数据处理附录

上次修改时间：2020 年 11 月 2 日

同意本附录的 Jibe 和对方（以下简称“公司”）已就提供处理方服务达成协议（以下简称“协议”，可能会不时修订）。

本《数据处理附录》（包括附录，即“数据处理附录”）由 Jibe 与协议公司签署，是本协议的补充。本数据处理附录将自条款生效日期起生效，并取代之前就其标的达成的任何适用条款（包括任何与处理方服务相关的数据处理和安全条款）。

如果您代表公司接受此《数据处理附录》，则须保证：(a) 您拥有充分的法定权力，可约束协议公司遵守本《数据处理附录》；(b) 您已阅读并理解本《数据处理附录》；以及 (c) 您代表公司同意本《数据处理附录》。如果您没有法定权力使公司受这些条款的约束，请勿接受本数据处理附录。

1. 简介

本《数据处理附录》反映了双方就与欧洲数据保护法律法规和某些非欧洲数据保护法律法规有关的公司个人数据的处理和保护方面的条款达成的协议。

2. 定义和解释

2.1 在本数据处理附录中：

“附加产品”是指 Jibe 或第三方提供的符合以下条件的产品、服务或应用：(a) 不属于处理方服务；(b) 可在处理方服务的界面中使用，或以其他方式与处理方服务集成。

“非欧洲数据保护法律法规的附加条款”是指附录 3 中提及的附加条款，其中反映了各方在处理与非欧洲数据保护法律法规相关的特定数据时需要遵守的条款。

“关联公司”是指直接或间接控制一方、被一方控制或与该方受共同控制的实体。

“公司个人数据”是指由 Jibe 代表 Jibe 在提供处理方服务时处理的个人数据。

“数据突发事件”是指 Jibe 的安全违规行为，导致由 Jibe 管理或以其他方式控制的系统上的公司数据遭到意外或非法破坏、丢失、更改、未经授权的披露或访问。“数据突发事件”不包括未破坏公司个人数据安全性的失败尝试或活动，包括失败的登录尝试、ping、端口扫描、拒绝服务攻击以及防火墙或网络系统上的其他网络攻击。

“数据保护法律法规”根据具体适用情形，是指：(a) 欧洲数据保护法律法规；和/或 (b) 非欧洲数据保护法律法规。

“数据正文工具”是指 Jibe 实体为数据正文提供的工具（如果有），可以让 Jibe 直接就与公司个人数据相关的数据正文的某些请求（例如，选择停用浏览器插件）进行响应。

“EEA”是指欧洲经济区。

“欧盟 GDPR”是指欧洲议会和欧盟理事会在 2016 年 4 月 27 日通过的第 2016/679 号（欧盟）条例，该条例就个人数据处理过程中所涉及的自然人保护以及此类数据的自由流动作出规定，取代了欧盟指令 95/46/EC。

“欧洲数据保护法律法规”根据具体适用情形，是指：(a) GDPR；和/或 (b) 1992 年 6 月 19 日颁布的《联邦数据保护法》（瑞士）。

“欧洲或国家法律”根据具体适用情形，是指：(a) 欧盟或欧盟成员国法律（如果欧盟 GDPR 适用于处理公司个人数据）；和/或 (b) 英国或英国一部分法律（如果英国 GDPR 适用于公司公司数据处理）。

“GDPR”根据具体适用情形，是指：(a) 欧盟 GDPR；以及/或者 (b) 英国 GDPR。

“Jibe”是指本协议的“Jibe 实体”。

“Jibe Affiliate 分包商”的含义在第 11.1 条（“同意分包商参与”）中规定。

“Jibe 实体”是指 Jibe Mobile Inc、Jibe Mobile Limited 或 Jibe Mobile Inc. 的任何其他关联公司。

“ISO 27001 认证”是指处理方服务的 ISO/IEC 27001:2013 认证或类似认证。

“非欧洲数据保护法律法规”是指欧洲经济区 (EEA)、瑞士和英国境外实施的数据保护或隐私法律。

“通知电子邮件地址”是指：(i) 公司向 Jibe 提供的电子邮件地址，或 (ii) 公司通过处理方服务的界面或 Jibe 提供的其他方式从 Jibe 接收与本《数据处理附录》相关的特定通知。为清楚起见，公司有责任向 Jibe 提供通知电子邮件地址，并将 Jibe 电子邮件地址的任何更新告知 Jibe。

“处理方服务”是指 RCS Business Messaging 服务（如 https://developers.google.com/business-communications/rcs-business-messaging 中所述）

“安全文档”是指 ISO 27001 认证以及 Jibe 可能提供的与处理方服务相关的任何其他安全认证或文档。

“安全措施”具有第 7.1.1 条（“Jibe 的安全措施”）中的定义。

“标准合同条款”是指欧盟委员会的标准合同条款（网址为 https://privacy.google.com/businesses/gdprprocessorterms/sccs），是用于将个人数据传输给设立在数据保护水平不够高的第三方国家/地区的处理方的标准数据保护条款，如欧盟 GDPR 第 46 条所述。

“分包商”是指根据本《数据处理附录》授权、能够合理访问和处理公司个人数据的第三方，以提供部分处理方服务及任何相关的技术支持。

“监管机构”根据具体适用情形，是指：(a) 欧盟 GDPR 中定义的“监管机构”和/或 (b) 英国 GDPR 中定义的“专员”。

“有效期”是指从条款生效日期到 Jibe 根据本协议提供处理方服务期间的期限。

“条款生效日期”指本协议的生效日期。

“第三方分包商”的含义在第 11.1 条（“同意与分包商互动”）中指明。

“英国 GDPR”是指根据 2018 年签署的《英国欧盟（撤销）法案》修正并纳入英国法律的欧盟 GDPR（如有）。

2.2 本《数据处理附录》中使用的“控制方”、“数据正文”、“个人数据”、“处理”和“处理方”的含义与 GDPR 中的定义相同，“数据导入方”和“数据导出方”这两个术语的含义与《标准合同条款》中的定义相同。

2.3 “包括”、“包含”或任何类似表达式仅被视为说明性文字，并不会限制这些字词之前的字词的意义。本数据处理附录中的所有示例仅作说明之用，并非是某个概念的唯一示例。

2.4 凡提到某个法律框架、法令或其他立法条例的地方，均不时修订或重新制定。

2.5 如果本数据处理条款翻译成任何其他语言，且英文版与其他语言版本之间存在差异，则应以英文版为准。

3. 本数据处理附录的有效期

本数据处理附录将于条款生效日期生效，无论期限是否已到期，在 Jibe 删除所有公司个人数据后，本协议将一直有效，并自动到期，如本数据处理附录所述。

4. 本数据处理附录的适用范围

4.1 欧洲数据保护法律法规的适用范围。第 5 条（数据处理）到第 12 条（联系 Jibe；处理记录）（含）仅适用于欧洲数据保护法律法规对公司个人数据的处理适用情形，包括以下情况：

(a) 相关处理是在 EEA 或英国的一家公司的活动中进行的；并且/或者

(b) 公司个人数据是指与欧洲经济区 (EEA) 或英国境内的数据正文相关的个人数据，其处理涉及到提供商品或服务或监控其在 EEA 或英国的行为。

4.2 处理方服务的应用。本《数据处理附录》仅适用于双方同意接受此《数据处理附录》的处理方服务（例如：(a) 协议公司同意接受此《数据处理附录》的处理方服务；或 (b) 如果协议以提述方式纳入本《数据处理附录》，则指作为本协议主题的处理方服务）。

4.3 纳入非欧洲数据保护法律法规的附加条款。非欧洲数据保护法律法规的附加条款是对本数据处理条款的补充。

5. 数据的处理

5.1 角色和法规遵从；授权。

5.1.1 处理方和控制方的责任。双方确认并同意：

(a) 附录 1 说明了公司个人数据处理的主题和详细信息；

(b) Jibe 是欧洲数据保护法律法规中公司个人数据的处理方；

(c) 公司是欧洲数据保护法律法规规定的公司个人数据的控制方或处理方（如适用）；以及

(d) 各方均应遵守欧洲数据保护法律中有关公司个人数据处理的义务。

5.1.2 第三方控制方授权。如果公司是处理方，则公司向 Jibe 保证，其关于公司个人数据的指示和操作（包括将 Jibe 任命为另一处理方）已获得相关控制方的授权。

5.2 公司的指示。签订协议，即：

5.3 Jibe 对指示的遵守。Jibe 将遵守第 5.2 条（“公司说明”）中所述的说明（包括关于数据转移的指示），除非欧洲或国家法律要求 Jibe 处理公司个人数据，在这种情况下，Jibe 将通知公司（除非任何法律禁止 Jibe 出于公共利益方面的重要原因这样做）。

5.4 附加产品。如果公司使用了任何附加产品，处理方服务可允许附加产品访问公司个人数据（如附加产品与处理方服务的互操作需要）。本《数据处理附录》不适用于处理在公司提供任何附加产品（包括传输给或附加自该产品的个人数据）时提供的个人数据。

6. 数据删除

6.1 在协议有效期内删除。

6.1.1 具有删除功能的处理方服务。在协议有效期内：

(a) 处理方服务的功能包括可供公司删除公司个人数据的选项；

(b) 公司使用处理方服务删除某些公司个人数据；以及

(c) 公司无法恢复已删除的公司个人数据（例如，从“回收站”中恢复），

除非欧洲或国家法律要求存储，否则 Jibe 会在合理可行的情况下尽快从系统中删除此类公司个人数据。

6.1.2 不具备删除功能的处理方服务。在协议有效期内，如果处理方服务的功能未包含公司删除公司个人数据的选项，Jibe 将遵守公司就协助删除此类行为提供的任何合理请求，但前提是可以考虑处理方服务的性质和功能。对于根据第 6.1.2 条（“不具有删除功能的处理方服务”）删除的任何数据，Jibe 可能会收取一定的费用（基于 Jibe 的合理费用）。在删除此类数据之前，Jibe 将向公司提供所有适用费用的计算详情及其计算方式。

6.2 在期限到期后删除。在任期满后，公司将指示 Jibe 根据适用法律从 Jibe 的系统中删除所有公司个人数据（包括现有副本）。除非欧洲或国家法律要求存储，否则 Jibe 将在合理可行的情况下尽快遵守此指令。

7. 数据安全

7.1 Jibe 的安全措施和协助。

7.1.1 Jibe 的安全措施。Jibe 将实施和维护技术和组织措施，以防止公司个人数据遭到意外或非法毁坏、丢失、更改、未经授权的披露或访问（如附录 2 中所述）。“安全措施”。Jibe 可能会不时更新或修改安全措施，前提是此类更新和修改不会导致服务的整体质量下降。

7.1.2 Jibe Staff.Jibe 的安全合规性将确保所有授权处理公司个人数据的人员均作出保密承诺，或在法律上遵守相应的法定义务。

7.1.3 Jibe 的安全协助。公司同意 Jibe 协助公司遵守公司在处理个人数据和个人数据遭泄露方面的安全方面所承担的义务（考虑到公司个人数据的性质以及可以获得的信息），包括（如适用）公司根据 GDPR 第 32 至 34 条（含）规定的义务：

(a) 根据第 7.1.1 条（“Jibe 的安全措施”）实施和维护安全措施；

(b) 遵守第 7.2 条（“数据突发事件”）中的条款；以及

(c) 根据第 7.5.1 条（“安全文档的审核”）以及本《数据处理附录》中包含的信息，为公司提供安全文档。

7.2 数据突发事件。

7.2.1 突发事件通知。如果 Jibe 发现数据突发事件，Jibe 将：(a) 立即将数据公司通知公司，且无不当延迟；(b) 立即采取合理措施，最大限度地减少损害并保护公司个人数据。

7.2.2 数据突发事件的详细信息。根据第 7.2.1 条（“突发事件通知”）发出的通知将尽可能描述数据突发事件的详细信息，包括为缓解潜在风险而采取的措施，以及 Jibe 建议公司为解决数据突发事件而采取的措施。

7.2.3 通知的交付。Jibe 会将任何事件数据通知发送到通知电子邮件地址，或由 Jibe 自行决定通过其他直接通信（例如电话或面对面会议）提供（包括公司未提供通知电子邮件地址的情况下）。公司全权负责提供通知电子邮件地址，并确保通知电子邮件地址是最新和有效的。

7.2.4 第三方通知。公司全权负责遵守适用于公司的突发事件通知法律，并履行与任何数据突发事件相关的任何第三方通知义务。

7.2.5 如果 Jibe.Jibe 根据本第 7.2 条（“数据突发事件”）通知或响应数据突发事件，Jibe 不承认存在过错，

7.3 公司的安全责任和评估。

7.3.1 公司的安全责任。协议公司同意，在不影响 Jibe 根据第 7.1 条（“Jibe 的安全措施和协助”）和第 7.2 条（“数据突发事件”）的规定所承担的义务的情况下：

(a) 公司将自行承担使用处理方服务的相关责任，包括：

(i) 适当使用处理方服务，确保根据公司个人数据的风险提供适当的安全防护机制；以及

(ii) 保护公司用于访问处理方服务的帐号身份验证凭据、系统和设备；以及

(b) Jibe 没有义务保护公司选择在 Jibe 及其分处理者系统之外存储或传输的公司个人数据。

7.3.2 公司的安全性评估。公司确认并同意（考虑到先进的技术、实施成本以及处理公司个人数据的性质、范围、上下文和目的，以及对个人的风险），Jibe 在第 7.1.1 节（Jibe 的安全措施）中实施和维护的安全措施，都为与公司风险相对应的安全级别提供。

7.4 安全认证。为评估和帮助确保安全措施的持续有效性，Jibe 将保留 ISO 27001 认证。

7.5 合规性审核和审核。

7.5.1 安全文档的审核。为了证明 Jibe 遵守了本《数据处理附录》规定的义务，Jibe 将向客户提供安全文档。

7.5.2 公司的审核权利。

(a) Jibe 将允许公司或公司指定的第三方审核机构开展审计（包括检查）以验证 Jibe 根据第 7.5.3 条（“审计附加业务条款”）是否遵守了本《数据处理附录》中的义务。Jibe 将按照第 7.4 条（“安全认证”和“安全认证”）所述方式参与此类审计。

(b) 如果标准合同条款符合第 10.2 条（“数据转移”）的规定，Jibe 将允许公司或公司指定的第三方审计机构按照第 7.5.3 条（“额外的审计业务条款”）中所述的标准合同开展审计。

(c) 还可通过审核针对 ISO 27001 认证的证书（即由第三方审核机构开展的审核的结果）来验证 Jibe 是否符合本《数据处理附录》规定的义务。

7.5.3 额外的审计业务条款。

(a) 公司将根据第 7.5.2(a) 条或第 7.5.2(b) 条规定将任何审核请求发送给 Jibe，如第 12.1 条（“与 Jibe 联系”）中所述。

(b) 在收到 Jibe 根据第 7.5.3(a) 条提交的请求后，Jibe 和公司将根据第 7.5.2(a) 或 7.5.2(b) 条中的规定，提前讨论并同意合理的审核、开始日期、范围、期限以及安全和机密控制措施。

(c) Jibe 可根据第 7.5.2(a) 或 7.5.2(b) 条的规定针对任何审核收取一定的费用（基于 Jibe 的合理费用）。在此类审核之前，Jibe 将向公司提供所有适用费用的计算详情及其计算方式。公司将负责任命公司为执行任何此类审计而任命的任何第三方审计机构收取的任何费用。

(d) 如 Jibe 认为其在合理方面认为不宜/不具有 Jibe 的竞争对手或其他明显不适宜的竞争对手，则 Jibe 可反对由公司指定的任何第三方审计师进行第 7.5.2(a) 或 7.5.2(b) 条规定的任何审计。如果 Jibe 提出任何此类异议，公司需要指定另一名审核员或自行进行审核。

(e) 本数据处理附录中的任何内容均不得要求 Jibe 向公司或其第三方审核机构披露相关信息，或允许公司或其第三方审核机构访问：

(i) Jibe 实体的任何其他客户的任何数据；

(ii) 任何 Jibe 实体的内部会计或财务信息；

(iii) Jibe 实体的任何商业秘密；

(iv) 任何根据 Jibe 的合理判断，可能：(A) 损害任何 Jibe 实体系统或场所的安全性；或 (B) 导致任何 Jibe 实体违反其在欧洲数据保护法律法规下的义务或违反其对公司或任何第三方的安全和/或隐私权义务；或

(v) 除了公司根据欧洲数据保护法律法规善意履行义务的目的，公司或其第三方审核机构以任何其他理由寻求访问的任何信息。

7.5.4 不得修改标准合同条款。如果第 10.2 条（“转移数据”）适用标准合同条款，第 7.5 条（“合规性审核与审计”）中的任何内容均不会改变或修改公司或 Jibe 根据标准合同条款规定的任何权利或义务。

8. 影响评估和咨询

公司同意，Jibe 可帮助公司遵守与数据保护影响评估和先前咨询有关的任何义务（考虑到处理的性质以及 Jibe 可用的信息），包括（如适用）公司根据 GDPR 第 35 条和第 36 条承担的义务：

(a) 根据第 7.5.1 条（“安全文档的审核”）提供安全文档；

(b) 提供本《数据处理附录》中包含的信息；以及

(c) 根据 Jibe 的标准做法，提供或以其他方式提供与处理方服务性质和公司个人数据处理相关的其他材料（例如帮助中心材料）。

9. 数据正文权利

9.1 对数据正文请求的响应。如果 Jibe 收到了与公司个人数据相关的数据正文的请求，则：

(a) 如果请求通过数据正文工具发出，应根据数据正文工具的标准功能直接响应数据正文的请求；或

(b) 如果请求不是通过数据正文工具发出的，请建议数据正文将其请求提交给公司，公司将负责回应此类请求。

9.2 Jibe 的数据正文请求协助。公司同意，Jibe 将帮助公司履行其对数据正文（包括公司个人数据的处理性质，以及如果适用的 GDPR 第 11 款）的要求做出的回应，包括（如果适用）公司在第 1 章中回应履行数据正文权利的要求的义务：

(a) 提供处理方服务的功能；

(b) 遵循第 9.1 条（“对数据正文请求的响应”）中的承诺；以及

(c) 如果适用，提供处理方数据工具。

10. 数据转移

10.1 数据存储与处理设施。 公司同意，根据第 10.2 条（“转移数据”）的规定，Jibe 可在 Jibe 或其任何分处理方拥有设施的任何国家/地区存储和处理公司个人数据。

10.2 数据转移。

如果公司个人数据的存储和/或处理涉及将公司个人数据从欧洲经济区 (EEA)、瑞士或英国转移到根据欧洲数据保护法律法规在数据保护充分性认定之外的任何第三国：

(a) 公司（作为数据出口方）将被视为已与 Jibe 签订标准合同条款（作为数据进口方）；

(b) 根据标准合同条款转移数据；并且

(c) 在标准合同条款中，对 Google LLC 和客户的提及分别指 Jibe 和 Company。

10.3 数据中心信息。如需了解有关 Google 数据中心位置的信息，请访问 www.google.com/about/datacenters/locations/index.html。

11. 分包商

11.1 同意分包商参与。 公司明确授权将 Jibe 的关联公司作为分包商（下称“Jibe 关联公司分包商”）。此外，公司通常授权将任何其他第三方作为分包商（下称“第三方分包商”）。

11.2 分包商相关信息。 根据公司的书面请求，Jibe 将提供分包商及其所在位置的相关信息。必须使用第 12.1 节（与 Jibe 联系）中列出的详细联系信息将此类请求发送给 Jibe。

11.3 分包商参与要求。 在使用任何分包商时，Jibe 将：

(a) 通过书面合同确保：

(i) 分包商仅在履行其分包的义务所需的范围内访问和使用公司个人数据，并且应遵守本协议（包括本数据处理附录）和第 10.2 条（“数据传输”）适用的标准合同条款；

(ii) 如果 GDPR 适用于公司个人数据的处理，则 GDPR 第 28(3) 条规定的数据保护义务应履行于分包商；

(b) 对于分包商分包的所有义务以及分包商的所有行为和疏忽，仍然承担全部责任。

11.4 反对更改分包商的机会。

(a) 在协议有效期内，如果新的第三方分包商参与了计划，则在新的第三方分包商处理任何公司个人数据前，Jibe 会提前 30 天向通知电子邮件地址发送电子邮件，以告知公司参与操作（包括相关分包商的名称和位置及其将执行的活动）。

(b) 公司可在向 Jibe 发出书面通知后立即终止协议，从而反对任何新的第三方分包商，前提是公司在获悉新的第三方分包商参与后的 90 天内提供此类通知（如第 11.4(a) 条所述）。如果协议公司反对任何新的第三方分处理者，则此终止权是协议公司的唯一救济。

12. 联系 Jibe；处理记录

12.1 与 Jibe 联系。公司可通过 Jibe 的 RCS 数据保护联系人（可通过 http://issuetracker.google.com 或通过 Jibe 可能不时提供的其他方式）与本《数据处理附录》联系。

12.2 Jibe 的处理记录。公司确认，根据 GDPR 的规定，Jibe 必须：(a) 收集和维护某些信息的记录，包括 Jibe 代表的各处理方和/或控制方的名称和详细联系信息，以及（如果适用）该处理方或控制方的当地代表和数据保护官（如果适用）的信息；并且 (b) 向任何监督机构提供此类信息。因此，在适用和要求的情况下，公司将通过处理方服务的界面或通过 Jibe 可能提供的其他方式向 Jibe 提供此类信息，并将使用此类界面或其他方式来确保提供的所有信息均准确无误且处于最新状态。

13. 法律责任

13.1 法律责任限额。无论本协议中的任何其他规定如何规定，任一方根据另一方的《数据处理附录》对与本协议相关或与本协议相关的法律责任承担的最大金额不得超过其在本协议项下应承担的法律责任金额上限（因此，对于本协议项下的索赔，在本协议规定的范围内，本协议规定的保密性或赔偿除外）。第 13 条（“法律责任”）中的任何条款均不排除或限制任何一方对以下情况承担的责任：(a) 因其过失或其员工或代理的过失而导致的死亡或人身伤害；(b) 欺诈或欺诈性虚假陈述；或 (c) 根据适用法律无法排除或限制的法律责任。

13.2 适用标准合同条款时的法律责任。如果标准合同条款符合第 10.2 条（“数据传输”）的规定，则双方及其关联公司根据本协议或标准合同条款对另一方及其关联公司承担的总法律责任将受第 13.1 条（“法律责任限额”）约束。

14. 第三方受益人

如果某一方的关联公司是适用第 10.2 条（“数据传输”）第 10.2 条（“标准数据传输”第 6.2 条（“在有效期内删除”）、第 7.5 条（“法规遵从”下，“对数据正文提出的请求”和“第 1 项要求的回应”）的适用标准合同条款的一方，该关联公司应为第三方受益人。如果第 14 条（“第三方受益人”）与本协议中的任何其他条款冲突或不一致，则以第 14 条（“第三方受益人”）为准。

15. 本数据处理附录的影响

如果标准合同条款、非欧洲数据保护法律法规、本数据处理附录以及协议其余部分发生冲突或者不一致，则应遵循以下优先顺序：

(a) 标准合同条款；

(b) 非欧洲数据保护法律法规的附加条款；

(c) 本《数据处理条款》的其余部分；以及

(d) 本协议的其余部分。

如果本协议（包括任何附录）被翻译成任何其他语言，且翻译后的文字与英文文本冲突或不一致，则以英语文本为准。

在遵守本《数据处理附录》中相应修正条款的前提下，本协议仍然完全有效。

16. 本数据处理附录的变更

16.1 对网址的变更

16.2 数据处理条款的变更。如果发生以下情况，Jibe 可能会更改本数据处理附录：

(a) 本《数据处理附录》明确允许，包括第 16.1 条（“网址变更”）中所述的情形；

(b) 反映法律实体的名称或格式的变化；

(c) 需要遵守适用法律、适用法规、法院命令或者政府监管机构或政府机关颁布的准则；或者

(i) 不会根据 (i)

16.3 变更通知。如果 Jibe 打算根据第 16.2(c) 或 (d) 的规定更改本《数据处理附录》，Jibe 将在生效之前至少 30 天（或适用法律要求的最短期限，可以通知公司遵守适用法律、法院命令或政府政府监管机构或机构发布的指南）采取以下措施：如果公司对任何此类变更提出异议，公司可在 Jibe 通知变更后 90 天内以书面形式通知 Jibe 终止协议。

附录 1：标的和数据处理的详细信息

主题

Jibe 向公司提供处理方服务及其任何相关技术支持。

处理时长

期限及加上从到期前到 Jibe 根据本《数据处理附录》删除所有公司个人数据的期限。

处理的性质和目的

Jibe 将根据本《数据处理附录》（包括适用的处理方服务以及第 5.2 条（“公司说明”）所述的“收集、记录、整理、组织、结构化、存储、使用、披露、使用、组合、披露、使用、披露、合并、使用、披露、合并、使用、披露、合并、使用、处理、合并、披露、使用、处理、整合、使用、披露、整合、使用、展示、整合和利用某些数据）为公司提供处理方服务和任何相关技术支持，处理公司个人数据。

个人数据的类型

与处理中、公司或公司最终用户提供给 Jibe 的个人的个人数据相关。

数据正文的类别

数据正文包括公司（或公司指示）或处理公司最终用户通过处理服务向 Jibe 提供数据的人员。

附录 2：安全措施

自条款生效日期起，Jibe 将实施和维护本附录 2 中的安全措施。Jibe 可能会不时更新或修改此类安全措施，前提是此类更新和修改不会导致处理器服务的整体安全性下降。

1. 数据中心和网络安全

(a) 数据中心。

基础架构。Jibe 维护着分布在不同地理位置的数据中心。Jibe 将所有生产数据存储在物理安全的数据中心。

冗余。基础架构系统旨在消除单点故障，并将预期环境风险的影响降至最低。双线路、交换机、网络或其他必要设备有助于提供这种冗余。处理器服务旨在允许 Jibe 不间断地执行某些类型的预防性和纠正性维护。所有环境设备和设施都记录了预防性维护程序，该程序会按照制造商或内部规范详细说明性能流程和频率。数据中心设备的预防性和纠正性维护计划根据文档中所述的程序通过标准流程进行安排。

电源。数据中心电力系统设计为冗余且可维护，而对持续运行没有影响，而且全天候运行。在大多数情况下，会为数据中心的关键基础架构组件提供主电源和备用电源（均具有相同的容量）。备用电源由不间断电源 (UPS) 电池等各种机制提供，这类电池会在公共设备供电中断、断电、过电压、电压不足和超出公差频率条件下提供始终如一的可靠电源保护。如果公共事业供电中断，备用电源可以供给数据中心的满功率电力供电，最长可持续 10 分钟，直到柴油发电机系统接管为止。柴油发电机能够在几秒钟内自动启动，提供足够的应急电力，以便为数据中心提供满载的容量（通常持续几天）。

服务器操作系统。Jibe 服务器使用经过安全强化的操作系统，这些操作系统是根据业务需求的独特服务器需求定制的。使用专有算法存储数据以增强数据安全性和冗余。Jibe 采用代码审核流程，以提高用于提供处理方服务的代码的安全性，并增强生产环境中的安全产品。

业务连续性。Jibe 将数据复制到多个系统，以帮助防范意外销毁或意外丢失。Jibe 已设计和定期规划和测试其业务连续性规划/灾难恢复计划。

(b) 网络和传输。

数据传输。数据中心通常通过高速专用链路连接，以便在数据中心之间提供安全快捷的数据传输。这样做是为了防止在电子传输或传输过程中或在将数据录制到数据存储媒体上时，未经授权就读取、复制、更改或移除数据。Jibe 通过互联网标准协议传输数据。

外部攻击面。Jibe 采用多层网络设备和入侵检测机制来保护其外部攻击面。Jibe 考虑了潜在的攻击途径，并将相应的专门技术集成到了面向外部的系统中。

入侵检测。入侵检测旨在让您深入了解持续进行的攻击活动，并提供足够的信息来应对突发事件。Jibe 的入侵检测机制涉及以下内容：

  1. 通过预防措施严密控制 Jibe 攻击面的大小和组成；

  2. 在数据入口点采用智能检测控制措施；以及

  3. 采用可自动消除某些危险情况的技术。

突发事件响应。Jibe 会监控各种通信渠道以发现安全事件，Jibe 的安全人员会立即对已知突发事件做出反应。

加密技术。Jibe 提供 HTTPS 加密（也称为 SSL 或 TLS 连接）。Jibe 服务器支持使用 RSA 和 ECDSA 签名的临时椭圆曲线 Diffie Hellman 加密密钥交换。这些完全正向加密 (PFS) 方法有助于保护流量并最大限度地降低密钥泄露或加密破解的影响。

2. 访问权限和网站控件

(a) 站点控制。

现场数据中心安全运营。Jibe 的数据中心会维护一个负责所有物理数据中心安全功能的现场安全运营服务，全年无休。现场安全运维人员负责监控闭路电视（“CCTV”）摄像头和所有警报系统。现场安全运维人员定期在数据中心内外巡逻。

数据中心访问程序。Jibe 制定了正式的数据中心访问流程。数据中心位于需要电子卡钥匙进入的设施内，并设有与现场安全运营部门联系的警报器。进入数据中心的所有参与者都必须自行证明自己的身份，并向现场安全运营人员出示身份证明。只有获得授权的员工、承包商和访客才能进入数据中心。只有获得授权的员工和承包商可以申请使用这些设施的电子卡钥匙。数据中心的电子卡钥匙访问请求必须提前且以书面形式提出，并且需要请求者的经理和数据中心总监的批准。所有其他需要临时访问数据中心的参评者必须：(i) 事先就要访问的具体数据中心和内部区域征得数据中心经理的批准；(ii) 在现场安全运营现场登录；以及 (iii) 提及表明相关人员已获得批准的数据中心访问记录。

现场数据中心安全设备。Jibe 的数据中心采用电子卡钥匙和与系统警报关联的生物识别门禁系统。访问控制系统会监控和记录每个人的电子卡钥匙以及他们进入边界大门、送货和收件以及其他关键区域的时间。未经授权的活动和失败的访问尝试将由访问控制系统记录，并进行相应的调查。对业务运营中心和数据中心的授权访问取决于可用区和个人的职责。数据中心的防火门警报。数据中心内部和外部的 CCTV 摄像头都在运行。相机的定位旨在覆盖战略性领域，其中包括边界、数据中心大楼的大门以及运输/接收区域。现场安全运维人员负责管理 CCTV 监控、录制和控制设备。各个数据中心的安全线缆都连接了 CCTV 设备。摄像头全天候通过数字录像机进行现场录制。监控记录会根据活动至少保留 7 天。

(b) 访问控制。

基础架构安全人员。Jibe 已制定和维护针对其员工的安全政策，需要将安全培训作为其员工的培训软件包的一部分。Jibe 的基础架构安全人员负责持续监控 Jibe 的安全基础架构、审核处理方服务，以及响应安全突发事件。

访问权限控制和权限管理。公司的管理员和用户必须通过中央身份验证系统或单点登录系统对自身进行身份验证，才能使用处理器服务。

内部数据访问流程和政策 – 访问政策。Jibe 的内部数据访问流程和政策旨在防止未经授权的人员和/或系统访问用于处理个人数据的系统。Jibe 旨在将其系统设计为：(i) 仅允许获得授权的人员访问其有权访问的数据；(ii) 确保在处理、使用和录制期间未经授权可以读取、复制、更改或移除个人数据。这些系统旨在检测任何不当访问。Jibe 采用集中式访问管理系统来控制对生产服务器的人员的访问权限，并且仅授予有限数量的授权人员的访问权限。LDAP、Kerberos 和使用 SSH 证书的专有系统旨在为 Jibe 提供安全灵活的访问机制。这些机制旨在仅向网站主机、日志、数据和配置信息授予已获批准的访问权限。Jibe 需要使用唯一用户 ID、安全系数高的密码、双重身份验证和仔细监控的访问权限列表，以最大限度地降低未经授权的帐号使用的可能性。访问权限的授予或修改基于以下权限：授权人员的工作职责；执行授权任务所需的工作职责；以及有必要知道。访问权限的授予或修改还必须遵循 Jibe 的内部数据访问政策和培训。审批由工作流程工具管理，该工具维护所有更改的审核记录。系统会记录对系统的访问权限，以创建问责机制的问责机制。如果使用密码进行身份验证（例如登录工作站），则会实现至少遵循业界标准密码的政策。这些标准包括对密码重复使用的限制和足够的密码强度。

3. 数据

(a) 数据存储、隔离和身份验证。

Jibe 将数据存储在 Jibe 拥有的服务器上的多租户环境中。数据分散处理器服务数据库和文件系统架构可在多个分散分布的数据中心之间进行复制。Jibe 在逻辑上隔离每个客户的数据。所有处理器服务都使用中央身份验证系统，以提高数据的统一安全性。

(b) 已停用的磁盘和磁盘销毁准则。

包含数据的某些磁盘可能会遇到性能问题、错误或硬件故障，导致这些磁盘被停用（“已停用的磁盘”）。每个已停用的磁盘都会经历一系列数据销毁过程（下称“数据销毁准则”），然后才会离开 Jibe 的场所以供重复使用或销毁。已废弃的磁盘在多步过程中会被清空，并且会经过至少两个独立验证器的验证。擦除结果按停用磁盘的序列号记录，以便进行跟踪。最后，已清空的已废弃磁盘会释放到库存中，以供重复使用和重新部署。如果由于硬件故障而无法清空已停用的磁盘，系统会将其安全存储，直至可以销毁为止。我们会定期审核每个设施，以监控其遵从数据销毁准则。

4. 人员安全

Jibe 人员需要遵守公司有关机密性、商业道德、适当用法和专业标准的准则。Jibe 会在法律允许的前提下，根据适用的当地劳动法和法律法规，进行适当的适当背景调查。

相关人员必须执行保密协议，且必须确认收到 Jibe 的机密性和隐私权政策并遵守这些政策。我们为员工提供安全培训。 处理公司个人数据的人员需要完成与其角色相符的额外要求。未经授权，Jibe 员工不会处理公司的个人数据

5. 分包商安全

在配置分包商之前，Jibe 会对分包商的安全和隐私权规范进行审核，以确保分包商提供的安全和隐私级别与其访问数据和所提供服务的范围相称。Jibe 评估分包商存在的风险后，分包商始终应遵守第 11.3 条（“分包商参与要求”）中的要求，签署相应的安全、保密和隐私权合同条款。

附录 3：非欧洲数据保护法律法规的附加条款

以下针对非欧洲数据保护法律法规的补充条款是这些数据处理条款的补充：

Jibe 数据处理条款 2.0 版

2020 年 8 月 27 日