資料處理協議
本資料處理協議（「本協議」）構成 Proton AG 服務合約的一部分，該合約受 Proton AG 條款及細則（「主協議」）規範，由 Proton AG（地址為 Route de la Galaise 32, 1228 Plan-les-Ouates, Switzerland，公司統一編號 CHE-354.686.492，以下簡稱「處理者」）與使用 Proton 服務的公司（以下簡稱「公司」，指使用本服務的任何企業或組織，無論其法律形式為何）共同簽署。
本協議規範資料保護法的具體要求，適用範圍為公司使用 Proton 服務涉及受資料保護法約束的個人資料處理。
本協議補充我們的隱私權政策，該隱私權政策是我們資料保護措施與常規的主要參考依據。
本協議的期限應與主協議的期限一致。 本協議中未定義的術語，其含義應與主協議中所載之含義相同。
鑒於
A) 公司擔任資料控制者（「控制者」）。
B) 公司希望將涉及個人資料處理的特定服務（定義如下）分包給擔任資料處理者的 Proton AG（「處理者」）。
C) 雙方旨在落實一項資料處理協議，以符合現行資料處理法律架構之要求，並符合歐洲議會和理事會 2016 年 4 月 27 日關於在個人資料處理方面保護自然人及此類資料自由流動的第 2016/679 號法規 (EU) 並廢止第 95/46/EC 號指令（一般資料保護法規）以及其他適用的資料保護法。
D) 雙方希望訂明其權利與義務。
雙方協議如下：
1. 定義與詮釋
除非本 DPA 另有定義，否則本協議中使用的首字母大寫術語及詞彙應具有以下含義：
1.1) 「本協議」係指本資料處理協議及所有附表；
1.2) 「公司個人資料」係指與主協議相關且涉及公司或公司客戶或員工的任何受處理個人資料；
1.3) 「約定處理者」係指次處理者；
1.4) 「資料保護法」係指歐盟資料保護法，以及在適用範圍內任何其他國家的資料保護或隱私法律；
1.5) 「EEA」係指歐洲經濟區；
1.6) 「歐盟資料保護法」係指歐盟第 95/46/EC 號指令，該指令已轉置為各成員國之國內立法，且不時經修訂、取代或廢止，包括由 GDPR 及實施或補充 GDPR 之法律所為者；
1.7) 「GDPR」係指歐盟一般資料保護條例 2016/679；
1.8) 「資料傳輸」 係指：
- 1.8.1) 將公司個人資料從控制者傳輸至處理者或約定處理者；或
- 1.8.2) 將公司個人資料從處理者進一步傳輸至次處理者，或在次處理者的兩個機構之間傳輸；
1.9) 「服務」係指處理者提供的線上安全服務，例如電子郵件、行事曆、磁碟以及由處理者開發的其他服務。 服務的詳細資料與定價可在處理者的網站上找到。
1.10) 「次處理者」係指由處理者指定或代表處理者指定，以代表控制者就本協議處理個人資料的任何人。
「委員會」、「控制者」、「資料主體」、「成員國」、「個人資料」、「個人資料外洩」、 「處理」及「監管機構」等術語應具有與 GDPR 或其他適用之資料保護法相同的含義，其同源詞彙亦應據此詮釋。
2. 公司個人資料的處理
處理者應：
2.1) 在處理公司個人資料時遵守所有適用的資料保護法；
2.2) 且除依據第 2 節中控制者的書面指示外，不得處理公司個人資料。
控制者指示處理者處理公司個人資料以：
2.3) 提供服務及相關技術支援；
2.4) 履行法律義務或解決爭議；
2.5) 執行旨在最佳化服務安全性、隱私、機密性及功能的任何內部任務；
2.6) 執行內部報告、財務報告及其他類似內部任務。
3. 處理者人員
處理者應採取合理措施，以確保可能存取公司個人資料的任何約定處理者的員工、代理人或承包商的可靠性，確保在任何情況下，存取權限僅嚴格限於為主協議目的、及/或為在該個人對約定處理者的職責範圍內遵守資料保護法及其他相關立法所絕對必要而需要知悉/存取相關公司個人資料的個人，並確保所有此類個人均受保密承諾或專業或法定的保密義務約束。
4. 安全保護
根據 GDPR 第 32 (1) 條，處理者在考量最新技術水準、實施成本以及處理的性質、範圍、背景和目的後，應採取適當的技術與組織措施，以確保與風險相稱的安全等級。 這些措施應旨在保護自然人的權利與自由，並考量不同可能性與嚴重程度的風險，包括個人資料外洩的風險。
處理者還應評估與處理活動相關的風險，並套用符合 GDPR 第 32 (1) 條所規定要求的措施，始終確保公司個人資料的安全。
5. 次處理
在符合本協議規定的前提下，公司普遍授權處理者聘用次處理者並向其揭露或傳輸公司個人資料。 公司確認並核准處理者隱私權政策中列出的次處理者名單，並理解該名單可能會由處理者定期更新，在此情況下，處理者應根據隱私權政策通知程序通知公司。 此外，公司授權處理者向其企業群組內的任何公司揭露並傳輸個人資料。
處理者確保次處理者與處理者簽訂的協議中，在適用於該次處理者所提供服務性質的範圍內，對於公司個人資料的保護限制與防護程度不低於本協議。
6. 資料主體權利
考量處理的性質，處理者應合理協助公司履行其在資料保護法下回應行使資料主體權利請求的義務。
處理者應：
6.1) 若收到資料主體依任何資料保護法就公司個人資料提出的請求，應及時通知公司；以及
6.2) 確保其不對該請求作出回應，除非依據控制者的書面指示或處理者所適用的適用法律之要求；在此情況下，在適用法律允許的範圍內，處理者應在約定處理者回應請求之前將該法律要求告知控制者。
7. 個人資料外洩
處理者應依據適用的資料保護法及其內部個人資料外洩程序來管理任何個人資料外洩事件。 如果發生影響公司個人資料的個人資料外洩事件，處理者應立即通知公司，並提供充分資訊以使公司能夠履行資料保護法規定的義務，包括在必要時通知資料主體。 在此類情況下，處理者應向公司提供充分資訊，使公司能夠履行資料保護法下通報或向資料主體告知個人資料外洩事件的任何義務。
處理者應與公司合作，並依據公司的指示採取合理的商業措施，以協助調查、緩解和補救每一起此類個人資料外洩事件。
在資料外洩由該方造成的情況下，各方應承擔調查、補救、緩解及其他相關費用的相應部分。
在因該方違反其在本協議下的義務所致的範圍內，各方應承擔由授權監管機構、政府機關或具有管轄權的法院所處之任何罰金、罰款、損害賠償或其他相關金額的費用。
8. 資料保護影響評估與事前諮詢
若控制者合理認為依據 GDPR 第 35 條或第 36 條或任何其他資料保護法的同等規定需要進行資料保護影響評估，以及向監管機構或其他主管資料隱私機構進行事前諮詢，則處理者應向公司提供合理協助；在任何情況下，此類協助僅限於與約定處理者對公司個人資料的處理相關，並應考量處理的性質以及約定處理者所掌握的資訊。
9. 公司個人資料的刪除或返還
若終止涉及公司個人資料處理的任何服務，處理者應在適用法律允許的範圍內，並根據處理者的條款及細則和隱私權政策刪除所有公司個人資料。 若公司需要其資料的複本，必須在刪除其帳號之前提出要求；帳號被刪除後提出的要求將無法受理。
10. 稽核權利
在符合本第 10 節規定的前提下，處理者應依要求向公司提供證明遵守本協議所需的所有資訊，並應允許且配合公司或公司委託的稽核員就約定處理者對公司個人資料的處理進行稽核，包括檢查。 除發生個人資料外洩事件或監管機構發出指示外，公司每個日曆年行使其稽核權利不得超過一次。 公司若打算依本協議對處理者進行稽核，應至少提前六十 (60) 天向處理者發出書面通知。 稽核應在處理者的營業時間內進行，不得干擾處理者的營運，並應確保公司、處理者及其他資料主體的個人資料受到保護。 處理者與公司應事先就稽核的日期、範圍、持續時間以及適用的安全與保密控制措施達成一致。 公司確認，在進行稽核之前，可能需要簽署控制者要求的保密協議。
僅在本協議未另行授予公司符合資料保護法相關要求的資訊與稽核權利之情況下，公司才享有第 10 節下的資訊與稽核權利。
11. 資料傳輸
在可能的情況下，處理者應僅向瑞士、歐盟境內及/或具適足性認定之國家傳輸或授權傳輸資料，如以下條款所規定：第 45 條 GDPR 與第 16 條瑞士 FADP。 若根據本協議處理的個人資料從瑞士或歐盟境內的任何國家或具有充分性認定的任何國家傳輸至此範圍之外的國家，雙方應確保該個人資料獲得充分保護。 為實現此目標，除非另有約定，否則雙方應依賴瑞士及/或歐盟及/或英國核准且當時有效的個人資料傳輸標準合約條款，或資料保護法規定的其他傳輸機制。 處理者有權向次處理者進行此類傳輸，前提是已就傳輸性質實施充分的保障措施。
12. 一般條款
遵守適用法律。 處理者將根據本協議以及適用於其在本協議下角色的資料保護法處理公司個人資料。 處理者對僅因公司的業務或行業而專門適用於公司的資料保護法之合規性概不負責，亦不承擔法律責任。
保密義務。 各方必須對其因本協議而收到的有關另一方及其業務的任何資訊（「機密資訊」）予以保密，且未經另一方事先書面同意，不得使用或揭露該機密資訊，但以下情況除外：
(a) 法律要求揭露；
(b) 非因雙方的過錯，相關資訊已進入公共領域。
通知。 本協議項下的所有通知與通訊均須採用書面形式，並將透過電子郵件傳送。 控制者應透過傳送至與其在主協議下使用服務相關位址的電子郵件予以通知。 處理者應透過傳送至以下位址的電子郵件予以通知：legal@proton.me。
管轄法律與司法管轄權。 本協議應受瑞士法律管轄，不考慮任何司法管轄區相衝突的法律選擇或衝突規範，且因本協議、訂單、任何以引用方式併入的文件、Proton 技術或服務而引起或與之相關的爭議、訴訟、申訴或訴訟事由，均應受瑞士日內瓦法院的專屬管轄。
如果本條款的英文版本與任何翻譯版本之間存在差異，應以英文版本為準。