标准合同条款

标准合同条款

第一部分

第 1 条

目的与范围

  1. 本标准合同条款的目的是确保在向第三国传输个人数据时，符合欧洲议会和理事会 2016 年 4 月 27 日关于在个人数据处理方面保护自然人及此类数据自由流动的第 (EU) 2016/679 号条例（《通用数据保护条例》）1 的要求。
  2. 各方：
    1. 附件 I.A. 中列出的传输个人数据的自然人或法人、公共当局、机构或其他团体（以下简称“实体”）（以下各称“数据出口方”），以及
    2. 附件 I.A. 中列出的在第三国从数据出口方直接或通过同样作为本条款当事方的另一实体间接接收个人数据的实体（以下各称“数据进口方”），
    已同意这些标准合同条款（以下简称“本条款”）。
  3. 本条款适用于附件 I.B. 中指定的个人数据传输。
  4. 本条款的附录包含其中提到的附件，构成本条款不可分割的一部分。

第 2 条

条款的效力与不可变更性

  1. 本条款根据第 (EU) 2016/679 号条例第 46(1) 条和第 46(2)(c) 条规定了适当的保护措施，包括可执行的数据主体权利和有效的法律救济；对于从控制者到处理者和/或从处理者到处理者的数据传输，本条款根据第 (EU) 2016/679 号条例第 28(7) 条规定了标准合同条款，前提是不得对其进行修改，但选择适当的模块或在附录中添加或更新信息除外。这并不妨碍各方将本条款中规定的标准合同条款纳入更广泛的合同中，和/或增加其他条款或额外的保护措施，前提是这些条款或措施不与本条款直接或间接冲突，也不损害数据主体的基本权利或自由。
  2. 本条款不影响数据出口方根据第 (EU) 2016/679 号条例所承担的义务。

1 如果数据出口方是受第 (EU) 2016/679 号条例约束的处理者，代表作为控制者的联盟机构或团体行事，那么在聘用不受第 (EU) 2016/679 号条例约束的另一处理者（分处理）时，依赖本条款还可确保符合欧洲议会和理事会 2018 年 10 月 23 日关于联盟机构、团体、办公室和机构在处理个人数据方面保护自然人及此类数据自由流动的第 (EU) 2018/1725 号条例第 29(4) 条的要求，并废除第 (EC) No 45/2001 号条例和第 1247/2002/EC 号决定（OJ L 295, 21.11.2018, p. 39），前提是本条款与根据第 (EU) 2018/1725 号条例第 29(3) 条在控制者与处理者之间的合同或其他法律文件中规定的数据保护义务保持一致。在控制者和处理者依赖决定 […] 中包含的标准合同条款的情况下，尤其如此。

第 3 条

第三方受益人

  1. 数据主体可以作为第三方受益人，针对数据出口方和/或数据进口方援引并执行本条款，但以下情况除外：
    1. 第 1 条、第 2 条、第 3 条、第 6 条、第 7 条；
    2. 模块二：第 8.1(b)、8.9(a)、(c)、(d) 和 (e) 条；
    3. 第 9 条 – 模块二：第 9(a)、(c)、(d) 和 (e) 条；
    4. 模块二：第 12(a)、(d) 和 (f) 条；
    5. 第 13 条；
    6. 第 15.1(c)、(d) 和 (e) 条；
    7. 第 16(e) 条；
    8. 第 18 条 – 模块二：第 18(a) 和 (b) 条。
  2. (a) 款不影响数据主体在第 (EU) 2016/679 号条例下的权利。

第 4 条

解释

  1. 如果本条款使用的术语在第 (EU) 2016/679 号条例中有定义，则这些术语的含义应与该条例中的含义相同。
  2. 本条款应根据第 (EU) 2016/679 号条例的规定进行阅读和解释。
  3. 对本条款的解释不得与第 (EU) 2016/679 号条例规定的权利和义务相冲突。

第 5 条

优先次序

如果本条款与各方之间在达成或签署本条款时已存在的或此后签署的相关协议的规定发生冲突，应以本条款为准。

第 6 条

传输说明

传输的详细信息，特别是传输的个人数据类别以及传输目的，在附件 I.B. 中指定。

第 7 条 – 可选

衔接条款

  1. 非本条款当事方的实体经各方同意，可通过填写附录并签署附件 I.A.，随时作为数据出口方或数据进口方加入本条款。
  2. 一旦填写完附录并签署了附件 I.A.，加入实体即成为本条款的一方，并根据其在附件 I.A. 中的身份承担数据出口方或数据进口方的权利和义务。
  3. 加入实体对于成为当事方之前的期间不享有本条款项下的任何权利，也不承担任何义务。

第二部分 – 各方义务

第 8 条

数据保护保障措施

数据出口方保证，其已尽合理努力确定数据进口方能够通过实施适当的技术和组织措施，履行其在本条款项下的义务。

模块二：控制者向处理者的传输

8.1 指示

  1. 数据进口方应仅根据数据出口方的书面指示处理个人数据。数据出口方可在合同有效期内随时发出此类指示。
  2. 如果数据进口方无法遵循这些指示，应立即通知数据出口方。

8.2 目的限制

数据进口方应仅为附件 I.B. 中规定的特定传输目的处理个人数据，除非得到数据出口方的进一步指示。

8.3 透明度

应要求，数据出口方应向数据主体免费提供本条款的副本，包括由各方填写的附录。在保护商业秘密或其他机密信息（包括附件 II 中描述的措施和个人数据）所需的范围内，数据出口方在分享副本前可以遮盖本条款附录的部分文本，但如果数据主体因此无法理解内容或行使其权利，则应提供有意义的摘要。应要求，各方应在不泄露被遮盖信息的前提下，尽可能向数据主体提供遮盖理由。本条不影响数据出口方在第 (EU) 2016/679 号条例第 13 条和第 14 条下的义务。

8.4 准确性

如果数据进口方意识到其接收的个人数据不准确或已过时，应毫不延误地通知数据出口方。在这种情况下，数据进口方应配合数据出口方删除或更正数据。

8.5 处理期限及数据的删除或退回

数据进口方的处理仅应在附件 I.B. 指定的期限内进行。在处理服务提供结束后，数据进口方应根据数据出口方的选择，删除代表数据出口方处理的所有个人数据并向其证明已执行，或向数据出口方退回代表其处理的所有个人数据并删除现有副本。在数据被删除或退回之前，数据进口方应继续确保符合本条款。如果适用于数据进口方的当地法律禁止退回或删除个人数据，数据进口方保证其将继续确保符合本条款，并仅在当地法律要求的范围内和期限内处理数据。这不影响第 14 条的规定，特别是数据进口方在第 14(e) 条下的要求，即在合同有效期内，如果其有理由相信其受到或已受到不符合第 14(a) 条要求的法律或惯例的约束，应通知数据出口方。

8.6 处理的安全性

  1. 数据进口方以及在传输过程中的数据出口方应实施适当的技术和组织措施，以确保数据的安全性，包括防止导致意外或非法破坏、丢失、更改、未经授权披露或访问该数据的安全漏洞（以下简称“个人数据泄露”）。在评估适当的安全级别时，各方应充分考虑技术现状、实施成本、处理的性质、范围、背景和目的，以及处理对数据主体涉及的风险。各方应特别考虑在可以通过该方式实现处理目的的情况下采用加密或去标识化（包括在传输过程中）。在去标识化的情况下，用于将个人数据归属于特定数据主体的附加信息应尽可能由数据出口方独家控制。在履行本段规定的义务时，数据进口方应至少实施附件 II 中指定的技术和组织措施。数据进口方应进行定期检查，以确保这些措施持续提供适当的安全级别。
  2. 数据进口方应仅在实施、管理和监控合同严格需要的范围内，向其人员授予访问个人数据的权限。其应确保获得授权处理个人数据的人员已承诺保密或承担适当的法定保密义务。
  3. 如果发生涉及数据进口方根据本条款处理的个人数据的泄露事件，数据进口方应采取适当措施处理泄露，包括减轻其不利影响的措施。数据进口方还应在获悉泄露后毫不延误地通知数据出口方。此类通知应包含可获取更多信息的联系点详情、泄露性质的描述（包括尽可能提供涉及的数据主体类别和大约数量以及个人数据记录）、可能产生的后果以及已采取或建议采取的处理泄露的措施，包括在适当情况下减轻其可能的不利影响的措施。如果无法同时提供所有信息，初始通知应包含当时可用的信息，随后应在获得进一步信息后毫不延误地提供。
  4. 数据进口方应配合并协助数据出口方，使其能够履行第 (EU) 2016/679 号条例下的义务，特别是通知主管监管机构和受影响的数据主体，同时考虑到处理的性质和数据进口方可获得的信息。

8.7 敏感数据

如果传输涉及揭示种族或民族血统、政治观点、宗教或哲学信仰或工会成员身份的个人数据，遗传数据，或旨在唯一识别自然人的生物识别数据，关于健康或个人性生活或性取向的数据，或与刑事定罪和犯罪有关的数据（以下简称“敏感数据”），数据进口方应执行附件 I.B. 中描述的特定限制和/或额外保障措施。

8.8 转后续传输

数据进口方仅应根据数据出口方的书面指示向第三方披露个人数据。此外，仅当第三方受本条款（在适当模块下）约束或同意受其约束，或者在以下情况下，才可将数据披露给位于欧盟以外2（与数据进口方在同一国家或在另一个第三国，以下简称“转后续传输”）的第三方：

  1. 转后续传输的目的地国家受益于根据第 (EU) 2016/679 号条例第 45 条作出的涵盖该转后续传输的充分性认定；
  2. 第三方就相关处理根据第 (EU) 2016/679 号条例第 46 条或第 47 条确保了适当的保障措施；
  3. 转后续传输对于在特定行政、监管或司法程序中确立、行使或辩护法律主张是必要的；或者
  4. 转后续传输对于保护数据主体或另一自然人的切身利益是必要的。

任何转后续传输均须符合数据进口方在本条款下的所有其他保障措施，特别是目的限制。

2 《欧洲经济区协定》（EEA 协定）规定将欧盟内部市场扩展至冰岛、列支敦士登和挪威这三个 EEA 国家。联盟数据保护立法（包括第 (EU) 2016/679 号条例）受 EEA 协定涵盖，并已纳入其附件 XI。因此，数据进口方向位于 EEA 的第三方进行的任何披露不属于本条款目的下的转后续传输。

8.9 记录与合规

  1. 数据进口方应及时、妥善地处理数据出口方提出的与本条款项下处理相关的查询。
  2. 各方应能够证明符合本条款。特别是，数据进口方应保留有关代表数据出口方开展的处理活动的适当记录。
  3. 数据进口方应向数据出口方提供证明符合本条款规定之义务所需的所有信息，并应数据出口方的要求，允许并配合对本条款涵盖的处理活动进行审计，审计应以合理的间隔进行，或者在有迹象表明不合规时进行。在决定审查或审计时，数据出口方可以考虑数据进口方持有的相关认证。
  4. 数据出口方可以自行选择进行审计或委托独立审计师。审计可以包括对数据进口方场所或物理设施的检查，并应在适当情况下提前发出合理通知。
  5. 各方应根据要求向主管监管机构提供 (b) 段和 (c) 段中提到的信息，包括任何审计结果。

第 9 条

分处理者的使用

模块二：控制者向处理者的传输

  1. 数据进口方已获得数据出口方的通用授权，可聘用约定名单中的分处理者。数据进口方应至少提前 10 个工作日将任何拟议的名单变更（通过增加或更换分处理者）以书面形式明确通知数据出口方，从而使数据出口方有足够的时间在聘用分处理者之前对此类变更提出异议。数据进口方应向数据出口方提供必要的信息，使数据出口方能够行使其异议权。
  2. 如果数据进口方聘用分处理者开展特定处理活动（代表数据出口方），应通过书面合同进行，该合同实质上规定了与本条款下约束数据进口方的相同数据保护义务，包括数据主体的第三方受益权。3 各方同意，通过遵守本条，数据进口方履行了其在第 8.8 条下的义务。数据进口方应确保分处理者遵守数据进口方根据本条款承担的义务。
  3. 数据进口方应根据数据出口方的要求，向其提供此类分处理者协议及其后续修订的副本。在保护商业秘密或其他机密信息（包括个人数据）所需的范围内，数据进口方在分享副本前可以遮盖协议文本。
  4. 数据进口方应对分处理者履行其与数据进口方合同项下义务的情况向数据出口方承担全部责任。数据进口方应将分处理者未能履行该合同项下义务的情况通知数据出口方。
  5. 数据进口方应与分处理者约定第三方受益人条款，规定在数据进口方事实上消失、法律上不复存在或资不抵债的情况下，数据出口方有权终止分处理者合同并指示分处理者删除或退回个人数据。

3 这一要求可以通过分处理者根据第 7 条在适当模块下加入本条款来实现。

第 10 条

数据主体权利

模块二：控制者向处理者的传输

  1. 数据进口方应及时将收到的任何来自数据主体的请求通知数据出口方。除非获得数据出口方的授权，否则其不得自行回应此类请求。
  2. 数据进口方应协助数据出口方履行其回应数据主体行使第 (EU) 2016/679 号条例项下权利之请求的义务。在这方面，各方应在附件 II 中规定适当的技术和组织措施（考虑到处理的性质），通过这些措施提供协助，并规定所需协助的范围和程度。
  3. 在履行 (a) 段和 (b) 段规定的义务时，数据进口方应遵守数据出口方的指示。

第 11 条

救济

  1. 数据进口方应通过个人通知或在其网站上，以透明且易于访问的形式告知数据主体有权处理投诉的联系点。其应及时处理收到的任何来自数据主体的投诉。

模块二：控制者向处理者的传输

  1. 如果数据主体与其中一方就遵守本条款发生争议，该方应尽最大努力及时友好地解决问题。各方应相互通报此类争议，并在适当情况下配合解决。
  2. 如果数据主体根据第 3 条行使第三方受益权，数据进口方应接受数据主体的以下决定：
    1. 向其经常居住地或工作地所在成员国的监管机构，或根据第 13 条规定的主管监管机构提出投诉；
    2. 将争议提交至第 18 条含义内的有管辖权的法院。
  3. 各方接受数据主体可由符合第 (EU) 2016/679 号条例第 80(1) 条规定条件的非营利机构、组织或协会代表。
  4. 数据进口方应遵守根据适用的欧盟或成员国法律具有约束力的决定。
  5. 数据进口方同意，数据主体的选择不会损害其根据适用法律寻求救济的实体权利和程序权利。

第 12 条

责任

模块二：控制者向处理者的传输

  1. 每一方均应对因违反本条款而给另一方造成的任何损害向另一方承担责任。
  2. 数据进口方应对数据主体承担责任，且数据主体有权就数据进口方或其分处理者因违反本条款项下的第三方受益权而给数据主体造成的任何财产或非财产损害获得赔偿。
  3. 尽管有 (b) 段的规定，数据出口方仍应对数据主体承担责任，且数据主体有权就数据出口方或数据进口方（或其分处理者）因违反本条款项下的第三方受益权而给数据主体造成的任何财产或非财产损害获得赔偿。这不影响数据出口方的责任，以及在数据出口方是代表控制者行事之处理者的情况下，控制者根据第 (EU) 2016/679 号条例或第 (EU) 2018/1725 号条例（视情况而定）所承担的责任。
  4. 各方同意，如果数据出口方根据 (c) 段对数据进口方（或其分处理者）造成的损害承担责任，其有权向数据进口方追回与数据进口方对损害所负责任相对应的部分赔偿。
  5. 如果因违反本条款而对数据主体造成的任何损害由多个当事方负责，所有责任方应承担连带责任，且数据主体有权对其中任何一方提起诉讼。
  6. 各方同意，如果一方根据 (e) 段承担责任，其有权向另一方追回与其责任相对应的部分赔偿。
  7. 数据进口方不得援引分处理者的行为来规避其自身的责任。

第 13 条

监督

模块二：控制者向处理者的传输

  1. 如果数据出口方设立在欧盟成员国： 负责确保数据出口方在数据传输方面遵守第 (EU) 2016/679 号条例的监管机构（如附件 I.C. 所示）应担任主管监管机构。

    如果数据出口方未设立在欧盟成员国，但根据第 (EU) 2016/679 号条例第 3(2) 条属于该条例的领土适用范围，并已根据第 (EU) 2016/679 号条例第 27(1) 条指定了代表： 第 (EU) 2016/679 号条例第 27(1) 条含义内的代表所设立的成员国的监管机构（如附件 I.C. 所示）应担任主管监管机构。

    如果数据出口方未设立在欧盟成员国，但根据第 (EU) 2016/679 号条例第 3(2) 条属于该条例的领土适用范围，但无需根据第 (EU) 2016/679 号条例第 27(2) 条指定代表： 数据主体所在的其中一个成员国的监管机构（如附件 I.C. 所示）应担任主管监管机构，前提是根据本条款传输的个人数据与向其提供商品或服务有关，或者其行为受到监控。

  2. 数据进口方同意服从主管监管机构的管辖，并在旨在确保符合本条款的任何程序中与其配合。特别是，数据进口方同意回应查询、接受审计并遵守监管机构采取的措施，包括补救和补偿措施。其应向监管机构提供已采取必要行动的书面确认。

第三部分 – 发生公共当局访问时的当地法律与义务

第 14 条

影响遵守条款的当地法律与惯例

模块二：控制者向处理者的传输

  1. 各方保证，其没有理由相信目的地第三国适用于数据进口方处理个人数据的法律和惯例（包括任何披露个人数据的要求或授权公共当局访问的措施）会妨碍数据进口方履行其在本条款项下的义务。这是基于以下理解：尊重基本权利和自由的本质，且不超过民主社会中为保障第 (EU) 2016/679 号条例第 23(1) 条所列目标之一所必需且成比例的法律和惯例，与本条款并不冲突。
  2. 各方声明，在提供 (a) 段所述的保证时，其已特别考虑到以下要素：
    1. 传输的具体情况，包括处理链的长度、涉及的行为者数量和使用的传输渠道；预期的转后续传输；接收者的类型；处理的目的；传输的个人数据的类别和格式；发生传输的经济部门；传输数据的存储位置；
    2. 目的地第三国的法律和惯例——包括要求向公共当局披露数据或授权此类当局访问数据的法律和惯例——根据传输的具体情况以及适用的限制和保障措施4 具有相关性；
    3. 为补充本条款下的保障措施而实施的任何相关合同、技术或组织保障措施，包括在传输过程中以及在目的地国家处理个人数据时采取的措施。
  3. 数据进口方保证，在进行 (b) 段所述的评估时，其已尽最大努力向数据出口方提供相关信息，并同意将继续与数据出口方配合以确保符合本条款。
  4. 各方同意记录 (b) 段所述的评估，并根据要求提供给主管监管机构。
  5. 数据进口方同意，在同意本条款后及合同有效期内，如果其有理由相信其受到或已受到不符合 (a) 段要求的法律或惯例的约束，应立即通知数据出口方，包括在第三国法律发生变更或采取某项措施（如披露请求）表明此类法律在实践中的应用不符合 (a) 段要求之后。
  6. 在根据 (e) 段发出通知后，或者如果数据出口方有其他理由相信数据进口方无法再履行其在本条款项下的义务，数据出口方应立即确定由数据出口方和/或数据进口方采取适当措施（例如确保安全和机密性的技术或组织措施）来处理该情况。如果数据出口方认为无法确保此类传输的适当保障措施，或者如果主管监管机构指示这样做，数据出口方应暂停数据传输。在这种情况下，数据出口方有权终止合同，只要涉及本条款项下的个人数据处理。如果合同涉及两个以上的当事方，除非各方另有约定，否则数据出口方仅可针对相关方行使此终止权。如果合同根据本条终止，应适用第 16(d) 条和 (e) 条。

4 关于此类法律和惯例对遵守本条款的影响，可以将不同要素作为整体评估的一部分。此类要素可能包括与之前公共当局提出的披露请求相关的、有记录的实际经验，或者在足够代表性的时间范围内没有此类请求。这特别是指根据尽职调查持续编制并经高级管理层认证的内部记录或其他文件，前提是这些信息可以合法地与第三方共享。如果依赖这些实际经验得出数据进口方不会被妨碍遵守本条款的结论，则需要其他相关的客观要素支持，且各方需要仔细考虑这些要素在可靠性和代表性方面是否具有足够的权重来支持这一结论。特别是，各方必须考虑其实际经验是否得到关于同一行业内是否存在请求和/或法律在实践中应用（如判例法和独立监督机构的报告）的公开可用或以其他方式可获得的可靠信息的证实，且不与之冲突。

第 15 条

发生公共当局访问时数据进口方的义务

模块二：控制者向处理者的传输

15.1 通知

  1. 数据进口方同意在以下情况下立即通知数据出口方，并在可能的情况下立即通知数据主体（如有必要，在数据出口方的帮助下）：
    1. 收到目的地国家法律规定的公共当局（包括司法当局）提出的具有法律约束力的披露根据本条款传输的个人数据的请求；此类通知应包括有关所请求的个人数据、请求当局、请求的法律依据以及所提供回应的信息；或者
    2. 获悉公共当局根据目的地国家法律直接访问根据本条款传输的个人数据；此类通知应包括进口方可获得的所有信息。
  2. 如果目的地国家法律禁止数据进口方通知数据出口方和/或数据主体，数据进口方同意尽最大努力争取豁免该禁令，以便尽快传达尽可能多的信息。数据进口方同意记录其所做的最大努力，以便能够根据数据出口方的要求进行证明。
  3. 在目的地国家法律允许的情况下，数据进口方同意在合同有效期内定期向数据出口方提供尽可能多的关于所收到请求的相关信息（特别是请求数量、所请求的数据类型、请求当局、请求是否受到质疑以及此类质疑的结果等）。
  4. 数据进口方同意在合同有效期内保留根据 (a) 段至 (c) 段的信息，并根据要求提供给主管监管机构。
  5. (a) 段至 (c) 段不影响数据进口方根据第 14(e) 条和第 16 条在无法遵守本条款时立即通知数据出口方的义务。

15.2 合法性审查与数据最小化

  1. 数据进口方同意审查披露请求的合法性，特别是其是否仍在授予请求公共当局的权限范围内，并且如果经过仔细评估后认为有合理理由相信该请求根据目的地国家法律、国际法下的适用义务和国际礼让原则是非法的，则对该请求提出质疑。数据进口方应在相同条件下寻求上诉的可能性。在质疑请求时，数据进口方应寻求临时措施，以暂停请求的效力，直到主管司法当局对其案情作出裁决。在适用的程序规则要求披露之前，其不得披露所请求的个人数据。这些要求不影响数据进口方在第 14(e) 条下的义务。
  2. 数据进口方同意记录其法律评估以及对披露请求的任何质疑，并在目的地国家法律允许的范围内，将记录提供给数据出口方。其还应根据要求将其提供给主管监管机构。
  3. 数据进口方同意在回应披露请求时，基于对请求的合理理解，提供法律允许的最小量信息。

第四部分 – 最后条款

第 16 条

不遵守条款与终止

  1. 如果数据导入方因任何原因无法遵守这些条款，应立即通知数据导出方。
  2. 如果数据导入方违反这些条款或无法遵守这些条款，数据导出方应暂停向数据导入方传输个人数据，直到再次确保合规或合同终止。这不影响第 14(f) 条的规定。
  3. 在涉及根据这些条款处理个人数据的情况下，数据导出方有权在以下情形下终止合同：
    1. 数据导出方已根据第 (b) 段暂停向数据导入方传输个人数据，且在合理时间内（无论如何不得超过暂停后的一个月内）未恢复对这些条款的遵守；
    2. 数据导入方严重或持续违反这些条款；或
    3. 数据导入方未能遵守主管法院或监管机构就其在这些条款下的义务所作出的具有约束力的决定。
    在这些情况下，应将此类违规情况通知主管监管机构。如果合同涉及两方以上，除非各方另有约定，否则数据导出方仅可针对相关方行使此终止权。
  4. 对于模块二： 在根据第 (c) 段终止合同之前已传输的个人数据，应根据数据导出方的选择，立即退还给数据导出方或全部删除。这同样适用于数据的任何副本。

    数据导入方应向数据导出方证明已删除数据。在数据被删除或退还之前，数据导入方应继续确保遵守这些条款。如果适用于数据导入方的当地法律禁止退还或删除传输的个人数据，数据导入方保证其将继续确保遵守这些条款，并且仅在当地法律要求的范围和期限内处理数据。

  5. 在以下情况下，任何一方均可撤销其受这些条款约束的协议：(i) 欧盟委员会根据第 (2016/679) 号条例 (EU) 第 45(3) 条作出涵盖这些条款所适用的个人数据传输的决定；或 (ii) 第 (2016/679) 号条例 (EU) 成为个人数据传输目的国法律框架的一部分。这不影响根据第 (2016/679) 号条例 (EU) 适用于相关处理的其他义务。

第 17 条

适用法律

模块二：控制者向处理者的传输

这些条款应受欧盟成员国之一的法律管辖，前提是该法律允许第三方受益人权利。双方同意该法律应为西班牙法律。

第 18 条

论坛选择与管辖权

模块二：控制者向处理者的传输

  1. 由这些条款引起的任何争议应由欧盟成员国的法院解决。
  2. 双方同意这些法院应为西班牙法院。
  3. 数据主体也可以在其惯常居住地成员国的法院对数据导出方和/或数据导入方提起法律诉讼。
  4. 双方同意服从该等法院的管辖。

附录

附件 I

模块二：控制者向处理者的传输

A. 当事方名单

数据导出方： 数据导出方是与数据导入方签订服务协议的数据控制者。数据导出方的身份和联系详情详见作为这些条款约束部分的服务协议。

数据导入方：

名称：PEGASUS BUSINESS INTELLIGENCE LLP
地址：Two Lincoln Centre
5420 LBJ Freeway, Suite 900
Dallas, TX 75240
United States

数据导入方是位于美国的酒店业 B2B 支付和商业智能解决方案的全球领先供应商，数据导入方的联系详情详见作为这些条款约束部分的服务协议。

B. 传输说明

模块二：控制者向处理者的传输

其个人数据被传输的数据主体类别

酒店客人及数据导出方的联系人员。

传输的个人数据类别

酒店客人的姓名、姓氏和预订数据。

数据导出方联系人员的联系数据（电子邮件地址、电话号码）。

传输的敏感数据（如适用）以及充分考虑数据性质和所涉风险而采取的限制或保障措施，例如严格的目的限制、访问限制（包括仅限接受过专门培训的人员访问）、保留数据访问记录、对后续传输的限制或额外的安全措施。

传输频率（例如，数据是单次传输还是持续传输）。

数据是持续传输的。

处理性质、数据传输目的及进一步处理

在数据处理者为其客户开展活动的背景下，由于访问对于提供合同服务是必要的，因此其可能会访问某些个人数据。

服务范围在数据导入方与数据导出方签署的服务协议中规定，个人数据将由数据导入方作为数据处理者进行处理，以交付这些服务并遵守服务协议及这些条款的规定。

个人数据的保留期限，或者如果无法确定，则为确定该期限的标准

在与处理相关的相关服务提供结束后，或者如果更早，一旦数据处理者不再需要处理任何个人数据以履行数据控制者与数据处理者签署的服务协议下的各方义务，个人数据将根据数据导出方的书面要求予以删除或退还，并安全删除现有副本。

对于向（子）处理者的传输，还需指明处理的主题、性质和期限

对于用于在意大利和印度开具发票的数据，数据处理者与 Sovos 互动，以确保满足所有当地监管要求。

Flexential 提供数据中心平台，为非云端基础设施一部分的 Onyx 服务提供托管灾难恢复服务。美国业务和数据中心完全由 Flexential 运营，而位于欧盟的数据中心设施由 Equinix 运营。

Amazon Web Services (AWS) 是 Onyx 在私有云环境 (VPC) 中提供的云服务的首选平台。Microsoft Azure 也提供云服务，但仅限于 InvoicePro 服务。

针对上述主题、性质和期限。

C. 主管监管机构

模块二：控制者向处理者的传输

根据第 13 条确定主管监管机构

西班牙数据保护局

附件 II – 技术和组织措施，包括确保数据安全的技术和组织措施

处理区域的访问控制

数据导入方实施适当措施，防止未经授权的人员访问处理或使用个人数据的数据处理设备（网络设备、服务器及相关硬件），包括：

  • 建立安全区域；
  • 保护和限制访问路径；
  • 为员工和第三方建立访问授权，包括相应的文档记录；
  • 对托管个人数据的数据中心的所有访问进行记录、监控和跟踪；以及
  • 托管个人数据的数据中心由安全报警系统和其他适当的安全措施保护

数据处理系统的访问控制

  • 数据导入方实施适当措施，防止其数据处理系统被未经授权的人员使用，包括：
  • 使用适当的加密技术；
  • 向数据导入方/子处理者和处理系统识别终端和/或终端用户；
  • 如果用户终端处于闲置状态，自动临时锁定，重新打开需要身份识别和密码；
  • 输入多次错误密码时自动临时锁定用户 ID、事件日志文件、监控入侵企图（警报）。

数据处理系统特定区域的使用访问控制

数据导入方/子处理者承诺，有权使用其数据处理系统的人员只能在其各自访问许可（授权）的范围和程度内访问数据，并且未经授权不得读取、复制、修改或删除个人数据。这应通过各种措施实现，包括：

  • 关于每位员工对个人数据访问权限的员工政策和培训；
  • 对删除、添加或修改个人数据的个人的监控能力；
  • 仅向授权人员发布数据，包括分配差异化的访问权限和角色；以及
  • 使用适当的加密技术；以及文件控制、受控且有记录的数据销毁

可用性控制

数据导入方实施适当措施，确保个人数据免受意外毁损或丢失，包括：

  • 基础设施冗余；以及
  • 备份存储在备用站点，并在主系统发生故障时可用于恢复；
  • 用于全服务故障转移的主站点和备用站点。

传输控制

数据导入方实施适当措施，防止个人数据在传输过程中或在数据介质运输过程中被未经授权的各方读取、复制、更改或删除。这通过各种措施实现，包括：

  • 使用适当的防火墙、VPN 和加密技术来保护数据传输的网关和管道；以及
  • 尽可能对所有数据传输进行记录、监控和跟踪。

子处理者、供应商评估

数据导入方对所有子处理者和供应商进行评估，以确保所有个人数据均根据数据导入方的安全政策得到保护，并符合数据导入方的信息安全计划，包括：

  • 确定风险的年度供应商评估；以及
  • 包括认证在内的数据保护措施。

1. 数据中心和网络安全

(a) 数据中心

  • 托管 (Colo)：数据导入方使用第三方托管数据中心设施，托管服务提供安全的物理服务器机房和网络连接，以及冗余的电源和冷却资源以保护基础设施。
  • 基础设施：数据导入方维护地理分布的数据中心。数据导入方将所有生产数据存储在物理安全的数据中心中。
  • 冗余：基础设施系统的设计旨在消除单点故障，并最大限度地减少预期环境风险的影响。双电路、交换机、网络或其他必要设备有助于提供这种冗余。服务旨在允许数据导入方在不中断的情况下执行某些类型的预防性和纠正性维护。所有环境设备和设施都有记录在案的预防性维护程序，详细说明了根据制造商或内部规范执行的过程和频率。
  • 电源：数据中心电力系统的设计具有冗余性，且可在不影响连续运行的情况下进行维护，每周 7 天、每天 24 小时运行。在大多数情况下，为数据中心的关键基础设施组件提供主电源和备用电源，每种电源具有相同的容量。备份电源由各种机制提供，例如不间断电源 (UPS) 电池，可在公用事业电压不足、停电、过压、欠压和频率超差情况下提供始终可靠的电源保护。如果公用事业电源中断，备份电源旨在为数据中心提供全容量的过渡电源，直到柴油发电机系统接管。柴油发电机能够在几秒钟内自动启动，提供足够的应急电力，使数据中心全容量运行，通常可持续数天。
  • 业务连续性：数据导入方在多个系统上复制数据，以帮助防止意外毁损或丢失。数据导入方设计并定期规划和测试其业务连续性计划/灾难恢复程序。

(b) 网络和传输

  • 数据传输：数据中心通常通过高速专用链路连接，以在数据中心之间提供安全快速的数据传输。这旨在防止数据在电子传输或运输过程中未经授权被读取、复制、更改或删除。办公地点和数据中心之间的专用链路使用 SD-WAN 提供。数据导入方通过互联网标准协议传输数据。
  • 外部攻击面：数据导入方采用多层网络设备和入侵检测来保护其外部攻击面。数据导入方考虑潜在的攻击向量，并将适当的专用技术整合到面向外部的系统中。
  • 入侵检测：入侵检测旨在提供对持续攻击活动的洞察，并提供足够的信息来响应事件。数据导入方的入侵检测涉及通过预防措施严格控制数据导入方攻击面的规模和构成，并在数据入口点采用智能检测控制。
  • 事件响应：数据导入方监控各种沟通渠道以发现安全事件，数据导入方的安全人员将对已知事件迅速做出反应。
  • 加密技术：数据导入方提供 HTTPS 加密（也称为 TLS 连接）用于传输中数据的加密，并根据需要使用和配置行业最佳实践配置（密码）和协议。使用 FTP 传输数据时，使用安全通道（SFTP 或 FTPS）
  • 应用安全：数据导入方根据开放式 Web 应用程序安全项目 (OWASP) 和微软安全开发生命周期 (SDL) 开发并实施了安全开发计划。完成后，将对敏感产品开发进行测试，以确保应用安全得到彻底且妥善的处理
  • 通过渗透测试进行漏洞监控：数据导入方每年至少执行两次信息安全渗透测试，由获得认可且完全独立的信息安全公司进行。数据导入方每月至少使用第三方工具执行一次漏洞评估扫描，并在生产环境发生任何重大基础设施变更后执行扫描

2. 访问和现场控制

(a) 现场控制

  • 现场数据中心安全运营：数据导入方的数据中心维持现场安全运营，每周 7 天、每天 24 小时负责所有物理数据中心安全职能。现场安全运营人员监控闭路电视 (CCTV) 摄像机和所有报警系统。现场安全运营人员定期对数据中心进行内部和外部巡逻。
  • 数据中心访问程序：数据导入方维护正式的访问程序，以允许物理访问数据中心。数据中心位于需要电子卡钥匙访问的设施中，并配有与现场安全运营相关的警报。所有进入数据中心的人员都必须表明身份，并向现场安全运营人员出示身份证明。仅允许授权员工、承包商和访客进入数据中心。仅允许授权员工和承包商申请这些设施的电子卡钥匙访问权限。数据中心电子卡钥匙访问请求必须通过电子邮件提出，并需要数据中心经理的批准。所有其他需要临时访问数据中心的人员必须：(i) 事前获得数据中心经理对他们希望访问的特定数据中心和内部区域的批准；(ii) 在现场安全运营处签到；以及 (iii) 参考已批准的数据中心访问记录，证明该个人已获批准。
  • 现场数据中心安全设备：数据导入方的数据中心采用与系统警报相连的电子卡钥匙和生物识别访问控制系统。访问控制系统监控并记录每个人的电子卡钥匙以及他们何时访问周边门、收发货处和其他关键区域。未经授权的活动和失败的访问尝试由访问控制系统记录，并视情况进行调查。整个业务运营和数据中心的授权访问根据区域和个人的工作职责受到限制。数据中心的防火门配有警报。数据中心内外均设有闭路电视摄像机。摄像机的定位旨在覆盖战略区域，包括周边、数据中心大楼的门以及收发货处等。现场安全运营人员管理闭路电视监控、记录和控制设备。遍布数据中心的安全电缆连接闭路电视设备。摄像机通过数字视频录像机每周 7 天、每天 24 小时在现场记录。监控记录根据活动和合规要求至少保留 30 天。

(b) 访问控制

  • 基础设施安全人员：数据导入方为其人员制定并维护安全政策，并要求将安全培训作为其人员培训包的一部分。数据导入方的基础设施和安全人员负责对数据导入方的安全基础设施进行持续监控、审查服务并响应安全事件。
  • 访问控制和权限管理：数据导出方的管理员必须通过中央身份验证系统或通过单点登录系统进行身份验证，以便管理服务。
  • 内部数据访问流程和政策：数据导入方的内部数据访问流程和政策旨在防止未经授权的人员和/或系统访问用于处理个人数据的系统。数据导入方将其系统设计为：(i) 仅允许授权人员访问其获准访问的数据；以及 (ii) 确保在处理、使用和记录后，个人数据在未经授权的情况下不能被读取、复制、更改或删除。系统旨在检测任何不当访问。数据导入方采用集中式访问管理系统来控制人员对生产服务器的访问，并且仅向有限数量的授权人员提供访问权限。Active Directory、LDAP 和 Kerberos 旨在为数据导入方提供安全且灵活的访问机制。这些机制旨在仅向站点主机、日志、数据和配置信息授予经批准的访问权限。数据导入方要求使用唯一的用户 ID、强密码和适当的双因素身份验证，以最大限度地减少未经授权使用账户的可能性。访问权限的授予或修改基于授权人员的工作职责、执行授权任务所需的工作职责要求以及知情需要原则。访问权限的授予或修改还必须符合数据导入方的内部数据访问政策和培训。批准由工作流工具管理，这些工具维护所有更改的审计记录。对系统的访问会被记录，以创建用于问责的审计追踪。在使用密码进行身份验证（例如登录工作站）的情况下，将实施至少遵循行业标准实践的密码政策。这些标准包括对密码重复使用的限制和足够的密码强度。

3. 数据存储与处置

(a) 数据存储

数据导入方将数据存储在数据导入方管理/私有服务器上的多租户环境中。数据和文件系统架构在多个地理分布的数据中心之间进行复制。数据导入方对所有静态数据进行加密，数据导入方还对数据导出方的数据进行逻辑隔离，数据导出方将被授予对特定数据共享政策的控制权。

(b) 数据处置

包含数据的磁盘可能会遇到性能问题、错误或硬件故障，导致其退役。每个退役磁盘在离开数据导入方场所进行重复使用或销毁之前，都要经过一系列数据销毁过程。退役磁盘通过多步过程进行擦除并验证完成。擦除结果按退役磁盘的序列号记录以进行跟踪。

4. 人员安全

数据导入方人员必须以符合公司关于保密、商业道德、适当使用和专业标准的准则的方式行事。数据导入方在法律允许的范围内，并根据适用的当地劳动法和法定法规，进行合理适当的背景调查。

人员必须签署保密协议，并必须确认收到并遵守数据导入方的安全和隐私政策。为人员提供安全培训。处理客户数据的人员必须完成与其角色相符的额外要求。数据导入方的人员未经授权不得处理客户数据。

5. 子处理者安全

在引入子处理者之前，数据导入方会对子处理者的安全和隐私实践进行审计，以确保子处理者提供与其数据访问权限和所受聘提供服务范围相适应的安全和隐私水平。

附件 III – 子处理者名单

Sovos: Sovos 正在支持向意大利和印度开具 Onyx InvoicePro CTC 流程发票。

Kurt D. Ring
全球联盟经理 | Sovos Compliance
办公电话：978.527.1276 | 手机：617.877.2115
200 Ballardvale Street, Building 1, 4th Floor, Wilmington MA 01887

Flexential: Flexential 提供数据中心平台，提供托管灾难恢复服务。

Derek Sieburg | 高级客户成功经理 | Flexential
办公电话：720.354.3758|[email protected]|www.flexential.com [email protected]
收件人：隐私与安全官，Flexential Corp., 8809 Lenox Pointe Drive, Suite G, Charlotte, NC 28273
https://www.flexential.com/flexential-gdpr-policy-statement

Equinix: Equinix 为 Flexential 提供的欧盟境内服务提供数据中心设施和基础设施

[email protected] +1.866.977.3749
https://www.equinix.nl/about/legal/privacy

Amazon Web Services (AWS): AWS 是 Onyx 提供云服务的首选平台。有关更多详情，请参阅已纳入 AWS 服务条款的 AWS GDPR DPA

https://aws.amazon.com/privacy/

Microsoft Azure: Azure 为托管 Onyx InvoicePro 前端提供云服务。请参阅《微软在线服务数据保护增补案》以了解更多信息。

Microsoft Corporation
收件人：首席隐私官
1 Microsoft Way
Redmond, WA 98052 USA

欧盟委员会标准合同条款的国际数据传输增补案

第 1 部分：表格

表 1：当事方

开始日期 数据处理增补案的生效日期
当事方 导出方（发送受限传输的一方） 导入方（接收受限传输的一方）
当事方详情 见附表 1，附件 1，A 部分 见附表 1，附件 1，A 部分
主要联系人 见附表 1，附件 1，A 部分 见附表 1，附件 1，A 部分
签字（如第 2 节要求） 在生效日期签署数据处理增补案即视为签署本增补案 在生效日期签署数据处理增补案即视为签署本增补案

表 2：选定的 SCC、模块和选定条款

增补案欧盟 SCC 本增补案所附的经批准的欧盟 SCC 版本，详见下文，包括附录信息：

日期：数据处理增补案生效日期
参考（如有）：无
其他标识符（如有）：无

表 3：附录信息

“附录信息”是指必须为经批准的欧盟 SCC 附录中规定的选定模块提供的信息（当事方除外），在本增补案中，这些信息载于：

附件 1A：当事方名单：见附表 1，附件 1，A 部分

附件 1B：传输说明：见附表 1，附件 1，B 部分

附件 II：技术和组织措施，包括确保数据安全的技术和组织措施：见附表 1，附件 II

附件 III：子处理者名单（仅限模块 2 和 3）：见附表 1，附件 III

表 4：当经批准的增补案变更时终止本增补案

当经批准的增补案变更时终止本增补案 哪些当事方可以按照第 19 节的规定终止本增补案：

☐ 导入方
☐ 导出方
☐ 均不可以

第 2 部分：强制性条款

加入本增补案

  1. 每一方均同意受本增补案中规定的条款和条件的约束，以换取另一方也同意受本增补案的约束。
  2. 虽然经批准的欧盟 SCC 的附件 1A 和第 7 条要求当事方签字，但为了进行受限传输，当事方可以以任何使其对当事方具有法律约束力并允许数据主体行使本增补案中规定的权利的方式加入本增补案。加入本增补案将与签署经批准的欧盟 SCC 及其任何部分具有同等效力。

本增补案的解释

  1. 如果本增补案使用了经批准的欧盟 SCC 中定义的术语，则这些术语应具有与经批准的欧盟 SCC 中相同的含义。此外，下列术语具有以下含义：
增补案 本国际数据传输增补案，由本增补案并入增补案欧盟 SCC 组成。
增补案欧盟 SCC 本增补案所附的经批准的欧盟 SCC 版本，如表 2 所示，包括附录信息。

增补案欧盟 SCC 包含在数据处理增补案的附表 1 中。
附录信息 如表 3 所示。
适当的保障措施 英国数据保护法要求的对个人数据和数据主体权利的保护标准，当您根据英国 GDPR 第 46(2)(d) 条依靠标准数据保护条款进行受限传输时，需要该标准。
经批准的增补案 由 ICO 发布并于 2022 年 1 月 28 日根据 2018 年《数据保护法》第 119A 条提交议会的增补案模板，及其根据第 18 节修订的版本。
经批准的欧盟 SCC 2021 年 6 月 4 日委员会执行决定 (EU) 2021/914 附件中规定的标准合同条款。
ICO 信息专员。
受限传输 受英国 GDPR 第 V 章涵盖的传输。
英国 大不列颠及北爱尔兰联合王国。
英国数据保护法 英国不时生效的所有与数据保护、个人数据处理、隐私和/或电子通信相关的法律，包括英国 GDPR 和 2018 年《数据保护法》。
英国 GDPR 如 2018 年《数据保护法》第 3 节所定义。
  1. 本增补案必须始终以符合英国数据保护法的方式进行解释，以便履行当事方提供适当保障措施的义务。
  2. 如果增补案欧盟 SCC 中包含的条款以经批准的欧盟 SCC 或经批准的增补案不允许的任何方式修改了经批准的 SCC，则此类修改将不纳入本增补案，而由经批准的欧盟 SCC 的等效条款取代。
  3. 如果英国数据保护法与本增补案之间存在任何不一致或冲突，以英国数据保护法为准。
  4. 如果本增补案的含义不明确或存在多种含义，则以最符合英国数据保护法的含义为准。
  5. 任何对立法（或立法的特定条款）的引用均指该立法（或特定条款）随时间可能发生的变化。这包括在该立法（或特定条款）在本增补案签署后被合并、重新制定和/或取代的情况。

层级

  1. 虽然经批准的欧盟 SCC 第 5 条规定经批准的欧盟 SCC 优于当事方之间的所有相关协议，但当事方同意，对于受限传输，第 10 节中的层级将优先。
  2. 如果经批准的增补案与增补案欧盟 SCC（如适用）之间存在任何不一致或冲突，经批准的增补案优先于增补案欧盟 SCC，除非（且在以下范围内）增补案欧盟 SCC 的不一致或冲突条款为数据主体提供了更大的保护，在这种情况下，这些条款将优先于经批准的增补案。
  3. 如果本增补案并入了为保护受通用数据保护条例 (EU) 2016/679 约束的传输而签署的增补案欧盟 SCC，则当事方承认本增补案中的任何内容均不影响这些增补案欧盟 SCC。

欧盟 SCC 的并入和变更

  1. 本增补案并入了增补案欧盟 SCC，并在必要范围内对其进行了修改，以便：
    1. 在英国数据保护法适用于数据导出方进行该数据传输时的处理范围内，它们共同适用于数据导出方向数据导入方进行的数据传输，并为这些数据传输提供适当的保障措施；
    2. 第 9 至 11 节优先于增补案欧盟 SCC 的第 5 条（层级）；以及
    3. 本增补案（包括并入其中的增补案欧盟 SCC）(1) 受英格兰和威尔士法律管辖，且 (2) 由其引起的任何争议均由英格兰和威尔士法院解决，除非当事方明确选择了苏格兰或北爱尔兰的法律和/或法院。
  2. 除非双方已达成符合第 12 条要求的替代修正案，否则将适用第 15 条的规定。
  3. 除了为满足第 12 条的要求外，不得对经批准的欧盟标准合同条款（EU SCCs）进行任何修订。
  4. 对附加欧盟标准合同条款（Addendum EU SCCs）进行以下修订（出于第 12 条之目的）：
    1. 提及“条款”是指本附加条款，其中包含附加欧盟标准合同条款；
    在第 2 条中，删除以下文字：

    “以及，关于从控制者到处理者和/或从处理者到处理者的数据传输，根据 (EU) 2016/679 号条例第 28(7) 条制定的标准合同条款”；

    1. 第 6 条（传输说明）替换为：

    “传输的详细信息，特别是传输的个人数据类别及其传输目的，是附件 I.B 中指定的详细信息，其中英国数据保护法适用于数据出口商在进行该传输时的处理。”；

    1. 模块 1 的第 8.7(i) 条替换为：

    “它是发往受益于根据英国 GDPR 第 17A 条制定的充分性法规的国家，且该法规涵盖了后续传输”；

    1. 模块 2 和 3 的第 8.8(i) 条替换为：

    “后续传输是发往受益于根据英国 GDPR 第 17A 条制定的充分性法规的国家，且该法规涵盖了后续传输；”

    1. 提及“(EU) 2016/679 号条例”、“欧洲议会和理事会 2016 年 4 月 27 日关于在个人数据处理方面保护自然人及此类数据自由流动的 (EU) 2016/679 号条例（通用数据保护条例）”以及“该条例”之处，均替换为“英国数据保护法”。提及“(EU) 2016/679 号条例”特定条款之处，均替换为英国数据保护法的等效条款或部分；
    2. 删除提及 (EU) 2018/1725 号条例之处；
    3. 提及“欧盟”、“联盟”、“EU”、“欧盟成员国”、“成员国”和“欧盟或成员国”之处，均替换为“英国”；
    4. 模块 1 第 10(b)(i) 条中提及的“第 12(c)(i) 条”替换为“第 11(c)(i) 条”；
    5. 不使用第 13(a) 条和附件 I 的 C 部分；
    6. “主管监管机构”和“监管机构”均替换为“信息专员”；
    7. 在第 16(e) 条中，第 (i) 小节替换为：

    “国务大臣根据 2018 年数据保护法第 17A 条制定了涵盖这些条款所适用的个人数据传输的法规；”；

    1. 第 17 条替换为：

    “这些条款受英格兰和威尔士法律管辖。”；

    1. 第 18 条替换为：

    “由这些条款引起的任何争议应由英格兰和威尔士法院解决。数据主体也可以向英国任何国家的法院对数据出口商和/或数据进口商提起法律诉讼。双方同意服从该等法院的管辖权。”；以及

    1. 经批准的欧盟标准合同条款的脚注不构成附加条款的一部分，但脚注 8、9、10 和 11 除外。

本附加条款的修订

  1. 双方可同意更改附加欧盟标准合同条款的第 17 条和/或第 18 条，以引用苏格兰或北爱尔兰的法律和/或法院。
  2. 如果双方希望更改经批准的附加条款“第 1 部分：表格”中所含信息的格式，可以通过书面形式同意更改，前提是该更改不会减少适当的保护措施。
  3. ICO 可能会不时发布修订后的经批准的附加条款，该条款：
    1. 对经批准的附加条款进行合理且适度的更改，包括纠正经批准的附加条款中的错误；和/或
    2. 反映英国数据保护法的变化；
    修订后的经批准的附加条款将指定附加条款更改生效的开始日期，以及双方是否需要审查本附加条款（包括附录信息）。本附加条款自指定的开始日期起，按照修订后的经批准的附加条款所述自动修订。
  4. 如果 ICO 根据第 18 条发布修订后的经批准的附加条款，且在表 4“当经批准的附加条款更改时终止附加条款”中选择的任何一方，因经批准的附加条款的更改而导致以下各项出现实质性、不成比例且可证明的增加：
    1. 履行其在附加条款项下义务的直接成本；和/或
    2. 其在附加条款项下的风险，
    并且在任何一种情况下，该方已首先采取合理措施降低这些成本或风险，使其不再是实质性和不成比例的，则该方可以在合理的通知期结束时，通过在修订后的经批准的附加条款开始日期之前向另一方提供该期限的书面通知来终止本附加条款。
  5. 双方无需任何第三方的同意即可对本附加条款进行更改，但任何更改必须按照其条款进行。

替代第 2 部分 强制性条款：

强制性条款 经批准的附加条款第 2 部分：强制性条款，即由 ICO 发布并于 2022 年 1 月 28 日根据 2018 年数据保护法第 119A 条提交议会的模板附加条款 B.1.0，及其根据这些强制性条款第 18 条修订的版本。