数据处理附录

大写术语在 GDPR 中具有给定的含义。以下术语具有以下含义。

本 DPA 适用于 upDevTeam LTD 在提供服务过程中代表客户处理客户个人数据。

双方承认，在此类处理方面，客户是控制者，而 upDevTeam LTD 是处理者。

upDevTeam LTD 作为控制者处理其自身商业运营中的数据（账户计费、反滥用、市场营销）。隐私政策描述了该处理。

upDevTeam LTD 将：

客户授权 upDevTeam LTD 涉及以下子处理者：

我们将在至少 30 天前通知客户有关添加或更换子处理者的信息，通过在 godeskflow.com/dpa 发布更改或通过电子邮件通知账户联系人。如果客户在数据保护方面有所合理异议，我们将本着善意努力寻找解决方案；如果无法达成一致，客户可以方便地终止受影响的服务。

我们对客户的子处理者的行为和遗漏承担责任，就像它们是我们自己的行为一样。

我们实施并维护适合风险的技术和组织措施，包括：

客户个人数据托管在欧洲经济区（EEA）。如需将客户个人数据从 EEA 转移（例如，当涉及美国总部的子处理者时），双方通过引用纳入标准合同条款，由 upDevTeam LTD 作为该转移的“数据出口方”，子处理者作为“数据进口方”。

如果客户成立于 EEA 以外且个人数据从 upDevTeam LTD 流向客户，双方将纳入对应转移的 SCC（模块 4）。

我们对每个非 EEA 子处理者完成转移影响评估，并在评估推荐的情况下应用补充措施（加密、假名化）。

如果我们收到来自数据主体的关于客户个人数据的请求，我们将不会直接回应，仅确认收到并将数据主体引导至客户。我们会在不拖延的情况下将请求转发给客户。

我们将根据处理的性质及我们掌握的信息为客户在应对访问、纠正、删除、限制、可携带性和异议请求时提供合理协助。如果请求过于频繁或明显没有依据，我们可能会收取合理费用。

我们将在知晓后不延误地通知客户，且无论如何会在 72 小时内通知客户，涉及客户个人数据的个人数据泄露。通知将包括 GDPR 第 33(3) 条所需的信息，尽可能提供后续更新。

在处理紧急情况的过程中，我们将与客户合作，控制、调查并记录泄露，并在法律要求外不对其做公开声明，除非事先获得客户同意。

我们向客户提供必要的信息，以证明符合 GDPR 第 28 条，通过（a）本数据处理协议，(b) 请求时可用的安全白皮书，以及（c）相关子处理者最新的第三方审计报告（例如SOC 2报告）。

如果客户合理认为第 10.1 节提及的材料不足，客户可以在至少提前 30 天书面通知的情况下，自费对我们遵守本数据处理协议的情况进行审计，审计不得超过每年一次（除非发生重大违约），前提是审计（i）在正常工作时间内进行，(ii) 不干扰我们的运营，(iii) 由受到适当保密义务约束的独立审计员进行，且 (iv) 不包括访问其他客户的设施或数据。

审计报告是 upDevTeam LTD 的机密信息，只能在保密的情况下与监管机构和法律顾问共享。

在服务终止时，我们将在客户选择下，并在终止日期后的 30 天内，或以结构化电子格式返回所有客户个人数据，或安全删除它，除非 EU 或成员国法律要求保留。

备份副本将根据我们的标准滚动备份保留（目前为 35 天）进行删除。备份在被覆盖之前仍受第 6 节中的安全措施保护。

根据本数据处理协议产生的责任受服务条款中责任限制条款的约束。

在 GDPR 第 82 条将责任分配给共同控制者、处理者和子处理者的情况下，各方同意遵循该法定分配。

本数据处理协议自客户接受服务条款之日起生效，并在 upDevTeam LTD 代表客户处理客户个人数据的期间内继续有效，外加履行第 9、10 和 11 节下的义务所需的任何存续期。

本数据处理协议受塞浦路斯共和国法律管辖，但在适用标准合同条款的情况下，标准合同条款中规定的适用法律优先于标准合同条款的范围内的事项。

根据本数据处理协议发送的通知应发送至 info@godeskflow.com（数据处理事项）和 info@godeskflow.com（数据主体和监督机构事项）。