数据保护附录 SparkPost
Documents
内容
在向我们的客户提供SparkPost服务的过程中，SparkPost可能会代表我们的客户处理个人数据，而这些个人数据需遵循欧盟的数据保护法律，如GDPR。为此，我们提供如下所列的数据保护附录 (DPA)。DPA只有在以下情况下才具有法律约束力和效力：(1) 需在此处签署；和 (2) 您在DPA正式签署之日是SparkPost的客户。请注意，由于我们有很多客户，我们无法为任何特定客户更改DPA。然而，如果您对DPA有任何疑问，请通过privacy@sparkpost.com联系我们。
Definitions
“Affiliate” 指任何直接或间接控制、被控制或与主体实体在共同控制下的实体。“Control” 在本定义中，指对主体实体超过50%表决利益的直接或间接所有权或控制权。
“Agreement” 指使用条款和相关订单，两者共同管理服务的提供和使用。
“CCPA” 指2018年加州消费者隐私法及其下发布的任何法规，在各情况下，均可随时进行修改。
“Controller/Processor Standard Contractual Clauses” 指根据GDPR和欧洲委员会实施决定（EU）2021/914于2021年6月4日发布的个人数据向第三国转移的标准合同条款中的“Controller to Processor” (Module 2) 模块。
“Data Protection Laws” 指任何管辖区内适用于协议下个人数据机密性、隐私、安全性或处理的所有法律法规，包括在适用情况下，GDPR、CCPA和所有其他与隐私、直接营销或数据保护相关的法律法规。 “Data Controller” 指单独或与他人共同决定个人数据处理目的和方法的实体。
“Data Processor” 指代表数据控制者处理个人数据的实体。“Data Subject” 指个人数据相关的个体。
“Data Subject Request” 指数据主体根据数据保护法律行使其对个人数据权利的请求，包括但不限于，访问、纠正、修改、转移、获取副本、反对处理、阻止、删除或选择不出售此类个人数据的权利。“EEA” 指欧洲经济区和瑞士。
“GDPR” 指 (i) 欧洲议会和理事会关于个人数据处理和此类数据自由流动的自然人保护条例2016/679 (通用数据保护条例)；或 (ii) 仅就英国而言，数据保护法2018。
“Personal Data” 指任何可识别、与特定自然人或家庭相关、描述或合理关联的信息。
“Processing” 指无论是否以自动化方式执行在个人数据或个人数据集上的任何操作或一组操作，例如收集、记录、组织、结构化、存储、调整或更改、检索、咨询、使用、通过传输披露、传播或以其他方式提供、对齐或组合、限制、擦除或销毁。
“Processor/Sub-Processor Standard Contractual Clauses” 指根据GDPR和欧洲委员会实施决定（EU）2021/914于2021年6月4日发布的个人数据向第三国转移的标准合同条款中的“Processor to Processor” (Module 3) 模块。
“Regulator” 指欧洲数据保护当局或拥有 (a) 服务的提供或接收； (b) 与服务相关的个人数据处理；或 (c) SparkPost 业务或人员与服务相关部分管理权限的其他监管、政府或监督机构。
“Security Incident” 指任何意外、未经授权或非法的个人数据的销毁、丢失、修改、披露、访问或加密。
“Service” 指SparkPost根据协议向客户提供的任何产品或服务。
“EEA Standard Contractual Clauses” 指 (i) Controller/Processor Standard Contractual Clauses；或 (ii) Processor/Sub-processor Standard Contractual Clauses，根据适用情况，单独或联合使用。
“Sub-processor” 指代表作为处理者或子处理者的实体处理个人数据的实体。
“UK Standard Contractual Clauses” 指根据欧洲委员会决定2010/87/EU对第三国设立的处理者转移个人数据的标准合同条款，可能由欧洲委员会随时修订、修改或取代。
与协议的关系
双方同意，本DPA将取代双方可能已在服务连接下以前签订的任何现有数据保护附录或类似协议。
本DPA适用于且仅在SparkPost在根据协议提供服务过程中处理受数据保护法律约束的个人数据时适用。
除本DPA所做的更改之外，协议保持不变并完全有效。如果本DPA的条款与协议的条款之间存在任何冲突，本DPA将在该冲突的范围内优先适用。在SparkPost依赖欧盟经济区标准合同条款或英国标准合同条款（统称为“标准合同条款”）传输个人数据的情况下，适用的标准合同条款将在与本DPA冲突时优先适用。
根据本DPA提出或与之相关的任何索赔将受协议条款和条件的约束，包括但不限于协议中规定的排除和限制。双方同意，协议中规定的责任限制不适用于任何一方对数据主体在标准合同条款的第三方受益人条款下的责任，前提是数据保护法律禁止此类责任的限制。
本DPA将受协议中的管辖法律和管辖权条款的管辖和解释，除非适用的数据保护法律另有要求。本DPA在SparkPost处理个人数据的情况下将保持有效，不论协议的到期或终止。处理的角色和范围。
双方的角色
双方确认并同意，在SparkPost与客户之间：就通过客户账户访问和/或使用服务的任何个人的个人数据而言（“用户”），客户是控制者，SparkPost是用户个人数据的处理者；就任何个人的数据而言：（i）电子邮件地址包含在客户的接收人列表中；（ii）信息存储在或通过服务收集；或（ii）用户通过服务发送电子邮件或以其他方式与之互动或沟通的对象（统称为“收件人”），客户是处理者，SparkPost是收件人个人数据的次处理者。
客户处理个人数据
客户同意，它将遵守适用的数据保护法律中有关通过服务处理个人数据及其向SparkPost发出的任何记录处理指令的义务。
SparkPost处理个人数据 客户指示SparkPost根据协议处理个人数据（包括毫无疑问地履行其在协议下的其他义务并行使其在协议下的权利），并遵循客户的其他合理指令（例如，通过电子邮件）前提是这些指令与协议一致。SparkPost应：（i）仅根据客户的指令并依据客户记录的合法指令处理个人数据，并将个人数据视为协议保密条款约束下的保密信息；（ii）如SparkPost合理认为客户的任何指令侵犯数据保护法律，应立即以书面形式通知客户；（iii）履行服务并依据数据保护法律和协议处理个人数据；（iv）及时通知客户任何与本DPA的不合规情况。 双方同意，本DPA和协议列出了客户向SparkPost发出的与个人数据处理相关的完整和最终指令，任何超出这些指令范围的处理（如有）需要客户和SparkPost事先书面同意。
数据处理细节
主题： 本DPA下的数据处理主题是个人数据。持续时间： 在SparkPost与客户之间，本DPA下的数据处理持续时间直至根据其条款终止协议。
目的： 本DPA下的数据处理目的是向客户提供服务并根据协议（包括本DPA）或由双方另行约定履行SparkPost的责任。
处理性质： SparkPost提供电子邮件投递、分析和智能服务以及其他相关服务，如协议中所述。数据主体类别： 用户和收件人。
个人数据类型：
客户和用户：识别和联系数据（姓名、地址、职称、联系方式、用户名）；财务信息（账户详细信息、支付信息）；工作详情（雇主、职位、地理位置、职责范围）；
收件人：识别和联系数据（姓名、电子邮件地址以及客户提供的其他人口和细分数据）；IT信息（IP地址、使用数据、cookies数据、在线导航数据、位置数据、浏览器数据）。
加利福尼亚消费者隐私法
SparkPost将遵守CCPA并按照CCPA的规定处理所有受CCPA约束的个人数据（“CCPA个人数据”）。对于CCPA个人数据，SparkPost是CCPA下的服务提供者。SparkPost不会（a）出售CCPA个人数据；（b）为提供服务之外的其他目的保留、使用或披露任何CCPA个人数据，包括为提供服务之外的商业目的保留、使用或披露CCPA个人数据；或（c）在SparkPost与客户的直接业务关系之外保留、使用或披露CCPA个人数据。双方确认并同意，客户的指令所授权的CCPA个人数据的处理，如协议和本DPA所述，是SparkPost提供服务和双方之间直接业务关系的核心和包含部分。双方确认并同意，SparkPost访问客户数据不构成双方就协议交换的对价的一部分。若任何使用数据被视为CCPA个人数据，SparkPost是该等数据的业务控制者，并将按照其隐私政策处理这些数据，该政策可以在https://www.sparkpost.com/policies/privacy/中找到。本节中使用的术语“业务”、“商业目的”、“服务提供者”和“出售”具有CCPA所赋予的含义。SparkPost和客户确认他们理解并将遵守CCPA规定的在本DPA和协议下设定的义务和限制。
合法权益
客户确认，SparkPost有权为了其合法商业目的使用和披露与服务的运营、支持和/或使用相关的数据，如账单、账户管理、技术支持和产品开发。如果任何此类数据被视为数据保护法律下的个人数据，SparkPost是该等数据的数据控制者，并将根据SparkPost的隐私政策和数据保护法律处理这些数据。
跟踪技术
客户确认在履行服务的过程中，SparkPost使用网络信标、跟踪像素和类似跟踪技术（“跟踪技术”）。客户将维护数据保护法律要求的适当合法的处理基础，以帮助SparkPost在接收人的设备上合法部署跟踪技术，并根据SparkPost隐私政策描述和收集数据。
Subprocessing
授权的子处理器。 客户同意 SparkPost 可以聘请子处理器代表客户处理客户数据。 截至生效日期，SparkPost 聘请的并由客户授权的子处理器列于：https://www.sparkpost.com/policies/subprocessors。子处理器义务。 SparkPost 将：(i) 与子处理器签署书面协议，强制要求子处理器按照数据保护法要求的标准保护客户数据；并且 (ii) 仍然负责遵守本《数据保护协议》的义务，并对导致 SparkPost 违反其在本《数据保护协议》项下义务的任何子处理器的行为或不作为负责。
通知。 SparkPost 将：(i) 应客户的书面要求提供其已任命的子处理器的最新列表；以及 (ii) 在新增子处理器之前至少十（10）天通知客户（电子邮件即可），以便进行任何此类更改。
反对。 客户可以在收到此类通知后五（5）天内以书面形式反对 SparkPost 任命新的子处理器，前提是该反对是基于与数据保护相关的合理理由。 在这种情况下，双方将本着诚意讨论这些问题以期达成解决方案。 如果未能在合理的时间内达成解决方案，客户可以通过向 SparkPost 提供书面通知，仅终止涉及特定服务的相关订单，这些服务无法在没有使用被反对的新子处理器的情况下由 SparkPost 提供。
Security
Security Policy.
考虑到技术的现状、实施成本以及处理的性质、范围、背景和目的，以及自然人权利和自由的各种可能性和严重性的风险，SparkPost 应实施和维护适当的技术和组织安全措施，以保护个人数据免遭安全事件，并维护用于处理个人数据的 SparkPost 系统的安全性、完整性、可用性、恢复力和保密性。
Updates to Security Measures.
客户有责任审查 SparkPost 提供的有关数据安全的信息，并独立判断此类信息是否满足客户根据数据保护法的要求和法律义务。 客户承认安全政策受到技术进步和发展的影响，SparkPost 可能会不时更新或修改安全政策，只要此类更新和修改不会导致客户购买的服务总体安全性的下降。
Customer Responsibilities.
尽管如此，客户同意客户有责任保护其账户认证凭据在客户保管或控制中的安全性，并在个人数据在客户保管或控制中传输到和从服务传输时保护其安全性。
SparkPost Personnel.
SparkPost 应确保其参与个人数据处理的人员知晓个人数据的机密性质，已接受与其职责相关的适当培训，并签署了关于个人数据的书面保密协议，这些协议在员工聘用终止后仍然有效。
审计报告和审计
审核报告。
SparkPost 定期接受独立第三方审计，依据 SOC 2 Type II 控件（或同等标准）。根据要求，SparkPost 将向客户提供其审计报告（“审计报告”）的摘要副本，以便客户可以验证 SparkPost 对其所评估审计标准及本数据处理协议的合规性。此类审核报告以及其中指定的任何结论或发现均为 SparkPost 的机密信息。
审计。
SparkPost 将向客户提供所有必要信息，以证明遵循 GDPR 第 28 条（“第 28 条要求”）中规定的数据处理者义务的合规性。为此，SparkPost 将对客户提出的所有合理信息请求提供书面答复，包括信息安全和审计问卷的答复，这些问卷对于确认 SparkPost 是否遵循第 28 条要求是必要的，前提是客户一年不行使此权利超过一次。此类答复为 SparkPost 的机密信息。如果 SparkPost 无法通过书面答复提供所有必要信息来证明遵循第 28 条要求，那么 SparkPost 将允许并协助由客户或代表客户的其他审计方进行的审计，包括检查。从 SparkPost 获取的所有信息在此类审计或检查期间均为 SparkPost 的机密信息。
国际转账
处理地点。
SparkPost 可以在 SparkPost、其附属公司或其次级处理器进行数据处理操作的任何地方转移和处理客户数据。 SparkPost 将始终根据数据保护法律的要求为处理的客户数据提供足够的保护水平。
标准合同条款。
如果 SparkPost 根据协议处理任何需要向前转移机制以合法转移个人数据从 EEA 或联合王国（“英国”）到另一个国家或地区，而该国家或地区尚未被欧盟委员会（或特别是关于英国，可能由适用的英国监管机构确定）认定为提供足够的保护水平来保障数据主体的权利和自由（“受限转移”）的个人数据，双方同意如下：
EEA 标准合同条款。
双方同意遵守 EEA 标准合同条款对任何来自 EEA 的受限转移（“EEA 受限转移”）。当客户是控制者而 SparkPost 是处理者时，如第 3.1 节中进一步描述的那样，控制者/处理者标准合同条款将适用于任何此类 EEA 受限转移。当客户是处理者而 SparkPost 是次级处理者时，如第 3.1 节中进一步描述的那样，处理者/次级处理者标准合同条款将适用于任何此类 EEA 受限转移。在 EEA 标准合同条款下，SparkPost 将被视为数据导入者，而客户将被视为数据出口者。每一方对本 DPA 的签署将被视为对适用的 EEA 标准合同条款的签署，该条款将被认为已并入本 DPA。EEA 标准合同条款附录1 和附录2 所需的详情见本 DPA 的附表 1 和附表 2。在本 DPA 与 EEA 标准合同条款之间存在任何冲突或不一致的情况下，EEA 标准合同条款应仅就 EEA 受限转移起作用。如果 EEA 标准合同条款要求双方选择可选条款并输入信息，双方已按如下所示进行选择：
可选条款 7 “对接条款”不予采用。
对于条款 9 “使用次级处理器”，双方选择以下选项：“选项 2 一般书面授权：数据导入者已就从约定列表中选择次级处理器获得控制者的一般授权。数据导入者应至少在 30 个日历日前通过书面形式具体通知控制者有关该列表的任何计划更改，从而使控制者有足够的时间在聘用次级处理器前能够反对任何更改。数据导入者应向控制者提供使控制者能够行使其反对权所需的信息。数据导入者应通知数据出口者次级处理器的聘用情况。
”对于条款 11 (a) “救济”，双方不采用该选项。
对于条款 17 “适用法律”，双方选择以下选项：“选项 1。这些条款应受允许运用第三方受益人权利的欧盟成员国法律管辖。双方同意这将为荷兰法律。
”对于条款 18 (b) “论坛选择和管辖权”： “双方同意这将为荷兰的法院。
”英国标准合同条款。双方同意遵守英国标准合同条款对任何来自英国的受限转移（“英国受限转移”）。在英国标准合同条款下，SparkPost 将被视为数据导入者，而客户将被视为数据出口者。每一方对本 DPA 的签署将被视为对英国标准合同条款的签署，该条款将被认为已并入本 DPA。英国标准合同条款附录1 和附录2 所需的详情见本 DPA 的附表 1 和附表 2。在本 DPA 与英国标准合同条款之间存在任何冲突或不一致的情况下，英国标准合同条款应仅就英国受限转移起作用。
合作。
如果 SparkPost 无法遵守此要求，或者如果相关当局或法院停止承认 EEA 标准合同条款或 UK 标准合同条款（视具体情况而定）作为提供足够保护水平，SparkPost 将通知客户并合理地与客户合作，以确保任何个人数据处理均遵循数据保护法律及其下的任何转移限制，包括通过实现另行认证（适用及必要时）。
替代转移机制。
双方同意，在 SparkPost 采用或维护一种替代数据出口解决方案以合法转移个人数据（如数据保护法律所认可）至 EEA 和/或 UK 之外，并且其在任何转移或其他个人数据处理之前已获得客户书面批准（“替代转移机制”）的情况下，第 7.2 节（标准合同条款）中确定的数据出口解决方案将不适用，在此情况下，替代转移机制将适用（但仅在此类替代转移机制扩展到个人数据转移到的领土时）。
额外的安全
处理的保密性。
SparkPost 将确保其受权处理个人数据的任何人（包括其员工、代理和分包商）会承担适当的保密义务（无论是合同上的还是法定义务）。
安全事件响应和通知。
一旦意识到安全事件，SparkPost 将毫不延迟地通知客户，并在安全事件被获知或客户合理请求时，及时提供相关信息。
数据的退回或删除
在合同终止或到期时，SparkPost 将删除或返回（由客户选择）给客户所有其拥有或控制的个人数据（包括副本），但此要求不适用于 SparkPost 根据适用法律需要保留部分或全部个人数据的范围，或存档在备份系统上的个人数据，SparkPost 将安全隔离并保护这些个人数据，除非适用法律要求进一步处理。合作。
赔偿。
双方同意为对方（包括其董事、官员、员工和代理）辩护并赔偿因实际或指称违反本 DPA 引发的任何第三方索赔（包括来自政府当局和接受者的索赔）及相关费用和开支（包括合理的律师费）。
数据主体请求。
本服务为客户提供了一些控制措施，客户可以使用这些措施来检索、纠正、删除或限制客户数据，客户可以利用这些措施协助其履行数据保护法律规定的义务，例如，其有关响应数据主体请求的义务。当客户无法在服务中独立访问相关客户数据时，SparkPost 将提供合理的协助，以帮助客户及时响应与根据协议处理个人数据相关的任何数据主体请求，并在数据保护法律规定的期限内进行。在此类请求直接提交给 SparkPost 的情况下，SparkPost 应在收到该请求后立即书面通知客户。
处理记录。
应客户要求，SparkPost 将及时提供客户所需的信息，以证明 SparkPost 遵守其在数据保护法律及本 DPA 下的义务。
政府请求。
如果执法机构向 SparkPost 发送个人数据的要求（例如，通过传票或法院命令），SparkPost 将尝试将执法机构重定向至直接向客户请求该数据。作为这种努力的一部分，SparkPost 可能会将客户的基本联系信息提供给执法机构。如果被迫向执法机构披露客户数据，则 SparkPost 将向客户提供合理的通知，以便客户寻求保护令或其他适当的救济，除非 SparkPost 依法被禁止这样做。
数据保护影响评估。
在 SparkPost 根据适用数据保护法律要求的范围内，SparkPost 将提供合理请求的信息，以便客户根据法律要求或 GDPR 的第 35 和 36 条进行数据保护影响评估或与数据保护机构进行事先协商。
***
SCHEDULE 1
EEA标准合同条款的附件I
在适用的情况下，本附表1将作为EEA标准合同条款的附件I。
附件1，部分A：各方列表
数据出口方：Customer
数据出口方联系人详细信息：客户签名栏上方列出的地址，或者客户帐户所有者的电子邮件地址，或客户选择在协议下接收通知的电子邮件地址。
数据出口方角色：数据出口方的角色在DPA的第3节中概述。
签名和日期：数据出口方被视为自DPA生效日期起已签署本文件中所包含的EEA标准合同条款。
数据进口方：Message Systems, Inc. (dba SparkPost)
数据进口方联系人详细信息：SparkPost数据保护官 – privacy@sparkpost.com
数据进口方角色：数据进口方的角色在DPA的第3节中概述。
签名和日期：数据进口方被视为自DPA生效日期起已签署本文件中所包含的EEA标准合同条款。
附件1，部分B：传输描述
个人数据传输的相关数据主体类别在DPA的第3.4节中描述。转移的个人数据类别在DPA的第3.4节中描述。传输的敏感数据（如适用）和应用的限制或保障措施，充分考虑数据的性质和涉及的风险，例如严格的目的限制、访问限制（包括仅限经过专门培训的工作人员访问）、记录对数据的访问、转移的限制或额外的安全措施：
无。传输的频率（如数据是一次性传输还是连续传输）：数据在协议有效期内连续传输。
处理的性质在DPA的第3.4节中描述。数据传输和进一步处理的目的在DPA的第3.4节中描述。
个人数据存储期限，或者如果不可能，确定该期限的标准：
协议有效期内或根据适用法律要求并根据协议允许的期限内。
对于向次级处理器的传输，还请说明处理的主题、性质和持续时间：
对于向次级处理器的传输，处理的主题和性质在https://www.sparkpost.com/policies/subprocessors/中概述，持续时间为协议有效期内。
附件1，部分C：主管监督机构
荷兰数据保护局（Autoriteit Persoonsgegevens）将为主管监督机构。
***
附表 2 EEA 标准合同条款的附件 II
在适用的情况下，本附表2将作为标准合同条款的附件二。以下提供了有关SparkPost的技术和组织安全措施的更多信息，具体如下。
有关SparkPost用以保护客户数据的技术和组织安全措施的更多信息，可在以下地址查看概要：https://www.sparkpost.com/policies/security/（“安全政策”）。
技术和组织安全措施:
个人数据的假名化和加密措施：SparkPost 在静态和传输中使用适用的 SSL、HTTPS 和机会性 TLS 来保持客户数据的加密格式。
确保处理系统和服务的机密性、完整性、可用性和弹性的持续措施：SparkPost 同意其与客户的协议中的保密义务。SparkPost 还与 SparkPost 的员工、承包商、供应商和子处理器签订包含实质性类似保密条款的协议。SparkPost 通过多个故障独立的数据中心可用性区域来维护系统和服务的高可用性和弹性。此外，SparkPost 已实施并维护“Business Continuity and Disaster Recovery Plan”以确保客户数据得到保护并且服务能够继续提供。
确保在发生物理或技术事件时能够及时恢复个人数据可用性和访问的措施：客户数据由 Amazon Web Services（“AWS”）托管，提供跨多个可用性区域的冗余。如上所述，SparkPost 还已实施并维护“Business Continuity and Disaster Recovery Plan”。
为了确保处理安全的技术和组织措施有效性的常规测试、评估和评估流程：SparkPost 维护书面的和全面的信息安全计划，其中包括适当的物理、技术和管理控制措施，以保护客户数据的安全、完整性、机密性和可用性，包括但不限于保护客户数据免受任何未经授权或非法的获取、访问、使用、披露或销毁。此安全计划是根据 SparkPost 提供的服务类型以及 SparkPost 的业务规模和复杂性而设计的。除了我们的内部安全团队外，SparkPost 还使用第三方定期进行内部和外部漏洞和渗透测试，以验证周边和内部防御姿态。
用户识别和授权措施：SparkPost 员工需要使用唯一的用户访问凭证和密码进行授权。SparkPost 在提供系统访问权限时使用最低权限原则，根据每位员工的工作职能、角色和职责来确定适当的权限级别和持续时间。访问需要在提供之前获得批准，并在角色变更或终止时立即被删除。
数据传输过程中的保护措施：在客户与 SparkPost 服务之间传输时，客户数据通过 HTTPS 加密。在 SparkPost 和接收者之间传输时，客户数据通过机会性 TLS 加密。数据存储过程中的保护措施：客户数据使用高级加密标准存储加密。
确保个人数据处理点的物理安全措施：SparkPost 总部和办公空间具备（i）物理安全监控和监测；（ii）进入控制以限制物理访问；和（iii）访客日志。所有承包商和访客需要在进出办公室时记录他们的进入和退出。服务在 AWS 上运行，受到 Amazon 的物理、技术、组织和管理控制保护。有关 AWS 安全的详细信息，请参见 https://aws.amazon.com/security/，https://aws.amazon.com/security/sharing-the-security-responsibility/，和 https://aws.amazon.com/compliance/iso-27001-faqs/。有关 AWS SOC 报告，请参见 https://aws.amazon.com/compliance/soc-faqs/。
确保事件记录的措施：SparkPost 的生产基础设施日志活动被集中收集并安全以防篡改，并由训练有素的安全团队监控异常。
确保系统配置，包括默认配置的措施：SparkPost 以将风险最小化的方式评估其平台、应用程序和生产基础设施的变更，并仅按照安全政策实施这些变更。SparkPost 在产品创建生命周期的不同阶段为服务执行多项与安全相关的活动，从创建需求文档和产品设计一直到上线阶段。这些活动包括（i）新服务部署前的内部安全审查；（ii）独立第三方的年度渗透测试；和（iii）新服务的威胁分析，以检测任何潜在的安全威胁和漏洞。SparkPost 遵循变更管理流程来管理服务生产环境的变更，包括其基础软件、应用程序和系统的变更。监控系统存在，以提醒安全团队有关未遵循变更管理流程对关键基础设施和服务所做的变更。
内部 IT 和 IT 安全治理和管理措施：SparkPost 维护基于风险评估的安全计划，其中包括合理设计用于保护服务以及客户数据机密性、完整性和可用性的管理、组织、技术和物理保障措施。SparkPost 的安全计划是在考虑到服务性质以及 SparkPost 业务的规模和复杂性时设计的。SparkPost 拥有一个专门的安全团队负责管理 SparkPost 的信息安全计划，并协助和支持第三方进行的独立审计和评估。SparkPost 的安全框架基于 SOC2 Type II 认证，并包括以下信任服务标准：安全性、可用性、机密性和隐私。安全性在公司的最高管理层进行管理，遵循合规和 IT 安全副总裁定期会见执行管理层以讨论问题并协调全公司范围的安全和 IT 计划。信息安全政策和标准由管理层至少每年审核和批准，并向所有相关的 SparkPost 员工提供以供参考。
过程和产品认证/担保措施：SparkPost 进行各种第三方审计以证明符合包括 SOC 2 Type II 在内的各种框架，并定期进行应用程序漏洞和渗透测试。确保数据最小化的措施：SparkPost 在电子邮件已传递给收件人或被邮箱提供商拒绝的情况下不存储电子邮件正文，这通常在几秒钟内发生。如果发生拒绝或退回，SparkPost 将在有限的时间内保留电子邮件正文，以便可以重试电子邮件传输。如果传输仍然不成功，邮件正文将被永久删除。SparkPost 仅在电子邮件传输给收件人后的一段有限时间内以原始形式存储收件人的个人数据。在初始保留期后，个人数据通过单向哈希假名化，并仅以假名化形式存储。有关此过程的更多信息，请参见我们的数据常见问题解答，可在以下地址查看：https://www.sparkpost.com/policies/data-faq/。此外，SparkPost 在服务中内置了自助功能，允许客户按需删除某些客户数据，如收件人的电子邮件地址和相关的消息事件，相关文档可在以下地址查看：https://developers.sparkpost.com/api/data-privacy/。
确保问责制的措施：SparkPost 采取措施确保问责制，包括定期进行第三方审计，以确保其隐私和安全标准合规。SparkPost 还根据适用法律实施数据保护政策，并发布安全政策的概述（上面已链接）。SparkPost 已任命数据保护官，并维护其处理活动的文档，包括在适用的情况下记录和报告涉及个人数据的安全事件。
确保数据可移植性和确保删除的措施：客户与其收件人有直接关系，并负责响应其最终用户希望行使其在数据保护法律下权利的请求。SparkPost 已在服务中内置了自助功能，允许客户按需删除某些客户数据，例如收件人的电子邮件地址和相关的消息事件，这些功能的文档可在以下地址查看：https://developers.sparkpost.com/api/data-privacy/。此外，SparkPost 还在服务中内置了自助功能，以阻止未来向收件人发送的电子邮件（即退订），这类功能的文档可在以下地址查看：https://developers.sparkpost.com/api/suppression-list/。在客户无法独立访问服务中的相关客户数据的情况下，SparkPost 将提供合理的合作以协助客户及时响应与协议下个人数据处理相关的任何数据主体请求，以符合数据保护法律规定的任何期限。如果此类请求直接提交至 SparkPost，SparkPost 将建议数据主体向客户提交其请求，并且客户将负责响应任何此类请求。
对于向（子）处理器进行的转移，还请描述（子）处理器为能够协助控制者，以及为从处理器向（子）处理器转移以至数据出口方所采取的特定技术和组织措施：当 SparkPost 根据此 DPA 聘用（子）处理器时，SparkPost 和（子）处理器签订的数据保护条款与此处包含的条款在实质上相似。
V2.0 2021年11月2日
