MSP 数据处理协议

本数据处理协议（“协议”）构成了 Proton AG（地址：Route de la Galaise 32, 1228 Plan-les-Ouates, Switzerland，公司识别号：CHE-354.686.492，以下简称“处理者”）与主协议中确定的 MSP（以下简称“公司”，应理解为使用本服务为其自己的托管客户进行配置、计费和提供支持的托管服务提供商，不论其法律形式为何）之间订立的托管服务提供商协议（“主协议”）的一部分。

在公司对服务的使用（包括公司向托管客户提供服务）涉及受数据保护法管辖的个人数据处理的范围内，本协议对数据保护法的具体要求作出规定。

本协议的期限应与主协议的期限一致。 本协议中未作定义的术语应具有主协议中规定的含义。

鉴于

A) 公司充当数据控制者，或者在托管客户自身指示对其个人数据进行处理的情况下，充当代表该托管客户的数据处理者（在任何一种情况下，均称为“控制者”）。

B) 公司希望将涉及个人数据处理的某些服务转包给作为数据处理者的 Proton AG（“处理者”）。

C) 双方力求实施符合与数据处理相关的现行法律框架要求的数据处理协议，包括欧盟第 2016/679 号条例（“GDPR”）和瑞士《联邦数据保护法》（“FADP”）以及其他适用的数据保护法。

D) 双方希望明确各自的权利与义务。

双方达成协议如下：

1. 定义、角色与范围

1.1 定义。 除非本协议另有定义，首字母大写的术语具有主协议中赋予的含义，若主协议未作定义，则具有以下含义：

• “公司个人数据”是指与主协议相关的、与公司、公司的托管客户或其各自的客户或员工相关的任何已处理个人数据。
• “受约处理者”是指次级处理者。
• “数据保护法”是指 GDPR、FADP 以及在适用范围内任何其他国家/地区的数据保护或隐私法律。
• “数据传输”是指 (i) 公司个人数据从公司向处理者或受约处理者的传输，或 (ii) 公司个人数据从处理者向次级处理者、或在次级处理者的两个分支机构之间的进一步传输。
• “托管客户”具有主协议中赋予的含义：作为公司自身托管服务产品的一部分，公司向其配置并交付服务的最终用户实体。
• “次级处理者”是指由处理者或代表处理者指定的、与本协议相关的处理个人数据的任何主体。
• 术语“委员会”、“控制者”、“数据主体”、“成员国”、“个人数据”、“个人数据泄露”、“处理”和“监管机构”与 GDPR 或其他适用的数据保护法中的含义相同。

1.2 双方的角色。 在 Proton 与公司之间，就主协议项下处理的所有公司个人数据（包括托管客户及其各自最终用户的或与之相关的个人数据）而言，公司为控制者（或视情况而定，按照托管客户指示行事的数据处理者），Proton 为处理者。 本协议是 Proton 与托管客户链中任何一方之间的完整且排他的数据处理安排。 Proton 与任何托管客户均无直接的合同关系、控制者-处理者关系或处理者-次级处理者关系，且任何托管客户均不是本协议的当事方或第三方受益人。 公司对其与托管客户达成的协议以及对托管客户承担的义务单独负责，包括公司根据适用法律或合同对其承担的任何数据保护条款。

1.3 公司的下游责任。 在适用于公司向托管客户提供服务的性质的范围内，公司应与每位托管客户签订书面协议，对公司施加的数据保护义务在保护该托管客户个人数据方面的严格程度不得低于 Proton 在本协议下对公司承担的义务。 Proton 在本协议下的义务仅对公司有效；在公司与其托管客户之间，对于处理其个人数据（包括 Proton 的任何作为或不作为），公司仍单独向其托管客户承担责任。

2. 公司个人数据的处理

处理方应：

• 在处理公司个人数据时遵守所有适用的数据保护法；以及
• 除根据下述公司的书面记录指示外，不处理公司个人数据。

公司指示处理者处理公司个人数据以：

• 向公司以及通过公司向托管客户提供服务和相关的技术支持；
• 履行法律义务或解决争议；
• 执行旨在优化服务的安全性、隐私性、保密性和功能的任何内部任务；以及
• 执行内部报告、财务报告和其他类似的内部任务。

3. 处理方人员

处理者应采取合理措施，确保可能访问公司个人数据的任何受约处理者的任何员工、代理人或承包商的可靠性，确保在任何情况下访问均严格限制在为实现主协议目的和/或遵守数据保护法而严格需要获知或访问相关公司个人数据的个人范围内，并确保所有此类人员均须遵守保密承诺或履行专业或法定的保密义务。

4. 安全

根据 GDPR 第 32(1) 条的规定，处理者应在综合考虑技术现状、实施成本以及处理的性质、范围、背景和目的的前提下，采取适当的技术和组织措施以确保与风险程度相适应的安全水平。 这些措施旨在保护自然人的权利和自由，并考虑到具有不同可能性和严重程度的风险，包括个人数据泄露的风险。 公司应就其自身对公司个人数据的处理采取适当的技术和组织措施，包括通过 MSP 管理员许可证对托管客户帐户进行管理，并应确保对此类帐户的访问仅限于有需要的公司人员、受适当身份验证控制的保护，并在不再需要时立即撤销。

5. 次级处理

在遵守本协议的前提下，公司向处理者授予一般授权，允许其聘用次级处理者并向其披露或传输公司个人数据。 公司确认并批准处理者隐私政策中列出的次级处理者名单，并理解处理者可能会不时更新该名单，在此情况下，公司应根据隐私政策的通知流程获知相关信息。 公司进一步授权处理者向其企业群组内的任何公司披露和传输个人数据。 在适用于该次级处理者所提供服务的性质的范围内，处理者应确保次级处理者受到其与处理者之间协议的约束，该协议在保护公司个人数据方面的限制性和保护性不得低于本协议。 为免存疑，公司不是 Proton 的次级处理者，且本条不适用于公司自身聘用任何托管客户或第三方。

6. 数据主体权利

考虑到处理的性质，处理者应合理协助公司履行公司根据数据保护法回应行使数据主体权利请求的义务，包括公司从托管客户或代表托管客户或该托管客户自身的最终用户收到的请求。

处理方应：

• 如果收到数据主体根据任何数据保护法就公司个人数据提出的请求，及时通知公司；以及

• 确保除按照公司的书面记录指示或适用法律要求外，不对此类请求做出回应；若因法律要求回应，处理者应在法律允许的范围内，在做出回应之前将该法律要求告知公司。

公司单独负责回应与托管客户个人数据相关的任何数据主体请求，并就此与任何托管客户进行协调；处理者没有直接识别任何托管客户或与任何托管客户进行直接沟通的义务。

7. 个人数据泄露

处理者应按照适用的数据保护法及其内部个人数据泄露程序来处理任何个人数据泄露事件。 如果发生影响公司个人数据的个人数据泄露事件，处理者应立即通知公司，并提供充分的信息以使公司能够履行其在数据保护法下的义务，包括在适用情况下通知受影响的托管客户和数据主体。 处理者应与公司合作，并按照公司的指示采取合理的商业措施，协助对每起此类个人数据泄露事件进行调查、缓解和补救。 若个人数据泄露事件由某一方造成，该方应在相应范围内承担调查、补救、缓解和其他相关费用。 若主管监管机构施加任何罚款、处罚、损害赔偿金或其他相关金额，各方应承担因自身违反本协议义务而产生的相应费用。 公司单独负责向其托管客户及其数据主体发出泄露通知，并负责此类通知的时间安排和内容。

8. 数据保护影响评估与事先咨询

处理者应在公司合理认为 GDPR 第 35 条或第 36 条或任何其他数据保护法的同等条款所要求的情况下，向公司就数据保护影响评估以及与监管机构的事先咨询提供合理协助，但在每种情况下，均仅涉及受约处理者对公司个人数据的处理，并考虑到处理的性质及受约处理者可获取的信息。

9. 公司个人数据的删除或归还

在涉及公司个人数据处理的任何服务终止时，处理者应在适用法律允许的范围内，并根据处理者的条款和条件以及隐私政策删除所有公司个人数据。 如果公司需要公司个人数据的副本，必须在删除之前提出请求；删除之后提出的请求将不再予以考虑。 主协议终止后，在公司与托管客户之间，公司仍单独负责管理任何托管客户个人数据的删除、归还或迁移，这与主协议第 5.4 节（迁移协助）保持一致。

10. 审计权利

在遵守本第 10 节的前提下，处理者应根据请求向公司提供证明遵守本协议所必需的所有信息，并应允许且配合公司或公司委托的审计员对受约处理者处理公司个人数据的相关情况进行审计（包括检查）。 除发生个人数据泄露事件或根据监管机构的指示外，公司在每个日历年内行使本条项下审计权利的次数不得超过一次。 公司应至少提前六十（60）天向处理者发出书面的审计意向通知。 审计应在处理者的工作时间内进行，不得干扰处理者的运营，且应确保保护公司、处理者和其他数据主体的个人数据。 双方应事先就适用于审计的日期、范围、持续时间以及安全和保密控制措施达成一致；处理者可能会在审计前要求签署保密协议。 仅在本协议未另行赋予公司符合数据保护法相关要求的信息和审计权利的情况下，方享有本条规定的信息和审计权利。 如果托管客户请求获取有关 Proton 处理活动的信息，作为公司对该托管客户尽职调查义务的一部分，公司可依据本条从处理者处获取必要信息并将其转交，但托管客户本身对处理者不享有独立的审计权利。

11. 数据传输

在可能的最大范围内，处理者仅应将公司个人数据传输或授权传输至瑞士、欧盟境内的国家/地区和/或受充分性决定约束的国家/地区，具体如 GDPR 第 45 条和瑞士 FADP 第 16 条所规定。 如果根据本协议处理的公司个人数据从瑞士、欧盟或受充分性决定约束的国家/地区传输至该范围之外的国家/地区，双方应确保个人数据得到充分保护，且除非另有约定，应依赖于瑞士、欧盟和/或英国批准的且当时有效的标准合同条款，或数据保护法规定的其他传输机制。 在结合传输性质落实了充分保障措施的前提下，处理者有权向次级处理者执行此类传输。

12. 通用条款

12.1 遵守适用法律。 处理者将根据本协议以及适用于其在本协议下角色的数据保护法来处理公司个人数据。 处理者不负责遵守仅因公司或任何托管客户各自的业务或行业而适用的数据保护法。

12.2 保密。 任何一方均应对其收到的与本协议相关的关于另一方的任何信息予以保密，且未经另一方事先书面同意，不得使用或披露该信息，除非 (a) 法律要求披露，或 (b) 非因双方过错，该信息已进入公有领域。

12.3 通知。 本协议项下的通知应根据主协议的通知条款发出。 向处理者发出的有关数据保护事宜的通知还应抄送至 legal@proton.ch

12.4 责任。 各方因本协议引起或与本协议相关的责任均受主协议责任限制条款的约束并根据该条款设定上限，包括其中为违反保密和数据保护义务所规定的任何具体上限。 本协议中的任何内容均不限制任何一方因自身违反适用数据保护法而由主管监管机构直接对其处以的罚款或处罚的责任。 公司确认，作为面向其托管客户的唯一控制者方，对于公司对托管客户承担的超出公司在主协议责任上限范围内能够向处理者追偿的任何责任，公司单独承担责任。

12.5 适用法律和管辖权。 本协议受瑞士法律管辖，不考虑任何其他司法管辖区的法律选择或法律冲突条款，因本协议引起的或与本协议相关的争议均受瑞士日内瓦法院的专属管辖。

12.6 优先顺序。 如果本协议与主协议在个人数据处理方面存在差异，则以本协议为准，这与主协议第 10.1 节保持一致。 如果本协议的英文版本与任何翻译版本之间存在差异，应以英文版本为准。