数据处理协议

定义

控制者、处理者、个人数据、处理、个人数据泄露和监管机构具有英国 GDPR 赋予其的含义。

英国 GDPR 指作为英格兰和威尔士、苏格兰及北爱尔兰法律一部分而保留的欧盟《通用数据保护条例》，连同《2018 年数据保护法》。欧盟 GDPR 指第 (EU) 2016/679 号条例。数据保护法指上述法律中适用于相关处理活动的法律。

子处理者指我们聘用以代表您处理个人数据的第三方。

我们何时是处理者，何时不是

我们从事两类不同的工作，法律对其区别对待。本 DPA 仅涵盖第一类。

在以下情况下，我们作为您的处理者行事：

• 保存您组织的联系人、用户及其账户
• 存储您上传至平台的文件
• 在您与被指派负责您工作的检查员之间传递消息

在以下情况下，我们以自身名义作为控制者行事：

• 开展检查，并决定观察、记录和报告的内容
• 保留报告和支持材料，作为已完成工作的证据
• 开具发票并保存会计记录，这是英国法律对我们的要求
• 评估出行风险并查询船舶数据，以规划和开展我们的工作

在我们作为控制者行事的情况下，适用我们的隐私政策而非本 DPA。如果同一记录兼具上述两种用途，则本 DPA 适用于我们代表您对该记录的处理，同时我们作为控制者的自身义务继续并行有效。

您的责任

作为我们为您处理的个人数据的控制者，您负责：

• 确保您所指示的处理具有合法依据
• 向您上传其数据的人员提供他们有权获得的信息
• 确保您的指示以及您输入平台的数据符合数据保护法
• 保持您的用户账户和访问权限为最新状态，并移除不应再拥有访问权限的人员

我们不负责判断您的处理是否合法，也不审查您上传内容的实质。

处理详情

处理事项： 提供使用条款中所述的平台。

期限： 在您的账户存续期间，外加第 10 节规定的任何保留期限。

性质和目的： 检查工作的托管、存储、传输和协调。

个人数据类型： 姓名、电子邮件地址、电话号码、职务、头像、身份验证凭据、会话和设备信息，以及您上传的文件中包含的任何个人数据。

数据主体类别： 您的员工和代表、被指派负责您工作的检查员，以及检查材料中提及的个人，其中可能包括船员。

您给予我们的指示

我们仅根据您的书面指示处理个人数据，包括与向英国或欧洲经济区（EEA）以外传输数据相关的指示，除非法律要求我们另行处理。在法律有此要求的情况下，我们将在处理前告知您，除非法律禁止我们这样做。

您的指示包括使用条款、本 DPA 以及您对平台功能的使用。

如果我们认为某项指示违反数据保护法，我们将告知您。对于会导致我们违法的指示，我们可以拒绝执行。

保密

我们授权处理个人数据的所有人员均负有保密义务，无论该义务来源于雇佣合同、委聘条款还是书面承诺。我们将访问权限限制在因工作需要而必须访问的人员范围内。

安全

我们根据第 32 条采取适当的技术和组织措施，包括：

• 使用单向哈希函数存储密码，并支持通行密钥
• 使用 HTTPS/TLS 进行传输加密，并进行静态加密
• 基于角色的访问控制，访问权限仅限于各角色所需的范围
• 记录访问和管理操作日志
• 备份保存在单独的受保护存储库中，并经过恢复测试
• 账户可启用多重身份验证

我们会随着平台的变化审查这些措施。我们可以更新这些措施，前提是保护水平不降低。

子处理者

您给予我们聘用子处理者的一般书面授权。当前名单公布于子处理者页面，就本 DPA 而言，该页面即为登记册。

在新的子处理者开始处理之前，我们将至少提前 30 天通过电子邮件或平台向您发出通知。如果您在该期限内基于数据保护理由提出合理反对，我们将与您合作寻找替代方案。如果我们无法找到替代方案，您可以终止受影响的服务而无需承担任何处罚，我们将退还已就尚未提供的服务支付的任何费用。

我们对每个子处理者施加的数据保护义务不低于本 DPA 中的保护标准，并且我们仍就其履约情况对您承担责任。

我们在世界各地聘用检查员。根据我们的条款聘用的个人检查员作为人员在我们的授权下行事，而非作为子处理者，并受第 6 节保密义务的约束。我们将检查工作分包给的公司属于子处理者，与其他子处理者一样受本节约束。

我们不公布这些公司的名称，因为我们与它们的协议是保密的，并且公布的名单涵盖的是平台背后的技术服务，而非与我们合作的公司。应您的要求，我们将以书面形式并在保密的前提下告知参与您工作的分包商。您根据本节享有的获得通知和提出反对的权利，同样完全适用于这些分包商，与适用于已列名的子处理者相同。

协助您履行义务

数据主体权利。 平台允许用户更新其姓名、头像和电话号码，管理其通行密钥，以及查看和撤销其会话。如果某项请求发送给了我们而非您，除非您另有指示，我们将转交该请求而不予答复。我们将根据平台提供的功能协助您作出回应。

个人数据泄露。 我们将在不无故拖延的情况下通知您，且无论如何均在知悉影响您个人数据的泄露事件后 48 小时内通知您。我们的通知将说明所发生的事件、所涉记录的类别和大致数量、可能造成的后果以及已采取的措施。

影响评估。 在与我们代表您进行的处理相关的范围内，我们将就数据保护影响评估以及与监管机构的事先协商提供合理协助。

删除和返还

在协议期限内应您的要求，或在协议终止时，我们将删除或返还我们代表您处理的个人数据，并删除现有副本。

在法律要求或记录作为已完成工作证据的情况下，我们将保留相关记录。实际上，这意味着：

• 会计记录，包括发票和费用，根据英国法律保留六年
• 检查报告和支持材料，作为我们所开展检查的记录，并在发生争议或索赔时作为证据保留

根据本节保留的任何内容仍受上述安全和保密条款的约束，且我们不会将其用于任何其他目的。个人账户删除的说明请参阅删除您的账户。

国际传输

大多数个人数据在英国和欧盟境内处理。部分子处理者在美国处理数据，人工智能处理可能在其他地区进行，具体见子处理者名单。

我们的检查员和分包商在全球各地工作，包括在未获得英国或欧盟充分性认定的国家。他们通过平台访问个人数据，以开展您委托的工作，并受第 6 节和第 7 节所述的保密和访问控制措施约束。

如果个人数据被传输至英国或欧洲经济区以外，无论是传输给子处理者还是我们自己的人员，我们依据英国《国际数据传输协议》，或欧盟标准合同条款连同英国附录，并在需要时依据传输风险评估。上述条款已纳入本 DPA，如与本 DPA 存在冲突，以上述条款为准。

审计

我们将提供为证明遵守本 DPA 而合理需要的信息。

您可以在任何十二个月期间内以书面形式请求一次该等信息，我们将在 30 天内作出答复。如果该等信息确实不足，您可以在至少提前 30 天通知的情况下，在营业时间内，以不干扰我们工作的方式，自费对我们进行现场审计。在遵守保密义务的前提下，您可以指定一名非我们竞争对手的独立审计师。

如果监管机构要求进行审计，本节不对其构成限制。

加利福尼亚州

如果《加州消费者隐私法》（California Consumer Privacy Act）适用于您提供的个人信息，我们作为服务提供商行事。我们不会出售或共享该等信息；除履行使用条款中的服务外，我们不会出于任何其他目的保留、使用或披露该等信息；除该法允许的情况外，我们不会将其与从其他途径获得的个人信息合并。如果我们无法再履行这些义务，我们将告知您。

责任、期限和优先顺序

本 DPA 项下的责任受使用条款中的责任限制约束。

本 DPA 自您接受使用条款之时起生效，并在我们代表您处理个人数据期间持续有效。如果本 DPA 的任何部分与使用条款相冲突，就个人数据而言，以本 DPA 为准。

本 DPA 是我们遵循的协议。如果您要求采用您自己的数据处理条款，我们会予以考虑，我们接受的任何条款须经我们签署方可生效；在此之前，适用本 DPA。如果已签署的条款与本 DPA 涉及同一事项，以已签署的条款为准。

本 DPA 受英格兰和威尔士法律管辖，并受使用条款中规定的司法管辖约束。

本协议的变更

我们可能会随着平台或法律的变化更新本 DPA，前提是该变更不会降低本 DPA 为您提供的保护。对于重大变更，我们将至少提前 30 天通过电子邮件或平台发出通知，最新版本始终公布于此。

联系方式

有关本协议的任何事项，请发送电子邮件至 support@awpmarine.com。有关安全事项，请发送电子邮件至 security@awpmarine.com。