3 。控制器-处理者关系
3.1 各方角色 G-P还通过 GPP 提供各种软件即服务产品， G-P通过 GPP 使客户能够管理与这些专业人士的关系。 当G-P向客户提供 GPP 访问权限时， G-P是客户指定的 GPP 授权用户上传到 GPP 的账户相关个人数据的处理者，而客户是此类数据的控制者，并且本节3 （“控制者-处理者关系”）的规定适用。
3.2 指示。 G-P将按照客户书面指示处理客户数据。 客户同意，本数据处理协议、主协议以及附件一构成客户向G-P就客户数据处理事宜作出的完整指示。 任何附加或替代指示必须由双方以书面形式达成一致，包括遵守此类指示所产生的费用（如有）。客户应确保其指示符合适用的数据保护法律。客户承认， G-P没有责任确定哪些法律适用于客户的业务。 客户应确保G-P按照客户指示处理客户数据时，不会导致G-P违反任何适用法律，包括适用的数据保护法律。但是，如果G-P认为客户的指示违反了适用的数据保护法律， G-P应在合理可行的范围内尽快通知客户，并且 GP 无需遵守此类侵权指示。
3.3 处理细节 .处理的主题事项、持续时间、性质和目的以及客户资料和资料主体的类型详见附件 I。
3.4 合规。 客户和G-P同意遵守适用于附件一中规定的客户数据处理的数据保护法律规定的各自义务。客户在向G-P披露、转移或以其他方式提供任何客户数据之前，对处理客户数据的合法性负有全部责任，并遵守数据保护法律。 为避免疑义，在任何情况下，客户均应在必要时取得数据主体的同意，以便G-P按照客户的指示处理客户数据。
3.5 分处理器 客户授权G-P指定并使用处理者（“子处理者”）处理与服务相关的客户数据。 分包商可能包括第三方或G-P集团公司的任何成员。 G-P可以继续使用截至本数据处理协议签署之日G-P已聘用的分包商，此类分包商的名单见下文附件三。 如果分包商未能履行上述数据保护义务， G-P应就分包商履行义务的情况对客户承担责任。 G-P应通过 GPP 通知客户其子处理商名单的任何变更。 如果在收到该通知后的10 （十）天内，客户基于数据保护理由对增加或移除子处理者提出正当异议，且G-P无法合理满足客户的异议，则双方将本着诚意讨论客户的疑虑，以期解决此事。
3.6 技术和组织安全措施 考虑到行业标准、实施成本、处理的性质、范围、背景和目的，以及与客户数据处理相关的任何其他相关情况， G-P应实施适当的技术和组织安全措施，以确保处理客户数据所涉及的处理系统和服务的安全性、保密性、完整性、可用性和弹性与此类客户数据的风险相称，详见附件二。 G-P将定期 (i) 测试和监控其保障措施、控制措施、系统和程序的有效性，以及 (ii) 识别客户数据安全、保密性和完整性方面可合理预见的内部和外部风险，并确保这些风险得到解决。
3.7 保密性 G-P应确保获授权访问客户数据的人员 (i) 已承诺保密或负有适当的法定保密义务，并且 (ii) 仅在G-P的书面指示下访问客户数据，除非适用法律要求这样做。
3.8 个人数据泄露。 G-P在知悉与客户数据处理相关的任何数据泄露事件后，将立即通知客户，并将尽合理努力协助客户尽可能减轻任何数据泄露事件的不利影响。 .
3.9 删除个人数据。 终止使用服务（无论出于何种原因）后， G-P应在合理可行的范围内尽快退还或删除存储在 GPP 中的客户数据，除非适用法律要求将客户数据存储更长时间。 对于此类保留，本 DPA 的规定应继续适用于此类客户数据。
3.10 数据当事人请求 G-P应及时将数据主体提出的有关客户数据的任何请求告知客户。 客户负责回应此类请求。如果客户在使用 GPP 时无法访问相关的客户数据， G-P将合理地协助客户回应此类数据主体请求。
3.11 第三方要求 如果G-P收到任何第三方提出的请求，或任何有管辖权的法院、仲裁庭、监管机构或政府机构的命令，而G-P须遵守该等请求或命令，且该等请求或命令与本协议项下客户数据的处理有关， G-P将立即将该请求转交给客户。 除非法律强制要求，否则未经客户事先授权， G-P不会回应此类请求。 除非法律禁止，否则G-P将在披露客户数据之前事先通知客户，并将与客户合理合作，将此类披露的范围限制在法律要求的范围内。
3.12 数据保护影响评估和事先咨询 在数据保护法律要求的范围内， G-P应向客户提供合理的协助，以便就G-P进行的客户数据处理进行数据保护影响评估，和/或与监管机构进行任何必要的事先磋商。 G-P保留向客户收取合理费用的权利，以提供此类帮助。
3.13 审计。 Customer may audit G-P compliance with this DPA and Data Protection Laws by requesting a certificate issued for security verification reflecting the outcome of an audit conducted by a third party auditor (e.g., ISO27001 certification, SOC2 certificate), within twelve (12) months as of the date of Customer’s request. Alternatively, in the event the documentation provided subject to this Section 3.13 is not sufficient for the purpose of demonstrating compliance, the Customer may conduct its own audit in addition to the provided third party certifications or reports, provided that such audit shall be conducted: i) no more than once per each 12 (twelve) months period; ii) during normal business hours and without disrupting G-P’s day-to-day business; iii) with thirty (30) days prior written notice; iv) at the Customer’s sole expense; v) based upon mutually agreed parameters and scope, limited to the specific scope of services, systems in use and/or Processing activities contemplated hereunder; vi) based upon mutually agreed in advance date, subject to reasonable postponement by Customer upon G-P’s reasonable request; and vii) in accordance with all confidentiality obligations and restrictions. Notwithstanding the forgoing, no audit right is granted after termination of the Master Agreement, except for legal obligations that will have to be demonstrated by the Customer. Any third-party representative selected to perform an audit on behalf of Customer must not have an ownership interest in or affiliation with an EOR services company, agency, a related organization or consultant. Nothing in this DPA will require G-P to either disclose to Customer or its third-party auditor, or to allow Customer or its third-party auditor to access: (i) any data of any other G-P’s customer; (ii) G-P’ internal accounting or financial information; (iii) any trade secret of G-P or its affiliates; (iv) any information that, in G-P’ reasonable opinion, could compromise the security of any G-P’s systems or cause any breach of its obligations under applicable law or its security or privacy obligations to any third party; or (v) any information that Customer or its third-party auditor seeks to access for any reason other than the good faith fulfillment of Customer’s obligations under the Data Protection Laws.
3.14 美国隐私法。 根据本节3 ，双方同意G-P是“服务提供商”或“处理者”，这些术语的定义见适用的美国隐私法。 因此，如果美国隐私法适用于G-P对客户数据的处理， G-P不得：(a)在G-P与客户之间的直接业务关系之外保留、使用或披露任何客户数据，或用于附件一所列目的之外的任何其他目的，并且G-P仅在向客户提供服务期间处理客户数据；(b)出售任何客户数据；(c)共享任何客户数据；或(d)将GP从客户处或代表客户接收的客户数据与G-P从他人处或代表他人接收的，或从其自身与消费者互动中收集的“个人数据”（该术语或等效术语的定义见适用的数据保护法）合并，但如果合并客户数据属于向客户提供服务的范畴，则G-P可以合并客户数据。 在适用情况下，任何一方如认定自己无法再履行其在美国隐私法项下的义务，应通知另一方。
4 。国际数据传输
4.1 适当的保护 G-P在正常业务过程中被授权向其关联公司和/或子处理商进行全球范围内的客户数据传输。 当向相关数据保护机构尚未认定其能够根据数据保护法为个人数据提供足够保护水平的地区进行此类数据传输时， G-P应确保采取适当的保护措施，以保障根据主协议或与主协议相关的传输的客户数据的安全。
4.2 数据隐私框架。 员工 客户数据存储在 GPP 中， G-P托管于美国。GP 已通过欧盟-美国数据隐私框架 (EU-US DPF) 认证，并在适用情况下通过欧盟-美国数据隐私框架的英国扩展以及瑞士-美国数据隐私框架 (Swiss-US DPF) 认证。 G-P的认证信息可在DPF网站上公开查询。 https://www.dataprivacyframework.gov/list 。欧盟委员会认为欧盟-美国数据隐私框架是充分的，是分别根据《通用数据保护条例》、英国《通用数据保护条例》和FADP第45条的合法数据传输机制。 如果 DPF 框架被认定无效、暂停或不再被认可为对国际化数据传输提供充分保护，则处理者同意签订并遵守由欧盟委员会、英国信息专员办公室 (ICO) 或瑞士联邦数据保护和信息专员 (FDPIC) 签发或批准的标准合同条款 (SCC)（视情况而定）。 双方应本着诚意合作，实施任何必要的补充措施，以确保所传输的数据获得基本同等的保护水平。
4.3 标准合同条款。 双方同意，当客户（作为“数据导出方”）向G-P （作为“数据导入方”）传输个人数据属于受限传输，且适用的数据保护法律要求采取适当的保障措施时，此类传输应受相应的标准合同条款的约束，这些条款应被视为已纳入本数据处理协议并构成其一部分，具体如下：
一个。对于受《通用数据保护条例》保护的个人数据的传输，欧盟 SCC 应适用，填写如下：
i. 适用模块一和模块二；
ii. 在第7条中，可选的停靠条款将适用；
iii. 在第二模块第9条中，将适用选项2 ，并且子处理者变更的事先通知期限应按照本数据处理协议第3条的规定执行。 5条；
iv. 在第11条款中，可选语言将不适用；
v. 根据第12条，根据欧盟标准合同条款提出的任何索赔均应受主协议中规定的条款和条件的约束；
vi. 在第17条中，选择1 ，欧盟标准合同条款将受爱尔兰法律管辖；
vii. 根据第18 (b)条，争议应由爱尔兰法院解决；
八、欧盟标准合同条款附件一应视为已包含本数据处理协议附件1所列信息；
九、欧盟标准合同条款附件二应视为已包含本数据处理协议附件2中列出的信息；
x. 欧盟标准合同条款第二模块附件三应视为已包含本数据处理协议附件3中列出的信息。
b.对于受英国数据保护法或瑞士数据保护法保护的个人数据传输，根据上述第 (a) 款实施的欧盟标准合同条款将适用，但需作如下修改：
i. 凡提及“（欧盟） 2016 / 679条例”均应解释为提及英国数据保护法或瑞士数据保护法（视情况而定）；
ii. 对“欧盟2016 / 679条例”具体条款的引用应替换为英国数据保护法或瑞士数据保护法（如适用）的相应条款或章节；
iii. 凡提及“欧盟”、“联盟”、“成员国”和“成员国法律”之处，应替换为提及“英国”或“瑞士”，或“英国法律”或“瑞士法律”（视情况而定）；
四、“成员国”一词的解释不得排除英国或瑞士的数据主体在其惯常居住地（即英国或瑞士）提起诉讼以维护其权利的可能性；
v. 附件一第13 (a)条和C部分不适用，“主管监管机构”为英国信息专员或瑞士联邦数据保护信息专员（视情况而定）；
六、凡提及“主管监管机构”和“主管法院”之处，应替换为提及“信息专员”和“英格兰和威尔士法院”或“瑞士联邦数据保护信息专员”和“瑞士适用法院”（视情况而定）；
七、根据第17条，标准合同条款应受英格兰和威尔士或瑞士（视情况而定）法律管辖；
viii. 对于适用英国数据保护法的传输，第18条应修改为“因本条款引起的任何争议均应由英格兰和威尔士法院解决。数据主体可以向英国任何国家/地区的法院对数据出口商和/或数据进口商提起法律诉讼。 双方同意接受此类法院的管辖”，并且对于适用瑞士数据保护法的传输，第18条(b)款规定，争议应由瑞士适用法院解决。
九、对于受英国《通用数据保护条例》保护的数据，欧盟标准合同条款将按以下方式适用：(i) 根据上文第 (i) 至 (viii) 段的规定完成适用；以及 (ii) 视为已按照英国附录第2部分的规定进行修订，该附录应视为已纳入本数据保护协议并构成其不可分割的一部分。 此外，英国附录第1部分中的表1至3应分别填入本 DPA 附件 I 和附件 II 中列出的信息，英国附录第1部分中的表4应视为通过选择“双方均不”而填入。
c.对于受巴西《通用数据保护法》(LGPD)保护的个人数据，无论是直接传输还是通过后续传输，传输至巴西境外且未获得巴西国家数据保护局(ANPD)充分性决定的国家/地区，巴西标准合同条款(SCC)将被视为已订立，并通过此引用纳入本数据处理协议(DPA)，并按如下方式完成：
i. 巴西标准合同条款第2条已通过附件一中描述数据传输的信息得到满足；
二、在巴西标准合同条款3中，应适用选项 B，并允许根据本数据处理协议第3条、 5 （“子处理者”）进行后续传输。本数据保护协议附件一规定了处理的主题、性质和期限；
三、本DPA附件一所列信息满足巴西标准合同条款4的要求。如果G-P是控制者，则它将是巴西标准合同条款中定义的“指定方”，并且就巴西标准合同条款第14条（透明度）、第15条（数据主体权利）和第16条（事件报告）而言，它是指定方。 客户仍需负责遵守巴西标准合同条款第14条（透明度）、第15条（数据主体权利）和第16条（事件报告）的规定，以处理其可能作为控制者的任何个人数据；
四、在巴西标准合同条款第9条中，可选的对接条款将不适用；
v. 巴西标准合同条款第三部分（安全措施）将被视为已包含本数据处理协议附件二中规定的信息。
4.4 意外数据传输 如果在提供服务的过程中，任何一方发现发生或可能发生个人数据传输，而该传输尚未通过本数据处理协议第4 、 1至4 、 3节规定的机制予以处理，则双方应立即相互通知，并本着诚信原则合作，在不无故拖延的情况下实施适用数据保护法律可能要求的额外传输机制或补充措施，以确保该传输的合法性。在双方商定并落实适当的机制之前，任何一方均无义务进行任何此类不可预见的转让。
