主许可协议——控制者与处理者数据处理补充条款

STATS PERFORM – 《团队绩效主许可协议》之控制器至处理器数据处理补充条款

本《控制者与处理者数据处理补充协议》（以下简称“DPA”），包括其附带的任何附录、附件和附表（如适用），构成《Team Performance 主许可协议》（以下简称“MLA”） 工作单及/或（如适用）任何其他协议（统称“协议”）的组成部分，并被纳入其中，该等协议涉及向您（称为“被许可方”，“您”或“您的”），其中您作为数据控制者，而Perform Content Limited或作为协议当事方的相关关联公司（该相关方称为“Stats Perform”或“我们”、“本公司”或“我们的”）则作为数据处理者。

若《数据共享协议》（MLA）与本《数据处理协议》（DPA）的条款之间存在冲突，应以本《数据处理协议》（DPA）的条款为准。在此前提下，《数据共享协议》（MLA）的其余条款仍继续完全有效。

现特此约定如下：

1. 定义

1.1. 在本数据处理协议中，大写术语应具有下文所载的含义，或视具体情况而定，具有《协议》其他部分所载的含义：

1.2.“数据主体”、“个人数据”、“处理”及其变体，以及“控制者”和“处理者”等术语，其含义应依照《数据保护法》中的规定。

2. 预约

2. 1. 在 Stats Perform 向被许可方提供服务的过程中，被许可方可能会向服务提供或输入被许可方个人数据以供处理。 就此而言，被许可方为数据控制者，Stats Perform 为数据处理者，本《数据处理协议》（DPA）适用于此类情形。Stats Perform 代表被许可方对被许可方个人数据进行处理的事项（包括性质、目的、期限及其他方面）详见本《数据处理协议》的附件。

2.2. 被许可方的个人数据可能包含由被许可方关联公司作为数据控制者的个人数据。被许可方确认，其有权代表被许可方关联公司向 Stats Perform 传达任何指示或其他要求，涉及 Stats Perform 在提供服务过程中对被许可方个人数据的处理。

2.3. Stats Perform 受许可方委任，代表许可方和/或许可方关联公司（视具体情况而定）处理许可方个人数据，该处理系为提供服务所必需，或经双方书面另行约定。

2.4. 被许可方确认，其及其任何关联公司应独自负责确保，且被许可方保证并声明，根据《数据保护法》， 对被许可方个人数据的任何处理均基于适当的合法依据进行，已向相关数据主体提供了关于该数据处理的适当通知，被许可方个人数据准确且最新，并且已针对该数据确定并实施了适当的数据保留期限。

3. 期限

本数据处理协议自生效日起适用，并将在协议或服务终止或到期前一直完全有效（“期限”）。

4. 数据保护合规

4.1. 关于 Stats Perform 在合同期内作为数据处理方处理被许可方个人数据的事宜，除法律另有规定外，Stats Perform 同意：

4.1.1. 在处理被许可方个人数据时，遵守适用的数据保护法律；

4.1.2. 仅在提供服务所必需的范围内处理被许可方的个人数据，并应遵循被许可方不时在服务背景下合理提供的书面合法指示，以及用于其对匿名化数据的内部业务分析。 此外，Stats Perform可能需根据其适用的法律处理被许可方的个人数据；在此情况下，除非该法律基于重要的公共利益理由禁止披露此类信息，否则Stats Perform应在处理前将该法律要求告知被许可方。被许可方持续保证并声明，其指示不会导致Stats Perform违反法律；

4.1.3. 若其认为某项指示违反了《数据保护法》，应通知被许可方，且Stats Perform有权不予采纳该指示；

4.1.4. 确保所有经 Stats Perform 授权处理被许可方个人数据的人员均已承诺遵守保密义务，或受适当的法定保密义务约束；

4.1.5. 采取适当的技术和组织措施（依据本《数据处理协议》附件中规定的措施），在考虑到待保护的被许可方个人数据的性质以及任何安全漏洞（定义见下文）可能造成的危害风险的基础上，妥善保护被许可方个人数据；

4.1.6. 如收到任何依据《数据保护法》提出的数据主体请求，或与被许可方个人数据相关的监管或执法请求，应在不造成不当延误的情况下通知被许可方。Stats Perform 可对每项数据主体请求予以确认。 经与被许可方协商一致，Stats Perform可在被许可方承担费用的前提下，通过采取适当的技术和组织措施，在力所能及的范围内协助被许可方履行其根据《数据保护法》回应数据主体请求的义务；

4.1.7. 由被许可方承担费用，提供被许可方为确保其遵守数据保护法（涉及数据安全、数据泄露通知、数据保护影响评估以及与负责隐私和数据保护事务的主管监管机构进行事先磋商等方面）而可能合理要求的协助；

4.1.8. 在服务提供结束后，由被许可方自行选择并承担费用，删除被许可方个人数据或将被许可方所有个人数据返还给被许可方，并删除所有被许可方个人数据的现有副本，但为合法商业目的而保留的匿名化被许可方数据，或根据适用法律要求需继续存储的被许可方个人数据除外；以及

4.1.9. 由被许可方承担费用，向被许可方提供合理必要的信息，以证明 Stats Perform 遵守本数据处理协议，并允许由独立第三方在双方商定的合理通知期限内进行审计和检查。 被许可方在根据本条款行使审计权时，应确保（且应确保执行审计的一方确保）在遵守第5条的前提下：(a) 仅在Stats Perform或其关联方进行审计的办公地点的一般营业时间内进行审计； (b) 在进行审计时尽一切合理注意义务，确保业务运营不受干扰，特别是确保避免或减轻对其他客户环境的风险（例如对服务水平、数据可用性及保密性的影响）；(c) 遵守数据保护法的任何适用规定及 Stats Perform 的合理要求； (d) 以相称的方式行使审计权，同时考虑服务的复杂性、服务产生的风险、服务的关键性或重要性，以及服务对被许可方业务连续性的潜在影响； (e) 遵守相关、公认的国家及国际审计标准；(f) 确保其员工或任何第三方审计师具备执行审计所需的适当且相关的技能和知识；以及 (g) 将根据本条款共享的所有信息视为保密信息。

5. 审计

关于上文第4.1.9条，就其次级处理者而言，Stats Perform将根据其与次级处理者达成的协议，行使其审计权（以符合欧盟《通用数据保护条例》（GDPR）或英国《通用数据保护条例》（GDPR）（视情况而定）第28条第3款第(h)项的要求）。 Stats Perform 有权自行决定（但须充分考虑被许可方的法律义务），若某项信息对 Stats Perform 的业务具有敏感性，或披露该信息将导致 Stats Perform 违反法定或合同义务，则 Stats Perform 有权不予披露该信息。 特别是，Stats Perform 不得允许被许可方访问任何关于 Stats Perform 被许可方的数据或信息、关于 Stats Perform 成本的数据或信息、关于质量和合同管理报告的数据或信息，或任何其他对商定的检查目的并非绝对必要的信息。

6. 次级处理者

6.1. Stats Perform 将根据本第 6 条的规定，聘请任何参与根据本《数据处理协议》处理被许可方个人数据的分包商（以下简称“分处理者”）。

6.2. 目前参与处理被许可方个人数据、以履行本《数据处理协议》项下特定数据处理活动的次级处理者名单，详见附件（该附件将不时更新）。自生效之日起，被许可方特此同意使用这些次级处理者处理其个人数据。

6.3. 若新增或更换的任何次级处理者与附件中所列次级处理者不同，且影响被许可方个人数据的处理，Stats Perform 应及时通知被许可方。若被许可方有合理理由反对此类变更，必须在收到 Stats Perform 根据本条款发出的通知后 14 天内通知 Stats Perform，否则该变更将被视为已接受。 若根据本条款合理提出异议，双方应本着诚意进行协商，以达成替代方案。然而，若 Stats Perform 合理认为未能就替代方案达成一致，Stats Perform 有权终止与次级处理者变更相关的服务。

6.4. 在聘用次级处理者时，Stats Perform 将：

6.4.1. 进行合理的尽职调查；

6.4.2. 在可行范围内，以与本《数据处理协议》条款实质上等同的条款订立合同，必要时可包含《国际数据转移条款》（或类似条款），以确保对被许可方个人数据的处理提供充分的保障；以及

6.4.3. 对于次级处理者履行本数据处理附录项下的数据处理义务，我方仍应对被许可方承担全部责任。

7. 安全事件

7.1.“安全漏洞”是指导致被许可方个人数据发生意外或非法销毁、丢失、篡改、未经授权披露或被访问的安全事件，该等数据由Stats Perform传输、存储或以其他方式处理。

7.2. 若 Stats Perform 获悉任何安全漏洞，将立即通知被许可方。在可行的情况下，Stats Perform 将分阶段发出通知。

7.3. Stats Perform 将对数据泄露事件展开调查，并采取合理措施以查明、预防及减轻数据泄露的影响。在由被许可方承担费用的前提下，Stats Perform 将根据被许可方的合理要求采取进一步措施，以符合数据保护法律的规定。

7.4. 在遵守数据保护法要求的前提下，未经Stats Perform事先书面批准，被许可方不得发布或公布任何关于数据泄露的文件、通讯、通知、新闻稿或报告；Stats Perform不得无理拒绝此类批准。

8. 国际数据传输

8.1. 被许可方确认，Stats Perform 可能会对被许可方的个人数据进行跨境传输。Stats Perform 将确保任何跨境传输（如发生）均符合适用数据保护法律规定的适当保障措施，包括在必要时与相关接收方签订适当的跨境传输条款（或替代性标准合同条款）。

8.2. 倘若被许可方受欧盟《通用数据保护条例》（GDPR）约束，并将被许可方的个人数据传输给Stats Perform以供在欧洲经济区以外进行处理，且该传输属于国际数据传输，且并非基于欧盟《通用数据保护条例》第45条所述的充分性决定，则双方应遵守欧盟标准合同条款（SCCs）的模块2（或如适用， 第3模块）版本的欧盟标准合同条款，该等条款被视为已纳入本数据处理协议并构成其组成部分，且应按以下方式填写：

8.2.1. 《欧盟标准合同条款》（SCCs）第7条（即“对接条款”）不适用；

8.2.2. 若“约定清单”载于附表且期限为14天，则就《欧盟标准合同条款》第9(a)条而言，应适用选项2；

8.2.3. 《欧盟标准合同条款》第11(a)条下的可选救济条款不适用；

8.2.4. 如适用，根据《欧盟标准合同条款》第13条，主管监督机构为爱尔兰数据保护委员会；

8.2.5. 对于《欧盟标准合同条款》第17条，将适用选项2，且适用法律为爱尔兰共和国法律；

8.2.6. 根据《欧盟标准合同条款》第18(b)条，管辖法院及司法管辖地为爱尔兰共和国法院；且

8.2.7. 欧盟标准合同条款（SCCs）的附件一和附件二应视为已填入下表所列信息。

8.3. 倘若被许可方受《英国通用数据保护条例》（UK GDPR）约束，且将被许可方的个人数据转移至Stats Perform以便在英国境外进行处理，且该转移属于国际数据转移，且并非基于《英国通用数据保护条例》第45条所述的充分性决定， 则应根据上述第8.2条适用欧盟标准合同条款（EU SCCs），并应视为已按英国信息专员办公室（ICO）附录的规定予以修订，该附录应被视为由各方签署，并纳入本数据处理协议（DPA）且构成其组成部分。若根据本第8.3条适用英国信息专员办公室（ICO）附录：

8.3.1. 《ICO英国附录》第一部分中的表1和表3应视为已根据欧盟标准合同条款（SCCs）附录中载列的相关信息以及（因此）下文附表中的信息予以填妥；

8.3.2. 在第1部分的表2中，“欧盟标准合同条款附录”被视为已纳入本数据处理协议的欧盟标准合同条款（根据上文第8.2条），其中包括附录信息（定义见英国信息专员办公室附录）；

8.3.3. 第一部分中的表4在选择“双方均非”后即视为已填写；以及

8.3.4. 若欧盟标准合同条款（EU SCCs）与英国信息专员办公室（ICO）补充条款之间存在任何冲突，应按照《英国信息专员办公室补充条款》第9、10和11条的规定予以解决。

8.4. 如适用《国际数据传输条款》，其相关规定应取代本《数据处理协议》中Stats Perform的数据处理义务（包括第4至7条所载内容）。若《国际数据传输条款》的规定与本《数据处理协议》或《协议》存在任何冲突，则以《国际数据传输条款》为准。 《协议》的条款及本《数据处理协议》的条款均不得且无意以任何方式变更《国际数据传输条款》。

9. 赔偿责任

9.1. 无论本协议中是否有任何免责或责任限制条款，或是否有任何相反规定，被许可方均应且特此同意赔偿 Stats Perform 及其关联公司及其管理人员、雇员、代理人和分包商（以下统称“被赔偿方”）因任何第三方索赔、执法行动或其他程序而产生的任何索赔、损失、要求、诉讼、责任、罚款、处罚、合理费用、损害赔偿及和解金额（包括合理的律师费和诉讼费用），该等索赔、损失、要求、诉讼、责任、罚款、处罚、合理费用、损害赔偿及和解金额系因根据本协议及本数据处理附录（DPA）处理被许可方个人数据而引起或与之相关。

9.2. 在遵守第9.1条和第10.2条的前提下，任何一方根据本数据处理附录（DPA）承担的责任均应受《协议》中任何责任限制条款的约束。

10. 其他

10.1. 本《数据处理协议》中的条款标题及其他标题仅为便于参考而设，不构成本《数据处理协议》的组成部分，亦不影响本《数据处理协议》的含义或解释。

10.2. 本数据处理协议中的任何内容均不得排除或限制任何一方根据适用法律不可被限制或排除的责任。在遵守前款规定的前提下，(i) 本数据处理协议（包括任何附表、附件及附录）构成双方就本协议标的达成的完整协议，并取代双方此前就该标的达成的所有协议、谅解、谈判及讨论； 且 (ii) 双方在订立本数据处理协议时，均未依赖任何陈述、声明或保证（无论该等陈述、声明或保证系因过失或无过失而作出），且双方均无权基于该等陈述、声明或保证主张任何权利或救济，但本数据处理协议中明确载明的除外。

10.3. 被许可方应在发票日期后30天内向Stats Perform支付任何费用及开支，包括但不限于Stats Perform和/或其关联方因根据本数据处理协议（DPA）履行被许可方承担费用的义务而产生的合理律师费以及准备和发送信函的费用。

10.4. 所有关于终止或违约的通知均须以英文书面形式发出，并送达对方的主要联系人及法律部门。通知自对方收到时起视为已送达，以有效的收据或电子日志为凭。邮寄通知自通过挂号信寄出之日起48小时后视为已收到。

10.5. 本数据处理协议的各项条款具有可分割性。若任何短语、条款或规定全部或部分无效或不可执行，该无效或不可执行性仅限于该短语、条款或规定，本数据处理协议的其余部分仍具有完全效力。

10.6. 本数据处理协议受英国法律管辖，双方同意就本数据处理协议产生的任何争议（无论是否基于合同）接受英国法院的专属管辖，但第8条规定了替代救济途径而产生的争议除外；惟任何一方均可向任何法院申请禁令或其他救济，以保护其财产、知识产权或机密信息。

日程安排

数据处理细则