数据处理协议
本数据处理协议（“协议”）构成 Proton AG 条款和条件（“主协议”）项下服务合同的一部分，由 Proton AG（地址：Route de la Galaise 32, 1228 Plan-les-Ouates, Switzerland，公司识别号：CHE-354.686.492，以下简称“处理方”）与使用 Proton 服务的公司（以下简称“公司”，指使用服务的任何企业或组织，无论其法律形式为何）订立。
在公司使用 Proton 服务涉及受数据保护法管辖的个人数据处理的范围内，本协议对数据保护法的具体要求作出规定。
本协议是对我们隐私政策的补充，隐私政策是我们数据保护实践和措施的主要参考标准。
本协议的期限应与主协议的期限一致。 本协议中未定义的术语应具有主协议中规定的含义。
鉴于
A) 公司作为数据控制方（“控制方”）。
B) 公司希望将涉及个人数据处理的某些服务（定义见下文）分包给作为数据处理方（“处理方”）的 Proton AG。
C) 双方希望落实一份数据处理协议，以符合与数据处理相关的现行法律框架，以及欧洲议会和理事会 2016 年 4 月 27 日关于在个人数据处理中保护自然人以及此类数据自由流动的第 (EU) 2016/679 号条例并废除第 95/46/EC 号指令（通用数据保护条例）以及其他适用的数据保护法的要求。
D) 双方希望阐明各自的权利和义务。
双方达成协议如下：
1. 定义与释义
除非本 DPA 另有定义，本 DPA 中使用的大写术语和表述应具有以下含义：
1.1) “协议”是指本数据处理协议及其所有附表；
1.2) “公司个人数据”是指与主协议相关处理的、与公司或公司客户或员工相关的任何个人数据；
1.3) “签约处理方”是指次级处理方；
1.4) “数据保护法”是指欧盟数据保护法以及在适用范围内的任何其他国家/地区的数据保护或隐私法律；
1.5) “EEA”是指欧洲经济区；
1.6) “欧盟数据保护法”是指转化为各成员国国内立法并经不时修订、替换或取代的欧盟指令 95/46/EC，包括 GDPR 以及实施或补充 GDPR 的法律；
1.7) “GDPR”是指欧盟通用数据保护条例 2016/679；
1.8) “数据传输” 是指：
- 1.8.1) 公司个人数据从控制方传输至处理方或签约处理方；或
- 1.8.2) 公司个人数据从处理方进一步传输至次级处理方，或在次级处理方的两个机构之间传输；
1.9) “服务”是指处理方提供的在线安全服务，例如电子邮件、日历、云端硬盘以及处理方开发的其他服务。 服务的详细信息和价格可在处理方的网站上找到。
1.10) “次级处理方”是指由处理方指定或代表处理方指定，在与协议相关的情况下代表控制方处理个人数据的任何人。
术语“委员会”、“控制方”、“数据主体”、“成员国”、“个人数据”、“个人数据泄露”、 “处理”和“监管机构”应具有与 GDPR 或其他适用数据保护法中相同的含义，其同源术语应作相应解释。
2. 公司个人数据的处理
处理方应：
2.1) 在处理公司个人数据时遵守所有适用的数据保护法；
2.2) 且不得在第 2 节中控制方的书面指示之外处理公司个人数据。
控制方指示处理方处理公司个人数据以：
2.3) 提供服务及相关技术支持；
2.4) 履行法律义务或解决争议；
2.5) 执行旨在优化服务的安全性、隐私性、保密性和功能的任何内部任务；
2.6) 执行内部报告、财务报告和其他类似的内部任务。
3. 处理方人员
处理方应采取合理措施，确保可能访问公司个人数据的任何签约处理方的任何雇员、代理人或承包商的可靠性，确保在任何情况下，访问权限严格限制在因主协议之目的严格必要和/或在该人员对签约处理方的职责范围内为遵守数据保护法及其他相关立法而需要知晓/访问相关公司个人数据的人员，并确保所有此类人员均受保密承诺或专业/法定保密义务的约束。
4. 安全
根据 GDPR 第 32 (1) 条，处理方应结合现有技术水平、实施成本以及处理的性质、范围、语境和目的，实施适当的技术和组织措施，以确保与风险相适应的安全级别。 这些措施的设计应旨在保护自然人的权利和自由，并考虑到不同可能性和严重程度的风险，包括个人数据泄露的风险。
处理方还应评估与处理活动相关的风险，并应用符合 GDPR 第 32 (1) 条所载要求的措施，始终确保公司个人数据的安全。
5. 次级处理
在遵守本协议的前提下，公司向处理方授予通用授权以聘用次级处理方并向其披露或传输公司个人数据。 公司知悉并批准处理方隐私政策中列出的次级处理方名单，并理解该名单可能会由处理方定期更新，在此情况下，处理方应根据隐私政策通知流程告知公司。 此外，公司授权处理方将个人数据披露和传输给其企业群组内的任何公司。
处理方确保次级处理方受其与处理方订立的协议的约束，在适用于次级处理方所提供服务性质的范围内，该协议在保护公司个人数据方面的限制性和保护性不得低于本协议。
6. 数据主体权利
考虑到处理的性质，处理方应合理协助公司履行其在数据保护法项下回应行使数据主体权利请求的义务。
处理方应：
6.1) 如收到数据主体根据任何数据保护法就公司个人数据提出的请求，应及时通知公司；以及
6.2) 确保除非依据控制方的书面指示或处理方须遵守的适用法律的要求，否则不回应此类请求；在此情况下，在签约处理方回应请求之前，处理方应在适用法律允许的范围内将该法律要求告知控制方。
7. 个人数据泄露
处理方应遵守适用的数据保护法及其内部个人数据泄露程序来管理任何个人数据泄露。 发生影响公司个人数据的个人数据泄露事件时，处理方应毫不拖延地通知公司，提供充分的信息以使公司能够履行数据保护法项下的义务，包括在必要时通知数据主体。 在此类情况下，处理方应向公司提供充分的信息，以便公司履行数据保护法项下关于报告个人数据泄露或向数据主体告知个人数据泄露的任何义务。
处理方应与公司合作，并按公司指示采取合理的商业措施，协助调查、减轻和补救每起此类个人数据泄露。
各方应承担由于该方导致的数据泄露而产生的调查、补救、减轻及其他相关费用。
在因一方违反本协议项下义务而引起的范围内，该方应承担由授权监管机构、政府机构或有管辖权的法院施加的任何罚款、处罚、损害赔偿金或其他相关金额的费用。
8. 数据保护影响评估与事先咨询
如果控制方合理认为 GDPR 第 35 条或第 36 条或任何其他数据保护法的同等规定有此要求，处理方应向公司提供合理协助，以进行任何数据保护影响评估以及与监管机构或其他主管数据隐私机构的事先咨询；在每种情况下，此项协助仅与签约处理方处理公司个人数据有关，并考虑到处理的性质及签约处理方可获取的信息。
9. 公司个人数据的删除或归还
若停止涉及公司个人数据处理的任何服务，处理方应在适用法律允许的范围内，并根据处理方的条款和条件及隐私政策，删除所有公司个人数据。 如果公司需要其数据的副本，必须在其帐户删除之前提出请求；帐户被删除后提出的请求将不再予以受理。
10. 审计权利
在受本第 10 节约束的前提下，处理方应根据要求向公司提供证明遵守本协议所需的所有信息，并应允许且配合公司或公司委托的审计员就签约处理方处理公司个人数据所进行的审计，包括检查。 除发生个人数据泄露或接到监管机构指示外，公司在每个日历年行使审计权利不得超过一次。 公司如打算根据本协议对处理方进行审计，应至少提前六十 (60) 天向处理方发出书面通知。 审计应在处理方的营业时间内进行，不得扰乱处理方的运营，并应确保保护公司、处理方以及其他数据主体的个人数据。 处理方与公司应提前就审计的日期、范围、持续时间以及适用于审计的安全和保密控制措施达成一致。 公司知悉，在开展审计之前，控制方可能会要求签署保密协议。
公司的信息和审计权利仅在本协议未另行赋予其符合数据保护法相关要求的信息和审计权利的范围内，根据第 10 节产生。
11. 数据传输
在可能的情况下，处理方应仅向瑞士、欧盟境内的国家/地区和/或受充分性认定约束的国家/地区传输或授权传输数据，具体如以下条款所规定。 GDPR 第 45 条以及相关条款。 瑞士 FADP 第 16 条。 如果根据本协议处理的个人数据从瑞士或欧盟境内的任何国家/地区或受充分性认定约束的任何国家/地区传输到此范围之外的国家/地区，双方应确保个人数据得到充分保护。 为实现这一目标，除非另有约定，双方应依赖经瑞士和/或欧盟和/或英国批准的且当时有效的个人数据传输标准合同条款，或数据保护法规定的其他传输机制。 只要针对传输的性质落实了充分的安全保障措施，处理方即有权向次级处理方进行此类传输。
12. 通用条款
遵守适用法律。 处理方将根据本协议以及适用于其在本协议项下角色的数据保护法处理公司个人数据。 处理方对仅因公司的业务或行业而适用于公司的数据保护法的合规性不承担任何责任。
保密。 各方必须对因本协议而收到的有关另一方及其业务的任何信息（“机密信息”）予以保密，且未经另一方事先书面同意不得使用或披露该机密信息，但以下情况除外：
(a) 法律要求披露；
(b) 相关信息非因双方过错已进入公众知悉范围。
通知。 根据本协议发出的所有通知和通讯必须采用书面形式，并通过电子邮件发送。 控制方将通过发送至其在主协议项下使用服务相关地址的电子邮件予以通知。 处理方将通过发送至以下地址的电子邮件予以通知：legal@proton.me。
适用法律与管辖权。 本协议应受瑞士法律管辖，不考虑任何司法管辖区相反的法律选择或冲突条款，且因本协议、订购单、任何通过引用并入的文件、Proton 技术或服务引起或与之相关的争议、诉讼、主张或诉由，均应受瑞士日内瓦法院的专属管辖。
如果本条款的英文版本与任何翻译版本之间存在差异，应以英文版本为准。