数据保护附录

本数据保护附录及其附件（本“DPA”）构成贵方与IQAX之间达成的关于贵方使用和接收服务的协议的一部分。 下单或使用本服务，即表示您同意本DPA。IQAX可根据使用条款不时修订本DPA。如有任何不一致之处，任何特别条款应优先于本DPA。

1.  应用

1.1           本DPA适用于贵方（包括贵方的用户）在IQAX平台或向IQAX发布的，或代贵方发布的所有与协议（包括贵方使用和接收服务）相关的所有个人数据（“发布的个人数据”）

1.2           贵方同意，贵方是发布的个人数据的独立控制者，或贵方已获得相关控制者的授权，同意处理与协议有关的发布的个人数据。  如果在与协议有关的发布的个人数据的处理方面，贵方不是独立控制者，则贵方同意： 

(A)           告知IQAX相关控制者的身份和联系方式；和 
(B)           就相关控制者在适用的数据保护法项下的权利和义务，代表相关控制者行事，作为本DPA下的单一联络点。

1.3           贵方指定IQAX作为处理与协议有关的发布的个人数据的处理机构。

2. 处理

2.1           发布的个人数据的详情、数据主体的类别以及与协议有关的发布的个人数据的处理性质、目的、主题和持续时间见本DPA附件A。

2.2           根据第2.3条的规定，IQAX应仅根据贵方的书面指示处理发布的个人数据。书面指示即本DPA附件A中所载指示，或贵方与IQAX另外以书面形式约定的指示。  

2.3           如适用法律要求，IQAX可为其他目的处理发布的个人数据，前提是应在适用法律允许的范围内，并且IQAX在处理之前通知贵方该等法律要求及拟议处理。

3. 技术和组织安全措施

3.1           IQAX应确保根据其授权有权获得发布的个人数据的任何人，均受适当的合同或法定保密义务的约束。

3.2           IQAX应采取适用的数据保护法要求的措施，包括实施适当的技术和组织措施，以确保达到与发布的个人数据处理相关风险相适应的安全水平。

3.3           贵方同意，本DPA附件A中所载技术和组织措施是根据协议处理贵方发布的个人数据的适当措施。

4. 贵方的责任

4.1           贵方同意：

(A)           贵方应遵守适用的数据保护法以及贵方在本DPA项下与协议以及贵方使用和接收服务有关的义务；
(B)           贵方应自行负责判断服务是否足以确保贵方（以及相关控制者（如适用））符合适用的数据保护法的要求，且贵方已评估了该等服务和协议（包括本DPA附件A中所述事项），确定服务足以满足前述合规要求；
(C)           贵方应（并应确保贵方的用户）仅向根据适用的数据保护法，以合法方式根据协议（包括本DPA）处理个人数据的IQAX或IQAX平台发布个人数据；
(D)           贵方不得（并且应确保贵方的用户不会）在IQAX或IQAX平台发布除本DPA附件A所列类型或以书面形式另行约定的个人数据之外的任何个人数据（尤其是，不得在IQAX或IQAX平台发布特殊类别个人数据）；
(E)            贵方应确保，已向发布的个人数据相关的所有数据主体提供了适用的数据保护法要求的充分公平和透明的处理信息，并涵盖将进行的与协议相关的处理；
(F)            贵方应确保贵方向IQAX发出的与发布的个人数据处理相关的所有指示均符合适用的数据保护法；
(G)           如贵方在任何时候怀疑协议项下发布的个人数据的处理违反适用的数据保护法，贵方应立即通知IQAX；
(H)           贵方（及相关控制者）全权负责回应并遵守与根据适用的数据保护法行使主体权利有关的请求（但IQAX应根据下文第5条提供协助）； 
(I)             贵方应在获知与协议有关的任何数据泄露后24小时内立即通知IQAX；和
(J)             协议中的任何规定均不得免除贵方（或相关控制者）根据适用的数据保护法应承担的任何责任。

4.2           贵方应赔偿并使IQAX免受因贵方违反本DPA项下义务，或贵方未尽到责任而产生的或与之相关的所有损失、索赔、损害赔偿、责任、罚款、制裁、利息、处罚、费用（包括在完全弥偿基础上的法律和专业顾问费用）、收费、向数据主体支付的款项和任何其他费用（无论是直接或间接费用）。

5. 数据主体的协助和请求

5.1           贵方（及相关控制者）应全权负责回应和遵守与根据适用的数据保护法行使主体权利有关的请求，IQAX应将其收到的任何该等请求发送给贵方。

5.2           IQAX应考虑处理的性质，通过履行其义务的适当的技术和组织措施，协助贵方回应与根据适用的数据保护法行使数据主体权利有关的请求。

5.3           IQAX应及时向贵方提供贵方不时合理要求的，使贵方能够遵守根据适用的数据保护法而应承担的任何安全、违约通知、违约沟通、文件、数据保护影响评估、事先协商、记录和审查责任的协助。在发生数据泄露的情况下，如果适用的数据保护法要求发送通知，IQAX应在得知该等数据泄露后立即通知贵方。

5.4           对于IQAX根据第5.1至5.3条为贵方提供协助时可能产生的任何和所有合理的额外费用，贵方应按要求及时偿还IQAX。

6. 次级处理者

6.1           根据第6.2条，IQAX应具备： 

(A)           聘请本DPA附件A所列其他处理者处理发布的个人数据的特定授权；和
(B)           根据第6.3条，通过修改相关列表（及协议）聘请额外或替代处理者处理发布的个人数据的一般授权，以及为贵方提供反对该等修改的机会，
每个额外处理者均为“次级处理者”。

6.2           IQAX应确保每个次级处理者均受其处理发布的个人数据的合同义务的约束，且该等合同义务不低于本DPA（包括实施适当的技术和组织安全措施的保障）的规定。如果次级处理者未能履行其处理发布的个人数据的义务，IQAX应对贵方完全负责（在协议中规定的范围内）。

6.3           IQAX将在收到贵方的书面请求后，向贵方提供其已聘用的次级处理者的最新名单；并在任何新的次级处理者开始处理个人数据之前7天内（或双方另行约定的其他时限内）通知您。如果您有合理依据反对 IQAX 使用新的次级处理者，您应在收到新的次级处理者名单后 14 天内，立即以书面形式通知 IQAX。双方将本着诚意寻求商业上合理的解决方案；若双方无法达成解决方案，贵方可终止任何协议中与服务相关且在不使用您反对的该等新次级处理者的情况下无法合理提供的部分。

7. 跨境个人数据传输

7.1           下单或使用服务，即您与IQAX均同意，标准合同条款应被视为已纳入本DPA及主协议，并按如下方式适用，但须受第7.2条规定的约束，前提是发布的个人数据符合以下情形： 

(A)           从欧洲经济区输出到欧洲经济区以外的司法管辖区，而该司法管辖区并非GDPR第五章有效充分性决定的主体（以及向该等司法管辖区的任何后续传输）；或
(B)           从英国输出到英国以外的司法管辖区，而该司法管辖区并非英国GDPR第五章有效充分性决定的主体（以及向该等司法管辖区的任何后续传输）。

7.2           对于第7.1(A)条所述的发布的个人数据，在该等发布的个人数据的任何传输受《通用数据保护条例》（GDPR）保护且按照第2条进行处理的情况下，应适用欧盟标准合同条款（EU SCCs），并按以下方式完成： 

(i)             适用第二模块或第三模块（视具体情况而定）。
(ii)            关于该协议第7条，将适用可选的对接条款； 
(iii)          关于该协议第9(a)条，将适用方案2，且关于变更次级处理者的提前通知期限在本协议第6条中规定；  
(iv)           关于该协议第11条，可选条款不适用；
(v)            关于该协议第17条，适用选项1，且欧盟标准合同条款受爱尔兰法律管辖；
(vi)           关于该协议第18(b)条，管辖法院为爱尔兰法院；
(vii)         该协议的附件一应视为已根据本DPA附件A所载信息予以填妥；以及
(viii)        该协议的附件二应视为已根据本DPA附件A第5部分所载信息予以填妥。

7.3           对于第7.1(B)条所述的发布的个人数据，只要个人数据的任何传输受英国数据保护法保护且按照第2条进行处理，则应适用英国标准合同条款（UK SCCs），并填写如下（就本条而言，除非另有规定，否则采用英国标准合同条款中的定义和引用）：

(i)             就第一部分的表1而言，若本协议第2条适用，您应为“输出方”，而IQAX应为“输入方”； 
(ii)            对于第一部分的表2和表3，经上述第7.2条修改的欧盟标准合同条款应在作必要调整后适用；
(iii)          对于第一部分的表4，进口商可按照该强制性条款第19条的规定终止本附录；以及 
(iv)           就第二部分（即批准附录的强制性条款）而言，应适用ICO发布并根据《2018年数据保护法》第119A条于2022年2月2日提交议会的模板附录B.1.0，以及其根据该等强制性条款第18条不时修订的版本。

7.4           在适用法律允许的范围内，标准合同条款的规定应予适用，但须受本协议中规定的免责条款及责任限制条款的约束。

7.5           如贵方并非第7.1(A)或7.1(B)条所述类型的任何发布的个人数据的唯一控制者，贵方同意： 

(A)           贵方应代表相关控制者签署一份条款等同于欧盟标准合同条款或英国标准合同条款（视适用情况而定）的协议；或， 
(B)           在发布已发布的个人数据之前，贵方应促使相关控制者作为输出方，与IQAX作为输入方，签署一份条款等同于欧盟标准合同条款或英国标准合同条款（视适用情况而定）的协议。

7.6           为了使IQAX能够就第7.1(A)或7.1(B)条所述类型的任何发布的个人数据委任次级处理者，贵方同意（或贵方应促使相关控制者同意），IQAX可作为代理人，代表贵方（或相关控制者）（作为输出方），与IQAX的次级处理者（作为输入方）签订条款等同于欧盟标准合同条款或英国标准合同条款（视情况而定）的协议。 

7.7           关于从中华人民共和国输出到中华人民共和国境外司法管辖区的发布的个人数据，贵方承认并同意：

(A)           贵方及相关数据主体已被告知以下信息：相关数据主体已通过贵方向其提供的信息，以及本DPA及其附件A，知悉境外接收方的名称、所在地及联系方式、处理目的和处理方式、所涉发布的个人数据类别，以及其根据适用个人数据法行使权利的方式； 
(B)           IQAX已经并将继续按照适用的数据保护法的要求，就个人数据的跨境传输实施适当的保障措施，例如签订数据传输合同（以中华人民共和国国家互联网信息办公室发布的标准数据保护条款的形式）和进行个人信息保护影响评估； 
(C)           您应确保已按照适用的数据保护法要求，向所有与发布的个人数据相关的数据主体提供充分、完整且透明的处理信息，并已正式获得此类数据主体的事先同意；和
(D)           您应遵守适用的数据保护法中关于个人数据跨境传输的任何法律要求。

8. 信息和审查

8.1           根据第8.2和8.4条的规定，IQAX应（应要求）向贵方提供能够证明其遵守本DPA的所有合理的必要信息，并且应允许和促成贵方（或相关控制者）或贵方指定的另一名审查员进行的审查和检查。  

8.2           贵方应确保，所有根据第8.1条提出的信息或行使审查或检查权利的要求均是合理的，并至少提前60天以书面通知形式提供给IQAX。任何该等审查或检查应仅限于审查IQAX是否遵守本DPA，并应在工作时间内进行，费用由贵方承担，并应遵守IQAX为防止扰乱IQAX的运营和业务而规定的任何合理条件。贵方应确保为任何审查或检查的结果制定一份书面报告，并立即将其副本提供给IQAX。  获取或接收的任何信息只能用于对评估IQAX是否遵守本DPA必要的目的，而不能用于任何其他目的。

8.3           如果IQAX认为贵方作出的关于第8.1条的指示侵犯了适用的数据保护法，IQAX应立即通知贵方。

8.4           应要求，贵方应立即偿还IQAX因第8.1至8.3条项下的任何信息或任何审查或检查要求而产生的任何和所有合理费用。对于贵方（或贵方人员或审查员）违反第8.2条规定的情况，第4.2条规定的赔偿适用。  

9.返还或删除发布的个人数据

9.1           协议终止后120天内，IQAX应（贵方可酌情决定）将发布的个人数据返还给贵方或删除发布的个人数据，除非适用的数据保护法要求保留该等发布的个人数据。其中一些发布的个人数据可保留在系统备份中，直至系统备份到期，不迟于协议终止后120天。

10. 更新

10.1         IQAX可根据使用条款不时修订本DPA。修订可能包括对数据保护细节的更改，包括附件A中所述详细的技术和组织安全措施。贵方可反对任何修订，如果反对被驳回，可根据使用条款中规定的程序终止协议。

11. 不一致的数据保护法

11.1         与平台运作中的个人数据处理相关方面，不同司法管辖区的适用的数据保护法可能存在冲突或不一致或不兼容，或存在遵守一个司法管辖区的政府当局的合法请求可能违反另一个司法管辖区适用的数据保护法的情形（不一致的数据保护法）。 

11.2         如果贵方察觉任何数据保护法不一致的问题，贵方应停止使用服务，并通知IQAX。IQAX应考虑在可行范围内遵守适用的数据保护法的必要性，并与相关监管当局和/或其他相关政府当局联系，以确定切实可行的、建设性的解决方案。尽管如此，在无法找到解决数据保护法不一致问题的切实可行的解决方案的情况下，IQAX可选择撤销产生数据保护法不一致问题的一个或多个司法管辖区的部分或所有服务。

12.  IQAX 数据保护联系方式

12.1         如对隐私及数据保护事宜有任何疑问，可通过以下方式联系 IQAX： 

客户服务部
上海和易孚信息科技有限公司
四川北路2000号宝华商业广场5楼
热线：+86-756-363-3008
电子邮箱：customerservices@iqax.com

13.定义

13.1         在本DPA中，适用下列定义：

“适用的数据保护法”    指与处理个人数据和隐私相关的所有不时适用的法律，包括但不限于（在适用的范围内）： 

(A)        GDPR（通用数据保护条例）； 
(B)        英国GDPR； 
(C)        2018英国数据保护法； 
(D)        《2025年英国数据（使用与访问）法》； 
(E)        《电子隐私指令》及任何实施立法；
(F)        中华人民共和国网络安全法及任何实施法律；
(G)        中华人民共和国民法典；和
(H)        中华人民共和国个人信息保护法；

“数据泄露”    系指任何意外、非法或未经授权地销毁、遗失、更改、披露或获取发布的个人数据或未经授权或非法传输、储存或以其他方式处理发布的个人数据；

“GDPR”    欧洲议会通用数据保护条例(EU) 2016/679；

“发布的个人数据”    具有第 1.1 条赋予的含义；

“中华人民共和国”    系指中华人民共和国，就本DPA而言，不包括香港特别行政区、澳门特别行政区和台湾地区；

“隐私政策”    系指IQAX不时更新的隐私政策，具体见 https://www.iqax.com/pss.htm

“标准合同条款”    (i) 欧盟委员会2021年6月4日第2021/914号实施决定所附的标准合同条款，该等条款系根据欧洲议会和理事会第2016/679号条例关于第三国传输个人数据的标准合同条款（以下简称“欧盟标准合同条款”）；或 (ii) 英国信息专员根据《2018年数据保护法》第119A(1)条发布的、按照2022年3月21日《欧盟委员会标准合同条款国际数据传输附录》 适用的标准数据保护条款（“英国标准合同条款”），视具体情况而定，并包括相关主管机关依据适用的数据保护法不时对其作出的修订或替代版本，但仅在其涉及个人数据的国际传输范围内适用。

“特殊类别个人数据”    系指显示种族或民族起源、政治观点、宗教或哲学信仰或工会会员身份的个人数据，为唯一识别自然人而处理的遗传数据或生物特征数据，健康数据或有关自然人的性生活或性取向的数据（或适用的数据保护法规定的其他敏感个人数据）；

“次级处理者”    具有第6.1条赋予的含义；

“监管机构”    根据《通用数据保护条例》（GDPR）第51条设立的监管机构，或根据适用数据保护法设立的任何其他同等监管机构；负责信息和通信技术政策及创新事务的部长；或任何其他被任命和/或授权负责监督或执行适用的数据保护法的监管机构或官员；

“英国数据保护法”    英国不时生效的所有与数据保护、个人数据处理、隐私和/或电子通信相关的法律，包括经《英国2025年数据（使用与访问）法》修订和补充的《2018年数据保护法》以及英国《通用数据保护条例》；以及

“英国GDPR”    系指GDPR，因为它是保留欧盟法律（如《2018年退出欧盟法案》所定义）的一部分。