減輕其可能的不利影響。

在不可能同時提供資訊的情況下，可以分階段提供資訊，不得再無故拖延。

1.9 合規審計。

1.9.1 客戶得 於協議有效期內，每十二（12）個月一次，在提出合理之書面請求並於事前發出不少於四十五（45）日之書面通知後，對OPSWAT是否遵守本《資料處理協議》（DPA）所規定之義務進行稽核，以符合資料保護法規之要求。 客戶必須於OPSWAT 的正常營業時間內進行所有稽核，且不得對OPSWAT 的業務活動造成不合理的干擾。在資料保護法規所要求的範圍內（包括經客戶之監管機關要求之情況），客戶或客戶之監管機關得進行頻繁的稽核。

OPSWAT1.9.2若由第三方進行審計，當OPSWAT 合理認為該審計師不具備適當資格或獨立性，或屬OPSWAT 的競爭對手時， 有權對該審計師提出異議。若OPSWAT 提出此類異議，客戶須另行委任其他審計師，或自行進行審計。

1.9.3客戶若欲申請稽核，必須在擬定之稽核日期前至少兩（2）週，將詳細的稽核計畫草案提交至OPSWAT 。 該審計提案計畫必須載明審計的擬議範圍、持續時間及開始日期。OPSWAT 將審閱該審計提案計畫，並向客戶提出相關疑慮或問題（例如，任何可能危及OPSWAT 安全、隱私、僱傭或其他相關政策之資訊請求）。OPSWAT 將與客戶密切合作，共同商定最終審計計畫。本第 1.9 節（合規性審計）之任何內容均不得要求OPSWAT 違反保密義務。

1.9.4若客戶提出稽核請求後十二（12）個月內，所請求之稽核範圍已於稽核報告中涵蓋，且OPSWAT 確認所稽核之控制措施並無已知之重大變更，則客戶同意接受該等稽核報告，並以此取代針對該等稽核報告所涵蓋之控制措施提出稽核請求。

1.9.5審計費用由客戶承擔。客戶應就OPSWAT 或其次級處理者為執行本第 1.9 條（合規審計）所規定之任何審計所耗費之時間，按OPSWAT當時適用的專業服務費率，向OPSWAT 支付補償。客戶應支付由其委任之任何審計師為執行此類審計所收取之所有費用。

1.9.6雙方同意，本第 1.9 條（合規審計）應滿足OPSWAT根據《SCC》審計要求所承擔之義務，該等要求適用於第 5(f) 條所指之資料進口者，以及第 11 條與第 12(2) 條所指之任何次級處理者。

1.10 將資料轉移至歐洲經濟區（EEA）或瑞士境外。若客戶個人資料之儲存及／或處理涉及將該等資料轉移至歐洲經濟區（EEA）或瑞士境外，且該等客戶個人資料之轉移受資料保護法規規範，則應適用以下規定，惟若轉移目的地為已獲歐盟委員會頒布「充分性決定」之歐洲經濟區國家者，則不在此限：

1.10.1若根據《資料保護法規》，OPSWAT 為「處理者」，而客戶為「控制者」，則應適用附錄 4，且OPSWAT 將依照該附錄所援引的「控制者至處理者標準契約條款」（SCC）進行相關資料轉移。

1.10.2若根據《資料保護法規》，OPSWAT 為「次級處理者」，而客戶為「客戶個人資料」的「處理者」，則應適用附錄 5，且OPSWAT 將依照該附錄所援引的「處理者對處理者標準契約條款」進行相關資料轉移。

1.11 將資料轉移至英國境外。若客戶個人資料之儲存及／或處理涉及將該等資料轉移至英國境外，且該等客戶個人資料之轉移受資料保護法規管，則應適用附錄 6，且OPSWAT 將依照該附錄所援引之標準契約條款（SCC）進行該等轉移，惟若轉移目的地為歐洲經濟區（EEA）國家，或為已獲歐洲委員會作出「資料保護充分性決定」且該決定獲英國政府認可之國家，則不在此限。

1.12 次級處理者協議。 OPSWAT 得在根據《SCC》第 9(c) 條回應客戶索取次級處理者協議副本之請求前，將其與次級處理者所簽訂之協議中所有機密之商業或法律條款予以遮蔽。

1.13 對次級處理者變更提出異議之機會。若於契約期間內委任新的次級處理者， OPSWAT 應於該新次級處理者處理任何客戶個人資料前至少十五（15）日，透過更新其位於https://www.opswat.com/legal/subprocessors 之次級處理者清單，以書面形式通知客戶該委任事宜。 客戶可於OPSWAT發出通知之日起五（5）個工作天內，向OPSWAT 提交書面通知，對新次級處理者提出異議。 若客戶對新次級處理者提出異議，客戶與OPSWAT 將本著誠信原則共同尋求雙方均可接受的解決方案以處理該異議。若雙方無法在合理時限內達成雙方均可接受的解決方案，客戶可透過向OPSWAT 發出書面通知，終止涉及該次級處理者的相關服務訂購單，此為客戶唯一且排他的救濟措施。

1.14 處理紀錄。客戶確認，根據《一般資料保護條例》（GDPR）之規定，OPSWAT 須：(a) 依據《一般資料保護條例》第 30 條第 (2) 款，蒐集並保存特定資訊之紀錄，包括OPSWAT 所代表之各處理者及／或控制者之名稱與聯絡資料，以及（如適用）該處理者或控制者之當地代表及資料保護官之相關資訊；及 (b) 依據《一般資料保護條例》第 30 條 (4) 向監督機關提供該等資訊。若《一般資料保護條例》（GDPR）適用於客戶個人資料之處理，客戶應於接獲要求時，向OPSWAT 提供該等資訊，並確保所提供之所有資訊均保持準確且最新。

2. 加利福尼亞州

2.1 適用範圍。以下規定僅適用於OPSWAT處理受《2018 年加州消費者隱私法》（《加州民法典》第 1798.100 條及以下條文，經《加州隱私權法》修正）及相關法規（該等法規可能不時進一步修正）規範之客戶個人資料之情形（統稱「CCPA」）。

2.2 定義。 「出售、」、「分享」及「服務提供者」等詞彙， 其涵義應與 《加州消費者隱私法》（CCPA）所定義者相同。

2.3 服務提供者。 OPSWAT 是客戶的服務提供者。 OPSWAT 僅出於提供服務的目的處理客戶個人資料。除非本協定或CCPA另有允許：

（一） OPSWAT 不得出於商業目的或執行本協定預期目的以外的任何目的進一步蒐集、保留、使用或披露客戶個人資料;

（二） OPSWAT 不得在雙方之間的直接業務關係之外保留、使用或披露客戶個人資料;和

（三） OPSWAT 不得將從客戶或代表客戶收到的客戶個人資料與從其他人處蒐集的個人資料或從客戶與客戶的互動中蒐集的個人資料相結合，除非根據本協定提供服務所必需。

2.4 不得出售或分享。 OPSWAT 不得出售或共用客戶個人資料。

2.5 遵守CCPA。 OPSWAT 應遵守CCPA的所有適用部分，包括對根據本協定處理的客戶個人資料提供與CCPA要求相同級別的隱私保護。

2.6 CCPA 審核。

2.6.1 客戶可以根據合理的事先書面要求，至少提前四十五 （45） 天發出書面通知，進行審計 OPSWAT在協定期限內，每十二 （12） 個月履行一次本 DPA 規定的義務。客戶必須在定期審核期間執行所有審核 OPSWAT 上班時間，不得無理干擾 OPSWAT 商務工作。在 CCPA 要求的範圍內，包括加州隱私保護局要求的情況下，客戶可以經常進行審計。

2.6.2 如果由第三方進行審計， OPSWAT 可以反對審計師，如果審計師在 OPSWAT的合理意見，不具備適當的資格或獨立性，或 OPSWAT 競爭者。此類異議 OPSWAT 將要求客戶指定另一名審計師或自行進行審計。

2.6.3 要申請審核，客戶必須將詳細的建議審核計劃提交給 OPSWAT 至少在建議的審計日期前兩 （2） 周。擬議的審計計劃必須描述擬議的審計範圍、持續時間和開始日期。 OPSWAT 將審查擬議的審計計劃，並向客戶提供疑慮或問題（例如，任何可能損害的資訊請求 OPSWAT 安全、隱私、就業或其他相關政策）。 OPSWAT 將與客戶合作，就最終審計計劃達成一致。本第 2.6 條（CCPA 審核）中的任何內容均不要求 OPSWAT 違反保密義務。

2.6.4 如果在客戶提出審核請求後的十二 （12） 個月內，審核報告中涉及請求的審核範圍，並且 OPSWAT 確認所審計的控制措施沒有已知的重大變化，客戶同意接受審計報告，而不是要求對審計報告所涵蓋的控制措施進行審計。

2.6.5 審計費用由客戶承擔。客戶應報銷 OPSWAT 花費的任何時間 OPSWAT 或其與本第 2.6 條（CCPA 審計）項下的任何審計相關的分包商，在 OPSWAT當時的專業服務費率。客戶將支付客戶為執行任何此類審計而任命的任何審計師收取的所有費用。

2.6.6 雙方同意，本第 2.6 條（CCPA 審核）應滿足 OPSWAT根據 CCPA 的義務，即向客戶提供採取合理和適當措施的權利，以確保 OPSWAT根據本協議對客戶個人資料的處理符合 OPSWAT在CCPA下的義務。

2.7 通知。 若OPSWAT 判定其無法再履行《加州消費者隱私法》（CCPA）所規定的義務， OPSWAT 應 通知客戶。 在OPSWAT依據本第 2.7 條發出通知後，雙方應本著誠信原則就本協議或服務的變更進行協商，以使OPSWAT 能履行其依據《加州消費者隱私法》（CCPA）所承擔的義務。若此類協商超過三十（30）天，客戶得終止要求OPSWAT處理個人資料的相關訂購單。

2.8 對未經授權使用個人資料的補救措施。 應客戶的書面要求， OPSWAT 應根據 DPA 第 4 條（刪除或返回資料）停止處理並刪除或歸還客戶個人資料。 OPSWAT 應向客戶提供證明 OPSWAT遵守客戶的書面要求。雙方同意，本第 2.8 條應滿足 OPSWAT向客戶提供採取合理和適當措施停止和補救的權利的義務 OPSWAT未經授權使用客戶個人資料。

2.9 合理的安全性。 雙方同意，第 5 條（資料安全）應滿足 OPSWAT根據CCPA對資料安全承擔的義務。

2.10 CCPA 資料主體請求。 雙方同意 DPA 第 6 條（資料主體權利）應滿足 OPSWAT根據CCPA對資料主體請求的義務。

2.11 次級處理者。 雙方同意 DPA 第 8 條（分處理者）應滿足 OPSWAT根據CCPA對分包處理者的義務。

雙方特此同意，他們將遵守 SCC 的第 2 單元，該模組透過引用併入本文，其副本可在 https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc/standard-contractual-clauses-international-transfers_en 上找到。客戶還可以向 Privacy 索取相關條款的副本@opswat.com

雙方同意適用以下條款：

1. 第 7 條：雙方選擇納入第 7 條。

2. 第 9（a） 條： 雙方選擇將選項 2（一般書面授權）納入 15 天期限。

3. 第 11（a） 條： 雙方未納入允許資料主體向獨立爭議解決機構提出投訴的可選語言，資料主體無需支付任何費用。

4. 第 17 條： 本條款應受歐盟成員國之一的法律管轄，前提是該法律允許第三方受益人權利。雙方同意，這應是資料輸出者所在成員國的法律。如果資料輸出者不在歐盟，則雙方同意這應為愛爾蘭法律。

5. 第 18（b） 條： 雙方同意，這些法院應為資料輸出者所在歐盟成員國的法院。如果資料輸出者不在歐盟，則雙方同意這些法院應為愛爾蘭法院。

雙方同意，SCC 的第 2 單元優先於雙方之間的任何其他協定，無論是在這些條款簽訂之日之前還是之後簽訂的。如果任何司法管轄區的法律或監管程式要求，雙方應將 SCC 的第 2 單元作為單獨的檔執行或重新執行。

附錄4附件1

A. 當事方名單

資料輸出者：客戶
角色（控制器/處理器）：控制器
資料輸入者： OPSWAT
角色（控制器/處理器）：處理器

B. 轉讓說明

資料主體的類別：見DPA附錄1
傳輸的個人資料類別：參見 DPA 附錄 1
敏感/特殊類別資料：無
傳輸頻率：根據提供服務的需要連續傳輸
資料傳輸的性質或處理和目的：參見 DPA 附錄 1
個人資料的保留期限：參見 DPA 附錄 1

C. 主管監督機關

資料輸出者所在的歐盟成員國。如果資料輸出者不在歐盟，則應為愛爾蘭。

附錄4附件2

技術和組織措施，包括確保資料安全的技術組織措施

見DPA附錄2。對於向分包處理方的傳輸， OPSWAT 應確保此類分處理者實質上遵守 DPA 附錄 2 中列出的安全措施。

雙方特此同意，他們將遵守 SCC 的第 3 單元，該模組透過引用併入本文，其副本可在 https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc/standard-contractual-clauses-international-transfers_en 中找到。客戶還可以向 Privacy 索取相關條款的副本@opswat.com。

雙方同意適用以下條款：

1. 第 7 條： The Parties have chosen to include Clause 7.

2. 第 9（a） 條： 雙方選擇將選項 2（一般書面授權）納入 15 天期限。

3. 第 11（a） 條： 雙方未納入允許資料主體向獨立爭議解決機構提出投訴的可選語言，資料主體無需支付任何費用。

4. 第 17 條： 本條款應受歐盟成員國之一的法律管轄，前提是該法律允許第三方受益人權利。雙方同意，這應是資料輸出者所在成員國的法律。如果資料輸出者不在歐盟，則雙方同意這應為愛爾蘭法律。

5. 第 18（b） 條： 雙方同意，這些法院應為資料輸出者所在歐盟成員國的法院。如果資料輸出者不在歐盟，則雙方同意這些法院應為愛爾蘭法院。

6. 附件 I A。請參閱與客戶簽訂的《資料處理協議》（DPA）附錄 4 的附件 1，其中OPSWAT 同時擔任資料處理者。

7. 附件 I B 及 C：請參閱 《資料保護法》（DPA）附錄 4 的附件 1。

8. 附件二：請參閱《資料保護法》（DPA）附錄 4 的附件 2。

雙方同意，SCC 的第 3 單元優先於雙方之間的任何其他協定，無論是在這些條款簽訂之日之前還是之後簽訂的。如果任何司法管轄區的法律或監管程式要求，雙方應將 SCC 的第 2 單元作為單獨的檔執行或重新執行。

雙方茲同意，將遵守《標準合同條款》（SCC）的模組 2 或模組 3（視情況而定），該等模組已分別依據附錄 4 或附錄 5 填寫，並經《英國附錄》修訂，該附錄已透過引用納入本協議，其副本可於資訊專員辦公室網站（https://ico.org.uk/media2/migrated/4019535/addendum-international-data-transfer.docx）。客戶亦可透過電子郵件 privacy@opswat.com 索取相關條款的副本。

1. 表 1：各方

資料輸出者：客戶
資料匯入器： OPSWAT

2. 表 2：精選的標準合同條款（SCC）、模組及精選條款

SCC 的模組 2 或模組 3，由附錄 4 或附錄 5 完成

3. 表 3：附錄資訊

附件 1A：見 DPA 附錄 4 附件 1
附件1B：見《和平協定》附錄4附件1
附件二：見《和平協定》附錄4附件2
附件三：清單 OPSWAT的分包商可在以下網址獲得 https://www。opswat.com/法律/子處理器

4. 表 4：當經核准的附錄內容變更時，終止本附錄

進口商或出口商
雙方同意，經英國附錄修訂的 SCC 模組 2 或模組 3（如適用）優先於雙方之間的任何其他協定，無論這些協定是在這些條款簽訂之日之前還是之後簽訂的。如果任何司法管轄區的法律或監管程式要求，雙方應作為單獨的檔執行或重新執行經英國附錄修訂的 SCC 模組 2 或模組 3（如適用）。