使用条款附件 4:标准合同条款

模块四：将处理者转移至控制者

自 2026 年 9 月 30 日起生效 | 查看标准合同条款的先前版本 | 比较更改

除条款外，如果双方在提供与购买或获取订阅相关的服务的情况下被要求签订下列标准合同条款（纳入欧盟委员会的标准合同条款（2021/914/EU）），且在存在向位于欧洲经济区以外第三国、或未经欧盟委员会决定认定为具有充分保护水平的国家的实体（数据接收方）传输个人数据的情况下，这些标准合同条款应予适用，无需另行签署。

除非本标准合同条款的某一特定条款另有规定，本文中所有首字母大写术语的含义应与条款及其附件 3 - 数据处理协议（”数据处理协议”）中所定义的含义相同。

第一部分

第一条 目的和范围

（a） 这些标准合同条款的目的在于，确保向第三国传输个人数据时符合欧洲议会和理事会 2016 年 4 月 27 日关于在个人数据处理方面保护自然人以及此类数据自由流动的条例 (EU) 2016/679（《通用数据保护条例》）(1) 的要求。

（b） 双方：

（i）附件 I.A 中所列的传输个人数据的自然人或法人、公共机关、机构或其他团体（以下简称”实体”）（以下各自称为”数据输出方”），以及

（ii）附件 I.A 中所列的、直接或间接通过同为本条款一方的另一实体从数据输出者处接收个人数据的第三国实体（以下各称”数据输入者”）

已同意这些标准合同条款（以下简称：“条款”）。

（c） 本条款适用于附件 I.B 中规定的个人数据传输。

（d） 本条款的附录（含其中所述的各项附件）构成本条款不可分割的组成部分。

第2条 条款的效力和不变性

(a) 本条款依据《（欧盟）2016/679号条例》第46条第1款和第46条第2款(c)项规定了适当的保障措施，包括可执行的数据主体权利和有效的法律救济；就控制者向处理者和/或处理者向处理者的数据传输而言，本条款构成《（欧盟）2016/679号条例》第28条第7款所述的标准合同条款，但以本条款未被修改为前提，为选择适当的模块或在附录中添加或更新信息而作的修改除外。这并不妨碍双方将本条款中规定的标准合同条款纳入范围更广的合同，和/或添加其他条款或额外保障措施，前提是这些内容不得直接或间接与本条款相抵触，或损害数据主体的基本权利或自由。

(b) 本条款不影响数据输出方根据第 (EU) 2016/679 号条例所承担的义务。

第3条 第三方受益人

（a） 数据主体可作为第三方受益人，针对数据输出方和/或数据输入方援引并执行本条款，但以下情况除外：

(i) 第 1 条、第 2 条、第 3 条、第 6 条、第 7 条；

（ii）第 8 条 – 模块一：第8.5(e)条和第8.9(b)条；模块二：第8.1(b)、8.9(a)、(c)、(d)和(e)条;模块三：第8.1(a)、(c)和(d)条以及第8.9(a)、(c)、(d)、(e)、(f)和(g)条；模块四：第8.1(b)条和第8.3(b)条;

（iii） 第 9 条 – 模块二：第9(a)、(c)、(d)和(e)条；模块三：第9(a)、(c)、(d)和(e)条;

(iv) 第 12 条 – 模块一：第12(a)条和第12(d)条；模块二和模块三：第12条(a)、(d)和(f)项;

（v） 第13条；

（vi）第15.1(c)、(d)和(e)条；

（vii） 第16(e)条；

（viii） 第18条 – 模块一、模块二和模块三：第18(a)和(b)条；模块四：第18条。

(b) (a) 段不影响数据主体根据第 (EU) 2016/679 号条例享有的权利。

第4条 解释

（a）凡本条款中使用的术语已在法规（EU）2016/679中作出定义的，这些术语的含义应与该法规中的含义相同。

（b） 这些条款应根据第 (EU) 2016/679 号条例的规定进行解读和解释。

(c) 对本条款的解释不得与第 (EU) 2016/679 号条例所规定的权利和义务相冲突。

第5章 层级结构

如果本条款与双方之间在议定本条款时已存在的或其后签订的相关协议的规定相抵触，则以本条款为准。

第6条 传输说明

传输的详情，特别是所传输的个人数据类别以及传输目的，详见附件I.B。

第 7 条 可选对接条款

（a）非本条款当事方的实体，经各方同意，可随时以数据输出者或数据输入者的身份，通过填写附录并签署附件I.A，加入本条款。

（b） 一旦完成附录填写并签署附件 I.A，加入实体即成为本条款的一方，并根据其在附件 I.A 中的指定，享有数据输出者或数据输入者的权利并承担相应义务。

（c） 加入实体对于成为缔约方之前期间内产生的任何权利或义务，不享有本条款项下的权利，也不承担相应义务。

第二节 – 各方的义务

第 8 条 数据保护保障措施

数据输出方保证，其已尽合理努力确认数据输入方能够通过实施适当的技术和组织措施履行其在本条款项下的义务。

8.1 说明

（a） 数据输出者仅应根据作为其控制者的数据输入者的书面指示处理个人数据。

（b）如果数据输出者无法遵循这些指示，包括此类指示违反法规（EU）2016/679 或其他欧盟或成员国数据保护法的情形，数据输出者应立即通知数据输入者。

(c) 数据输入方应避免采取任何会妨碍数据输出方履行其在法规 (EU) 2016/679 项下义务的行为，包括在次级处理（分包处理）方面或在与主管监管机构合作方面的行为。

(d) 在处理服务提供结束后，数据输出方应按照数据输入方的选择，删除代表数据输入方处理的所有个人数据，并向数据输入方证明已完成删除，或者将代表其处理的所有个人数据返还给数据输入方并删除现有副本。

8.2 处理安全

（a）双方应采取适当的技术和组织措施，以确保数据的安全，包括传输过程中的安全，并防范导致意外或非法损毁、丢失、更改、未经授权披露或访问的安全事件（以下简称”个人数据泄露”）。在评估适当的安全级别时，他们应适当考虑技术发展水平、实施成本、个人数据的性质（2）、处理的性质、范围、背景和目的，以及处理对数据主体所涉及的风险，并应特别考虑在能够以此方式实现处理目的的情况下采用加密或假名化措施，包括在传输过程中采用此类措施。

（b）数据输出方应协助数据输入方按照第（a）款确保数据的适当安全性。如果数据输出者根据本条款处理的个人数据发生个人数据泄露，数据输出者应在知悉后不无故拖延地通知数据输入者，并协助数据输入者应对该泄露事件。

（c） 数据输出方应确保获授权处理个人数据的人员已作出保密承诺或负有适当的法定保密义务。

8.3 文档和合规性

（a） 双方应能够证明其遵守本条款。

（b） 数据输出方应向数据接收方提供证明其履行本条款项下义务所需的所有信息，并允许且协助开展审计。

第 9 条 次级处理者的使用

不适用于相应的模块和传输的性质。

第 10 条 数据主体权利

双方应相互协助,以回应数据主体依据适用于数据接收方的当地法律提出的查询和请求;对于数据输出方在欧盟境内进行的数据处理,则依据(欧盟)2016/679号条例提出的查询和请求。

第11条 补救

(a) 数据接收方应以透明且易于获取的形式，通过单独通知或在其网站上，向数据主体告知经授权处理投诉的联络点。其应及时处理收到的任何来自数据主体的投诉。

条款 12 责任

（a）各方应就其因违反本条款而给另一方/其他各方造成的任何损害向另一方/其他各方承担责任。

(b) 对于一方因违反本条款项下的第三方受益人权利而给数据主体造成的任何物质或非物质损害，该方应向数据主体承担责任，且数据主体有权获得赔偿。这不影响数据输出方根据第 (EU) 2016/679 号条例应承担的责任。

（c） 如果因违反本条款而对数据主体造成的任何损害由一方以上负责，则所有负有责任的各方应承担连带责任，且数据主体有权在法院对其中任何一方提起诉讼。

(d) 各方同意，如果一方依据第 (c) 款被认定承担责任，则其有权向另一方/其他各方追偿与该方/各方对此损害所负责任相对应的那部分赔偿。

(e) 数据输入方不得援引处理者或子处理者的行为来逃避其自身的责任。

第13条 监督

不适用于相应的模块和传输的性质。

第三节 – 公共机关访问情况下的当地法律和义务

第14条 影响遵守本条款的当地法律和惯例

模块四：处理者向控制者的传输（欧盟处理者将从第三国控制者接收的个人数据与该处理者在欧盟收集的个人数据相结合的情形）

（a）双方保证，其没有理由相信目的地第三国适用于数据输入者处理个人数据的法律和惯例，包括任何披露个人数据的要求或授权公共机关访问的措施，会妨碍数据输入者履行其在本条款项下的义务。这是基于这样一种理解：凡尊重基本权利和自由之本质，且未超出民主社会中为维护《条例》(EU) 2016/679第23(1)条所列目标之一所必要且相称之限度的法律和做法，均不与本条款相抵触。

（b）双方声明，在提供（a）款中的保证时，他们已特别适当考虑了以下要素：

(i) 传输的具体情况，包括处理链的长度、涉及的参与方数量以及所使用的传输渠道；拟进行的后续传输；接收方的类型；处理目的；所传输个人数据的类别和格式；发生传输的经济部门；所传输数据的存储位置；

(ii) 目的地第三国的法律和实践——包括要求向公共机关披露数据或授权此类机关访问数据的法律和实践——即结合该项传输的具体情形而言具有相关性的法律和实践，以及适用的限制和保障措施 (3)；

（iii） 为补充本条款项下的保障措施而采取的任何相关合同、技术或组织保障措施，包括在传输过程中以及在目的地国家/地区处理个人数据时所采取的措施。

（c）数据输入者保证，在进行（b）段规定的评估时，已尽最大努力向数据输出者提供相关信息，并同意将继续与数据输出者合作，以确保遵守本条款。

（d） 双方同意记录（b）款项下的评估，并应要求将其提供给主管监管机构。

（e） 数据输入者同意，在其同意本条款后且在合同有效期内，如其有理由相信自身正受制于或已受制于不符合第（a）款要求的法律或惯例，包括在第三国法律发生变更之后，或出现表明此类法律在实践中的适用不符合第（a）款要求的措施（如披露请求）之后，应立即通知数据输出者。

(f) 在根据第 (e) 段收到通知后，或者数据输出者基于其他原因有理由认为数据输入者已无法履行其在本条款项下的义务时，数据输出者应迅速确定由数据输出者和/或数据输入者采取的适当措施（例如，为确保安全性和保密性而采取的技术或组织措施），以应对该情形。如果数据输出方认为无法确保为此类传输提供适当的保障措施，或者主管监管机构指示其暂停，则数据输出方应暂停数据传输。在此情况下，数据输出方有权终止合同，但仅限于合同中涉及依据本条款进行的个人数据处理的部分。如果合同涉及两方以上，除非各方另有约定，否则数据输出方只能针对相关方行使该终止权。如果合同依据本条款终止，则应适用第16(d)条和第16(e)条。

第 15 条 公共机关访问情形下数据输入者的义务

模块四：处理者向控制者的转移（即欧盟处理者将从第三国控制者处收到的个人数据与该处理者在欧盟收集的个人数据相结合的情形）

15.1 通知

（a） 数据输入者同意，如发生下列情形，应及时通知数据输出者，并在可能的情况下通知数据主体（必要时可在数据输出者的协助下）：

(i) 根据目的地国家/地区的法律，收到公共机关（包括司法机关）提出的具有法律约束力的请求，要求披露依据本条款传输的个人数据；此类通知应包括以下信息：所请求的个人数据、提出请求的机关、请求的法律依据以及已作出的答复；或

（ii）获悉公共机关依据目的地国家的法律对根据本条款传输的个人数据进行的任何直接访问；此类通知应包括数据接收方所能获得的所有信息。

（b） 如果目的地国家/地区的法律禁止数据输入者通知数据输出者和/或数据主体，数据输入者同意尽最大努力获得对该禁止规定的豁免，以期尽快传达尽可能多的信息。数据输入者同意记录其所作的最大努力，以便能够应数据输出者的要求予以证明。

(c) 在目的地国家法律允许的情况下，数据接收方同意在合同有效期内定期向数据输出方提供尽可能多的有关所收到请求的相关信息（特别是请求的数量、所请求数据的类型、提出请求的机关、请求是否受到质疑以及此类质疑的结果等）。

(d) 数据进口方同意在合同有效期内保存依据第 (a) 至 (c) 项所述的信息，并应主管监管机构的要求向其提供该等信息。

(e) 第 (a) 至 (c) 段不影响数据输入者根据第 14(e) 条和第 16 条所承担的、在其无法遵守这些条款时须及时通知数据输出者的义务。

15.2 合法性审查与数据最小化

（a）数据输入方同意审查该披露请求的合法性，特别是审查其是否仍处于授予提出请求的公共机关的权限范围之内；并且，如果经审慎评估后得出结论，认为有合理理由认定该请求依据目的地国家的法律、国际法项下的适用义务以及国际礼让原则属于违法，则对该请求提出异议。数据输入方应在相同条件下寻求上诉的可能性。在对请求提出异议时，数据输入方应寻求临时救济措施，以中止该请求的效力，直至主管司法机关就其实质内容作出裁决。在适用的程序规则要求其披露之前，其不得披露所请求的个人数据。这些要求不影响数据接收方在第 14(e) 条下的义务。

（b） 数据输入者同意记录其法律评估以及对该披露请求提出的任何异议，并在目的地国家法律允许的范围内，向数据输出者提供相关记录文件。它还应依请求向主管监管机构提供该等信息。

（c） 数据接收方同意在回应披露请求时，根据对该请求的合理解释，提供允许范围内最少量的信息。

第四节 – 最终条款

第16条 不遵守本条款与终止

（a） 如果数据输入方因任何原因无法遵守这些条款，应立即通知数据输出方。

（b）如果数据输入方违反本条款或无法遵守本条款，数据输出方应暂停向数据输入方传输个人数据，直至再次确保合规或合同终止。这不影响第14(f)条的适用。

（c） 在下列情况下，数据输出方有权终止合同，但仅限于合同中涉及本条款项下个人数据处理的部分：

(i) 数据输出方已根据第 (b) 款暂停向数据输入方传输个人数据，且未在合理时间内（无论如何不得迟于暂停之日起一个月内）恢复对本条款的遵守；

（ii）数据输入方严重或持续违反本条款；或

（iii）数据输入方未遵守主管法院或监督机构就其在本条款项下义务作出的具有约束力的决定。

在这些情况下，应将此类不合规情况通知主管监管机构。如果合同涉及两方以上，除非各方另有约定，否则数据输出者只能针对相关方行使该终止权。

（d） 数据输出方在欧盟收集并已在根据第 （c） 款终止合同之前传输的个人数据，应立即予以全部删除，包括其任何副本。数据接收方应向数据输出方证明数据已被删除。在数据被删除或返还之前，数据输入方应继续确保遵守本条款。如果适用于数据输入方的当地法律禁止返还或删除所传输的个人数据，则数据输入方保证将继续确保遵守本条款，并且仅在该当地法律所要求的范围内和期限内处理该等数据。

（e）在下列情形下，任何一方均可撤销其受本条款约束的同意：（i）欧盟委员会根据条例（EU）2016/679第45(3)条通过一项决定，而该决定涵盖本条款所适用的个人数据传输；或（ii）条例（EU）2016/679成为个人数据传输目的地国家法律框架的一部分。这不影响根据《第 (EU) 2016/679 号条例》适用于相关处理活动的其他义务。

条款 17 适用法律

本条款应受允许第三方受益人权利的国家的法律管辖。双方同意，适用法律应为斯洛伐克共和国法律。

第18条 法院和管辖权的选择

因本条款引起的任何争议应由斯洛伐克共和国法院解决。

附录

附件一

A. 当事方名单

数据输出方：数据输出方为 ESET（在条款中指定），其作为数据处理协议项下的处理者。

数据接收方：若根据《数据处理协议》您为控制者，则数据输入方为您（见条款中的具体规定）。

B. 传输说明

其个人数据被传输的数据主体类别：如《隐私政策》和/或《数据处理协议》中所定义。

所传输的个人数据类别：如《隐私政策》和/或《数据处理协议》中所定义。

传输的敏感数据（如适用）以及已采取的、充分考虑数据性质及所涉风险的限制或保障措施，例如严格的目的限制、访问限制（包括仅允许接受过专门培训的人员访问）、保存数据访问记录、对转交传输的限制或额外的安全措施：如《隐私政策》和/或《数据处理协议》中所定义。

传输频率（例如，数据是一次性传输还是持续传输）：持续进行。

处理性质：自动化。

数据传输及后续处理的目的：在《条款》所定义并在其附件、隐私政策和文档中规定的购买或获取订阅的情形下提供服务。

个人数据的保留期限，或者，如果无法确定该期限，则为确定该期限所采用的标准：如《隐私政策》和/或《数据处理协议》中所定义。

引用

（1）如果数据输出方是受《条例》（EU）2016/679约束的处理者，代表作为控制者的欧盟机构或团体行事，则在聘用不受《条例》（EU）2016/679约束的另一处理者（次级处理）时援引本条款，亦可确保遵守欧洲议会和理事会2018年10月23日关于欧盟机构、团体、办事处和署在处理个人数据方面保护自然人以及此类数据自由流动，并废止《条例》（EC）No 45/2001和《决定》No 1247/2002/EC的《条例》（EU）2018/1725（《官方公报》L 295，2018年11月21日，第39页）第29(4)条，前提是本条款与控制者和处理者之间根据《条例》（EU）2018/1725第29(3)条订立的合同或其他法律文件中规定的数据保护义务相一致。尤其是在控制者和处理者依据第 2021/915 号决定所载标准合同条款的情况下，更是如此。

（2）这包括传输和进一步处理是否涉及揭示种族或民族血统、政治观点、宗教或哲学信仰、工会成员身份的个人数据，为唯一识别自然人目的的基因数据或生物识别数据，有关健康或个人性生活或性取向的数据，或与刑事定罪或犯罪有关的数据。

（3） 关于此类法律和惯例对遵守这些条款的影响，可以将不同要素作为总体评估的一部分加以考虑。此类要素可包括与此前公共机构提出披露请求的情形（或不存在此类请求）相关的、有据可查的实践经验，并应涵盖足够具有代表性的时间范围。这尤其指按照尽职审慎要求持续编制并经高级管理层确认的内部记录或其他文件，前提是此类信息可合法地与第三方共享。如果依赖该实践经验得出数据输入者不会被阻碍遵守本条款的结论，则该结论尚需其他相关的客观要素予以佐证，且应由双方认真考虑这些要素在可靠性和代表性方面是否共同具有足够的分量，足以支持该结论。特别是，缔约方必须考虑其实际经验是否得到公开可用或可通过其他途径获取的可靠信息（例如判例法和独立监督机构的报告）的印证而非反驳，这些信息涉及同一部门内是否存在相关请求和/或法律在实践中的适用情况。