数据处理协议

下载为 PDF

本数据处理协议适用于您，如果您在2024年2月1日下午1点CET之前、当天或之后注册了我们的服务（包括通过我们的任何附属公司）。我们的归档数据处理协议可在这里获取。

本数据处理协议，包括附录（“DPA”），构成我们与客户之间关于购买（在线）通信服务的协议的一部分，以反映各方在处理客户个人数据方面的协议。在本DPA中，术语“您”、“您的”或“客户”是指您作为我们的客户（受以下第1.2节的约束），而术语“我们”、“我们”或“我们的”是指我们作为提供者（如下面定义）。在本DPA中使用的资本化术语但未在下面定义的，均在我们的通用条款和条件或其他与我们达成的协议中定义，这些协议管理您对服务的使用。

1.1 范围

本数据处理协议（DPA）管理我们作为处理者对客户个人数据的处理。

1.2 客户附属公司

客户代表自己进入此数据处理协议，并在数据保护法的要求范围内，以其关联方的名义和代表（如条款中定义），如果且仅在您为此类关联方提供服务访问权限且我们处理客户个人数据时，此类关联方符合数据控制者的资格（“客户关联方”）。仅就此数据处理协议而言，除非另有说明，术语“客户”和“您”应包括客户及客户关联方。

1.3 条款

本数据处理协议只要我们处理根据本协议所涉及的客户个人数据，就将继续有效，即使协议已经到期或终止。

2. 定义

账户数据

“账户数据”是您提供给我们的任何个人数据，用于签订和管理协议以及您的账户，包括但不限于联系信息、计费详情以及关于签订和管理协议及相关服务的通信。

加州消费者隐私法案 (CCPA)

"CCPA" 指2018年加州消费者隐私法案及其下颁布的任何法规，具体情况将不时修订。

客户数据

“客户数据”是指根据协议由您或为您提交（或由您的客户应用的用户提交）的任何数据和其他信息或内容，并由服务处理或存储。

客户个人数据

“Customer Personal Data”指的是作为处理器处理的客户数据中包含的个人数据，除非本DPA中另有说明。

数据保护法

“数据保护法”是指适用于《协议》下个人数据的机密性、隐私、安全或处理的所有管辖区的法律和法规，包括例如和在适用的情况下，GDPR或CCPA。

欧洲经济区

“EEA” 是指本 DPA 中的欧洲经济区和瑞士。

GDPR

“GDPR” 指的是 (i) 欧洲议会和理事会关于保护自然人在处理个人数据方面的第 2016/679 号法规，以及关于此类数据自由流动的规定（一般数据保护法规）；或 (ii) 仅涉及联合王国时的 2018 年数据保护法。

个人数据

“个人数据”是指与已直接或间接识别的自然人相关的任何信息，无论是单独使用还是与其他信息结合使用。

个人数据泄露

“个人数据泄露”指的是任何意外、未授权或非法的破坏、丢失、变更、披露或访问客户个人数据，以及适用的数据保护法律下的任何其他类似术语，例如“安全漏洞”。

服务

“服务”是指由我们或我们的附属机构提供的所有产品和服务，这些服务 (a) 由您根据任何订单表格订购；或 (b) 被您使用。

供应商

“提供者”是指与本数据处理协议（DPA）签订合同的实体，即通用条款和条件（合同实体）第15条中列出的合同实体，除非在您的订单表上另有说明。您或提供者也可以单独称为“当事方”，共同称为“当事方”在本DPA中。

标准合同条款

“标准合同条款”是指控制者到处理者（模块二）或处理者到处理者（模块三），适用于根据欧洲议会和理事会于2016年4月27日通过的（欧盟）2016/679号条例的标准合同条款，以便向第三国转移个人数据，并经过欧洲委员会实施决定（欧盟）2021/914号于2021年6月4日批准，当前说明见于https://eurlex.europa.eu/eli/dec_impl/2021/914/oj。

子处理器

“子处理者”是指代表提供者处理客户个人数据的第三方实体，提供者在此充当数据处理者或子处理者。

英国标准合同条款

“英国标准合同条款”是指以下任意或所有内容：（i）根据2018年《数据保护法》第119A条由英国信息专员发布的国际数据传输协议；（ii）根据2018年《数据保护法》第119A条由英国信息专员发布的欧洲委员会国际数据传输标准合同条款的国际数据传输附录；或（iii）由英国信息专员或欧洲委员会发布的，可能不时替代这些条款的标准合同条款。诸如“处理”、“数据控制者”、“数据处理者”、“数据主体”等术语应具有GDPR下分配的含义。“数据控制者”的定义包括“企业”、“消费者”、“控制者”和“组织”；“数据处理者”包括“服务提供者”、“处理者”和“数据中介”；“数据主体”包括“消费者”和“个人”；“个人数据”包括“个人信息”，在每种情况下均按照CCPA及其他适用的数据保护法律的定义进行解释。“商业目的”、“商业用途”、“出售”和“共享”等术语应具有适用的数据保护法律中的相同含义，并且在每种情况下，其相关术语应相应地进行解释。

3. 客户个人数据的处理

3.1 目的

我们仅在必要的范围内处理客户个人数据（i）以提供服务，包括传输通信、确保服务的安全性、提供技术和交付报告、提供支持以及根据您作为数据处理者在本数据处理协议第3.2节中指定的文件化指示开发和实施改进和更新，（ii）作为数据控制者，根据本数据处理协议第3.4节中指定的合法商业目的，以及（iii）根据适用法律的其他要求。

3.2 客户说明

本协议和本数据处理协议（DPA）构成您在签署本DPA时对我们作为数据处理者的完整指示。我们将遵守其他合理记录的指示，前提是这些指示与协议的条款一致。

3.3 处理的详细信息

本数据处理协议附件I的附录I的附件I，B部分（转移描述）规定了作为数据处理者或子处理者的我们处理的性质和目的、处理活动、处理的持续时间、个人数据的类型以及数据主体的类别。

3.4 合法商业目的

您承认我们作为独立的数据控制者，根据以下合法商业目的处理客户个人数据：账单、帐户管理、财务和内部报告、打击和防止可能影响您、我们或我们的服务的安全威胁、网络攻击和网络犯罪、业务建模（例如预测、容量和收入规划以及产品战略）、欺诈、垃圾邮件及滥用的预防和检测、改善我们的产品和服务组合，以及遵守我们的法律义务。

4. 客户义务

4.1 合法性

在您作为客户个人数据的数据控制者时，您保证所有处理活动是合法的，有特定的目的，并且已建立任何所需的通知和同意或其他适当的法律基础，以便合法转移客户个人数据。如果您是数据处理者（在这种情况下我们将作为子处理者），您将确保相关的数据控制者保证本节4.1中列出的条件得到满足。

4.2 合规

您对(a) 确保您遵守适用于您使用服务及您自己处理客户个人数据的数据保护法律，(b) 独立评估服务的技术和组织措施是否满足您的要求，以及(c) 实施和维护您提供或控制的组件（包括但不限于密码、使用服务的设备和客户应用程序）的隐私和安全措施，承担全部责任。

5. 安全

5.1 安全措施

考虑到前沿技术、实施成本以及处理的性质、范围、背景和目的，以及对自然人权利和自由的不同可能性和严重性的风险，我们将实施和维护适当的技术和组织安全措施，以保护客户个人数据免受个人数据泄露，并保留我们用于处理客户个人数据的客户数据的安全性、完整性、可用性、韧性和保密性。我们实施的安全措施在附录II中进行了描述。

5.2 安全措施更新

您有责任审查我们提供的与客户个人数据安全相关的信息，并独立评估这些信息是否满足您的要求和根据数据保护法律的法律义务。您承认，安全措施受技术进步和发展的影响，我们可能会不时更新或修改我们的安全措施，前提是这些更新和修改不会导致客户个人数据整体安全性的降低。

5.3 访问控制

我们遵循“需要知道”和“最小特权”的原则，确保对客户个人数据的访问仅限于提供服务所需的工作人员，并符合协议，包括本数据处理协议（DPA）。

5.4 处理的保密性

我们将确保任何经过我们授权处理客户个人数据（包括我们的员工、代理和子处理者）的人或方都被告知此类客户个人数据的机密性质，并将承担适当的保密义务（无论是合同义务还是法定义务），该义务在其参与结束后仍然有效。

5.5 个人数据漏洞响应和通知

在意识到个人数据泄露后，我们将毫不拖延地采取以下措施：(i) 通知您，(ii) 调查个人数据泄露，(iii) 在了解情况或根据您的合理要求时及时提供与个人数据泄露相关的信息，以及 (iv) 采取商业上合理的措施以减轻影响并防止个人数据泄露的再次发生。

6. 协助

6.1 数据保护协助

我们将为您提供合理请求的协助，以帮助您履行根据数据保护法的义务，包括通知个人数据泄露、评估处理的适当安全级别，以及协助您执行相关的数据保护影响评估。

6.2 数据主体权利的协助

我们将为您提供合理的协助，以使您能够遵守数据保护法下行使权利的数据主体的义务，通过您的账户提供技术和组织措施。为了避免疑问，作为数据控制者，您对数据主体的客户个人数据的任何请求或投诉的处理负责。

7. 披露和披露请求

7.1 披露和访问的限制

我们不会提供访问或披露客户个人数据，除非(i) 按照您的指示，(ii) 在协议和本数据处理协议中所规定，或(iii) 根据法律要求。

7.2 披露请求

如果我们收到政府或监管机构要求披露客户个人数据的请求，我们将在合理的时间内通知您，除非法律禁止此类通知。我们将根据披露请求政策处理披露请求，该政策在我们的网站上可以找到。

8. 子处理器

8.1 当前子处理器列表

您同意与服务相关的次处理器的参与，详见我们的次处理器概览，其中还包含一个程序，您可以通过该程序订阅我们使用次处理器变更的通知。如果您订阅了此类通知，并考虑到本数据处理协议的第8.3节，我们将尽快共享次处理器任何变更的详细信息。

8.2 分配子处理者的任命

通过本数据处理协议（DPA），您向我们提供了一般书面授权，以便我们根据本DPA第8.3条和以下要求，聘用子处理者处理客户个人数据：

我们将限制子处理者对客户个人数据的访问仅限于提供子处理者协议中指定服务所绝对必要的信息；
我们将与子处理者达成的数据保护义务将与本DPA下的义务实质上相同；和
我们对您在本DPA下仍然对子处理者的数据保护义务的履行承担责任。

8.3 次级处理器变更通知及反对权

在更换或聘用新的子处理器（“子处理器变更”）之前，我们将为您提供反对子处理器变更的选项。您可以反对子处理器变更，前提是（i）反对意见在我们通知子处理器变更后的十（10）个工作日内以书面形式提出，并且（ii）反对意见是基于清楚解释与保护客户个人数据有关的合理理由。当您对提议的子处理器变更提出反对时，我们将真诚地与您合作，以合理的商业方式更改服务的提供，避免使用相关子处理器。如果在收到您的反对通知之日起三十（30）个工作日内无法合理进行此更改，或者该更改对我们而言商业上不合理，任何一方均可终止无法在不使用相关子处理器的情况下提供的服务的相关功能。如果您对子处理器变更提出反对，这一终止权利是您唯一和专属的补救措施。

9. 跨境转移客户个人数据

9.1 客户个人数据的转移

我们可能会转移客户个人数据，前提是在符合数据保护法的所有适当保护措施到位的情况下。这可能包括提前进行数据转移影响评估，采用、监测和评估补充的技术、组织和法律措施，可执行的数据主体权利，以及为数据主体提供有效的法律救济。

9.2 子处理器标准合同条款

除非适用适当性决定或替代转移机制，例如欧盟-美国数据隐私框架，否则我们已与位于欧洲经济区以外的子处理者（包括我们的附属公司）签订并将持续维护标准合同条款，受本数据处理协议第9.1节中规定的条款的约束。

9.3 客户个人数据转移机制

在您的服务使用过程中，如果需要跨境数据传输机制以合法地将客户个人数据从某个司法管辖区（例如欧洲经济区、加利福尼亚、新加坡、瑞士或英国）出口到我们位于该司法管辖区之外的地方，则适用本节。如果在服务的执行过程中，受到GDPR或适用于本数据处理协议的有关保护或隐私个人的法律管辖的客户个人数据被转移到位于未确保足够的数据保护水平的国家的提供者实体，则以下列出的转移机制将适用于此类转移，并且可以由各方直接实施，前提是此类转移受数据保护法律的约束。

9.3.1

各方同意标准合约条款将适用于通过服务从欧洲经济区或瑞士直接或通过转移转移的客户个人数据，至位于欧洲经济区或瑞士以外、且未被欧洲委员会（或在瑞士转移的情况下，由瑞士主管机关）认定为提供足够个人数据保护水平的国家的提供者实体。

9.3.1.1

当您作为数据控制者时，我们作为数据处理者，欧盟控制者与处理者（模块二）的标准合同条款将适用于从欧洲经济区（EEA）转移的任何客户个人数据。当您作为数据处理者，而我们作为子处理者时，处理者与处理者（模块三）的标准合同条款将适用于从欧洲经济区（EEA）转移的任何客户个人数据。

9.3.1.2

我们将被视为数据进口商，而您将被视为数据出口商，根据标准合同条款。每一方签署本数据处理协议（DPA）将视为签署适用的标准合同条款，这些条款将视为纳入本数据处理协议中。根据标准合同条款的附件 1 和附件 2 所需的详细信息可在本数据处理协议的附录 I 和附录 II 中获得。如本数据处理协议与标准合同条款之间存在任何冲突或不一致，以标准合同条款为准，仅涉及从欧洲经济区（EEA）转移客户个人数据的情况。

9.3.1.3

在标准合同条款要求双方在可选条款之间选择并输入信息的情况下，双方已按照以下内容进行选择：

i. 可选条款7“对接条款”将不被采用。

ii. 对于第9条“使用子处理器”，双方选择以下选项：“选项2 一般书面授权：数据引入方拥有控制方对从商定列表中选择的子处理器的普遍授权。数据引入方应提前至少10个工作日以书面形式具体告知控制方任何拟进行的该列表的更改，包括增加或替换子处理器，从而给予控制方足够的时间在子处理器参与之前提出异议。数据引入方应向数据出口方提供必要的信息，以使数据出口方能行使其异议权。数据引入方应告知数据出口方子处理器的参与。”

iii. 对于第11条(a)“救济”，双方不采用该选项。

iv. 对于第17条“适用法律”，双方选择以下选项：“选项1。这些条款应受欧盟成员国之一的法律管辖，前提是该法律允许第三方受益权。双方一致同意这应为荷兰的法律。”

v. 对于第18条(b)“论坛和管辖权的选择”： “双方同意应为荷兰的法院。”

9.3.2

各方同意，英国标准合同条款将适用于通过服务从英国直接或间接转移到位于英国以外、不被英国监管机构或政府机构认可为提供个人数据足够保护水平的国家的提供商实体的客户个人数据。

9.3.2.1

根据英国标准合同条款，我们将被视为数据进口方，而您将被视为数据出口方。每一方签署本数据处理协议（DPA）将被视为签署英国标准合同条款，这些条款将被视为并入本数据处理协议中。根据英国标准合同条款所需的详细信息可在本数据处理协议的附录 I 和附录 II 中获得。如本数据处理协议与英国标准合同条款之间存在任何冲突或不一致，以英国标准合同条款为准，仅适用于从英国转移客户个人数据。

10. 审计

10.1 审计报告

我们的沟通平台将定期按照ISO 27001标准（或等效标准）进行审计。审计可以完全由我们自行决定，可能是内部审计或第三方进行的审计。根据书面请求，我们将向您提供审计报告的摘要（“审计报告”），以便您验证我们是否符合审计标准和本数据处理协议（DPA）。此类审计报告以及其中指明的任何结论或发现都是我们的机密信息。

10.2 客户信息请求

我们将向您提供合理必要的所有信息，以证明遵守本数据处理协议（DPA）所规定的义务。我们将对您提出的合理信息请求提供书面回复，包括对信息安全和审计问卷的回复，前提是这些问卷范围合理且必要，以确认遵守本数据处理协议（DPA），前提是您（i）首先已合理努力从文档、审计报告及我们提供或公开的其他信息中获取所请求的信息，以及（ii）不会每年行使此权利超过一次，除非个人数据泄露或我们在与服务相关的处理活动中发生重大变化，要求执行额外的问卷。所有提供的回复均为我们的保密信息。

10.3 客户审计

如果我们提供给您的审核报告给您充分的理由相信我们违反了我们在本数据处理协议（DPA）下的义务，与您提供的客户个人数据相关，我们将允许您指定并获得我们批准的独立合格第三方审核员，审核相关的个人数据处理活动，前提是，在适用法律允许的最大范围内，满足以下要求：

您应至少提前六十（60）天合理通知我们，行使审核权利；
审核员同意与我们签署市场标准的保密义务；
您和审核员采取措施，尽量减少对我们业务运营的干扰；
审核将在正常营业时间内进行；
我们没有义务提供其他客户或与提供服务无关的系统的客户数据的访问；并且
您应支付审核的所有费用。

11. 删除和返回客户个人数据

在协议终止或到期时，我们将根据您的选择删除或返回我们所拥有或控制的所有客户个人数据（包括副本），但这一要求不适用于我们被法律要求保留部分或全部客户个人数据的情况。如果您指示我们删除客户个人数据，存档在我们备份系统上的客户个人数据将会受到进一步处理的保护，并在所需的保留期限结束后删除。

12. 客户加盟沟通与权利

根据第1.2节，以客户附属公司的名义和代表客户附属公司签署此DPA构成我们与该客户附属公司之间的单独DPA，受以下条款的限制:

12.1. 沟通

根据本数据处理协议，作为协议缔约方的客户有责任协调与我们之间的所有沟通，并有权代表其客户关联方进行与本数据处理协议相关的任何沟通。

12.2 客户附属公司的权利

当客户关联方与我们签订数据处理协议（DPA）时，在数据保护法要求的范围内，它有权根据该DPA行使权利并寻求救济，但须遵循以下条件：

(i) 除非数据保护法要求客户关联方直接针对我们行使权利或寻求救济，各方同意 (i) 仅合同方客户应代表客户关联方行使任何此类权利或寻求任何此类救济，并且 (ii) 作为协议的合同方客户应以合并方式为其自身及其所有客户关联方行使在该DPA下的任何权利，而不是单独为每个客户关联方行使。

(ii) 各方同意，作为协议的合同方客户在根据该DPA第10.3节进行关于保护客户个人数据程序的现场审计时，应采取所有合理措施通过将其自身及其所有客户关联方的多个审计请求合并为一次审计，以尽可能合理地限制对我们的影响。

为了明确，客户关联方并未成为协议的合同方。

13. 加利福尼亚消费者隐私法

在适用的范围内，我们向您做出以下额外承诺，关于在《加利福尼亚消费者隐私法案》（CCPA）范围内处理客户个人数据的事项。

13.1 我们在美国数据保护法下的义务

在本第13.1节中使用的“商业目的”、“商业用途”、“消费者”、“销售”和“分享”等术语的含义如《加州消费者隐私法》（CCPA）所述。在适用的情况下，我们将遵守CCPA，并根据CCPA及其他适用的美国数据保护法（“美国个人数据”）的规定处理所有受CCPA保护的客户个人数据。对于美国个人数据，我们是CCPA下的服务提供者，以及其他美国数据保护法下的数据处理者。我们不出售美国个人数据。我们不会保留、使用或披露任何美国个人数据 (i) 用于协议中规定的业务目的以外的任何目的（包括保留、使用或披露美国个人数据用于与协议中规定的商业目的无关的商业目的或根据CCPA或适用法律的其它允许）；或者 (ii) 在你我之间的直接商业关系之外。

13.2 客户义务

您表示并保证您已通知最终用户，个人数据的使用或共享是依据适用的数据保护法进行的。您有责任遵守数据保护法的要求，以您作为数据控制者所适用的程度.

14. 管辖法律与争端解决

任何源自或与本 DPA 相关的争议、索赔或争论（“争议”）应受荷兰法律的管辖并按照其解释。各方同意，阿姆斯特丹的有管辖权法院将拥有独占权来解决任何源自或与本 DPA 相关的争议。

13.1 我们在美国数据保护法下的义务

附录 I - 处理的详细信息

在适用的情况下，本附录 I 将作为 EEA 标准合同条款的附件 I。

附录 I，A 部分。缔约方名单

数据导出器

客户

数据导出者联系方式

客户账户中列出的地址，或客户账户所有者的电子邮件地址，或客户选择根据协议接收通知的电子邮件地址。

数据导出者角色

数据出口商的角色在数据处理协议（DPA）的第4节中有所概述。

签名和日期

如果适用，数据出口方被视为在DPA的生效日期签署了本协议所包含的标准合同条款。

数据导入器

供应商

数据导入器联系详情

数据保护主任 - privacy@bird.com

数据导入角色

数据导入者充当数据处理者。

签名和日期

如适用，数据导入方将被视为已于数据处理协议生效日期签署本协议中包含的标准合约条款。

附件 I，B 部。转让说明

1. 数据主体的类别，其个人数据被转移。

用户。使用服务的客户的联系人（自然人）或员工、承包商或临时工（当前、潜在、前任）（统称“用户”）；

最终用户。任何个人(i) 其联系信息包括在客户的联系人列表中；(ii) 其信息存储在或通过服务收集，或 (ii) 客户通过服务发送通讯或以其他方式与之互动或沟通的个人（统称“最终用户”）。您作为客户单独决定通过我们的沟通平台发送的通讯中包含的数据主体的类别。

2. 个人数据转移的类别

客户个人数据，包括通信内容、流量数据、最终用户数据和客户使用数据。

通信内容，可能包括个人数据或其他个性化特征，具体取决于您作为客户确定的通信内容。
流量数据，可能包括关于通信的路由、持续时间或时间的客户个人数据，例如语音通话、短信或电子邮件，无论它是与个人还是公司相关。
最终用户数据，例如电话号码、电子邮件地址、名字、姓氏、个人资料名称、国家、渠道标识符。
客户使用数据，可能包含可以链接到您作为个体的数据显示，并包含与您的帐户和服务活动、与服务相关的见解以及有关发送的通信和客户支持的分析报告。

3. 传输敏感数据

传输的敏感数据（如适用）和应用的限制或保护措施，充分考虑数据的性质和相关风险，例如严格的目的限制、访问限制（包括仅限经过专业培训的人员访问）、保留数据访问记录、预防转移限制或其他安全措施。

通信内容。 敏感数据可能会不时通过服务处理，在这种情况下，您或您的最终用户选择在使用服务传输的通信中包括敏感数据。您有责任确保适当的保护措施在传输或处理前就位，或在允许您的最终用户通过服务传输或处理任何敏感数据之前，根据协议第 3.2 节的规定。
流量数据、最终用户数据和客户使用数据。 流量数据、最终用户数据或客户使用数据中不包含敏感数据。

4. 轉賬的頻率

数据传输的频率（例如，数据是一次性传输还是持续传输）：客户个人数据在协议的有效期间内持续传输。

5. 处理的性质

我们将处理客户个人数据，以便在协议下提供所需的服务。我们不出售任何个人数据，包括客户个人数据，也不与第三方分享个人数据以换取报酬或为了这些第三方自身的商业利益。

6. 数据转移和进一步处理的目的

我们将根据本数据处理协议（DPA）中列出的客户指示，作为数据处理者处理客户个人数据，除非处理是出于我们所受法律义务合规所必需的，在这种情况下我们将被归类为数据控制者。

通信内容、流量数据、最终用户数据和客户使用数据。通信内容、流量数据、最终用户数据和客户使用数据中包含的个人数据将受到以下基本处理活动的约束：

通信内容。提供可编程通信产品和服务以便于客户使用，这些服务以应用程序编程接口（API）或通过仪表板的形式提供，包括将客户的软件下载或上传到我们的通信平台，以及其他通信网络。
流量数据。流量数据是为了在电子通信网络上传输通信或为该通信的计费而处理的。这可能包括关于通信的路由、持续时间或时间的信息，例如语音通话、短信或电子邮件，不论其与个人或公司相关。
最终用户数据。需要最终用户的个人数据以执行服务，仅会为了通信传输、客户支持和确保遵守我们的法律义务而进行处理。
客户使用数据。包含在客户使用数据中的个人数据将受到根据协议提供服务的处理活动的制约，旨在为客户提供与所发送的通信相关的洞察和分析报告、客户支持以及对服务的持续改进。

7. 个人数据保留期限

个人数据的保留期限，或者如果无法确定的获取该期限的标准：通信内容和流量数据。对于短信和语音服务中的通信内容和流量数据，适用六个月的保留期限；对于视频服务，通信内容和流量数据保留的最短期限为30天，最长保留期根据与您达成的协议确定；对于电子邮件服务，通信内容和流量数据保留72小时；对于所有其他服务，通信内容和流量数据的保留期限为服务的持续时间，除非您通过提供的技术和组织措施删除通信内容或流量数据。最终用户数据。最终用户数据将在客户确定的期间内进行处理，当最终用户数据包含在您的联系人资料中时，默认保留期限为服务的持续时间，受到本附录I第B部分第6(c)节的约束。客户使用数据。在协议终止时，我们可以根据本附录I第B部分第6(d)节中列出的目的保留、使用和披露客户使用数据，受限于协议中设定的保密义务。当我们不再需要客户使用数据以满足本附录I第B部分第6(d)节中列出的目的时，我们将对其进行匿名处理或删除。

7. 个人数据保留

个人数据将被保留的期限，或者，如果不可能，确定该期限的标准：

通信内容和流量数据；
对于包含在短信和语音服务中的通信内容和流量数据，适用六个月的保留期；
对于视频服务，通信内容和流量数据至少保留30天，最长可依据与您达成的协议；
对于电子邮件服务，通信内容和流量数据保留72小时；
对于所有其他服务，通信内容和流量数据保留服务期间，除非您通过服务提供给您的技术和组织措施删除通信内容或流量数据。
终端用户数据将在客户确定的期限内进行处理，当终端用户数据包含在您的联系资料中时，默认保留期为服务期间，受本附件I第B部分第6(c)条的约束。
客户使用数据：合同终止时，我们可以为本附件I第B部分第6(d)条所述的目的保留、使用和披露客户使用数据，受合同中规定的保密义务的约束。当我们不再需要客户使用数据以实现本附件I第B部分第6(d)条所述的目的时，我们将对其进行匿名处理或删除。

8. 对于转移到（子）处理器

对于转移到（子）处理者，还需指定处理的主题、性质和持续时间：对于转移到子处理者，处理的主题和性质在我们的子处理者概述中有所列出，持续时间为协议的持续时间。

附录 I, C 部。主管监管机构

荷兰数据保护局（Autoriteit Persoonsgegevens）将是主管的监督机构。

附录 II - 技术和组织安全措施

在适用的情况下，本附录 II 将作为标准合同条款的附件 II。以下提供了有关我们在下面列出的技术和组织安全措施的更多信息。

技术和组织安全措施

用于存储和传输的个人数据伪名化和保护措施：

所有个人数据在传输和存储过程中都经过加密，并且在安全方面的相关范围内，按敏感数据处理。信息始终通过最新加密方法的TLS进行传输，默认情况下。

确保处理系统和服务的持续保密性、完整性、可用性和弹性的措施：

我们与员工、承包商、供应商和子处理者签订包含保密条款的协议。我们的业务连续性政策是在发生超出我们控制范围的长期停机事件时，准备好我们的业务和服务，并在最短的时间内尽可能广泛地恢复服务。我们理解我们提供的服务对客户至关重要，因此对服务中断几乎没有容忍度。我们的恢复时间框架旨在确保我们能够满足对所有客户的义务。

定期测试、评估和评估技术和组织措施的有效性以确保处理安全的流程：

信息安全及我们的信息安全管理系统（ISMS）的目标是保护组织、员工、合作伙伴、客户和（授权的）信息系统的信息的机密性、完整性和可用性，并通过防止安全事件和管理安全威胁与漏洞来最小化损害风险。我们的法律团队、数据保护专员和安全团队确保适用的法规和标准被纳入我们的安全框架中。

用户识别和授权的措施：

我们遵循“需要知道”和“最小权限”的原则。我们促进基于角色的访问控制的使用。用户的创建和取消由安全团队监督，单点登录和双重认证默认为开启。每个信息资产都已定义拥有者，负责确保对其系统的访问是适当的，并定期进行审查。在处理敏感信息或采取关键行动时，我们使用四眼原则。

确保事件记录的措施：

审计日志集中存储并定期监控安全事件，确保安全以避免被篡改的风险。事件管理政策执行事件响应计划及其程序。如果发生任何类型的安全或技术事件，这些指南将被遵循。

确保系统配置的措施，包括默认配置：

我们遵循一致的变更管理流程，以处理通信平台即服务的生产环境中的所有变更。进一步说明，所有的变更请求（RFC）需要得到指定方的批准，并按照正式的变更控制流程执行。控制流程确保所提议的变更经过审核、授权、测试、实施并以受控方式发布；并且每个提议的变更状态都受到监测。配置基线按最佳实践安全地配置系统。此外，在工程部门内，技术雷达用于定义在开发过程中可以采用或需要避免的技术（语言、平台工具、数据库和数据管理工具）。

物理安全措施

我们积极推广“随时随地工作”的政策，让我们的员工可以在任何他们想要的地方工作。然而，我们仍然有我们的办公室。由于我们是一家完全基于云的公司，我们的办公室没有安全区域/数据中心。我们的办公楼通过物理访问控制、闭路电视和安保人员进行了保护。

内部IT和IT安全治理与管理的措施：

我们维护一个基于风险评估的安全程序，其中包括旨在保护服务和客户数据的机密性、完整性和可用性的管理、组织、技术和物理安全措施。我们的信息安全程序以系统和井然有序的方式建立。此外，法律和监管要求适用于确保信息对组织、员工、合作伙伴和客户的机密性、完整性和可用性。这一切都转化为我们的信息安全政策、程序和准则。我们有一个安全指导委员会，负责信息安全的战术层面。这涉及信息安全活动的协调以及将战略活动转化为运营活动以保障我们的安全，以及我们对监管合规性的持续维护。所有员工都负责保护公司的资产。我们所有的员工都经过专业知识、经验和诚信的审查。员工在入职阶段以及通过定期的团队专项培训和其他全公司的全员介绍会被告知安全和数据保护的重要性。我们获得了ISO 27001认证，这是全球认可的信息安全管理系统（ISMS）标准。