合作夥伴資料保護附錄

本合作夥伴資料保護附錄（下稱「本附錄」）為合作夥伴計畫協議（下稱「本協議」）之一部分，並就個人資料之處理訂定附加條款。本文件中之大寫用語，其定義見本文件下一節或本協議其他部分。若本附錄之條款與本協議任何其他條款存在衝突，應以本附錄為準。就本附錄之目的而言，「提供者」係指合作夥伴。

• (a)「適用資料保護法」指與本協議下個人資料處理相關之所有適用法律，包括但不限於：(i) 對於源自位於歐洲經濟區內的授權實體的個人資料，指《一般資料保護條例》(EU) 2016/679（「GDPR」），以及 (ii) 對於源自英國的授權實體的個人資料，指英國 GDPR 和《2018 年英國資料保護法》。
• (b)「授權實體」指任何作為控制者，且根據協議有權直接或間接存取或使用服務之實體（包括 Siemens 及其集團公司）。
• (c)「控制者」指單獨或與他人共同決定處理個人資料之目的及方式的自然人或法人。
• (d)「適足性認定國家」指歐盟委員會已決定其具備充足資料保護程度之任何國家；對於源自英國的個人資料，則指英國根據《2018 年資料保護法》第 17A 條或第 74A 條制定適足性法規之任何國家。
• (e)「資料外洩」係指違反安全原則，(i) 導致傳輸、儲存或以其他方式處理之個人資料遭受意外的或非法的破壞、遺失、竄改、未經授權之揭露或取用，或 (ii) 根據適用法律，須將該等事件通知任何第三方。
• (f)「EEA」 係指歐洲經濟區。
• (g)「歐盟標準合約條款」指標準合約條款 (EU) 2021/914。
• (h)「原始地區」係指歐洲經濟區、英國、瑞士以及任何具有與 GDPR 第 45 條及後續條款類似適足性要求之國家。
• (i)「個人資料」指與已識別或可識別之自然人相關的任何資訊；可識別之自然人係指可直接或間接識別之人，特別是可以透過姓名、識別碼、位置資料、線上識別碼，或透過與該自然人之身體、生理、遺傳、心理、經濟、文化或社會身分相關的一個或多個特定因素來識別。
• (j)「處理」（及其他形式，如處理、已處理）指對個人資料或個人資料集執行之一項或多項操作，無論是否採用自動化手段，例如收集、記錄、組織、構建、儲存、改編或變更、檢索、諮詢、使用、透過傳輸揭露、傳播或以其他方式提供、對齊或組合、限制、刪除或銷毀。
• (k)「處理者」指代表控制者處理個人資料之自然或法人、公共機關、機構或任何其他組織。
• (l)「處理者約束性企業規則」指經主管監管機關核准之處理者約束性企業規則。
• (m)「受限個人資料」指源自位於原始區域內獲授權實體的任何個人資料。
• (n)「受限傳輸」指提供者或其任何次級處理者將受限個人資料傳輸至相關原始區域以外地區進行的任何處理（包括傳輸、國際存取和後續傳輸）。
• (o)「服務」 指提供者在本附錄定義的處理者角色下，依據本協議所提供的服務。
• (p)「標準合約條款」指歐盟標準合約條款和英國標準合約條款。
• (q)「次級處理者」指在提供服務過程中被委任之任何其他處理者。
• (r)「傳輸保障措施」指適用資料保護法為受限傳輸所要求的適當保障措施，包括但不限於 GDPR 第 46 條所要求的任何適當保障措施。
• (s)「英國 GDPR」指根據英國《2018 年歐盟（退出）法案》第 3 條，納入英國法律中的 GDPR。
• (t)「英國標準合約條款」指英國資訊專員辦公室 (ICO) 根據英國 GDPR 第 46 (2) 條不時採用的標準資料保護條款，包括但不限於國際資料傳輸協議（英國 IDTA），以及由 ICO《歐盟委員會標準合約條款國際資料傳輸附錄》修訂的歐盟標準合約條款（「英國附錄」）。[1]

1 請參閱 https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/。

雙方應遵守對其適用且本協議要求之適用資料保護法。在提供服務時，提供者尤其應遵守適用資料保護法中有關以處理者身分處理個人資料之規定。

提供者應僅在以下情況下處理個人資料：(a) 依據本附錄及協議之條款；或 (b) 依據 Siemens 之其他書面指示。除非本附錄允許，提供者不得為自身目的處理個人資料，亦不得將其傳輸給第三方。若提供者認為 Siemens 之指示違反適用資料保護法，應立即告知 Siemens。

提供者所提供處理操作之詳細資訊──特別是處理之主題、處理之性質及目的、所處理之個人資料類型以及受影響之資料主體類別──均詳載於本附錄之附件一。

考量當前技術水準、實施成本，以及處理之性質、範圍、背景與目的，同時考量自然人之權利與自由所面臨的不同可能性與嚴重程度的風險，提供者應實施適當之技術及組織措施，以確保與風險相適應之安全水準，包括但不限於：(a) 個人資料之假名化與加密；(b) 確保持續維護處理系統與服務之機密性、完整性、可用性及韌性之能力；(c) 於發生實體或技術事件時，能及時恢復個人資料之可用性與存取權限之能力；(d) 定期測試、評估及評量技術及組織措施有效性之程序，以確保處理之安全性。在不影響前述一般性原則之前提下，提供者應隨時至少實施本附錄之附件二中所述之技術及組織措施。

1 請參閱 https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/。

提供者應基於「需知」原則限制其人員存取個人資料。提供者應向其人員詳細告知有關資料保護之適用法律及合約規定。提供者應使其人員負有遵守該等規定之義務，特別是對個人資料保密，且除依據 Siemens 之指示外，不得處理個人資料。保密義務於本協議終止及人員與提供者之合約關係結束後仍持續有效。提供者應依要求提供該等義務之證明。

• (a) 提供者已取得 Siemens 的一般授權，可以委任次級處理者。由提供者委託之次級處理者當前清單載於本附錄附件三。
• (b) 提供者應至少提前 30 天，以書面形式明確告知 Siemens 任何透過新增或替換次級處理者對該清單的變更意向。提供者應向 Siemens 提供必要資訊，以便 Siemens 能夠行使反對權。若 Siemens 於此 30 日期間內未提出反對，則應視為同意新的次級處理者。若 Siemens 提出反對，提供者將在授權該次級處理者存取個人資料前，盡合理努力處理 Siemens 所表達之疑慮與保留意見，並 (i) 避免使用該次級處理者；或 (ii) 向 Siemens 提出對服務或 Siemens 對服務配置或使用之合理變更，以避免被反對之新次級處理者處理個人資料。若提供者無法消除 Siemens 提出反對之理由，Siemens 有權終止受影響之服務，且無須承擔任何損害賠償或罰金。若由 Siemens 終止，提供者應按比例退還該適用服務之任何預付費用。
• (c) 若提供者委任次級處理者執行特定處理活動（代表 Siemens 及/或授權實體），則應透過書面合約進行，該合約實質上須規定與本附錄約束提供者相同之資料保護義務。
• (d) 提供者應根據 Siemens 之要求，提供該次級處理者合約及其後續任何修訂內容之副本予 Siemens。於保護營業秘密或其他機密資訊（包括個人資料）之必要範圍內，提供者得於提供副本前，先對合約內容進行刪節。
• (e) 提供者應就次級處理者對該等要求之遵循情況，進行充分且定期之稽核，並記錄此類稽核之結果。
• (f) 提供者應就次級處理者依其與提供者間合約所負義務之履行，對 Siemens 負完全責任。若次級處理者未能履行該合約義務，提供者應告知 Siemens。

如有限制轉移給供應商，供應商應確保該等受限制轉移受本文所述的適當轉移保障範圍 第九節 和 附件三 到此 DPA。

• (一) 標準合約條款。如果轉移保障基於標準合約條款，則適用以下條款：
  • 歐洲經濟區-提供者。如果供應商位於歐洲經濟區內，則供應商應與其分處理商簽訂標準合約條款（單元 3）。 第 9 (a) (vii) 條 （「適用法」）， 九 (a) (八) （「論壇和管轄權的選擇」）， 九 (a) (九) (b) (「英國附錄第 1 部分」)，以及 第 9 (a) (x) 條第二句 如果提供商位於歐洲經濟區，本 DPA 的（「其他國家的授權實體」）不適用。
  • 非歐洲經濟區提供商。如果供應商位於歐洲經濟區以外，限制轉讓應受標準合約條款的單元 2 和 3 管轄。標準合約條款中包含的相關條文以參考方式整合，是本 DPA 的不可或缺的一部分。標準合約條款附件所需的資料載於 附件一至三到此 DPA。
  • 對接條款。標準合約條款第 7 條所提出的選項不適用。
  • 進一步轉移。任何進一步轉讓必須遵守標準合約條款適用單元第 8 及 9 條。如果西門子位於歐洲經濟區以外，並根據與授權實體的標準合同條款作為數據進口商，則標準合約條款第 9 (e) 條規定的第三方受益條款將有利於該授權實體。
  • 子處理器的使用. 標準合約條款第 9 條下的選項 2 適用。就標準合約條款第 9 (a) 條而言，供應商獲西門子的一般授權，根據以下條款聘用分處理器 第八節 此 DPA 的。
  • 補償。如提供者提供資料當事人選擇向獨立爭議解決機構提出投訴（請參閱標準合約條款第 11 條中的選項），供應商應以書面通知 Siemens 負責仲裁機構的情況，並遵守標準合約條款第 11 條所載的適用要求和適用仲裁規則。
  • 適用法。針對標準合約條款第 17 條的適用法律，應該是本協議的適用法律部分中指定的法律。如果協議不受歐盟成員國法律管轄，歐盟標準合同條款將受德國法律管轄。
  • 論壇及司法管轄權的選擇。根據標準合約條款第 18 條所指定的法院，應是本協議會場地部分指定的法院。如果協議未指定歐盟成員國法院具有獨家司法管轄權解決因協議或與協議有關的任何爭議或訴訟，當事人同意德國法院將具有解決歐盟標準合約條款引起的任何爭議的專屬管轄權。
  • 英國授權實體。如果受限制轉移來自位於英國的授權實體，則適用以下條件：
    • 英國附錄。除非西門子另有書面同意，否則應使用英國附錄。
    • 英國附錄第 1 部。英國附錄第 1 部適用如下：
      1. 表一：各方的詳細信息和主要聯繫信息包含在 附件一 到此 DPA。
      2. 表二：英國附錄附加的已獲批准的歐盟 SCC 版本（由英國附錄定義）是歐盟標準合同條款，其中包括上面選擇的模塊和條款。 第 9 (a) 條 此 DPA 的。從進口商收到的任何個人數據不會與出口商收集的個人數據結合。
      3. 表三: 英國附錄表 3 所要求的附錄資料載於 附件一至三 到此 DPA。
      4. 表四：當核准附錄（如英國附錄中定義）更改時，任何一方都不得終止英國附錄。
  • 其他國家/地區的授權實體。如果標準合約條款保護位於歐洲經濟區和英國以外的授權實體（例如瑞士）的限制轉移，(1) 標準合約條款中對 GDPR 或歐盟或成員國法律的一般和具體參考，應與授權實體所在國家的適用資料保護法中的相同參考文獻相同的含義；（2）對「主管主管機關」的引用將被解釋為引用的相同意義資料保護這個國家的權威。適用法律、論壇的選擇和司法管轄權須受以下規管 第 9 (a) (vii) 條 和 (八) 本 DPA 的情況下，除非適用於相關授權實體的法律另有規定，否則標準合同條款應受授權實體所在國家的法律管轄，任何對有關「法院」的提述均應解釋為該國家的有關法院的提述。
• 處理器綁定企業規則。如果轉移保障基於處理器具有約束力的企業規則，則適用以下條件：供應商應以合約約束該子處理器，以遵守《處理商約束力的企業規則》，就根據本 DPA 處理的個人資料而遵守《處理商約束力的企業規則》。
• 其他轉移保護措施。如果轉移保障措施不是基於標準合約條款，則標準合約條款第 14 和 15 條將 mutatis-mutandis 適用於該等其他轉移保障下的限制轉移，除非相關的轉移保障內容內含有相同的權利和義務，以及 (ii) 標準合約條款第 14 和 15 條所載的公共機關訪問義務相同的權利和義務。
• 其他。供應商同意並明白當地的適用資料保護法可能包含與本文所載的類似或額外的傳輸限制 第九節。在這種情況下，供應商同意採取合理的努力，並誠意與西門子合作以滿足這些要求。

提供者應以合理方式協助 Siemens 確保遵循適用資料保護法，特別是透過以下方式協助 Siemens：

• (a) 更正、刪除或限制處理。 提供者應：(i) 透過服務功能提供更正、刪除或限制個人資料處理之能力，或 (ii) 依Siemens 之指示更正、刪除或限制個人資料之處理。
• (b) 個人資料之存取。若無法透過服務存取資料主體相關資訊，提供者將於必要範圍內提供協助，使該等資訊可供 Siemens 及/或授權實體取用，以確保 Siemens 及授權實體履行其於適用資料保護法下之義務。
• (c)資料主體與主管機關之請求。提供者應即時通知 Siemens 以下事項：(i) 所收到之任何請求或申訴，或執法機關、政府或監管機關或機構之任何調查通知；以及 (ii) 直接從任何資料主體收到有關其個人資料之任何請求。就上述 (i) 及 (ii) 事項，未經 Siemens 指示，提供者不得進行回應。若經 Siemens 指示，提供者應以合理方式協助 Siemens 回應此類請求。
• (d) 資料可攜性。依 Siemens 之要求且於適用資料保護法要求時，提供者應 (i) 依據服務功能，提供按特定資料主體擷取個人資料之能力，或 (ii) 使相關資料集可供 Siemens 及/或相關授權實體取用，且於各情況下均應以結構化、通用且機器可讀格式為之。
• (e) 資料保護影響評估。 若 Siemens 提出要求，提供者應提供所有資訊及合理協助，以依適用資料保護法執行資料保護影響評估。

資料處理關係終止時，除非 Siemens 另有指示或本附錄另有規定，提供者應將為履行合約約定服務而提供給提供者，或由提供者取得或產生之所有個人資料返還給 Siemens，並應不可撤銷地刪除或銷毀任何剩餘資料。應要求，提供者應以書面形式確認刪除或銷毀情況。

• (a) 若提供者發現或有合理理由懷疑發生任何資料外洩事件，應立即通知 Siemens，且無論如何應於 48 小時內為之。
• (b) 在向 Siemens 發出通知時，提供者應向 Siemens 提供以下資訊：(i) 可獲取更多資訊之聯絡點詳細資料；(ii) 外洩事件性質說明（包括在可能情況下，涉及的資料主體及個人資料記錄的名稱、類別及大約數量）；(iii) 可能造成的後果，以及為處理外洩事件而採取或擬採取的措施，包括在適當情況下，為減輕其可能不利影響而採取的措施。若無法同時提供所有資訊，則初步通知應包含當時可提供之資訊，後續資訊應在取得後儘速補充提供。
• (c) 依本第 12 條所為之任何通知，應 (i) 送至本協議載明之各聯絡點，並 (ii) 傳送至 dataprotection@siemens.com。
• (d) 提供者應由提供者自行負擔相關費用及開支，(i) 全力配合 Siemens 進行資料外洩事件調查；(ii) 協助並配合 Siemens 處理任何依法須向受影響者（透過個別通知、媒體公共傳播或類似措施）、執法機關、監管機關及/或其他第三方發出之通知或揭露事項；及 (iii) 就該資料外洩事件以及與該資料外洩事件相關之任何爭議、查詢或主張，採取 Siemens 認為必要之任何其他行動。
• (e) 除非適用法規或主管監管機關之命令另有規定，否則 Siemens 應全權自行決定 (i) 資料外洩事件是否需要進行通知，及 (ii) 通知之方式。若提供者就資料外洩事件發出通知，任何該等通知均須事先經 Siemens 核准。
• (f) 提供者應自行負擔費用，採取適當措施處理資料外洩事件，包括減輕不利影響之措施（包含保護作業環境之措施）。提供者亦應立即採取防止資料外洩事件再次發生之措施，包括適用資料保護法要求之行為。
• (g) 對於因提供者所致之資料外洩事件，提供者應償還 Siemens 因此所產生之所有費用及開支，包括但不限於為個人資料受資料外洩事件影響之個人提供信用監控服務之費用。本協議中有利於提供者之責任限制條款於此不適用。

• (a) 提供者應 (i) 以適當方式監督其自身遵守本附錄及適用資料保護法中資料保護義務之情況；(ii) 製作相關定期（至少每年一次）及特定事件報告（下稱「報告」）；(iii) 應要求向 Siemens 及授權實體提供該等報告。若提供者所實施之控制標準與框架規定有控制措施，則應依各適用控制標準或框架的監管或認證機構之標準與規則執行該等控制措施。
• (b) 若為充分履行適用資料保護法或相關轉移保障措施下的稽核權利與義務所必要，或應主管資料保護機關或其他主管政府機關或機構之要求，提供者除提供報告外，還應向 Siemens 及授權實體提供合理要求之所有進一步資訊，且應允許並協助 Siemens 或授權實體，或由 Siemens 或授權實體委任之其他稽核人員進行稽核（包括檢查）。為此目的，Siemens、授權實體或 Siemens 或授權實體委任之其他稽核人員，亦有權於正常營業時間內，提前合理通知後，在不中斷提供者業務營運之情況下，進行現場檢查。

若服務使用 cookie 或類似技術，則適用下列規定：除非 Siemens 就本第 14 條另有特別約定，提供者僅得為透過電子通訊網路進行通訊傳輸之目的，或為提供者提供服務核心功能所嚴格必需之目的，而儲存資訊（例如透過寫入 cookie）或取得已儲存於服務使用者終端設備中之資訊（例如透過 cookie）。

提供者理解並同意，本附錄中的各項要求為協議不可分割的組成部分，且違反任何此類要求的重大違約，均應視為提供者對協議的重大違約，Siemens 有權據此主張協議中所載的重大違約相關補救措施。

若提供者存取自美國設立之 Siemens 集團公司 (下稱「Siemens 美國公司」）接收之個人資料，或存取自美國居民資料主體之個人資料，則除上述規定外，提供者：(i) 應遵守適用於提供者、該等個人資料以及該等個人資料之擁有者或控制者的美國聯邦、州及地方法律中有關個人資料之規定；於前述法律適用之範圍內，本文件所稱「適用資料保護法」應包含前述法律；(ii) 除本文件或協議特別規定者外，不得向第三方出售、共用、出租、釋出、揭露、散布或提供個人資料；亦不得將該等個人資料與其他資訊結合；(iii) 若提供者判定其無法繼續履行本協議項下義務，應通知 Siemens；(iv) 應確保每位處理個人資料之人員，均負有對該個人資料之保密義務；(v) 應被視為並擔任適用資料保護法（包括《加州消費者隱私法》及其施行細則與任何修正條文）所定之「服務提供者」；且 (vii) 茲此證明其了解本文件所載之限制並將予以遵守。

本附錄之附件一（及適用的標準合約條款）

A. 各方清單

服務接收者 / 資料輸出者：

提供者 / 資料輸入者：

B. 傳輸/處理操作說明

C. 主管監管機關

若 Siemens 設立於歐盟成員國境內，則負責確保 Siemens 就資料傳輸遵守 GDPR 之監管機關應為主管監管機關。就 Siemens Aktiengesellschaft（德國）而言，其主管監管機關為：

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)

Promenade 18

91522 Ansbach

Germany

若 Siemens 未設立於歐盟成員國境內，但依據 GDPR 第3(2) 條落於 GDPR 的地域適用範圍內，則依 GDPR 第 27(1) 條所定代表者所屬成員國之監管機關應為主管監管機關，亦即：

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)

Promenade 18

91522 Ansbach

Germany

本附錄之附件二（及適用時之標準合約條款）

技術與組織措施（包括確保資料安全之技術與組織措施）

以下措施僅在相關 IT 系統、網路和應用程式由提供者負責和/或由其保管或控制的範圍內適用於提供者。提供者及其次級處理者實施的技術與組織安全措施說明如下：

本附錄之附件三（及適用時之標準合約條款）

次級處理者及資料中心位置清單

「合作夥伴授權表」載明以下資訊：

參與儲存/託管個人資料之實體（包括合作夥伴及次級處理者）；

適用之資料中心位置；

因非儲存/託管目的而參與處理個人資料之次級處理者。

上述內容透過本引用併入本附錄。

未經 Siemens 同意，提供者不得將個人資料從相應的資料中心位置移出。第 8 條所載之通知與反對機制在此方面不適用。