資料處理協議

1. 範圍和適用範圍

如果資料保護法規（定義如下）有要求，且僅在 VoyraCloud 作為處理者代表您在向您提供任何 VoyraCloud 服務的過程中處理您的會員內容中包含的或與之相關的個人資料（ “資料”）的範圍內，本附錄才適用。

本附錄構成 VoyraCloud 條款和條件的一部分，或您與 VoyraCloud 之間關於您使用 VoyraCloud 服務的其他同等協議（ “協議”）。

此處未定義的大寫術語將具有協議中給出的含義。如果本協議的其他條款（包括其附錄）或您與 VoyraCloud 之間就資料達成的任何其他協議與本附錄存在衝突，則以本附錄為準。

2. 定義

在本附錄中：

“控制者”、“資料主體”、“流程”、“處理者” 和 “監管機構” 均具有 GDPR 中賦予的含義，或適用資料保護法規下的等效術語。

“資料保護法” 是指（如適用）：適用於您和/或 VoyraCloud 處理資料並對其具有約束力的所有法律和法規，包括但不限於（i）GDPR、（ii）根據英國 2018 年歐洲聯盟（退出）法案第 3 條保存到英國法律的 GDPR（“英國 GDPR”）、（iii）新加坡 2012 年個人資料保護法案（“PDPA”），以及在每種情況下與隱私和資料保護相關的任何相關國家法律、法規、規則或規定。為清楚起見，對資料保護法的引用包括對不時修訂、修改、擴展、重新頒布、合併或替換的資料保護法的引用。

“GDPR” 指第 2016/679 號 (EU) 條例。

“個人資料” 是指個人資料、個人資訊、個人身分資訊或其他同等術語（均參見資料保護法規中的定義）。

“受限轉移” 是指 (i) 在適用 GDPR 的情況下，將個人資料從歐洲經濟區轉移到歐洲經濟區以外的國家、地區或組織，且該轉移不受歐盟委員會的充分性認定；以及 (ii) 在適用英國 GDPR 的情況下，將個人資料從英國轉移到任何其他國家、地區或組織，且該轉移不基於《英國 2018 年資料保護法》第 17A 條規定的充分性規定。

“標準合約條款” 是指 (i) 如果資料受 GDPR 保護，則指歐洲委員會 2021 年 6 月 4 日第 2021/914/EU 號實施決定所附的標準合約條款，該決定涉及根據歐洲議會和理事會條例 (EU) 2016/679 將個人資料傳輸到第三國的標準合約條款 （“EU SCC”）； 以及 (ii) 如果資料受英國 GDPR 保護，則指資訊專員根據 2018 年資料保護法第 119A(1) 條發布的“歐盟委員會標準合約條款國際資料傳輸附錄” （“英國附錄”）。標準合約條款的副本可在https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc 取得，或透過voyracloud@gmail.com聯絡我們。

3. 處理描述

就本附錄而言，您（控制者或處理者）指定 VoyraCloud 作為您的處理者，在本協議有效期內處理資料，以便向您提供 VoyraCloud 服務並遵守適用法律（ “允許目的”）。

4. 資料處理

在根據本協議處理資料時，VoyraCloud 應在該資料由其占有或控制的範圍內：

(a) 僅根據您的書面指示處理資料，除非適用法律另有要求；

(b) 確保所有經 VoyraCloud 授權處理資料的人員都遵守適當的保密義務；

(c) 實施並維護適當的技術和組織安全措施（包括存取控制），或以其他方式作出合理的安全安排，旨在：(i) 保護 VoyraCloud 處理的資料免遭因 VoyraCloud 安全性遭到破壞而導致的未經授權或意外的存取、處理、清除、遺失或使用（ “安全事件”）；VoyraCloud 可能會不時變更這些措施，但不會將資料的保護級別降低到資料保護法規（如適用）所要求的強制性最低水準以下。如果發生確認的安全事件，在資料保護法規要求的範圍內：(1) VoyraCloud 應毫不拖延地通知您，並向您提供合理的資訊和合作，以便您能夠履行根據適用的資料保護法規（並按照其要求的時程）可能承擔的任何資料外洩通報義務； （2）VoyraCloud 應進一步採取任何合理必要的措施和合理必要的行動來補救或減輕安全事件的影響，並應隨時向您通報與安全事件有關的所有重大進展。安全事件應被視為包括適用資料保護法規定義的“個人資料外洩”或同等術語；

(d) 特此授予您一般授權，以聘請第三方分包商為許可目的處理資料，但前提是 VoyraCloud (i)（以您遵守下文第 5 條為前提）應對其任何分包商承擔全部責任；以及 (ii) 應對其指定處理任何資料的分包商施加資料保護條款，要求其至少按照適用資料保護法律或本附錄的規定（以保護性更強者為準）所要求的標準保護此類資料。您可以在 VoyraCloud 任命或更換此類分包商之前反對其任命或更換分包商，前提是此類反對是基於與資料保護相關的合理理由。在此情況下，VoyraCloud 將不會指定或更換相關分包商，或者，如果這不可能，您可以終止相關的 VoyraCloud 服務和本附錄（在適用於該 VoyraCloud 服務的範圍內），但您無權退還在該終止之前您為該 VoyraCloud 服務所產生的任何費用或成本，並且該 VoyraCloud 服務的終止不會影響向您提供的任何其他服務，以及與該其他服務有關的任何費用或成本；

(e) 協助您回應資料主體根據適用資料保護法規行使其對任何資料的權利的請求，透過向您提供技術措施，使您能夠在與 VoyraCloud 服務的功能和 VoyraCloud 作為處理者的角色一致的範圍內直接存取、更正、刪除、限制或匯出資料（並且您同意，考慮到處理的性質，本段反映了 VoyraCloud 向您提供此類協助的可能性）。如果資料主體、監管機構或任何其他方直接向 VoyraCloud 提出有關任何資料的請求、查詢或投訴，VoyraCloud 應立即通知您或通知該人他們應該與您聯絡；

(f) 如果 VoyraCloud 相信或意識到其對資料的處理可能會對資料主體的資料保護權利和自由造成高風險，則應立即通知您，並就任何資料保護影響評估和/或事先諮詢向您提供合理的配合（費用由您承擔），根據適用的資料保護法律，您可能需要在您使用 VoyraCloud 服務時進行此類評估和/或事先諮詢；

(g) 在您選擇的情況下，在協議終止後刪除或歸還 VoyraCloud 擁有或控制的所有資料，但 VoyraCloud 因刪除或歸還資料而產生的費用應由您承擔。如果適用法律要求或允許 VoyraCloud 保留部分或全部資料，或封存在備份系統上的資料，則此要求不適用，在這種情況下，VoyraCloud 應安全隔離並保護此類資料，以防止進一步處理，但以下情況除外：(i) 在該法律要求的範圍內，直至可以刪除；或 (ii) 此類資料不再包含個人資料；

(h) 由 VoyraCloud 選擇並承擔費用，做出合理的安全安排，以（適當的定期時間間隔）驗證其安全措施是否充分；以及

（i）不得實施或採取與資料保護法不一致的可能削弱資料保護的政策或行動。

如果您被授予稽核權（例如標準合約條款或適用的資料保護法律），則您同意透過指示 VoyraCloud 按照本條款所述執行稽核來行使您的稽核權。如果您希望變更此指示，則您有權透過書面請求或按照標準合約條款中的規定進行變更，標準合約條款中也應以書面形式請求變更（為清楚起見，上述任何內容均不要求 VoyraCloud 提供任何其他 VoyraCloud 客戶的任何資料、材料或資訊）。

為避免疑義，本文中的任何內容均不要求 VoyraCloud 揭露任何受到與揭露此類資訊有關的任何法律或職業行為規則所授予的任何權利、特權或豁免權，或義務（包括但不限於與 VoyraCloud 履行任何合約義務有關的義務）或限制所約束的資訊。

5. 您的責任

您同意：

(a) 遵守所有適用的資料保護法規所規定的與您有關的義務：(i) 使用 VoyraCloud 服務處理資料中包含的任何個人資料；(ii) 指定我們作為您的處理者，按照本附錄的規定處理資料；以及 (iii) 處理資料中包含的任何個人資料。

(b) 本附錄、協議、您與 VoyraCloud 簽訂的其他適用協議以及您對 VoyraCloud 服務的設定和使用將共同構成您向 VoyraCloud 發出的關於資料處理的完整和最終書面指示；以及

(c) 您不得向 VoyraCloud 作為您的處理者發出任何指示，亦不得以任何方式使用 VoyraCloud 服務，以致在任何該等情況下可能侵犯任何適用的資料保護法例或可能導致 VoyraCloud 或其任何關聯公司侵犯任何適用的資料保護法例。在不影響前述條款的一般性的前提下，您同意並承認，當您向 VoyraCloud 揭露個人資料時，您應：(i) 根據適用法律的要求，從相關資料主體處取得或促成所有必要的同意，以便處理此類資料主體的個人資料並將其揭露給 VoyraCloud，以供 VoyraCloud 為允許目的蒐集、使用和/或揭露（不影響 VoyraCloud 處理此類個人資料的任何其他合法依據），並且此類同意未被撤回；或者 (ii) 在適用法律不需要同意的範圍內，您已根據資料保護法規取得所有必要的法律依據，以便處理和向 VoyraCloud 揭露個人資料，以便 VoyraCloud 按照本附錄所述的允許目的處理個人資料。

(d) 您應對資料的正確性負責並確保其保持最新，並應處理資料主體提出的任何請求或投訴。

6. 國際轉移

6.1 您可以決定將資料儲存在何處（“選定區域”）。您同意將資料儲存在選定區域，並將資料傳輸到選定區域。如果資料的處理涉及在選定區域之外的傳輸，VoyraCloud 將採取作為處理者所必需的措施，以確保傳輸符合適用的資料保護法規。

6.2 如果您向 VoyraCloud 傳輸資料構成限制性傳輸，您同意，標準合約條款將被視為您（作為資料輸出方）與 VoyraCloud（作為資料輸入方）之間訂立（並透過引用納入本附錄），如下所示：

6.2.1 對於受 GDPR 保護的資料，歐盟 SCC 將適用如下規定：

(a) 如果您是該資料模組的控制者，則適用第二條規定；如果您是該資料模組的處理者，則適用第三條規定，在每種情況下，規定如下：

(i) 在第 7 條中，可選對接條款將適用（但任何加入歐盟 SCC 的新當事方均須遵守 VoyraCloud 的事先書面同意）；

(ii) 第 9 條中的選項 2 將適用，且分包商變更的提前通知時間段應按照本附錄第 4(d) 條中的規定執行。

（iii）第 11 條中的可選語言不適用；

(iv) 第 17 條中，選項 1 將適用，且歐盟 SCC 將受荷蘭法律管轄；

（v）第18（b）條中的爭議應由荷蘭法院解決；

(vi) 歐盟標準規範的附件一應視為包含本附錄和/或本附錄附錄一所列資訊的完整內容，附件一 C 部分規定的主管監督機構應根據歐盟標準規範第 13 條確定；

（vii）歐盟標準合約準則附件二應被視為包含本附錄第 4（c）條連結文件中列出的資訊；

（b）以下澄清適用於歐盟標準條款：

（i）您可以根據本附錄第 4（h）條的規定並依照其要求行使《歐盟標準條款》規定的稽核權；

(ii) VoyraCloud 可根據本附錄第 4(d) 條的規定並受其要求任命分包商，且您可以按照本附錄第 4(d) 條規定的方式行使您根據歐盟 SCC 拒絕分包商的權利；

（iii）第 4（g） 條適用於本協議終止時刪除或退還已轉移的資料；

(iv) 為避免疑義，鑑於 VoyraCloud 服務的性質，您對資料的準確性和您蒐集資料的合法性負全部責任，VoyraCloud 沒有義務檢查任何傳輸的資料的準確性；

(c) 您將按照當時的標準專業服務費率向 VoyraCloud 支付費用，並且還將向 VoyraCloud 償還其在處理您與任何已轉移資料有關的任何詢問和/或根據歐盟 SCC 向您提供您請求的任何協助中所合理產生的合理成本，包括但不限於通知或以其他方式協助您處理資料主體請求或對資料主體的回應，以及配合您刪除或更正任何已轉移資料。

6.2.2 對於受英國 GDPR 保護的資料，英國附錄將適用，如下所示：

（a）應適用按照上述第 6.2.1 條填寫的歐盟標準條款，並應根據英國附錄（按照下文第 (b) 條填寫）進行修改：以及

(b) 英國附錄的表 1 至表 3 應視為已完成，其中包含來自歐盟 SCC 的相關資訊，如上文所述，且表 4 中的“出口商”和“進口商”選項應視為已勾選。英國附錄的開始日期（如表 1 所述）應為本附錄的日期。

6.2.3. 對於屬於 GDPR 和英國 GDPR 範圍之外的司法管轄區的資料，如果此類司法管轄區允許使用歐盟 SCC（可能會進行修改以符合相應的資料保護法），則歐盟 SCC 下的規定應適用，並進行必要的修改以符合相關司法管轄區的相應資料保護法規。

6.2.4. 對於受 PDPA 保護的資料，VoyraCloud 將採取合理必要的措施，確保您的個人資料繼續獲得至少與 PDPA 規定的標準相當的保護。這可能包括與接收者簽訂書面協議，包括合約條款、具有約束力的公司規則和其他資料保護協議。

6.3 對於與分包商的進一步轉移，VoyraCloud 僅在完全符合資料保護法規的情況下參與此類資料進一步轉移（包括限制性轉移）。

6.4 如果本附錄的任何規定直接或間接與標準合約條款相抵觸，則以標準合約條款為準。

6.5 除本附錄另有明確規定外，您同意並承認，您有責任遵守以下方面的資料保護法規：(a) 您將資料從一個司法管轄區轉移到另一個司法管轄區；和/或 (b) 您指示 VoyraCloud（作為您的處理者）將資料從一個司法管轄區轉移到另一個司法管轄區。在不影響前述條款的一般性的前提下，您同意並承認，您不得指示我們或促使我們將任何個人資料轉移到任何國家或地區，除非根據資料保護法規對此類轉移規定的要求，包括但不限於與您根據資料保護法規可能要求的義務有關的義務，以確保對所轉移資料的保護標準與資料保護法規下的保護相當。

7. 其他

(a) 為明確起見，VoyraCloud 及其所有關聯公司、員工、代理人、附屬公司、代表或任何代表其行事的人員因本協議和/或本附錄和/或標準合約條款或由此產生的任何事項而產生的或與之相關的總累計責任不得超過 VoyraCloud 條款和條件第 11.6 條以下段落所限制的 VoyraCloud 的最高責任。

(b) VoyraCloud 可能會修改本附錄的條款，例如為了遵守資料保護法或實施資訊專員辦公室、歐洲委員會或監管機構或其他主管監管機構根據資料保護法採用的任何標準合約條款，但其修改方式不得將向您提供的保護降低到資料保護法（如適用）所要求的強制性最低限度以下。如果 VoyraCloud 修改本附錄的條款，則附錄將是 VoyraCloud 平台上的修訂和重述版本，並且 VoyraCloud 將至少提前 15 天向您提供對附錄的任何重大修訂的書面通知（可能在 VoyraCloud 平台上發布或顯示在您的 VoyraCloud 帳號中）。在收到 VoyraCloud 的此類變更書面通知後繼續使用相關產品或服務，即表示您同意受修訂和重述的附錄的約束。

附錄 1

A. 締約方名單

資料輸出者：

姓名：VoyraCloud 條款和條件中標識為“客戶”的實體。

地址：與客戶的 VoyraCloud 帳號關聯的客戶的地址或本資料處理附錄或 VoyraCloud 條款和條件中另行指定的地址。

聯絡人姓名、職務及聯絡方式：與客戶帳號相關的聯絡方式，或本資料處理附錄或 VoyraCloud 條款和條件中另有規定的聯絡方式。

根據本條款傳輸的資料相關的活動：本資料處理附錄第 3 和 4 節中指定的活動。

簽名和日期：您在註冊帳號時點擊“我同意”按鈕，即表示您在同一天確認、簽名並接受條款和條件以及本資料處理附錄。

角色（控制者/處理者）：控制者或處理者，如本資料處理附錄所述

資料匯入者：

姓名：“VoyraCloud” 如 VoyraCloud 條款和條件中所述。

地址：VoyraCloud 條款和條件中指定的 VoyraCloud 地址。

聯絡人姓名、職務及聯絡方式：附錄或 VoyraCloud 條款和條件中指定的 VoyraCloud 聯絡方式。

根據本條款傳輸的資料相關的活動：本資料處理附錄第 3 和 4 節中指定的活動。

簽名和日期：您在註冊帳號時點擊“我同意”按鈕，即表示您在同一天確認、簽名並接受條款和條件以及本資料處理附錄。

角色（控制者/處理者）：處理器

B. 轉讓描述

被轉移個人資料的資料主體類別：資料主體可能包括您的客戶、員工、供應商和最終使用者。

傳輸的個人資料類別：此處未定義的大寫術語將具有您在 VoyraCloud 的 VoyraCloud 條款和條件中給出的含義。個人資料包括可能包含在會員內容中或與會員內容相關的任何資訊、內容、材料和電子格式的資料。

敏感資料的傳輸（如果適用）以及充分考慮到資料性質和所涉及風險而採取的限制或保障措施，例如嚴格的目的限制、存取限制（包括只有經過專門訓練的員工才能存取）、保存資料存取記錄、限制後續傳輸或額外的安全措施：您可以自行選擇將特殊類別的個人資料上傳至您的 VoyraCloud 服務，其中可能包括（取決於您的選擇）揭示種族或民族血統、政治觀點、宗教或哲學信仰或工會會員資格的個人資料、基因資料、用於唯一識別自然人的生物特徵資料、有關健康的資料或有關自然人的性生活或性取向的資料，和/或與刑事定罪和犯罪或相關安全措施有關的個人資料。在上傳任何敏感資料之前，您有義務評估並確認 VoyraCloud 採取的技術和組織措施足以處理您選擇上傳的敏感資料。

傳輸的頻率（例如資料是一次性傳輸還是連續傳輸）：資料可能會偶爾或持續地被傳輸，僅用於向您提供 VoyraCloud 服務的目的以及本協議中另有規定。

處理性質：我們將為了向您提供 VoyraCloud 服務以及本協議另有規定的目的處理和傳輸個人資料。

資料傳輸和進一步處理的目的：我們將為了向您提供 VoyraCloud 服務以及本協議另有規定的目的處理和傳輸個人資料。

個人資料的保留期限（如果不可能，則確定該期限的標準）：資料將在協議有效期內被處理和傳輸。

對於向（子）處理器的轉移，還需指定處理的主題、性質和持續時間： 上述規定也適用於向子處理器的此類轉移。

C. 主管監督機構

主管監督機構： 就歐盟GDPR而言，主管監督機構應根據歐盟SCC第13條進行解釋；就英國GDPR而言，主管監督機構應為英國資訊專員辦公室。