MSP 資料處理協議

本資料處理協議（「協議」）構成 Proton AG（地址：Route de la Galaise 32, 1228 Plan-les-Ouates, Switzerland，公司識別號碼 CHE-354.686.492，以下簡稱「處理者」）與主協議中指定的 MSP（以下簡稱「公司」，無論其法律形式為何，均指使用本服務為其自身的託管客戶佈建、計費和支援的託管服務提供者）之間簽訂的託管服務提供者協議（「主協議」）的一部分。

在公司使用本服務，包括公司向託管客戶佈建本服務，涉及受資料保護法規範的個人資料處理之範圍內，本協議規範資料保護法的具體要求。

本協議的期限應與主協議的期限一致。 本文中未定義的術語應具有主協議中規定的含義。

鑒於

A) 公司作為資料控管者；或當託管客戶自行指示處理其自身的個人資料時，作為代表該託管客戶的資料處理者（在任一情況下，均稱為「控管者」）。

B) 公司希望將涉及個人資料處理的某些服務分包給作為資料處理者的 Proton AG（「處理者」）。

C) 雙方旨在實施符合資料處理相關現行法律架構要求的資料處理協議，包括歐盟法規 (EU) 2016/679（「GDPR」）和瑞士《聯邦資料保護法》（「FADP」），以及其他適用的資料保護法。

D) 雙方希望訂明各自的權利與義務。

雙方協議如下：

1. 定義、角色與範圍

1.1 定義。 除非本文另有定義，否則首字母大寫的術語具有主協議中賦予的含義；若主協議中未定義，則具有以下含義：

• 「公司個人資料」係指與公司、公司的託管客戶或其各自客戶或員工相關，且與主協議相關聯處理的任何個人資料。
• 「受約定處理者」係指再處理者。
• 「資料保護法」係指 GDPR、FADP，以及在適用範圍內任何其他國家的資料保護或隱私法規。
• 「資料傳輸」係指 (i) 將公司個人資料從公司傳輸至處理者或受約定處理者，或 (ii) 將公司個人資料從處理者進一步傳輸至再處理者，或在再處理者的兩個機構之間進行傳輸。
• 「託管客戶」具有主協議中賦予的含義：公司作為其自身託管服務方案的一部分，向其佈建並交付本服務的終端使用者實體。
• “再處理者”係指由處理者或代表處理者指定以處理與本協議相關個人資料的任何人。
• 術語「委員會」、「控管者」、「資料當事人」、「成員國」、「個人資料」、「個人資料侵害」、「處理」及「監管機關」具有與 GDPR 或其他適用資料保護法中相同的含義。

1.2 雙方角色。 在 Proton 與公司之間，就主協議下處理的所有公司個人資料，包括託管客戶及其各自終端使用者的個人資料或與之相關的個人資料而言，公司為控管者（或在適用情況下，為依據託管客戶指示行事的處理者），而 Proton 為處理者。 本協議是 Proton 與託管客戶鏈中任何當事方之間完整且專屬的資料處理協議安排。 Proton 與任何託管客戶均無直接的合約關係、控管者-處理者關係或處理者-再處理者關係，且任何託管客戶均非本協議的當事方或第三方受益人。 公司全權負責其與託管客戶之間的協議以及對其承擔的義務，包括公司根據適用法律或合約對其承擔的任何資料保護條款。

1.3 公司的下游責任。 在適用於公司向該託管客戶提供之服務性質的範圍內，公司應與每位託管客戶簽署書面協議，該協議對公司施加的資料保護義務，在保護該託管客戶的個人資料方面不得低於 Proton 根據本協議對公司承擔的義務。 Proton 在本協議下的義務僅對公司生效；就公司與其託管客戶而言，公司仍對其託管客戶的個人資料處理全權負責，包括 Proton 的任何作為或不作為。

2. 公司個人資料的處理

處理者應：

• 在處理公司個人資料時遵守所有適用的資料保護法；以及
• 除依據公司下述記錄在案的指示外，不處理公司個人資料。

公司指示處理者處理公司個人資料以：

• 向公司以及透過公司向託管客戶提供服務及相關技術支援；
• 履行法律義務或解決爭議；
• 執行旨在最佳化服務安全性、隱私性、機密性和功能性的任何內部任務；以及
• 執行內部報告、財務報告和其他類似的內部任務。

3. 處理者人員

處理者應採取合理措施，以確保可能有權存取公司個人資料之任何受約定處理者的任何員工、代理人或承包商的可靠性，確保在各種情況下存取權限均嚴格限制在出於主協議目的和/或遵守資料保護法之嚴格必要而需要知情或存取相關公司個人資料的個人，並確保所有此類個人均受保密承諾或專業或法定的保密義務約束。

4. 安全保護

根據 GDPR 第 32(1) 條，處理者應採取適當的技術和組織措施，以確保與風險相應的安全等級，同時考量現有技術水準、實施成本以及處理的性質、範圍、背景和目的。 這些措施旨在保護自然人的權利與自由，考量到不同可能性和嚴重程度的風險，包括個人資料侵害的風險。 公司應對其自身處理公司個人資料採取適當的技術和組織措施，包括透過 MSP 管理員授權管理託管客戶帳號，並應確保對此類帳號的存取權限僅限於需要該權限的公司人員、受到適當驗證控制的保護，並在不再需要時立即撤銷。

5. 次處理

在符合本協議的前提下，公司授予處理者一般授權以聘用再處理者，並向其披露或傳輸公司個人資料。 公司確認並批准處理者隱私權政策中列出的再處理者名單，並理解該名單可能會由處理者不時更新，在此情況下，公司將根據隱私權政策通知流程收到通知。 公司進一步授權處理者向其企業群組內的任何公司披露和傳輸個人資料。 處理者應確保再處理者受與處理者簽署之協議的約束，在保護公司個人資料方面，該協議的限制性和保護性在適用於該再處理者所提供服務性質的範圍內，不得低於本協議。 為免生疑問，公司並非 Proton 的再處理者，且本節不適用於公司自身聘用任何託管客戶或第三方的情況。

6. 資料主體權利

考量到處理的性質，處理者應合理協助公司履行其回應根據資料保護法行使資料當事人權利之請求的義務，包括公司從託管客戶或代表該託管客戶或其自身終端使用者收到的請求。

處理者應：

• 若收到資料當事人根據任何資料保護法就公司個人資料提出的請求，應立即通知公司；以及

• 確保除非根據公司記錄在案的指示或適用法律的要求，否則不對該請求作出回應；在此情況下，處理者應在法律允許的範圍內，在回應前將該法律要求告知公司。

公司全權負責回應與代管客戶個人資料相關的任何資料當事人請求，並就此與任何託管客戶進行協調；處理者沒有義務直接識別任何託管客戶或與其溝通。

7. 個人資料外洩

處理者應遵守適用的資料保護法及其內部個人資料侵害程序來管理任何個人資料侵害事件。 在發生影響公司個人資料的個人資料侵害事件時，處理者應立即通知公司，並提供充分的資訊，以使公司能夠履行其在資料保護法下的義務，包括在適用情況下通知受影響的託管客戶和資料當事人。 處理者應與公司合作，並按照公司的指示採取合理的商業措施，以協助調查、緩解和補救每起此類個人資料侵害事件。 在個人資料侵害事件由某一方造成的情況下，該方應承擔調查、補救、緩解及其他相關費用的相應部分。 在主管監管機關施加的任何罰款、處罰、損害賠償或其他相關金額源於某一方違反其在本協議下的義務的情況下，該方應承擔相應的費用。 公司全權負責向其託管客戶及其資料當事人發送資料外洩通知，並負責該等通知的時間和內容。

8. 資料保護影響評估與事前諮詢

處理者應在資料保護影響評估以及與監管機關的事先諮詢方面向公司提供合理協助，只要公司合理認為屬於 GDPR 第 35 條或第 36 條或任何其他資料保護法同等條款所要求；在每種情況下，僅涉及受約定處理者對公司個人資料的處理，並考量處理的性質以及受約定處理者可獲得的資訊。

9. 刪除或返還公司個人資料

在終止涉及處理公司個人資料的任何服務時，處理者應在適用法律允許的範圍內並根據處理者的條款及細則和隱私權政策刪除所有公司個人資料。 若公司需要公司個人資料的複本，必須在刪除前提出請求；刪除後提出的請求將不再予以受理。 在主協議終止時，就公司與託管客戶之間而言，公司仍全權負責管理任何託管客戶個人資料的刪除、返還或過渡，這符合主協議第 5.4 節（過渡協助）的規定。

10. 稽核權

在遵守本第 10 節規定的前提下，處理者應根據請求向公司提供證明遵守本協議所需的所有資訊，並應允許且配合公司或公司委託的稽核員就受約定處理者處理公司個人資料進行稽核，包括檢查。 除非在發生個人資料侵害事件或主管監管機關發出指示之後，否則公司在每個日曆年行使其在本節下的稽核權限不得超過一次。 公司應至少提前六十 (60) 天將其進行稽核的意向書面通知處理者。 稽核應在處理者的營業時間內進行，不得干擾處理者的營運，並應確保保護公司、處理者和其他資料當事人的個人資料。 雙方應事先共同商定適用於稽核的日期、範圍、持續時間以及安全和保密控制措施；處理者可在稽核前要求簽署保密協議。 本節下的資訊和稽核權利僅在符合資料保護法相關要求的資訊和稽核權利未在其他情況下由本協議授予公司的範圍內產生。 如果託管客戶請求有關 Proton 處理的資訊，作為公司對該託管客戶自身盡職調查義務的一部分，公司可以依據本節從處理者處獲取必要資訊並進行傳達，但託管客戶本身對處理者不享有獨立的稽核權。

11. 資料傳輸

在可能的情況下，處理者僅得將公司個人資料傳輸或授權傳輸至瑞士境內、歐盟境內和/或受適足性認定規範的國家，如 GDPR 第 45 條和瑞士 FADP 第 16 條所規定。 如果在本協議下處理的公司個人資料從瑞士、歐盟或受適足性認定規範的國家傳輸至該範圍以外的國家，雙方應確保個人資料獲得充分保護，除非另有約定，否則應依賴瑞士、歐盟和/或英國核准且當時有效的標準合約條款，或資料保護法規定的其他傳輸機制。 在考量傳輸性質並實施適當保護措施的前提下，處理者應獲授權向再處理者執行此類傳輸。

12. 一般條款

12.1 遵守適用法律。 處理者將根據本協議以及適用於其在本協議下角色的資料保護法處理公司個人資料。 處理者不負責遵守僅因其各自業務或產業而單獨適用於公司或任何託管客戶的資料保護法。

12.2 保密條款。 每一方均應對與本協議相關而收到的有關另一方的任何資訊予以保密，未經另一方事先書面同意，不得使用或披露該資訊，除非 (a) 法律要求披露，或 (b) 非因雙方的過錯使該資訊已進入公眾領域。

12.3 通知。 本協議下的通知應根據主協議的通知規定發出。 向處理者發出關於資料保護事宜的通知應額外抄送至 legal@proton.ch

12.4 責任。 各方因本協議產生或與之相關的責任均受主協議的責任限制條款規範，並根據該等條款設定上限，包括其中針對違反保密義務和資料保護義務所規定的任何具體上限。 本協議中的任何內容均不限制任何一方因自身違反適用的資料保護法而被主管監管機關直接處以的罰款或處罰的責任。 公司確認，作為其託管客戶唯一的直接控管方，公司對向託管客戶承擔的任何責任承擔全部責任，且該責任超出公司根據主協議責任上限能夠從處理者處追償的金額。

12.5 準據法與管轄權。 本協議受瑞士法律管轄，不考慮任何其他司法管轄區的法律選擇或衝突規範，因本協議引起或與之相關的爭議均由瑞士日內瓦法院專屬管轄。

12.6 優先順序。 如果本協議與主協議在個人資料處理方面存在歧異，應以本協議為準，這符合主協議第 10.1 節的規定。 若本協議的英文版本與任何翻譯版本之間有歧異，應以英文版本為準。