主许可协议——控制者与处理者数据处理补充条款

STATS PERFORM 《团队绩效主许可协议》中关于控制者向处理者传输数据的数据处理补充条款

本《控制者与处理者数据处理补充协议》（以下简称“DPA”），包括其附带的任何附录、附件和附表（如适用），构成《团队绩效主许可协议》（以下简称“MLA”）的一部分，并被纳入其中， 工作订单及/或（如适用）任何其他协议（统称“协议”）的组成部分，并被纳入其中，该等协议涉及向您（称为“被许可方”，“您”或“您的”）根据《协议》所提供的“平台接入服务”（如《工作订单》和《MLA》所述）的某些服务，其中您是数据控制者，而Perform Content Limited或作为《协议》当事方的相关关联公司（该相关方称为“Stats Perform”或“我们”、“本公司”或“我们的”）作为数据处理者。

若《数据共享协议》（MLA）与本《数据处理协议》（DPA）的条款之间存在冲突，应以本《数据处理协议》（DPA）的条款为准。在此前提下，《数据共享协议》（MLA）的其余条款仍继续完全有效。

现特此约定如下：

1. 定义

1.1. 在本数据处理协议中，大写术语应具有下文所载的含义，或视具体情况而定，具有《协议》其他部分所载的含义：

1.2.“数据主体”、“个人数据”、“处理”及其变体，以及“控制者”和“处理者”等术语，其含义应依照《数据保护法》中的规定。

2. 预约

2. 1. 在Stats Perform 向被许可方Stats Perform 过程中，被许可方可能会向服务提供或输入被许可方个人数据以供处理。 就此而言，被许可方为数据控制者，Stats Perform 数据处理者，本《数据处理协议》（DPA）适用于此类情形。Stats Perform 许可方对被许可方个人数据进行的处理事项（包括性质、目的、期限及其他方面）详见本《数据处理协议》的附件。

2.2. 被许可方个人数据可能包含由被许可方关联公司作为数据控制者的个人数据。被许可方确认，其有权代表被许可方关联公司，就Stats Perform Stats Perform 提供服务Stats Perform 对被许可方个人数据的处理事宜，向Stats Perform 传达Stats Perform 指示或其他要求。

2.3.Stats Perform 被许可方委任，代表被许可方和/或被许可方关联公司（视具体情况而定），在提供服务所必需的范围内，或根据双方书面约定的其他情形，处理被许可方的个人数据。

2.4. 被许可方确认，其及其任何关联公司应独自负责确保，且被许可方保证并声明，根据《数据保护法》， 对被许可方个人数据的任何处理均基于适当的合法依据进行，已向相关数据主体提供了关于该数据处理的适当通知，被许可方个人数据准确且最新，并且已针对该数据确定并实施了适当的数据保留期限。

3. 期限

本数据处理协议自生效日起适用，并将在协议或服务终止或到期前一直完全有效（“期限”）。

4. 数据保护合规

4.1. 关于 Stats Perform 在合同期限内作为数据处理方对被许可方个人数据进行处理的事宜，除法律另有要求外Stats Perform ：

4.1.1. 在处理被许可方个人数据时，遵守适用的数据保护法律；

4.1.2. 仅在provision 必需的范围内处理被许可方的个人数据，并应遵循被许可方在服务背景下不时合理提供的、以书面形式记录的合法指示，同时也可将其用于对匿名化数据进行内部业务分析。 此外Stats Perform 需要根据其所适用的法律处理被许可方的个人数据；在此情况下，Stats Perform 应在处理前将该法律要求告知被许可方，除非该法律基于重要的公共利益理由禁止披露此类信息。被许可方持续保证并声明，其指示不会Stats Perform 法律；

4.1.3. 若其认为某项指示违反了《数据保护法》，应通知被许可方，且Stats Perform 不予采纳该指示；

4.1.4. 确保所有经Stats Perform 授权Stats Perform 被许可方个人数据的人员均已承诺遵守保密义务，或受适当的法定保密义务约束；

4.1.5. 采取适当的技术和组织措施（依据本《数据处理协议》附件中规定的措施），在考虑到待保护的被许可方个人数据的性质以及任何安全漏洞（定义见下文）可能造成的危害风险的基础上，妥善保护被许可方个人数据；

4.1.6. 如收到依据《数据保护法》提出的任何数据主体请求，或与被许可方个人数据相关的监管或执法请求，应在不造成不合理延迟的情况下通知被许可方。Stats Perform 每项数据主体请求予以确认。 经与被许可方达成Stats Perform 被许可方承担费用的前提下，通过采取适当的技术和组织措施，在可行范围内协助被许可方履行其根据《数据保护法》回应数据主体请求的义务；

4.1.7. 由被许可方承担费用，提供被许可方为确保其遵守数据保护法（涉及数据安全、数据泄露通知、数据保护影响评估以及与负责隐私和数据保护事务的主管监管机构进行事先磋商等方面）而可能合理要求的协助；

4.1.8. 由被许可方自行选择并承担相关费用，provision 结束后删除被许可方个人数据或将被许可方所有个人数据返还给被许可方，并删除所有被许可方个人数据的现有副本，但为合法商业目的而保留的匿名化被许可方数据，或根据适用法律要求需继续存储的被许可方个人数据除外；以及

4.1.9. 由被许可方承担费用，向被许可方提供合理必要的信息，以证明Stats Perform遵守本数据处理附录（DPA）的规定，并允许独立第三方在双方商定的合理通知期限内进行审计和检查。 被许可方在根据本条款行使审计权时，应遵守第5条的规定，并确保执行审计的一方也遵守该规定：(a) 仅Stats Perform或其关联方进行审计的办公地点的一般营业时间内进行审计； (b) 在进行审计时尽一切合理注意义务，确保业务运营不受干扰，特别是确保避免或减轻对其他客户环境的风险（例如对服务水平、数据可用性、保密性方面的影响）；(c) 遵守数据保护法的任何适用规定以及Stats Perform 的合理要求； (d) 以相称的方式行使审计权，同时考虑服务的复杂性、服务产生的风险、服务的关键性或重要性，以及服务对被许可方业务连续性的潜在影响； (e) 遵守相关、公认的国家及国际审计标准；(f) 确保其员工或任何第三方审计师具备执行审计所需的适当且相关的技能和知识；以及 (g) 将根据本条款共享的所有信息视为保密信息。

5. 审计

关于上文第4.1.9条，就其次级处理者而言Stats Perform （根据欧盟《通用数据保护条例》（GDPR）或英国《通用数据保护条例》（GDPR）（视情况而定）第28条第3款第h项的要求）行使其审计权，但须经其与次级处理者达成协议。Stats Perform 自行决定（但须充分考虑被许可方的法律义务），若某项信息对Stats Perform业务具有敏感性，或披露该信息Stats Perform 违反法定或合同义务Stats Perform 不予披露该信息。 特别是，Stats Perform 被许可方提供有关Stats Perform其他被许可方、Stats Perform成本、质量和合同管理报告的任何数据或信息Stats Perform 提供任何其他对约定检查目的并非严格必要的信息。

6. 次级处理者

6.1.Stats Perform 根据本第 6 条的规定Stats Perform 任何参与根据本《数据处理协议》（DPA）处理被许可方个人数据的分包商（以下简称“分处理者”）。

6.2. 目前参与处理被许可方个人数据、以履行本《数据处理协议》项下特定数据处理活动的次级处理者名单，详见附件（该附件将不时更新）。自生效之日起，被许可方特此同意使用这些次级处理者处理其个人数据。

6.3.Stats Perform 任何与附件中所列分处理商不同且影响被许可方个人数据处理的新增或替代分处理商，Stats Perform 及时通知被许可方。若被许可方基于合理理由反对此类变更，必须在收到Stats Perform 本条款Stats Perform 通知后 14Stats Perform 通知Stats Perform ，否则该变更将被视为已接受。 若根据本条款合理提出异议，双方应本着诚意进行协商，以达成替代方案。但是，如果Stats Perform合理认为未能就该替代方案达成一致，Stats Perform 终止与次级处理者变更相关的服务。

6.4. 在委托次级处理者时，Stats Perform ：

6.4.1. 进行合理的尽职调查；

6.4.2. 在可行范围内，以与本《数据处理协议》条款实质上等同的条款订立合同，必要时可包含《国际数据转移条款》（或类似条款），以确保对被许可方个人数据的处理提供充分的保障；以及

6.4.3. 对于次级处理者履行本数据处理附录项下的数据处理义务，我方仍应对被许可方承担全部责任。

7. 安全事件

7.1.“安全事件”是指导致由Stats Perform传输、存储或以其他方式处理的被许可方个人数据发生意外或非法销毁、丢失、篡改、未经授权披露或被未经授权访问的安全事件。

7.2. 若Stats Perform 获悉任何安全事件Stats Perform 立即通知被许可方。在可行的情况下Stats Perform 分阶段发出通知。

7.3.Stats Perform 数据泄露事件展开调查，并采取合理措施以查明、预防和减轻该数据泄露事件的影响。在由被许可方承担费用的前提下Stats Perform 采取被许可方为遵守《数据保护法》而合理要求的进一步措施。

7.4. 在遵守数据保护法要求的前提下，未经Stats Perform事先书面批准Stats Perform被许可方不得发布或公开任何与安全事件有关的文件、通讯、通知、新闻稿或报告；Stats Perform不得无理拒绝此类批准。

8. 国际数据传输

8.1. 被许可方确认Stats Perform 被许可方的个人数据进行国际传输。Stats Perform 确保任何国际传输（如发生）均基于适用数据保护法规定的适当保障措施，包括在必要时与相关数据接收方签订适当的国际数据传输条款（或替代性标准合同条款）。

8.2. 若被许可方受欧盟《通用数据保护条例》（GDPR）约束，并将被许可方的个人数据Stats Perform 欧洲经济区以外Stats Perform 处理，且该转移属于国际数据转移，且并非基于欧盟《通用数据保护条例》第45条所述的充分性决定，则双方应遵守欧盟标准合同条款（SCCs）的模块2（或如适用， 第3模块）版本的《欧盟标准合同条款》（SCCs），该条款被视为已纳入本《数据处理协议》（DPA）并构成其组成部分，具体填写如下：

8.2.1. 《欧盟标准合同条款》（SCCs）第7条（即“对接条款”）不适用；

8.2.2. 若“约定清单”载于附表且期限为14天，则就《欧盟标准合同条款》第9(a)条而言，应适用选项2；

8.2.3. 《欧盟标准合同条款》第11(a)条下的可选救济条款不适用；

8.2.4. 如适用，根据《欧盟标准合同条款》第13条，主管监督机构为爱尔兰数据保护委员会；

8.2.5. 对于《欧盟标准合同条款》第17条，将适用选项2，且适用法律为爱尔兰共和国法律；

8.2.6. 根据《欧盟标准合同条款》第18(b)条，管辖法院及司法管辖地为爱尔兰共和国法院；且

8.2.7. 欧盟标准合同条款（SCCs）的附件一和附件二应视为已填入下表所列信息。

8.3. 若被许可方受《英国通用数据保护条例》（UK GDPR）约束，并将被许可方的个人数据转移至Stats Perform 在英国境外进行处理，且该转移属于国际数据转移，且并非基于《英国通用数据保护条例》第 45 条所述的充分性决定， 则应根据上文第8.2条适用《欧盟标准合同条款》（EU SCCs），并应视为已按《英国信息专员办公室（ICO）附录》的规定进行修订；该附录应视为已由各方签署，并纳入本《数据处理协议》（DPA）且构成其组成部分。若根据本第8.3条适用《英国信息专员办公室（ICO）附录》：

8.3.1. 《ICO英国附录》第一部分中的表1和表3应视为已根据欧盟标准合同条款（SCCs）附录中载列的相关信息以及（因此）下文附表中的信息予以填妥；

8.3.2. 在第1部分的表2中，“欧盟标准合同条款附录”被视为已纳入本数据处理协议的欧盟标准合同条款（根据上文第8.2条），其中包括附录信息（定义见英国信息专员办公室附录）；

8.3.3. 第一部分中的表4在选择“双方均非”后即视为已填写；以及

8.3.4. 若欧盟标准合同条款（EU SCCs）与英国信息专员办公室（ICO）补充条款之间存在任何冲突，应按照《英国信息专员办公室补充条款》第9、10和11条的规定予以解决。

8.4. 如适用《国际数据转移条款》，其相关规定应取代本《数据处理协议》（DPA）Stats Perform义务（包括第4至7条所载义务）。若《国际数据转移条款》的规定与本《数据处理协议》（DPA）或《协议》存在任何冲突，则以《国际数据转移条款》为准。 《协议》的条款及本《数据处理附录》的条款均不得且无意以任何方式变更《国际数据转移条款》。

9. 赔偿责任

9.1. 尽管provision 任何责任免除或限制provision ，或任何与此相悖provision ，被许可方应且特此同意赔偿Stats Perform 关联公司及其管理人员、员工、代理人和分包商（以下统称“被赔偿方”）因任何第三方索赔、执法行动或其他程序而产生的任何索赔、损失、要求、诉讼、责任、罚款、处罚、合理费用、损害赔偿及和解金额（包括合理的律师费和诉讼费用），该等索赔、损失、要求、诉讼、责任、罚款、处罚、合理费用、损害赔偿及和解金额系由根据本协议及本《数据处理附录》（DPA）对被许可方个人数据进行处理所引起或与之相关的。

9.2. 在遵守第9.1条和第10.2条的前提下，任何一方根据本数据处理附录（DPA）承担的责任均应受《协议》中任何责任限制条款的约束。

10. 其他

10.1. 本《数据处理协议》中的条款标题及其他标题仅为便于参考而设，不构成本《数据处理协议》的组成部分，亦不影响本《数据处理协议》的含义或解释。

10.2. 本数据处理协议中的任何内容均不得排除或限制任何一方根据适用法律不可被限制或排除的责任。在遵守前款规定的前提下，(i) 本数据处理协议（包括任何附表、附件及附录）构成双方就本协议标的达成的完整协议，并取代双方此前就该标的达成的所有协议、谅解、谈判及讨论； 且 (ii) 双方在订立本数据处理协议时，均未依赖任何陈述、声明或保证（无论该等陈述、声明或保证系因过失或无过失而作出），且双方均无权基于该等陈述、声明或保证主张任何权利或救济，但本数据处理协议中明确载明的除外。

10.3. 被许可方应在发票开具Stats Perform 支付任何费用和开支，包括但不Stats Perform 其关联方因根据本数据处理协议（DPA）履行由被许可方承担费用的义务而产生的合理律师费以及准备和发送信函的费用。

10.4. 所有关于终止或违约的通知均须以英文书面形式发出，并送达对方的主要联系人及法律部门。通知自对方收到时起视为已送达，以有效的收据或电子日志为凭。邮寄通知自通过挂号信寄出之日起48小时后视为已收到。

10.5. 本《数据处理协议》的各项条款具有可分割性。如果任何措辞、条款或provision 全部或部分无效或不可执行，该无效或不可执行性仅影响该措辞、条款或provision，本《数据处理协议》的其余部分仍应继续完全有效。

10.6. 本数据处理协议受英国法律管辖，双方同意就本数据处理协议产生的任何争议（无论是否基于合同）接受英国法院的专属管辖，但第8条规定了替代救济途径而产生的争议除外；惟任何一方均可向任何法院申请禁令或其他救济，以保护其财产、知识产权或机密信息。

日程安排

数据处理细则