3 。控制器-處理者關係
3.1 各方角色 G-P也透過 GPP 提供各種軟體即服務產品， G-P透過 GPP 讓客戶能夠管理與這些專業人士的關係。 當G-P向客戶提供 GPP 存取權限時， G-P是客戶指定的 GPP 授權使用者上傳到 GPP 的帳戶相關個人資料的處理者，而客戶是此類資料的控制者，並且本節3 （「控制者-處理者關係」）的規定適用。
3.2 指示。 G-P將依照客戶書面指示處理客戶資料。 客戶同意，本資料處理協議、主協議以及附件一構成客戶向G-P就客戶資料處理事宜所作的完整指示。 任何附加或替代指示必須由雙方以書面形式達成一致，包括遵守此類指示所產生的費用（如有）。客戶應確保其指示符合適用的資料保護法律。客戶承認， G-P沒有責任確定哪些法律適用於客戶的業務。 客戶應確保G-P依照客戶指示處理客戶資料時，不會導致G-P違反任何適用法律，包括適用的資料保護法律。但是，如果G-P認為客戶的指示違反了適用的資料保護法律， G-P應在合理可行的範圍內盡快通知客戶，並且 GP 無需遵守此類侵權指示。
3.3 處理細節 .處理標的事項、持續時間、性質和目的、客戶資料類型和資料當事人的詳細資料，請參閱隨附的附件一。
3.4 合規。 客戶和G-P同意遵守適用於附件一中規定的客戶資料處理的資料保護法律規定的各自義務。客戶在向G-P披露、轉移或以其他方式提供任何客戶資料之前，對處理客戶資料的合法性負有全部責任，並遵守資料保護法律。 為避免疑義，在任何情況下，客戶應在必要時取得資料主體的同意，以便G-P依照客戶的指示處理客戶資料。
3.5 子處理器 客戶授權G-P指定並使用處理者（「子處理者」）處理與服務相關的客戶資料。 分包商可能包括第三方或G-P集團公司的任何成員。 G-P可以繼續使用截至本資料處理協議簽署之日G-P已聘用的分包商，此類分包商的名單請參閱下文附件三。 若分包商未能履行上述資料保護義務， G-P應就分包商履行義務的情況對客戶負責。 G-P應透過 GPP 通知客戶其子處理商名單的任何變更。 如果在收到該通知後的10 （十）天內，客戶基於資料保護理由對增加或移除子處理者提出正當異議，且G-P無法合理滿足客戶的異議，則雙方將本著誠意討論客戶的疑慮，以期解決此事。
3.6 技術與組織安全措施 考慮到行業標準、實施成本、處理的性質、範圍、背景和目的，以及與客戶資料處理相關的任何其他相關情況， G-P應實施適當的技術和組織安全措施，以確保處理客戶資料所涉及的處理系統和服務的安全性、保密性、完整性、可用性和彈性與此類客戶資料的風險相稱，詳見附件二。 G-P將定期 (i) 測試和監控其保障措施、控制措施、系統和程序的有效性，以及 (ii) 識別客戶資料安全、保密性和完整性方面可合理預見的內部和外部風險，並確保這些風險得到解決。
3.7 保密性 .G-P 應確保獲授權存取客戶資料的人員 (i) 已承諾保密或負有適當的法定保密義務，且 (ii) 僅根據 G-P 的文件指示存取客戶資料，除非適用法律另有規定。
3.8 個人資料外洩。 G-P在知悉與客戶資料處理相關的任何資料外洩事件後，將立即通知客戶，並將盡合理努力協助客戶盡可能減輕任何資料外洩事件的不利影響。 .
3.9 刪除個人資料。 在結束聘用服務後 (不論任何理由)，G-P 須在合理可行的情況下，盡快歸還或刪除儲存於 GPP 的客戶資料，除非適用法律規定客戶資料須儲存一段較長時間。 對於此類保留，本 DPA 的規定應繼續適用於此類客戶資料。
3.10 資料當事人要求 G-P應及時將資料主體提出的任何關於客戶資料的請求告知客戶。 客戶負責回應此類請求。如果客戶在使用 GPP 時無法存取相關的客戶數據， G-P將合理地協助客戶回應此類資料主體請求。
3.11 第三方要求 .如果 G-P 收到第三方的任何要求或任何法院、審裁處、監管機構或 G-P 受其管轄的有管轄權的政府機構的命令，與根據本協議處理客戶資料有關，G-P 將立即將該要求轉發給客戶。未經客戶事先授權，G-P 不會回應此類要求，除非法律強制這樣做。除非法律禁止，否則 G-P 在披露任何客戶資料前將事先通知客戶，並將與客戶合理合作，將披露範圍限制在法律要求的範圍內。
3.12 資料保護影響評估與事先諮詢 .在資料保護法規定的範圍內，G-P 應向客戶提供合理的協助，以進行與 G-P 處理客戶資料相關的資料保護影響評估，和/或與監管機構進行任何必要的事先協商。G-P 保留就提供此類協助向客戶收取合理費用的權利。
3.13 審計。 Customer may audit G-P compliance with this DPA and Data Protection Laws by requesting a certificate issued for security verification reflecting the outcome of an audit conducted by a third party auditor (e.g., ISO27001 certification, SOC2 certificate), within twelve (12) months as of the date of Customer’s request. Alternatively, in the event the documentation provided subject to this Section 3.13 is not sufficient for the purpose of demonstrating compliance, the Customer may conduct its own audit in addition to the provided third party certifications or reports, provided that such audit shall be conducted: i) no more than once per each 12 (twelve) months period; ii) during normal business hours and without disrupting G-P’s day-to-day business; iii) with thirty (30) days prior written notice; iv) at the Customer’s sole expense; v) based upon mutually agreed parameters and scope, limited to the specific scope of services, systems in use and/or Processing activities contemplated hereunder; vi) based upon mutually agreed in advance date, subject to reasonable postponement by Customer upon G-P’s reasonable request; and vii) in accordance with all confidentiality obligations and restrictions. Notwithstanding the forgoing, no audit right is granted after termination of the Master Agreement, except for legal obligations that will have to be demonstrated by the Customer. Any third-party representative selected to perform an audit on behalf of Customer must not have an ownership interest in or affiliation with an EOR services company, agency, a related organization or consultant. Nothing in this DPA will require G-P to either disclose to Customer or its third-party auditor, or to allow Customer or its third-party auditor to access: (i) any data of any other G-P’s customer; (ii) G-P’ internal accounting or financial information; (iii) any trade secret of G-P or its affiliates; (iv) any information that, in G-P’ reasonable opinion, could compromise the security of any G-P’s systems or cause any breach of its obligations under applicable law or its security or privacy obligations to any third party; or (v) any information that Customer or its third-party auditor seeks to access for any reason other than the good faith fulfillment of Customer’s obligations under the Data Protection Laws.
3.14 美國隱私權法律。 根據本節3 ，雙方同意G-P是“服務提供者”或“處理者”，這些術語的定義見適用的美國隱私法。 因此，如果美國隱私法適用於G-P對客戶資料的處理， G-P不得：(a)在G-P與客戶之間的直接業務關係之外保留、使用或披露任何客戶數據，或用於附件一所列目的之外的任何其他目的，並且G-P僅在向客戶提供服務期間處理客戶數據；(b)共享任客戶數據；(c)共享任客戶資料；(c)何客戶資料；或(d)將GP從客戶處或代表客戶接收的客戶資料與G-P從他人處或代表他人接收的，或從其自身與消費者互動中收集的「個人資料」（該術語或等效術語的定義見適用的資料保護法）合併，但如果合併客戶資料屬於向客戶提供服務的範疇，則G-P可以合併客戶資料。 在適用情況下，任何一方如認定自己無法再履行其在美國隱私權法項下的義務，應通知另一方。
4 。國際資料傳輸
4.1 適當的保護 G-P在正常業務過程中被授權向其關聯公司和/或子處理商進行全球範圍內的客戶資料傳輸。 當向相關資料保護機構尚未認定其能夠根據資料保護法為個人資料提供足夠保護水準的地區進行此類資料傳輸時， G-P應確保採取適當的保護措施，以保障根據主協議或與主協議相關的傳輸的客戶資料的安全。
4.2 資料隱私框架。 專業人員 客戶資料儲存在 GPP 中， G-P託管於美國。 GP 已通過歐盟-美國資料隱私框架 (EU-US DPF) 認證，並在適用情況下通過歐盟-美國資料隱私框架的英國擴展以及瑞士-美國資料隱私框架 (Swiss-US DPF) 認證。 G-P的認證資訊可在DPF網站上公開查詢。 https://www.dataprivacyframework.gov/list 。歐盟委員會認為歐盟-美國資料隱私框架是充分的，分別是根據《一般資料保護規範》(GDPR)、英國《一般資料保護規範》(GDPR) 和 FADP 第45條的合法資料傳輸機制。 如果 DPF 框架被認定無效、暫停或不再被認可為對國際化資料傳輸提供充分的保護，則處理者同意簽訂並遵守由歐盟委員會、英國資訊專員辦公室 (ICO) 或瑞士聯邦資料保護和資訊專員 (FDPIC) 簽發或批准的標準合約條款 (SCC)（視情況而定）。 雙方應本著誠意合作，實施任何必要的補充措施，以確保傳輸的資料獲得基本同等的保護水準。
4.3 標準合約條款。 雙方同意，當客戶（作為「資料匯出方」）向G-P （作為「資料導入方」）傳輸個人資料屬於受限傳輸，且適用的資料保護法律要求採取適當的保障措施時，此類傳輸應受相應的標準合約條款的約束，這些條款應被視為已納入本資料處理協議並構成其一部分，具體如下：
一個。對於受《一般資料保護規範》(GDPR) 保護的個人資料的傳輸，應適用歐盟 SCC，並按以下方式填寫：
i. 適用模組一和模組二；
ii. 在第7條中，可選的停靠條款將適用；
iii. 在第二模組第9條中，將適用選項2 ，且子處理者變更的事先通知期限應依照本資料處理協定第3條的規定執行。 5條；
iv. 在第11條款中，可選語言將不適用；
v. 根據第12條，根據歐盟標準合約條款提出的任何索賠應受主協議中規定的條款和條件的約束；
vi. 在第17條中，選擇1 ，歐盟標準合約條款將受愛爾蘭法律管轄；
vii. 根據第18 (b)條，爭議應由愛爾蘭法院解決；
八、歐盟標準合約條款附件一應視為已包含本資料處理協議附件1所列資訊；
九、歐盟標準合約條款附件二應視為已包含本資料處理協議附件2中所列出的資訊；
x. 歐盟標準合約條款第二模組附件三應視為已包含本資料處理協議附件3中列出的資訊。
b.對於受英國資料保護法或瑞士資料保護法保護的個人資料傳輸，根據上述第 (a) 款實施的歐盟標準合約條款將適用，但需作以下修改：
i. 凡提及「（歐盟） 2016 / 679條例」應解釋為提及英國資料保護法或瑞士資料保護法（視情況而定）；
ii. 對「歐盟2016 / 679條例」具體條款的引用應替換為英國資料保護法或瑞士資料保護法（如適用）的相應條款或章節；
iii. 凡提及“歐盟”、“聯盟”、“成員國”和“成員國法律”之處，應替換為提及“英國”或“瑞士”，或“英國法律”或“瑞士法律”（視情況而定）；
四、「成員國」一詞的解釋不得排除英國或瑞士的資料主體在其慣常居住地（即英國或瑞士）提起訴訟以維護其權利的可能性；
v. 附件一第13 (a)條及C部分不適用，「主管監管機構」為英國資訊專員或瑞士聯邦資料保護資訊專員（視情況而定）；
六、凡提及「主管監管機構」及「主管法院」之處，應替換為提及「資訊專員」及「英格蘭及威爾斯法院」或「瑞士聯邦資料保護資訊專員」及「瑞士適用法院」（視情況而定）；
七、依第17條，標準合約條款應受英格蘭及威爾斯或瑞士（視情況而定）法律管轄；
viii. 對於適用英國資料保護法的傳輸，第18條應修改為「因本條款引起的任何爭議應由英格蘭和威爾斯法院解決。資料主體可以向英國境內任何國家的法院對資料出口商和/或資料進口商提起法律訴訟。雙方同意接受此類法院的管轄”，並且對於適用瑞士資料保護法的傳輸，第18條(b)款規定，爭議應由瑞士適用法院解決。
九、對於受英國《一般資料保護規範》(GDPR)保護的數據，歐盟標準合約條款將按以下方式適用：(i) 根據上文第 (i) 至 (viii) 段的規定完成適用；以及 (ii) 視為已按照英國附錄第2部分的規定進行修訂，該附錄應視為已納入本資料處理協議並構成其不可分割的一部分。 此外，英國附錄第1部分中的表1至3應分別填入本 DPA 附件 I 和附件 II 中列出的信息，英國附錄第1部分中的表4應視為通過選擇“雙方均不”而填入。
c.對於受巴西《通用資料保護法》(LGPD)保護的個人數據，無論是直接傳輸還是透過後續傳輸，傳輸至巴西境外且未獲得巴西國家資料保護局(ANPD)充分性決定的國家，巴西標準合約條款(SCC)將被視為已訂立，並透過此引用併入本資料處理協議(DPA)，並按如下方式完成：
i. 巴西標準合約條款第2條已透過附件一描述資料傳輸的資訊滿足；
二、在巴西標準合約條款3中，應適用選項 B，並允許根據本資料處理協議第3條、 5 （「子處理者」）進行後續傳輸。本資料保護協議附件一規定了處理的主題、性質和期限；
三、本DPA附件一所列資訊符合巴西標準合約條款4的要求。如果G-P是控制者，則它將是巴西標準合約條款中定義的“指定方”，並且就巴西標準合約條款第14條（透明度）、第15條（資料主體權利）和第16條（事件報告）而言，它是指定方。 客戶仍需負責遵守巴西標準合約條款第14條（透明度）、第15條（資料主體權利）和第16條（事件報告）的規定，以處理其可能作為控制者的任何個人資料；
四、在巴西標準合約條款第9條中，可選的對接條款將不適用；
v. 巴西標準合約條款第三部分（安全措施）將被視為已包含本資料處理協議附件二中規定的資訊。
4.4 意外資料傳輸 如果在提供服務的過程中，任何一方發現發生或可能發生個人資料傳輸，而該傳輸尚未透過本資料處理協議第4 、 1至4 、 3節規定的機制予以處理，則雙方應立即相互通知，並本著誠信原則合作，在不無故拖延的情況下實施適用資料保護法律要求的額外傳輸機製或可能要求的額外傳輸。在雙方商定並落實適當的機制之前，任何一方均無義務進行任何此類不可預見的轉讓。
