此頁面使用自動翻譯以英文顯示。改用英文查看？

這個翻譯有幫助嗎？是的不

合作夥伴資料保護附錄

以下合作夥伴資料保護附錄是合作夥伴計畫協議的一部分，並制定了有關個人資料處理的條款。

1.一般的

本合作夥伴資料保護附錄（「DPA」）是合作夥伴計畫協議（「協議」）的一部分，規定了有關個人資料處理的附加條款。大寫術語具有本文檔下一節或協議其他部分中定義的含義。如果本 DPA 的條款與協議的任何其他條款之間存在衝突，則以本 DPA 為準。就本 DPA 而言，「提供者」指合作夥伴。

2.定義

(a)「適用的資料保護法」是指與協議下的個人資料處理有關的所有適用法律，包括但不限於 (i) 對於源自位於 EEA 內的授權實體的個人數據，通用資料保護條例 (EU) 2016/679（「GDPR」），以及 (ii) 來自英國境內授權實體的個人資料、英國 GDPR 和 2018 年英國資料保護法。
(b)「授權實體」係指作為控制者並依本協議有權直接或間接存取或使用本服務的任何實體（包括西門子及其集團公司）。
(c)「控制者」指單獨或與他人共同決定個人資料處理的目的和方式的自然人或法人。
(d)「做出充分性決定的國家」是指歐盟委員會已決定該國確保充分資料保護水準的任何國家，對於源自英國的個人數據，指根據英國制定的充分性法規制定的任何國家。2018 年資料保護法第 17A 或 74A 條。
(e)「資料外洩」指任何違反安全的行為 (i) 導致傳輸、儲存或以其他方式處理的個人資料被意外或非法破壞、遺失、更改、未經授權的揭露或訪問，或 (ii) 需要根據適用法律向任何第三方通知此類事件。
(f)「EEA」指歐洲經濟區。
(g)「歐盟標準合約條款」指標準合約條款 (EU) 2021/914。
(h)「起源地區」指歐洲經濟區、英國、瑞士以及與第 1 條所包含的類似充足性要求的每個國家。45 及以下 GDPR。
(i)「個人資料」係指與已識別或可識別的自然人有關的任何資訊；可識別的自然人是指可以直接或間接識別的自然人，特別是透過參考諸如姓名、身分證號碼、位置資料、線上識別碼等識別碼或特定於身體、生理、心理的一個或多個因素來識別的自然人。
(j)「處理」（及其其他形式，例如處理、流程、已處理）是指對個人資料或個人資料集執行的任何操作或一組操作，無論是否透過自動方式（例如收集、記錄、組織、建構、儲存、改編或更改、檢索、諮詢、使用、透過傳輸、傳播或以其他方式提供的揭露、排列或組合、限制、刪除或銷毀。
(k)「處理者」指代表控制者處理個人資料的自然人或法人、公共機構、代理機構或任何其他機構。
(l)「對處理者俱有約束力的公司規則」係指經主管監管機構批准的對處理者俱有約束力的公司規則。
(m)「受限個人資料」指源自位於起源區域內的授權實體的任何個人資料。
(n)「受限傳輸」是指提供者或其任何子處理者在相關來源區域之外對受限個人資料進行的任何處理（包括傳輸、國際存取和繼續傳輸）。
(o)「服務」係指由提供者作為本 DPA 含義內的處理者提供的協議項下的服務。
(p)「標準合約條款」指歐盟標準合約條款和英國標準合約條款。
(q)「子處理者」係指參與履行服務的任何其他處理者。
(r)「傳輸保障措施」指適用資料保護法要求的針對限制傳輸的適當保障措施，包括但不限於 GDPR 第 46 條要求的任何適當保障措施。
(s)「英國 GDPR」是指根據 2018 年英國歐盟（退出）法案第 3 條納入英國法律的 GDPR。
(t)「英國標準合約條款」指英國資訊專員辦公室 (ICO) 根據英國 GDPR 第 46(2) 條不時採用的標準資料保護條款，包括但不限於：國際資料傳輸協定 (UK IDTA) 以及經 ICO 的歐盟委員會標準合約條款國際資料傳輸附錄（「英國附錄」）修訂的歐盟標準合約條款。

1 請參閱 https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/。

3.遵守適用的資料保護法

雙方應遵守適用於其的資料保護法並依照本協議的要求。在提供服務時，提供者應特別遵守適用資料保護法中有關作為處理者處理個人資料的規定。

4.處理範圍

提供者僅應 (a) 根據本 DPA 和協議的條款處理個人資料；(b) 根據西門子的其他書面指示。除非本 DPA 允許，提供者不得出於自身目的處理個人資料或將其傳輸給第三方。如果提供者認為西門子的指令違反了適用的資料保護法，則應立即通知西門子。

5.所提供的加工操作的詳細信息

提供者提供的處理操作的詳細資訊（特別是處理的主題、處理的性質和目的、處理的個人資料類型以及受影響的資料主體的類別）在本 DPA 的附件一中詳細說明。

6.技術和組織措施

考慮到現有技術、實施成本以及處理的性質、範圍、背景和目的，以及自然人權利和自由的不同可能性和嚴重程度的風險，提供者應實施適當的技術和組織措施確保適合風險的安全級別的措施，包括但不限於：(a) 個人資料的假名化和加密；(b) 確保處理系統和服務持續保密性、完整性、可用性和彈性的能力；(c) 在發生實體或技術事件時及時恢復個人資料的可用性和存取的能力；(d) 定期測試、評估和評估技術和組織措施有效性的流程，以確保處理的安全性。在不影響前一句普遍性的情況下，提供者應始終至少實施本 DPA 附件 II 中所述的技術和組織措施。

1 請參閱 https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-transfer-agreement-and-guidance/。

7.保密承諾

提供者應根據需要限制其人員對個人資料的存取。提供者應向其人員提供有關資料保護的適用法律和合約條款的詳細通知。提供者應要求其人員有義務遵守此類規定，特別是對個人資料保密，並且不得在未按照西門子指示的情況下處理個人資料。本協議以及人員與提供者的合約關係到期後，保密義務仍將繼續適用。提供者將根據要求提供此類義務的證明。

8.子處理器

(a) 提供者擁有西門子關於聘用分處理商的一般授權。提供者委託的分處理商的目前清單包含在本 DPA 的附件 III 中。
(b) 提供者應至少提前 30 天以書面明確通知西門子透過新增或更換分處理商而對該清單進行的任何變更。提供者應向西門子提供必要的信息，以便西門子能夠行使反對權。如果西門子在 30 天內未提出異議，則應視為對新分處理方的批准。如果西門子提出反對，提供者將在授權分處理方存取個人資料之前，盡合理努力解決西門子表達的疑慮和保留意見，並且 (i) 避免使用分處理方；(ii) 向西門子建議對服務或西門子服務的配置或使用進行合理的更改，以避免被反對的新子處理者處理個人資料。如果提供者無法消除西門子反對的理由，西門子有權終止受影響的服務，且不承擔任何損害或處罰。如果西門子終止，提供者將按比例退還適用服務的任何預付金額。
(c) 如果提供者聘請分處理者（代表西門子和/或授權實體）執行特定處理活動，則應透過書面合約的方式進行，該合約實質上規定了與供應商相同的資料保護義務根據本 DPA 對提供者俱有約束力的內容。
(d) 提供者應根據西門子的要求，向西門子提供該分包商合約的副本以及任何後續修訂。在保護商業機密或其他機密資訊（包括個人資料）所需的範圍內，提供者可以在共用副本之前編輯合約文字。
(e) 提供者應充分、定期審核分包處理方是否遵守這些要求，並記錄此類審核的結果。
(f) 提供者仍應就分包處理方履行其與提供者的合約下的義務向西門子承擔全部責任。若分處理方未能履行該合約規定的義務，提供者應通知西門子。

9.國際資料處理

如果向提供者進行限制性傳輸，提供者應確保此類限制性傳輸受到本 DPA 第 9 條和附件 III 中規定的充分傳輸保障措施的保護。

(a) 標準合約條款。若轉讓保障措施是基於標準合約條款，則應適用以下規定：
- EEA - 提供者。如果提供者位於 EEA 內，則提供者應與其分處理商簽訂標準合約條款（模組 3）。第 9(a)(vii) 條（「適用法律」）、第 9(a)(viii) 條（「法院地和管轄權的選擇」）、第 9(a)(ix)(b) 條（「英國附錄第 1 部分」）)，如果提供者位於 EEA，則本 DPA 第 9(a)(x) 條（「其他國家的授權實體」）的第二句不適用。
- 非歐洲經濟區提供者。如果提供者位於 EEA 之外，則限制轉讓應受標準合約條款的模組 2 和模組 3 管轄。標準合約條款中包含的相關條款透過引用併入，並且是本 DPA 的組成部分。標準合約條款附件所需的資訊載於本 DPA 附件一至附件三。
- 對接條款。標準合約條款第 7 條中的選項不適用。
- 繼續轉移。任何進一步的後續轉讓必須遵守標準合約條款適用模組的第 8 條和第 9 條。如果西門子位於歐洲經濟區以外，並根據與授權實體的標準合約條款充當資料進口商，則標準合約條款第 9(e) 條規定的第三方受益人條款應有利於該授權實體。
- 使用子處理者。就標準合約條款第 9(a) 條而言，提供者擁有西門子一般授權，可依本 DPA 第 8 條聘用分處理商。
- 糾正。如果提供者向資料主體提供向獨立爭議解決機構提出申訴的選項（請參閱標準合約條款第 11 條中的選項），提供者應以書面通知西門子負責的仲裁機構，並遵守標準合約條款第 11 條和適用的仲裁規則。
- {41}適用法律{42}。就標準合約條款第 17 條而言，適用法律應為本協議適用法律部分中指定的法律。如果本協議不受歐盟成員國法律管轄，則歐盟標準合約條款應受德國法律管轄。
- 法院和司法管轄區的選擇。標準合約條款第 18 條規定的法院應為協議審判地部分指定的法院。如果本協議未指定歐盟成員國法院擁有解決因本協議引起的或與本協議有關的任何爭議或訴訟的專屬管轄權，則雙方同意德國法院應擁有解決因本協議而產生的任何爭議的專屬管轄權。
- 英國的授權實體。如果限制傳輸源自位於英國的授權實體，則應適用以下規定：
  - 英國附錄。除非西門子另有書面同意，否則應使用英國附錄。
  - 英國附錄的第 1 部分。英國附錄第 1 部分的適用如下：
    1. 表格 1：雙方的詳細資訊和主要聯絡資訊包含在本 DPA 的附件一中。
    2. 表 2：附有英國附錄的經批准的歐盟 SCC（如英國附錄所定義）的版本是歐盟標準合約條款，其中包含本 DPA 第 9(a) 節中上面選擇的模組和條款。從進口商收到的個人資料不會與出口商收集的個人資料結合。
    3. 表 3：英國附錄表 3 要求的附錄資訊包含在本 DPA 的附件 I 至 III。
    4. 表 4：當核准的附錄（如英國附錄中的定義）變更時，任何一方不得終止英國附錄。
- 其他國家的授權實體。如果標準合約條款保護來自歐洲經濟區和英國（例如瑞士）以外的授權實體的限制性傳輸，(1) 標準合約條款中對 GDPR 或歐盟或成員國法律的一般和具體引用應具有與授權實體所在國家/地區的適用資料保護法律中的等效參考含義相同（如適用）；(2) 提及的「主管監理機關」應解釋為提及該國的主管資料保護機構。適用法律、管轄地和司法管轄區的選擇應受本 DPA 第 9(a)(vii) 和 (viii) 條管轄，除非適用於相應授權實體的法律另有要求，在這種情況下，標準合同條款應適用受授權實體所在國家/地區的法律管轄，任何提及主管「法院」的內容應解釋為提及該國家/地區的主管法院。
處理者約束公司規則。若轉移保障措施是基於處理者約束性公司規則，則下列內容適用：提供者應透過合約約束此類分處理者遵守有關根據本 DPA 處理的個人資料的處理者約束公司規則。
額外的轉移保障措施。如果轉讓保障措施並非基於標準合約條款，則標準合約條款的第 14 條和第 15 條應比照適用於此類其他轉讓保障措施下的限制轉讓，除非相應的轉讓保障措施實質上包含相同的權利和義務關於 (i) 影響遵守轉讓保障措施的當地法律和慣例，以及 (ii) 標準合約條款第 14 條和第 15 條中包含的公共機構訪問情況下的義務。
其他。提供者同意並瞭解當地適用的資料保護法可能包含本第 9 條所包含的類似或附加傳輸限制。在這種情況下，提供者同意採取合理的努力並與西門子真誠合作以滿足這些要求。

10.供應商的協助

提供者應合理協助西門子確保遵守適用的資料保護法，特別是透過以下方式協助西門子：

(a) 更正、刪除或限制處理。提供者應 (i) 透過服務功能提供修正、刪除或限制個人資料處理的能力，或 (ii) 依照西門子的指示修正、刪除或限制個人資料處理。
(b) 存取個人資料。如果無法透過服務存取與資料主體相關的信息，提供者將根據需要幫助西門子和授權實體履行其在適用資料保護法下的義務，以便向西門子和/或授權實體提供此類資訊。
(c) 資料主體和權限請求。提供者應立即通知西門子有關以下事項：(i) 執法機構、政府或監管機構或機構收到的任何請求或投訴或任何調查通知；(ii) 直接從任何資料主體收到的有關其個人資料的任何請求。對於上述 (i) 和 (ii)，未經西門子指示，提供者不得做出回應。如果有這樣的指示，提供者應合理支援西門子回答此類請求。
(d) 資料可攜性。根據西門子的要求以及適用資料保護法的要求，提供者將 (i) 提供根據服務功能參考特定資料主體提取個人資料的能力，或 (ii) 制定相關的資料集可供西門子和/或相應授權實體使用的數據，在每種情況下均採用結構化、常用且機器可讀的格式。
(e) 資料保護影響評估。如果西門子要求，提供者應提供所有資訊和合理支援，以便根據適用的資料保護法進行資料保護影響評估。

11.資料處理關係的終止

資料處理關係終止後，除非西門子另有指示或本協議另有規定，提供者應將向提供者提供的或提供者取得或產生的與合約約定的服務相關的所有個人資料返還給西門子，並應不可撤銷地刪除或銷毀任何個人資料。刪除或銷毀應由提供者根據要求以書面確認。

12.通知義務

(a) 如果提供者發現或合理懷疑任何資料洩露，則應立即通知西門子，但無論如何應在 48 小時內通知西門子。
(b) 在向西門子發出的通知中，提供者應向西門子提供以下資訊：(i) 可以獲得更多資訊的聯絡點的詳細信息，(ii) 違規性質的描述（如果可能，包括資料主體和個人資料記錄的名稱、類別和大致數量）(iii) 可能的後果以及為解決違規行為而採取或提議的措施，包括在適當情況下減輕其可能的不利影響的措施。如果無法同時提供所有信息，則初始通知應包含當時可用的信息，並且應在獲得進一步信息後立即提供，不得無故拖延。
(c) 第 12 條規定的任何通知應 (i) 發送至協議中指定的相應聯絡人，以及 (ii) dataprotection@siemens.com。
(d) 提供者應自費 (i) 充分配合西門子調查資料外洩；(ii) 就任何法律要求的向受影響人員、執法機構、監管機構和/或其他第三方的通知或披露（透過個人溝通、透過媒體進行公開溝通或透過類似措施）向西門子提供協助和合作；(iii) 針對此類資料外洩以及與資料外洩有關的任何爭議、質疑或索賠，採取西門子認為必要的任何其他行動。
(e) 除非適用法律或主管監管機構的命令另有要求，否則西門子應自行決定 (i) 資料外洩是否需要通知以及 (ii) 通知方式進行最終決定。如果提供者提供有關資料外洩的此類通知，任何此類通知都必須事先獲得西門子的批准。
(f) 提供者應自費採取適當措施解決資料外洩問題，包括減輕其不利影響的措施（包括保護操作環境的措施）。提供者還應立即採取措施，防止再次發生任何資料洩露，包括適用資料保護法要求的任何行動。
(g) 提供者應向西門子賠償因提供者造成的此類資料外洩而產生的所有成本和費用，包括但不限於向其個人資料受到資料外洩影響的個人提供信用監控的費用。本協議規定的有利於提供者的責任限制在此方面不適用。

13.文件和審計

(a) 提供者應 (i) 以適當的方式監控其自身對本 DPA 和適用資料保護法規定的資料保護義務的遵守情況；(ii) 建立相關的定期（至少年度）和基於事件的報告（每份報告均為「報告」）；(iii) 根據要求向西門子和授權實體提供報告。如果提供者實施的控制標準和框架規定了控制，則將根據監管或認證機構針對每個適用的控制標準或框架的標準和規則執行此類控制。
(b) 如果需要充分履行其在適用資料保護法、適用傳輸保障措施下的審計權利和義務，或者如果主管資料保護機構或其他主管政府機關或機構提出要求，提供者應向西門子和授權實體提供：除報告之外 - 合理要求的所有進一步信息，並允許並有助於西門子或授權實體或西門子或授權實體授權的另一位審計員進行的審計，包括檢查。為此目的，西門子、授權實體或西門子或授權實體委託的其他審核員還有權在正常工作時間內進行現場檢查，而不會中斷提供者的業務運營，並在合理的事先通知後進行。

14.Cookie 的使用

如果服務使用 cookie 或類似技術，則應適用以下規定：除非西門子參考本第 14 條另有明確同意，否則提供者應僅儲存資訊（例如，透過寫入 cookie），或存取已儲存在服務使用者的終端設備中的資訊（例如，透過 cookie）的唯一目的是透過電子通訊網路進行通訊傳輸，或是提供者提供服務核心功能所必需的。

15.各種各樣的

提供者瞭解並同意，本 DPA 中的要求是協議不可分割的一部分，嚴重違反任何這些要求均應被視為協議提供者的重大違約行為，西門子有權獲得協議中包含的重大違約相關補救措施。

16.關於西門子資料的附加要求

如果提供者存取從在美國成立的西門子集團公司（「Siemens US Company」）或美國居民資料主體收到的個人數據，則除了以上，提供者：(i) 應遵守有關適用於提供者、此類個人資料以及此類個人資料的所有者或控制者的個人資料的美國聯邦、州和地方法律；當前述規定適用時，本文所使用的術語「適用的資料保護法」應包括前述法律；(ii) 除非本協議或協議明確規定，否則不得向第三方出售、分享、出租、發布、揭露、傳播或提供個人資料；且不得將個人資料與其他資訊結合；(iii) 若提供者確定提供者無法再履行其在本協議下的義務，則應通知西門子；(iv) 應確保處理個人資料的每個人均承擔個人資料的保密義務；(v) 根據適用資料保護法（包括《加州消費者隱私法》、其實施條例及其任何修正案），應被視為並充當「服務提供者」；(vii) 特此證明其瞭解此處所含的限制並將遵守這些限制。

DPA 附件一（以及適用的標準合約條款）

A. 當事人名單

服務接受者/資料輸出者：

姓名：	執行表上指定的西門子實體
地址：	依照執行表格上的規定
聯絡人姓名、職位和聯絡方式	西門子資料保護官辦公室 Werner-von-Siemens-Straße 1, 80333 Munich, Germany 電子郵件：datapotection@siemens.com
與傳輸/處理的資料相關的活動	合作夥伴將根據協議，按照合作夥伴授權表中的規定向客戶提供客戶成功服務和/或維護和支援。在執行這些服務時，合作夥伴也可能有權存取西門子最終客戶系統和網絡，並且不能排除對個人資料的存取。
角色（控制器/處理器）	西門子充當提供者針對西門子提供的處理活動的控制者，並根據其授權實體的指示充當提供者針對授權實體提供的處理活動的處理者。

提供者/資料導入者：

姓名：	執行表上指定的提供者實體
地址：	依照執行表格上的規定
聯絡人姓名、職位和聯絡方式	依照合作夥伴授權表上的規定
與傳輸/處理的資料相關的活動	見上表
角色（控制器/處理器）	提供者充當代表西門子和授權實體（視情況而定）處理個人資料的處理者。

B. 轉移/加工操作說明

傳輸/處理個人資料的資料主體類別：	☒ 員工和工作人員（包括申請人、正式員工、臨時員工、兼職員工、實習生、承包商和代理商） ☒ 業務合作夥伴、供應商、銷售商及其他合作夥伴的聯絡人 ☒ 客戶和/或其員工和員工（包括申請人、正式員工、臨時員工、兼職員工、實習生、承包商和代理商） ☒ 西門子軟體產品/服務的用戶其他，請列出：其個人資料包含在所提供服務範圍內的應用程式或 IT 系統中的進一步受影響的資料主體。
傳輸/處理的個人資料的類別	☒ 聯絡資訊（如姓名、地址、電話或傳真號碼、電子郵件地址等） ☒ 組織機構（如職位、部門等） ☒ 位置資料（如 GPS 等）政府和個人識別碼（例如社會安全號碼、駕駛執照號碼、社會保險號碼等）財務資料（如收入、貸款檔案、交易、信用資訊、購買和消費習慣、破產狀況等） ✓ 就業資料（例如招聘資料和資格、薪資和薪資資料、員工身分資料、員工狀態、出勤資料、工作歷史資料等） ☒ 使用者帳戶資料（例如使用者名稱/ID 和密碼等） ☒ 與資料主體使用 IT 資產相關的資訊（例如 IP 位址、登入資訊、憑證等）財務帳戶資訊（例如銀行/信用卡資料、帳號、信用卡號等）其他；請列出：所提供服務範圍內的應用程式或 IT 系統中包含的任何其他個人資料。
要存取或處理的特殊類別的個人數據	有關種族或民族血統的信息政治觀點訊息 ☐ 有關宗教或哲學信仰的訊息工會會員資訊有關性生活或性取向的信息 ☐ 生物辨識數據 ☐ 遺傳數據 ✓ 健康資料（如精神或身體殘疾、家族病史、個人病史、醫療記錄、處方等）其他；請列出：本 DPA 的附件 II 描述了適用於此類敏感個人資料的限製或保護措施
傳輸頻率（訪問/處理）	☐ 提供者代表西門子和授權實體（視情況而定）託管個人數據 ☒ 提供者在提供服務時遠端存取個人數據 ☒ 一次性 ☒ 持續不斷 ☐ 提供者在提供服務時以其他方式處理個人數據一次性的連續的基礎上
處理的性質	☐ 收藏 ☒ 錄音 ☒ 組織機構 ☒ 構建儲存 ☒ 適應或改變檢索 ☒ 諮詢 ☒ 使用 ☐ 透過傳輸披露傳播 ☐ 以其他方式提供 ☐ 對齊或組合 ☐ 限制 ☐ 刪除或銷毀數據 ☒ 遠端存取其他：
與傳輸/處理的資料相關的目的/活動	☒ 提供者提供維護和支援服務，並可能具有存取權限，包括遠端存取個人資料。 ☐ 提供者透過執行與應用程式/系統或網路相關的服務來提供專業服務，例如：安裝、設定或資料遷移或其他相關 IT 服務，並且可能具有存取權限，包括遠端存取個人資料。 ☐ 供應商提供託管服務，包括資料中心和基礎設施管理、備份和復原管理，並可能具有存取權限，包括對個人資料的遠端存取。 ✓ 提供者透過提供託管、營運、管理、維護和支援服務來提供 XaaS（軟體、平台或基礎設施即服務）。 ☒ 其他：提供者提供客戶成功服務，並可能有權存取（包括遠端存取）個人資料。
期間	☐ 個人資料將在協議期限內保留。 ☐ 個人資料將保留一段時間： ☒ 其他：除非另有說明，個人資料將在訂單期間保留。
對於向子處理者的轉移，也請指定處理的主題、性質和持續時間	本 DPA 附件 III 中規定了每個子處理者的處理主題、性質和持續時間。

C. 主管監督機構

如果西門子在歐盟成員國設立，則負責確保西門子在資料傳輸方面遵守 GDPR 的監管機構應充當主管監管機構。對於德國西門子股份公司，監理機關是：

巴伐利亞州資料保護局 (BayLDA)

海濱長廊 18

91522 安斯巴赫

德國

如果西門子並非在歐盟成員國設立，但根據其第 3 條第 (2) 款屬於 GDPR 適用的領土範圍，則第 27 條含義內的代表所在成員國的監管機構 (1) GDPR 成立後應充當主管監管機構；即：

巴伐利亞州資料保護局 (BayLDA)

海濱長廊 18

91522 安斯巴赫

德國

DPA 附件 II（以及適用的標準合約條款）

技術和組織措施（包括確保資料安全的技術和組織措施）

以下措施僅適用於供應商，只要底層 IT 系統、網路和應用程式由提供者負責和/或保管或控制。提供者及其子處理者實施的技術和組織安全措施的描述：

#	措施	SFFeRA 規則 ID
實體和環境安全
	提供者採取適當的措施來防止未經授權的人員存取資料處理設備（即資料庫和應用程式伺服器以及相關硬體）。這應透過以下方式完成：建立安全區域；保護和限制存取路徑；確保分散資料處理設備和個人電腦的安全；為員工和第三方建立存取授權，包括相應的文件；門禁卡規定；門禁卡的限制；對託管個人資料的資料中心的所有存取都將被記錄、監控和追蹤；託管個人資料的資料中心受到限制存取控制和其他適當安全措施的保護；和 IT 區域和資料中心配套設備的維護和檢查只能由授權人員進行。	11.1.1-02
存取控制（IT 系統和/或 IT 應用程式）
	提供者實施角色和責任概念。	06.1.1-01
	提供者實現授權和認證框架，包括但不限於以下元素：實施基於角色的存取控制；實施建立、修改和刪除帳戶的流程；對 IT 系統和應用程式的存取受到身份驗證機制的保護；根據 IT 系統或應用程式的特性和技術選項，使用適當的身份驗證方法；存取 IT 系統和應用程式至少需要對特權帳戶進行雙重認證；所有對個人資料的存取都會被記錄、監控和追蹤；實施 IT 系統和應用程式入站網路連線的授權和日誌記錄措施（包括允許或拒絕入站網路連線的防火牆）；對 IT 系統、應用程式和網路服務的特權存取權限僅授予需要完成任務的個人（最小特權原則）；對 IT 系統和應用程式的特權存取權已記錄並保持最新狀態；定期審查和更新 IT 系統和應用程式的存取權限；實施密碼政策，包括有關密碼複雜性、最短長度和足夠時間後過期的要求，不得重複使用最近使用過的密碼； IT 系統和應用程式從技術上強制執行密碼策略；在僱用或合約終止後，員工和外部人員對 IT 系統和應用程式的存取權限立即被取消；和確保使用最先進的安全認證證書。	09.1.1-02 09.1.1-03 09.2.3-01 09.4.2-02
	IT 系統和應用程式在超過合理定義的空閒時間限制後自動鎖定或終止會話。	11.2.9-03 11.2.9-04
	提供者將對雲端資產的特權存取限制為單一或特定範圍的 IP 位址。	ST002-0008
	對雲端資產的特權存取是透過堡壘主機完成的。	ST002-0009
	提供者在 IT 系統上維護登入程序，並防範可疑登入活動（例如，防止暴力破解和密碼猜測攻擊）。	09.4.2-02
可用性控制
	提供者透過實施適當且最先進的反惡意軟體解決方案來保護系統和應用程式免受惡意軟體的侵害。	12.2.1-01
	提供者定義、記錄並實施 IT 系統的備份概念，包括以下技術和組織要素：備份儲存媒體受到保護，免受未經授權的存取和環境威脅（例如熱、濕度、火災）；定義的備份間隔；和根據 IT 系統或應用程式的重要性定期測試從備份還原資料。	12.3.1-01
	提供者將備份儲存在與託管生產系統的位置不同的實體位置。	ST002-0013
	非生產環境中的 IT 系統和應用程式與生產環境中的 IT 系統和應用程式在邏輯或物理上分離。	12.1.4-01
	儲存或處理個人資料的資料中心受到保護，免受自然災害、實體攻擊或事故的影響。	11.1.4-02
	IT 區域和資料中心的支援設備（例如電纜、電力、電信設施、供水或空調系統）受到保護，免受干擾和未經授權的操作。	11.1.4-02
營運安全
	提供者維護並實施反映本文所述措施的資訊安全框架，並定期審查和更新。	05.1.1-01
	提供者記錄與安全性相關的事件，例如使用者管理活動（例如建立、刪除）、登入失敗、IT 系統和應用程式上的系統安全配置的變更。	12.4.1-01
	提供者不斷分析各自的 IT 系統和應用程式日誌數據，以發現異常、違規行為、妥協跡象和其他可疑活動。	12.4.1-03
	提供者定期掃描和測試 IT 系統和應用程式是否有安全漏洞。	12.6.1-01
	提供者實施並維護 IT 系統和應用程式的變更管理流程。	12.1.2-01
	提供者維護一個流程來更新和實施供應商安全修復程序以及相應 IT 系統和應用程式的更新。	12.6.1-03
	提供者在處置或重複使用 IT 系統之前不可挽回地擦除資料或實體銷毀資料儲存媒體。	11.2.7-01
變速箱控制
	提供者定期記錄並更新網路拓撲及其安全要求。	13.1.1-02
	提供者持續、有系統地監控 IT 系統、應用程式和相關網路區域，以偵測惡意和異常網路活動防火牆（例如狀態防火牆、應用程式防火牆）；代理伺服器；入侵偵測系統（IDS）和/或入侵防禦系統（IPS）；網址過濾；和安全資訊和事件管理 (SIEM) 系統。	13.1.1-06
	提供者透過使用最先進的加密連接來管理 IT 系統和應用程式。	13.1.3-09
	提供者透過最先進的網路協定（例如 TLS）在傳輸過程中保護內容的完整性。	13.2.3-05
	提供者對透過公共網路傳輸的提供者資料進行加密，或使其提供者能夠對其進行加密。	ST002-0017
	提供者使用安全金鑰管理系統 (KMS) 將金鑰儲存在雲端。	ST002-0018
安全事件
	提供者維護並實施事件處理流程，包括但不限於：安全漏洞記錄；提供者通知流程；和事件回應計劃，用於在事件發生時解決以下問題：(i) 發生妥協時的角色、職責以及溝通和聯繫策略 (ii) 具體事件回應程序以及 (iii) 所有關鍵系統組件的覆蓋範圍和回應。	06.1.3-01
資產管理、系統採購、開發與維護
	提供者在開發和取得新 IT 系統和應用程式以及改進現有 IT 系統和應用程式之前識別並記錄資訊安全要求。	14.1.1-01
	提供者建立正式流程來控制和執行對已開發應用程式的變更。	14.2.2-01
	提供者計劃並將安全測試納入 IT 系統和應用程式的系統開發生命週期。	14.2.8-01
	提供者實施了充分的安全修補流程，其中包括：監控組件的潛在弱點（CVE）；修復的優先順序；及時實施修復；和從可靠來源下載補丁。	08.1.1-01 PR001-0001
人力資源保障
	供應商在人力資源保障方面實施以下措施：有權存取個人資料的員工受保密義務的約束；和有權存取個人資料的員工定期接受有關適用資料保護法律和法規的培訓。	07.1.1-01
	提供者為提供者員工和外部供應商實施離職流程。	07.3.1-02 08.1.4-01
密碼學（與網路服務情境中的 DP 相關）
	提供者使用最先進的安全證書並實現以下內容：只有當數位憑證由受信任的憑證授權單位頒發時，數位憑證才會被接受和信任；證書被使用並分配給專用 IT 系統和應用程式；和驗證數位證書的有效性。	07.1.1-01
	提供者實施管理和實施加密金鑰的流程，包括產生、儲存、備份、分發和撤銷加密金鑰的規則和要求。	07.3.1-02 08.1.4-01

DPA 附件 III（以及適用的標準合約條款）

子處理者和資料中心位置列表

「合作夥伴授權表」規定了

參與個人資料儲存/託管的實體（包括合作夥伴和子處理者），

適用的資料中心位置，

出於非儲存/託管目的而從事個人資料處理的分處理者，

其經引用併入本文。

未經西門子同意，提供者不得從相應資料中心位置傳輸個人資料。第 8 條所包含的通知和反對機制不適用於此。