使用條款附件 4:標準合約條款

第四單元：將處理器傳輸至控制器

自 2026 年 9 月 30 日生效 | 查看先前版本的標準合約條款 | 比較變更

除條款外，若雙方在提供與購買或取得訂閱相關之服務的情況下須訂立下列標準合約條款（納入歐盟執委會標準合約條款（2021/914/EU）），且個人資料將移轉至位於歐洲經濟區以外第三國、或未經歐盟執委會決定認定具適足保護水準之實體（資料輸入方），則該等標準合約條款無需另行簽署即應適用。

除非本標準合約條款之特定條文另有規定，否則本文所含所有首字母大寫用語之意義，應依《條款》及其附件 3 - 資料處理合約（下稱「資料處理合約」）中之定義為準。

第一節

第1條　目的與範圍

（a）本標準合約條款之目的，在於確保向第三國傳輸個人資料時，符合歐洲議會及理事會2016年4月27日關於自然人個人資料處理之保護及此類資料自由流通之第(EU) 2016/679號規則（一般資料保護規則）(1)之要求。

（b） 雙方：

(i) 移轉個人資料之自然人或法人、公務機關、機構或其他團體（以下稱「實體」），如附件I.A所列（以下各稱「資料輸出者」），及

（ii） 位於第三國、直接或間接透過同為本條款當事方之另一實體，自資料輸出者接收個人資料之實體，如附件 I.A 所列（以下各稱「資料輸入者」）

已同意這些標準合約條款（以下簡稱：「條款」）。

（c）本條款適用於附件 I.B 所載明之個人資料傳輸。

（d） 本條款之附錄（內含其中所提及之各附件）構成本條款不可分割之一部分。

第二條　條款的效力與不可變更性

（a）本條款依據《歐盟規則》(EU) 2016/679 第46(1)條及第46(2)(c)條，訂定適當之保障措施，包括可執行的資料主體權利及有效的法律救濟；並就控制者至處理者及／或處理者至處理者之資料傳輸，依據《歐盟規則》(EU) 2016/679 第28(7)條構成標準合約條款，但以未經修改為限，惟為選擇適當之模組或為新增或更新附錄中之資訊者，不在此限。這並不妨礙雙方將本條款所訂定之標準合約條款納入更廣泛的契約中，且／或增訂其他條款或額外保障措施，惟該等條款不得直接或間接牴觸本條款，或損及資料主體之基本權利或自由。

（b） 本條款不影響資料輸出者依據歐盟法規 (EU) 2016/679 所應承擔之義務。

第三條 第三方受益人

（a） 資料主體得以第三方受益人之身分，對資料輸出者及／或資料輸入者援引並執行本條款，但有下列例外：

（i） 第1條、第2條、第3條、第6條、第7條；

（ii） 第 8 條 – 模組一：第8.5(e)條及第8.9(b)條；模組二：第 8.1(b)、8.9(a)、(c)、(d) 及 (e) 條；模組三：第 8.1(a)、(c) 及 (d) 條與第 8.9(a)、(c)、(d)、(e)、(f) 及 (g) 條;單元四:第 8.1 (b) 條及第 8.3(b) 條；

（iii） 第9條 – 模組二：第9(a)、(c)、(d)及(e)條；模組三：第9(a)、(c)、(d)及(e)條；

（iv）第 12 條 – 模組一：第12(a)及(d)條；模組二與模組三：第12(a)、(d)及(f)條；

(v) 第13條；

（vi） 第15.1（c）、（d）及（e）條；

（vii） 第16(e)條；

（八）第18條款 – 模組一、模組二及模組三：第18(a)及(b)條；模組四：第18條。

（b） 第（a）項不影響資料主體依據《歐盟法規 (EU) 2016/679》所享有的權利。

第 4 條　解釋

（a）本條款中使用的術語若於《（歐盟）2016/679號規則》中已有定義，該等術語應具有與該規則中相同的意義。

（b） 本條款應依照（歐盟）2016/679號規則之規定予以解讀及詮釋。

（c） 本條款不得以與第 (EU) 2016/679 號規則所規定之權利與義務相衝突的方式解釋。

第5條 階層

若本條款與雙方間於本條款議定時已存在或其後所訂立之相關協議的規定有所牴觸，應以本條款為準。

第6條 傳輸說明

該傳輸（或多項傳輸）的細節，特別是所傳輸的個人資料類別及其傳輸目的，詳載於附件 I.B。

第7條 選用性對接條款

（a）非本條款締約方之實體，經各方同意，得隨時以資料輸出者或資料輸入者之身分，藉由填具附錄並簽署附件 I.A，加入本條款。

（b）加入之實體一旦完成附錄並簽署附件一.A，即成為本條款之締約方，並依其於附件一.A 中之指定，享有資料輸出者或資料輸入者之權利並負擔其義務。

（c） 加入實體對於成為締約方之前期間，不享有本條款項下之任何權利，亦不承擔任何義務。

第二節 – 當事人之義務

第 8 條 資料保護保障措施

資料輸出者保證，其已盡合理努力確認資料輸入者有能力透過實施適當的技術與組織措施，履行其於本條款項下之義務。

8.1 操作說明

(a) 資料匯出者僅得依據擔任其控制者之資料匯入者所提供的書面指示處理個人資料。

（b） 資料輸出者若無法遵循該等指示，包括該等指示違反（EU）2016/679號規則或其他歐盟或成員國資料保護法之情形，應立即通知資料輸入者。

(c) 資料輸入者不得採取任何將導致資料輸出者無法履行其依規則 (EU) 2016/679 所負義務之行為，包括在次處理（sub-processing）之情形，或在與主管監管機關合作方面。

（d） 處理服務提供結束後，資料匯出者應依資料匯入者之選擇，刪除代表資料匯入者處理的所有個人資料並向資料匯入者證明已完成刪除，或將代其處理的所有個人資料返還予資料匯入者並刪除現有副本。

8.2 處理安全性

（a） 雙方應採取適當的技術與組織措施，以確保資料的安全性（包括傳輸期間的安全），並防範導致意外或非法毀損、遺失、變更、未經授權之揭露或存取的安全事件（以下簡稱「個人資料外洩」）。在評估適當的安全等級時，應適當考量技術發展現況、實施成本、個人資料的性質(2)、處理的性質、範圍、情境與目的，以及處理作業對資料主體所涉及的風險，並應特別考慮在處理目的能以該方式達成時，採用加密或假名化措施，包括於傳輸期間採用。

（b） 資料輸出者應協助資料輸入者依據第（a）款確保資料的適當安全性。若發生涉及資料輸出者依本條款所處理之個人資料的個人資料外洩事件，資料輸出者應於知悉後不得無故遲延地通知資料輸入者，並協助資料輸入者處理該外洩事件。

（c） 資料輸出方應確保經授權處理個人資料之人員已承諾保密，或負有適當之法定保密義務。

8.3 文件與合規

(a) 雙方應能夠證明其遵守本條款。

（b） 資料輸出者應向資料接收者提供證明其遵守本條款項下義務所需之一切資訊，並允許及協助進行稽核。

第9條 子處理者之使用

不適用於相應的模組及轉移性質。

第 10 條 資料主體權利

雙方應相互協助，以回應資料主體依據適用於資料輸入方之當地法律，或就資料輸出方在歐盟境內之資料處理而言，依據（歐盟）2016/679號規則所提出之詢問及請求。

第11條 補救

（a） 資料接收方應以透明且易於取得的格式，透過個別通知或於其網站上，告知資料主體獲授權處理投訴之聯絡窗口。其應迅速處理自資料主體收到之任何申訴。

第 12 條責任

(a) 各方應就其因違反本條款而對另一方／其他各方造成的任何損害，向另一方／其他各方承擔責任。

（b） 各方因違反本條款項下之第三方受益人權利而對資料主體造成之任何財產上或非財產上損害，應對該資料主體負賠償責任，資料主體並有權獲得賠償。此不影響資料輸出者依據(EU) 2016/679號規則所負之責任。

（c）若有一方以上之當事方須就因違反本條款而對資料主體造成之任何損害負責，所有應負責之當事方應負連帶責任，且資料主體有權就上述任一當事方向法院提起訴訟。

（d） 各方同意，若一方依（c）款被追究責任，該方有權向另一方／其他各方追償相當於其對該損害所負責任之賠償部分。

（e） 資料輸入者不得援引處理者或次處理者之行為，以規避其自身的責任。

第13條　監督

不適用於該模組及轉移之性質。

第三節 – 公務機關存取資料時之當地法律與義務

第14條 影響遵守本條款之當地法律與慣例

第四模組：處理者至控制者之傳輸（即歐盟處理者將自第三國控制者收到的個人資料，與該處理者在歐盟所蒐集之個人資料相結合之情形）

（a） 雙方保證，其並無理由相信目的地第三國中適用於資料輸入者處理個人資料之法律與實務，包括任何揭露個人資料之要求或授權公務機關存取之措施，會妨礙資料輸入者履行本條款項下之義務。此係基於以下理解：凡尊重基本權利與自由之本質，且未逾越民主社會中為保障《歐盟法規 (EU) 2016/679》第23條第1項所列目標之一所必要且相稱之範圍的法律與實務做法，均與本條款並無牴觸。

（b） 雙方聲明，在提供（a）款之保證時，已特別適當考量下列要素：

(i) 傳輸的特定情況，包括處理鏈的長度、涉及的參與者數量及所使用的傳輸管道；預計的後續傳輸；接收者的類型；處理的目的；所傳輸個人資料的類別與格式；發生傳輸的經濟部門；所傳輸資料的儲存位置；

（ii）目的地第三國的法律與實務——包括要求向公務機關揭露資料或授權此類機關存取資料者——在考量該傳輸之具體情況下與之相關者，以及適用的限制與保障措施 (3)；

（iii） 為補充本條款所訂保障措施而設置的任何相關合約、技術或組織性保障措施，包括於傳輸期間以及在目的地國家處理個人資料時所採用的措施。

（c） 資料輸入者保證，其於進行第（b）款所定之評估時，已盡最大努力向資料輸出者提供相關資訊，並同意將持續與資料輸出者合作，以確保遵守本條款。

（d） 雙方同意將（b）款所述之評估作成書面紀錄，並於主管監管機關要求時提供之。

（e） 資料進口商同意，於同意本條款後及合約有效期間內，如有理由相信其現正或已經受到不符合第（a）款要求之法律或慣例之拘束，包括因第三國法律變更，或因某項措施（例如揭露請求）顯示該等法律於實務上之適用不符合第（a）款之要求者，應立即通知資料出口商。

（f） 於依第（e）款收到通知後，或資料輸出者基於其他事由有理由認為資料輸入者已無法履行其於本條款下之義務時，資料輸出者應即時確認應由資料輸出者及／或資料輸入者採行之適當措施（例如確保安全性與機密性之技術或組織措施），以因應該情況。若資料輸出者認為無法就該等傳輸確保適當之保護措施，或經主管監督機關指示時，應暫停資料傳輸。在此情況下，資料輸出者有權終止合約，但以涉及依本條款進行之個人資料處理的部分為限。若合約涉及兩方以上當事人，資料輸出者僅得就相關當事人行使本終止權，但各方另有約定者，不在此限。若本合約依本條款終止，應適用第16(d)及(e)條之規定。

第15條 公務機關存取資料時資料輸入者之義務

第四模組：處理者至控制者的傳輸（即歐盟處理者將自第三國控制者接收之個人資料與該處理者在歐盟所蒐集之個人資料相結合之情形）

15.1 通知

（a） 資料匯入者同意，若其發生下列情形，應迅速通知資料匯出者，並在可能的情況下通知資料主體（必要時可在資料匯出者的協助下為之）：

(i) 依據目的地國家的法律，接獲公務機關（包括司法機關）具法律拘束力之要求，須揭露依本條款所移轉之個人資料；該通知應包含所要求之個人資料、提出要求之機關、該要求之法律依據，以及所提供之回應等相關資訊；或

(ii) 知悉公務機關依目的地國法律，對依本條款所傳輸之個人資料進行任何直接存取；該通知應包含資料輸入者所能取得之所有資訊。

(b) 若依目的地國法律，資料輸入者被禁止通知資料輸出者及/或資料主體，資料輸入者同意盡其最大努力取得該禁令之豁免，以期盡速傳達盡可能多的資訊。資料進口商同意將其所作之最大努力予以記錄存檔，以便於資料出口商要求時提出證明。

(c) 在目的地國家法律允許的範圍內，資料輸入者同意於合約存續期間定期向資料輸出者提供有關所收到請求的盡可能多之相關資訊（特別是請求數量、所請求資料的類型、提出請求的機關、請求是否曾遭提出異議以及該等異議的結果等）。

（d） 資料輸入者同意在合約期間內保存依據第（a）至（c）款所取得的資訊，並應主管監管機關之要求提供該等資訊。

(e) 第 (a) 至 (c) 項不影響資料輸入者依第 14(e) 條及第 16 條所負之義務，即於其無法遵守本條款時，應立即通知資料輸出者。

15.2 合法性與資料最小化之審查

（a） 資料輸入方同意審查該揭露請求之合法性，特別是該請求是否仍在授予提出請求之公權力機關的權限範圍內；且若經審慎評估後認定有合理理由認為該請求依目的地國法律、國際法下之適用義務及國際禮讓原則屬違法者，應對該請求提出異議。資料輸入者應於相同條件下，尋求上訴之可能性。於對請求提出異議時，資料輸入者應尋求暫時性措施，以期在有管轄權之司法機關就該請求之實質內容作出裁決前，暫停該請求之效力。在依適用之程序規則被要求揭露之前，其不得揭露所要求的個人資料。這些要求不影響資料輸入者依第14(e)條所負的義務。

（b） 資料接收方同意記錄其法律評估及對該揭露請求所提出的任何異議，並在目的地國家法律允許的範圍內，將相關文件提供予資料輸出方。並應依主管監管機關之要求提供該資料。

（c） 資料輸入者同意在回應揭露請求時，依據對該請求的合理解釋，提供法律允許範圍內最少量的資訊。

第四節 – 最終條款

第16條 未遵守條款及終止

（a） 資料輸入方若因任何原因無法遵守本條款，應立即通知資料輸出方。

(b) 若資料輸入者違反本條款或無法遵守本條款，資料輸出者應暫停向資料輸入者傳輸個人資料，直至再次確保遵循本條款或合約終止為止。此不影響第14(f)條之規定。

（c） 在涉及依本條款進行之個人資料處理的範圍內，資料輸出者於下列情形有權終止合約：

(i) 資料輸出者已依據第 (b) 款暫停向資料輸入者傳輸個人資料，且未能在合理期間內、且無論如何未能於暫停後一個月內恢復對本條款的遵循；

（ii）資料輸入者嚴重或持續違反本條款；或

(iii) 資料輸入者未遵守管轄法院或監督機關就其於本條款下之義務所作出之具拘束力決定。

在此等情況下，應將該等不合規情事通知主管監督機關。若合約涉及兩個以上之當事人，除非當事人另有約定，資料輸出者僅得就相關當事人行使本終止權。

(d) 資料輸出者在歐盟所蒐集、且依第 (c) 項於契約終止前已移轉之個人資料，應立即全部刪除，包括其任何副本。資料匯入者應向資料匯出者證明已刪除該等資料。在資料被刪除或返還之前，資料匯入方應持續確保遵守本條款。若適用於資料輸入方的當地法律禁止返還或刪除所傳輸的個人資料，資料輸入方保證將持續確保遵守本條款，且僅於該當地法律所要求的範圍內及期間內處理該等資料。

（e）任一方得撤回其受本條款拘束之同意，若（i）歐盟執行委員會依據《（歐盟）規則 2016/679》第 45(3) 條作成涵蓋本條款所適用之個人資料傳輸的決定；或（ii）《（歐盟）規則 2016/679》成為個人資料傳輸目的地國家法律架構之一部分。此不影響依據（歐盟）2016/679號規則適用於該等處理作業之其他義務。

第 17 條準據法

本條款應受允許第三方受益人權利之國家的法律管轄。雙方同意,本合約適用斯洛伐克共和國法律。

第18條 選擇審理地與管轄權

因本條款引起的任何爭議，均應由斯洛伐克共和國法院解決。

附錄

附件一

A. 當事人清單

資料匯出者：資料匯出者為根據資料處理合約擔任處理者的 ESET（於條款中指明）。

資料匯入者：若您依據資料處理合約為控制者，則資料匯入者為您（如條款中所載明）。

B. 傳輸說明

個人資料經移轉之資料主體類別：依隱私權政策及/或資料處理合約之定義。

所移轉之個人資料類別：依隱私權政策及/或資料處理合約中之定義。

所傳輸的敏感資料（如適用），以及充分考量該等資料性質與所涉風險後所採取的限制或保障措施，例如嚴格的目的限制、存取限制（包括僅限已接受專門訓練之人員存取）、保留資料存取紀錄、後續傳輸之限制或其他額外安全措施：依隱私權政策及/或資料處理合約中之定義。

傳輸頻率（例如資料是一次性傳輸或持續性傳輸）：持續性基礎。

處理之性質：自動化。

資料傳輸及後續處理之目的：於購買或取得「條款」中所定義，並於其「附件」、「隱私權政策」及「說明文件」中所載明之「訂閱」之情況下提供「服務」。

個人資料的保存期間，或若無法確定該期間，則為決定該期間所採用的標準：如隱私權政策及/或資料處理合約中所定義。

參考資料

（1） 若資料輸出方為受《規則（EU）2016/679》規範之處理者，並代表作為控制者之歐盟機構或機關行事，則於委聘另一不受《規則（EU）2016/679》規範之處理者（再處理）時，援用本條款亦可確保遵守歐洲議會及理事會2018年10月23日關於歐盟機構、機關、辦公室及署局處理個人資料時自然人之保護及此類資料自由流通，並廢止《規則（EC）第45/2001號》及《第1247/2002/EC號決定》之《規則（EU）2018/1725》第29條第4項（OJ L 295，2018年11月21日，第39頁），惟以本條款與依《規則（EU）2018/1725》第29條第3項於控制者與處理者間之合約或其他法律行為中所訂定之資料保護義務相一致者為限。尤其是在控制者與處理者採用第2021/915號決定所載標準合約條款的情況下，更是如此。

（2） 這包括傳輸及後續處理是否涉及揭露種族或族裔來源、政治意見、宗教或哲學信仰、工會會員身分的個人資料，為唯一識別自然人為目的之基因資料或生物特徵資料，與健康或個人性生活或性取向有關的資料，或與刑事定罪或犯罪有關的資料。

（3） 關於此類法律及實務對遵守這些條款之影響，得考量不同要素作為整體評估的一部分。此類要素可能包括與公務機關先前提出揭露要求之案例相關且有文件記錄的實務經驗，或並無此類要求的情形，且涵蓋足夠具代表性的時間範圍。這特別指的是內部紀錄或其他文件，其係依據盡職調查持續編製，並經高階管理層級認證，但前提是這些資訊可合法地與第三方分享。若係依據此等實務經驗而認定資料輸入者不會被阻礙遵守本條款，則該經驗尚須有其他相關且客觀之要素佐證，並應由雙方審慎考量此等要素整體在可靠性與代表性方面是否具有足夠之份量，足以支持此一結論。特別是，締約方必須考量其實務經驗是否獲得下列資訊的佐證而未遭其牴觸：公開可得或以其他方式可取得之可靠資訊，該等資訊係關於同一部門內是否存在此類要求，及／或法律在實務上的適用情形，例如案例法及獨立監督機構所提出的報告。