#main-nav-header { display:none; }

解決方案

產品

定價

資源

合作夥伴

為何選擇 Cloudflare

註冊

聯絡銷售團隊

支援

Cloudflare 公司 (以下簡稱「Cloudflare」) 和同意這些條款的對手方 (以下簡稱「客戶」) 已就 Cloudflare 提供的服務簽訂企業訂閱協議、自助式訂閱協議或其他書面或電子協議 (以下簡稱「主要協議」)。本資料處理增補合約（包括附錄（「DPA」）構成主要協議的一部分。

本 DPA 將自客戶簽署日期或雙方另行同意本 DPA（以下簡稱「DPA 生效日期」）起，取代並取代與其主旨相關的任何先前適用條款（包括與服務相關的任何資料處理修訂、協議或附錄）。

如果您代表客戶接受本 DPA，則您保證：(a) 您擁有完整的法律權限，可將客戶約束於本 DPA；(b) 您已閱讀並瞭解本 DPA；以及 (c) 您代表客戶同意本 DPA。如果您沒有約束客戶的法律權限，請不要接受此 DPA。

資料處理條款

本 DPA 適用於 Cloudflare 代表客戶作為處理者（或子處理器）處理個人資料以提供服務的情況，且此類個人資料受適用資料保護法（定義如下）的約束。

雙方已同意簽署此 DPA，以確保根據適用的資料保護法律，採取適當的保護措施來保護此類個人資料。因此，Cloudflare 同意遵守以下有關其代表客戶作為處理者（或子處理者）處理的任何個人資料的條款。

1. 定義

1.1 此 DPA 中使用下列定義：

a)「適當的國家/地區」是指根據歐洲資料保護法認可為個人資料提供充分保護的國家或地區。

b)「關聯公司」就某一方而言，指任何直接或間接控制由該方控制或受共同控制（但僅限於該控制存在）的任何公司實體。

c)「適用的資料保護法」是指根據主要協定 (包括歐洲資料保護法和美國資料保護法) 處理個人資料的所有法律和法規。

d)「雲耀斑集團」是指雲耀及其任何關聯公司。

e）「控制者」是指確定個人數據處理目的和手段的實體，包括「控制者」，「業務」或適用數據保護法定義的類似術語。

f)「客戶群組」指客戶及其任何關聯公司。

g)「歐洲資料保護法」係指歐盟、歐洲經濟區、其成員國、瑞士及英國適用於處理個人資料的所有法律法規 (包括 (i) 歐洲議會及理事會關於個人資料處理的自然人法規及一般資料自由移動 (此類保護條例)"歐盟 GDPR"）；（ii）根據英國《2018 年歐盟（撤回）法案》和《2018 年英國數據保護法》（英國 GDPR）第 3 條保存在英國法律的歐盟GDPR；（iii"）1992 年 6 月 19 日的瑞士聯邦數據保護法及其相應條例（」"瑞士 DPA」); (iv) 歐盟電子隱私指令 (指令 2002/58/EC); 和 (v) 根據、依據或與 (i)、(ii)、(iii)、(iv) 任何一項適用的國家資料保護法律一起制定。

h)「個人資料」是指根據適用資料保護法定義為「個人資料」、「個人資料」或「個人可識別資訊」（或類似術語）的所有資料。

i）「處理」，「數據主體」和「監管機構」應具有歐洲數據保護法中的含義。

j）「處理器」是指代表控制器處理個人數據的實體，包括另一個實體出於業務目的披露自然個人的個人信息的實體根據書面合同要求接收信息的實體僅保留，使用或披露個人數據信息以提供服務的目的，並包括「處理器」，「服務提供商」，根據適用法律定義的類似數據保護。

k)「服務」係指 Cloudflare 或其授權合作夥伴提供、銷售或銷售的所有雲端解決方案，這些解決方案旨在提高網際網路資產、應用程式和網路的效能、安全性和可用性，以及與上述項目相關的任何軟體、軟體開發套件和應用程式開發介面 (以下稱「API」)。

l)「歐盟SCC」是指歐洲委員會於 2021 年 6 月 4 日就根據歐洲議會及理事會規例 (EU) 2016/679 規定將個人資料轉移至第三國的標準合約條款所附的合約條款。

m)「限制傳輸」意指：(i) 如果適用歐盟 GDPR 或瑞士聯邦資料保護法案，將個人資料從歐洲經濟區或瑞士 (如適用) 轉移至歐洲經濟區或瑞士以外的國家 (如適用)，且不受歐盟委員會或瑞士聯邦資料保護與資訊專員的充分判定 (如適用) 所規限；從英國到任何其他的數據不是根據《2018 年英國資料保護法》第 17A 條規定的適當性法規的國家。

n)「英國增補合約」是指資訊專員辦公室根據英國《2018 年資料保護法》第 119 (A) 條所發出的國際資料傳輸附錄（B1.0 版），並不時更新或修訂。

o)「美國資料保護法」係指美國適用於根據主要協定處理個人資料的所有法律和法規，包括 (a) 根據《2020 年加州隱私權法》(Cal. 文明代碼 § 1798.100-1798.199，2022）及其實施法規（統稱為「CCPA」），（b）弗吉尼亞州消費者數據保護法案生效時，（c）科羅拉多州隱私法及其實施法規，（d）猶他州消費者隱私法生效時；以及（e）康涅狄格州 SB6，有效時關於個人數據和隱私監控的法案。

1.2 一個實體「控制」另一實體，如果其：(a) 持有其大部分投票權；(b) 是其成員或股東，並有權移除其大部分董事會或同等管理機構；(c) 是該公司的成員或股東，並且單獨或根據與其他股東或成員達成協議的控制權，大部分的投票權行使; d 根據其憲章文件或根據合同對它的影響; 和兩個實體如果控制對方（直接或間接）或兩者由同一實體控制（直接或間接）控制，則被視為「共同控制」中。

1.3 就本 DPA 而言，「提供」或「提供」服務是指提供主要協議中所定義的服務；

2. 各方的地位

2.1 根據本 DPA 處理的個人資料類型，以及處理的主題、持續時間、性質和目的，以及資料當事人的類別，詳見附件 1。

2.2 每一方就個人資料作出保證，其將遵守並提供與適用資料保護法規要求相同程度的隱私保護。對於雙方之間，客戶應對個人數據的準確性，質量和合法性以及客戶獲取個人數據的方式承擔全部責任。

2.3 關於本 DPA 下的各方關於個人資料的權利和義務，雙方承認並同意客戶是控制者（或代表第三方控制者處理個人資料的處理者），Cloudflare 是處理者（或子處理者，如適用）。

2.4 如果客戶是處理者，客戶向 Cloudflare 保證客戶對於個人資料的指示和行動，包括其任命 Cloudflare 為另一個處理者，以及在適用情況下，確定歐盟 SCC（包括在下列第 6.2 (b) 和 (c) 條中可能修改的指示和行動）已經（並將在本 DPA 期間繼續獲得相關控制者的授權）。

3. 雲耀斑義務

3.1 對於其作為處理者或子處理者角色處理的所有個人資料，Cloudflare 保證應：

(a) 僅出於提供服務的有限和特定業務目的處理個人資料，並遵守以下規定：(i) 主要協議和本 DPA 中規定的客戶書面指示，除非 Cloudflare 受到適用的聯盟或會員國法律要求，以及 (ii) 適用資料保護法的要求。如果 Cloudflare 根據適用資料保護法律要求處理個人資料，Cloudflare 應在處理前通知客戶該法律要求，除非該法律基於公共利益的重要理由禁止此類資訊；

(b) 不會將個人資料用於市場推廣或廣告用途；

(c) 實施適當的技術和組織措施，以確保適合處理個人數據所帶來的風險的安全級別，特別是保護個人數據免受意外或非法破壞，丟失，更改，未經授權披露或訪問個人數據。這些措施包括但不限於附件 2 所載的保安措施（「保安措施」）。客戶承認安全措施受到技術進展和發展的影響，Cloudflare 可能會不時更新或修改安全措施，前提是此類更新和修改不會降低或降低服務的整體安全性；

(d) 確保只有獲授權的人士才能查閱該等個人資料，並確保其授權可查閱個人資料的任何人士，均在合約上或法定保密義務下承擔；

(e) 在意識到任何導致 Cloudflare、其子處理器或任何其他識別或不明身份的第三方（「個人資料洩露」）提供服務給客戶的目的而傳輸、儲存或以其他方式處理的個人資料，導致客戶意外或非法破壞、損失、變更、未經授權披露或存取時，應立即通知客戶。資料外洩，包括 Cloudflare 擁有的與此類個人數據洩露有關的所有合理信息，只要它影響到個人數據；

(f) 未經客戶事先書面同意，否則不得就個人資料洩露事件 (「違反通知」) 作出任何公開宣告，除非適用法律有所要求；

(g) 在 Cloudflare 能夠驗證資料當事人是否與客戶有關的情況下，如果收到資料當事人的要求，要求對該資料當事人的個人資料行使任何資料保護權利 (包括存取權、修正或刪除權)，請立即通知客戶 (「資料主體請求」)。未經客戶事先書面同意，Cloudflare 不得回應資料主體要求，除非確認該要求與客戶有關，且客戶特此同意；

(h) 在 Cloudflare 能夠並符合適用法律的範圍內，在客戶在沒有 Cloudflare 協助的情況下無法解決資料主體要求時，就該資料主體的個人資料行使適用資料保護法律的任何資料保護權利 (包括存取權、修正或刪除權) 提供合理協助，以回應資料主體的要求。客戶有責任核實要求者是否為提出要求的個人資料的資料當事人。 Cloudflare 對於依賴本小節以誠信方式向客戶提供的資訊概不負責。客戶應承擔 Cloudflare 與其提供此類協助相關的所有費用；

(i) 除了遵守適用法律所需的範圍外，在主要協議終止或到期或服務完成後，根據客戶的選擇刪除或退還依據本 DPA 處理的所有個人資料 (包括其副本)；

(j) 考慮到處理的性質和可供 Cloudflare 使用的資訊，在客戶合理地要求下，向客戶提供此類協助，就 Cloudflare 適用資料保護法律就下列各項義務提供合理要求：

（i）數據保護影響評估和事先諮詢（如適用數據保護法律中的定義）；

（ii）根據適用的數據保護法律向監管機構發出通知和/或客戶因應任何個人數據洩露事件與數據主體的通信；以及

(iii) 客戶遵守其在適用資料保護法律中就處理安全性的義務；

但客戶應承擔 Cloudflare 在提供此類協助方面產生的所有費用；以及

(k) 如果 Cloudflare 認為客戶根據第 3.1 (a) 條提供的任何指示違反適用資料保護法律，或 Cloudflare 以其他方式作出判斷無法再履行其根據適用資料保護法的義務，請通知客戶

3.2 在 Cloudflare 代表客戶在 CCPA 範圍內處理個人資料的範圍內，Cloudflare 對客戶作出以下額外承諾：Cloudflare 不會基於主協議和本 DPA 中規定的目的以外的任何目的保留、使用或披露該個人資料，並在 CCPA 允許的情況下，包括任何「銷售」豁免。 Cloudflare 不會「出售」或「共享」此類個人資料，因為這些術語在 CCPA 中定義。本條款 3.2 不會限制或減少 Cloudflare 在主要協議或本 DPA 中對客戶所做的任何資料保護承諾。

3.3 Cloudflare 證明其了解並將遵守第 2 和第 3 條以及適用的資料保護法律中的義務和限制。

4. 子處理

4.1 Cloudflare 僅會為提供服務的特定目的向次處理者披露個人資料。

4.2 Cloudflare 將確保其參與代表與本 DPA 相關的服務提供某個層面的任何子處理器僅基於根據此類子處理器條款（即資料保護義務）的書面合約（即資料保護義務），而這些合約的保護性並不低於本 DPA 中對 Cloudflare 的保護性（「相關條款」）。Cloudflare 應由此類子處理者取得相關條款的效能，並對此類子處理者違反任何相關條款的任何行為，應向客戶承擔責任。

4.3 客戶授予一般書面授權：(a) 授予 Cloudflare 集團的其他成員作為子處理者，以及 (b) 授予 Cloudflare 和 Cloudflare 集團的其他成員指派第三方資料中心營運商，以及業務、工程和客戶支援提供者作為子處理器，以支援服務的效能。

4.4 雲耀將在以下位置維護一份子處理器清單 https://www.cloudflare.com/gdpr/subprocessors/ 並會在這些次處理者開始處理個人資料的日期前至少三十 (30) 天，將新的和替代次處理者的名稱加入清單中。如果客戶基於與資料保護有關的合理理由反對任何新的或替換的子處理器，則應在通知後十 (10) 天內以書面形式通知 Cloudflare 此類異議，雙方將尋求真誠地解決此事。如果 Cloudflare 合理能夠在不使用子處理器的情況下根據主要協議向客戶提供服務，並決定自行決定這樣做，則客戶在本條款 4.4 下就建議使用子處理器沒有進一步的權利。如果 Cloudflare 自行決定要求使用子處理器，而且無法滿足客戶對建議使用新或替代子處理器的反對意見，則客戶可以終止適用的訂單表格，在 Cloudflare 開始使用此類新的或替代子處理器之日起生效，該服務將使用提議的新子處理器來處理個人資料。如果客戶未根據本條款 4.4 對任何新的或替代的次處理商提出反對，則客戶將被視為已同意子處理商並放棄其反對權利。

5. 審計和記錄

5.1 Cloudflare 應根據適用的資料保護法律，向客戶提供 Cloudflare 擁有或控制的客戶可合理要求的資訊，以證明 Cloudflare 遵守適用資料保護法中處理器在個人資料處理方面的義務。

5.2 Cloudflare 可能透過提供以下方式，履行客戶根據適用保護法與個人資料有關的審計權：

(a) 一份不超過十三 (13) 個月的稽核報告，該報告由獨立外部稽核人員準備，證明 Cloudflare 的技術和組織措施足夠且符合公認的業界稽核標準；

(b) Cloudflare 在資料保護監督機構要求或需要與 Cloudflare 根據本 DPA 執行的個人資料處理相關的額外資訊時，其擁有或控制權的其他資訊；以及

(c) 若客戶的個人資料受歐盟規範中心規範，且依據本條款 5.2 提供的資訊不足，客戶合理判斷為確認 Cloudflare 遵守本 DPA 或適用資料保護法的義務，則 Cloudflare 可讓客戶在期限內每年要求一次現場稽核 (如主協議所定義)，Cloudflare 根據本 DPA 的義務確認其根據本 DPA 的義務按照第 5.3 條的規定。

5.3 下列附加條款適用於稽核客戶要求：

(a) 客戶必須將審核報告的任何請求傳送至 customer-compliance@cloudflare.com。

(b) Cloudflare 收到第 5.2 (c) 條的稽核請求後，Cloudflare 和客戶將在適用於第 5.2 (c) 條下任何稽核的合理開始日期、範圍、期間以及安全性和機密性控制事先討論並同意。在可能的情況下，此類稽核的證據將僅限於為 Cloudflare 最近的第三方稽核收集的證據。

(c) Cloudflare 可能會針對第 5.2 (c) 條的任何稽核收取費用（基於 Cloudflare 的合理費用）。 Cloudflare 將在進行任何此類稽核之前向客戶提供任何適用費用的進一步詳細資訊及其計算基礎。客戶將負責客戶委任的任何核數師為執行此等審計而收取的任何費用。

(d) Cloudflare 的合理意見，如果核數師根據 Cloudflare 的合理認為不合格或獨立、Cloudflare 的競爭對手或其他明顯不適合（即稽核員的參與度可能對 Cloudflare 的業務造成有害影響），則 Cloudflare 可能會以書面形式向客戶委任的審核員進行任何審計。 Cloudflare 提出的任何此類異議將要求客戶委任另一名稽核員或自行進行稽核。如果歐盟 SCC（包括在下文第 6.2 (a) 及 (b) 條中可予修訂的情況）適用，則本第 5.3 條的任何內容均不會改變或修改歐盟規例中心，亦不影響任何監管機構或資料當事人在歐盟規定中的權利。

6. 來自歐洲經濟區、瑞士和英國的資料傳輸

6.1 就服務而言，雙方預期 Cloudflare (及其次處理器) 可能會在歐洲經濟區 (「EEA」)、瑞士和英國以外處理受歐洲資料保護法保護的特定個人資料，而客戶或客戶群組成員可能是代表第三方控制者 (或代表第三方控制者的處理者)。

6.2 雙方同意，當受歐洲資料保護法保護的個人資料從客戶或客戶群組的任何成員傳輸至 Cloudflare 屬於限制傳輸時，應遵守以下適當的歐盟規管：

(a) 歐盟轉移：就受歐盟 GDPR 保護的個人資料而言，歐盟 SCC 將按照以下方式適用：

(i) 若客戶 (或客戶群組的相關成員) 是控制者，而第三單元將適用於客戶 (或客戶群組的相關成員) 為處理者；

(ii) 在第 7 條中，可選擇的停靠條款將適用；

（iii）第 9 條中，選項 2 將適用，並且子處理者更改事先通知的時間段應按照本 DPA 第 4.3 條所述；

(iv) 在第 11 條中，選擇性語言將不適用；

（v）第 17 條中，選項 2 將適用，如果數據輸出者的成員國不允許第三方受益人權利，則適用德國法律；

(vi) 在第 18 (b) 條中，爭議應在各方之間管轄主要協議的司法管轄區的法院面前解決；如該司法管轄區不是歐盟成員國，則應由德國慕尼黑的法院解決。在任何情況下，第 17 及 18 (b) 條應保持一致，論壇和司法管轄權的選擇應屬於適用法律的國家/地區；

(vii) 歐盟法規中心的附件 I 須視為已完成，連同本保護規劃附件 1 所載的資料；及

(viii) 歐盟標準中心的附件 II，須視為已完成，並附載於本保護協會附件 2 的資料。

(b) 英國移轉：關於受英國 GDPR 保護的個人資料，歐盟 SCC 將適用於本 DPA 第 6.2 (a) 條中所述的上文所述，適用於該等個人資料的傳輸，但以下情況除外：

(i) 歐盟 SCC 應視為英國增補合約所規定的修訂，該修訂應視為轉讓客戶（或客戶群組的相關成員）與 Cloudflare 之間執行；

(ii) 歐盟 SCC 條款與英國增補合約之間的任何衝突，應按照英國增補合約第 10 條和第 11 節解決；

(iii) 就英國增補合約而言，英國增補合約第 1 部分中的表 1 至 3，須視為使用本 DPA 附件所載資料的完整；及

(iv) 英國附錄第 1 部分中的表 4 應當作已填寫，選擇「既不一方」。

(i) 有關此類個人資料的主管機關應為瑞士聯邦資料保護及資訊專員；

(ii) 在第 17 條中，適用法律應為瑞士法律；

(iii) 在歐盟 SCC 中對「成員國」的提述，應解釋為指瑞士，而位於瑞士的資料當事人有權行使及執行其在瑞士的歐盟 SCC 所賦予的權利；及

（iv）提及歐盟 SCC 中的「通用數據保護條例」，「2016/679 法規」或「GDPR」應理解為對《瑞士聯邦數據保護法》（經修訂或更換）的引用。

(d) 下列條款適用於歐盟規例中心（包括根據上文第 6.2 (b) 及 (c) 條可予修訂的條款）：

(i) 客戶可按照本 DPA 第 5 條的規定，行使其根據歐盟規定中心進行審計的權利，並受到本 DPA 第 5 條的要求所規限；及

(ii) Cloudflare 可按照本 DPA 第 4 條和第 6.3 條所述的規定委任次處理者，並受到本 DPA 第 4 和 6.3 條的要求，並且客戶可以根據本 DPA 第 4.3 條規定的方式行使其反對歐盟 SCC 下的次處理者的權利。

(e) 如本 DPA 的任何條文直接或間接與歐盟 SCC（以及英國增補合約）相矛盾，則以後者為準。

6.3 關於第 6.2 條對 Cloudflare 進行的限制傳輸，Cloudflare 不得參與（也不允許任何子處理者參與）個人資料的任何進一步限制轉移（無論是作為個人資料的「匯出者」或「進口商」），除非此進一步限制轉移完全符合歐洲資料保護法律，並且根據歐盟規定在出口商和進口商和個人資料轉移條款（定義為個人資料轉移的替代條款）6.5）通過的進口商適用。

6.4 如果客戶試圖對歐盟 SCC 進行轉移至任何特定國家或地區的充分性進行任何評估，Cloudflare 應在可能的範圍內為任何此類評估目的向客戶提供合理協助，前提是客戶應承擔 Cloudflare 提供此類協助所產生的所有費用。

6.5 在 Cloudflare 採用替代資料匯出機制 (包括依據適用歐洲資料保護法所採用的隱私護盾的任何新版本或繼承者) 來傳輸本 DPA (替代傳輸機制) 中未描述的個人資料時，"替代傳輸機制應適用，而非本 DPA 中描述的任何適用傳輸機制 (但只適用於此 DPA 中所述的任何適用傳輸機制")替代轉移機制遵守歐洲資料保護法，並擴展至個人資料傳輸至所在地區），且客戶同意執行此類其他及進一步的文件，並採取合理必要的其他進一步行動，以賦予此類替代轉移機制的法律效力。

7. 第三方資料查閱要求

7.1 如果 Cloudflare 意識到任何第三方法律程序要求 Cloudflare 代表客戶處理的個人資料，並擔任處理者或子處理者 (如適用)，則 Cloudflare 將：

(a) 立即通知客戶有關要求，除非法律禁止該通知；

(b) 告知第三方其為個人資料的處理者或次處理者 (如適用)，未經客戶同意未經授權披露個人資料；

(d) 在 Cloudflare 根據第三方法律程序提供存取或揭露個人資料的範圍內，無論是經客戶授權或由於強制法律強制執行，Cloudflare 將在法律要求的範圍內披露最低數量的個人資料，並根據適用的法律程序。

7.2 在 Cloudflare 作為處理者或子處理者的角色中，可能需要受政府機關（包括司法機構）頒發的第三方法律程序以及要求存取或揭露個人資料的約束。如果 Cloudflare 意識到政府機關（包括司法機構）發布的任何第三方法律程序請求 Cloudflare 代表客戶作為處理者或子處理者（如適用）處理的個人數據，則 Cloudflare 以合理努力審查請求的程度，因此能夠識別請求個人數據的第三方法律程序引發法律衝突的程度，Cloudflare 將：

(a) 採取上文第 7.1 條所述的所有行動；

(b) 在提供個人資料達上訴法院級別前，先尋求法律救濟；及

7.3 如果 Cloudflare 有善意相信政府要求是必要的，則第 7.1 和 7.2 條不適用於由於涉及個人死亡危險或嚴重人身傷害的緊急情況。在此情況下，Cloudflare 應在揭露資料後盡快通知客戶，並向客戶提供相同資料的完整詳細資訊，除非法律禁止此類披露。

7.4 Cloudflare 會以 Cloudflare 的半年度透明度報告形式，向客戶提供有關要求個人資料之第三方法律程序的最新資訊，可於 https://www.cloudflare.com/transparency/ 取得。

7.5 自客戶透過 Cloudflare 簽訂此 DPA 之日起，履行下列承諾。雲耀將按照以下要求更新這些承諾：https://www.cloudflare.com/transparency/

(a) Cloudflare 從未將我們的加密或驗證金鑰或客戶的加密或驗證金鑰交給任何人。

(b) Cloudflare 從未在我們的網路上任何地方安裝任何執法軟體或設備。

（d）Cloudflare 從未應執法機構或其他第三方的要求削弱，破壞或顛覆其任何加密。

8. 一般

8.1 本 DPA 在不損害主要協議下各方的權利和義務，這些權利和義務將繼續具有充分的效力和效力。如果本 DPA 的條款與主要協議的條款有任何衝突，只要主題涉及個人資料的處理，本 DPA 的條款應以本 DPA 的條款為準。

8.2 Cloudflare 根據本 DPA 或與此 DPA 相關的責任，包括根據歐盟 SCC，受主要協議中包含的排除和責任限制的約束。在任何情況下，Cloudflare 都不會限制或排除其對資料主體或合格資料保護機構的責任。

8.3 除非在歐盟 SCC 明確規定或適用資料保護法律規定的範圍內，否則本 DPA 並不賦予任何第三方受益人權利；該 DPA 旨在為本協議各方及其各自允許的繼承人和受讓人的利益而設，且不是為了任何其他人士的利益，也不得由任何其他人士強制執行本協議的任何條款。

8.4 本 DPA 及與此相關的任何行動應受主協議中規定的法律管轄並按照主協議中規定的法律解釋，而不會影響任何法律原則衝突。雙方同意主要協議中規定的法院的個人管轄權，以及在法院的場所。

8.5 如果本 DPA 的任何條款由於任何原因被認為無效或不可執行，則 DPA 的其他條款仍然可執行。在不限制前述條款的一般性的情況下，客戶同意即使本 DPA 的任何條款不可執行，第 8.2 條（責任限制）仍然有效。

8.6 本 DPA 是雙方就本協議的主題所作的最終、完整且專屬的協議，並取代並合併雙方之間就該主題事項之前所有先前討論和協議。

附件一

資料處理說明

本附件 1 構成 DPA 的一部分，並說明 Cloudflare 將代表客戶執行的處理。

A. 各方名單

Data exporter(s): Customer to complete the right-hand column.


Name: Customer and any Customer Affiliates described in the Main Agreement.	As stated in the Main Agreement
Address: Addresses of Customer and any Customer Affiliates described in the Main Agreement (or otherwise notified by Customer to Cloudflare)	As stated in the Main Agreement
Contact person’s name, position and contact details:	As stated in the Main Agreement
Activities relevant to the data transferred under this DPA and the EU SCCs:	Use of the Service pursuant to the Main Agreement.
Signature and date:	This Annex 1 shall be deemed executed upon execution of the DPA.
Role (controller/processor):	Controller (or Processor on behalf of a third-party Controller).

Data importer(s):


Name:	Cloudflare, Inc.
Address:	101 Townsend Street San Francisco, CA 94107 USA
Contact person’s name, position and contact details:	Emily Hancock Data Protection Officer legal@cloudflare.com
Activities relevant to the data transferred under this DPA and the EU SCCs:	Processing necessary to provide the Service to Customer, pursuant to the Main Agreement.
Signature and date:	This Annex 1 shall be deemed executed upon execution of the DPA.
Role (controller/processor):	Processor (or sub-Processor)

B. DESCRIPTION OF DATA PROCESSING AND TRANSFER


Categories of data subjects whose Personal Data is transferred:	Natural persons that (i) access or use Customer’s domains, networks, websites, application programming interfaces (“APIs”), and applications, or (ii) Customers’ employees, agents, or contractors who access or use the Services, such as Cloudflare Zero Trust end users, (together, “End Users”). Natural persons with login credentials for a Cloudflare account and/or those who administer any of the Services for a Customer (“Administrators”).
Categories of Personal Data transferred:	In relation to End Users: Any Personal Data processed in Customer Logs, such as IP addresses, and in the case of Cloudflare Zero Trust, Cloudflare Zero Trust end user names and email addresses. “Customer Logs” means any logs of End Users’ interactions with Customer’s Internet Properties and the Service that are made available to Customer via the Service dashboard or other online interface during the Term by Cloudflare. Any Personal Data processed in Customer Content, the extent of which is determined and controlled by the Customer in its sole discretion. “Customer Content” means any files, software, scripts, multimedia images, graphics, audio, video, text, data, or other objects originating or transmitted from or processed by any Internet Properties owned, controlled or operated by Customer or uploaded by Customer through the Service, and routed to, passed through, processed and/or cached on or within, Cloudflare’s network or otherwise transmitted or routed using the Service by Customer. In relation to Administrative Users: Any Personal Data processed in Administrative User audit logs, such as IP addresses and email addresses.
Sensitive data transferred (if applicable) and applied restrictions or safeguards that fully take into consideration the nature of the data and the risks involved, such as for instance strict purpose limitation, access restrictions (including access only for staff having followed specialized training), keeping a record of access to the data, restrictions for onward transfers or additional security measures:	Customer, its End Users, Administrators, and/or other partners may upload content to Customer's online properties which may include special categories of data, the extent of which is determined and controlled by the Customer in its sole discretion. Such special categories of data include, but may not be limited to, information revealing racial or ethnic origins, political opinions, religious or philosophical beliefs, trade-union membership, and the processing of data concerning an individual’s health or sex life. Any such special categories of data shall be protected by applying the security measures described in Annex 2.
The frequency of the transfer (e.g. whether the data is transferred on a one-off or continuous basis):	Continuous for the duration of the Main Agreement.
Nature of the processing:	Processing necessary to provide the Services to Customer in accordance with the documented instructions provided in the Main Agreement and this DPA.
Purpose(s) of the data transfer and further processing:	Processing necessary to provide the Services to Customer in accordance with the documented instructions provided in the Main Agreement and this DPA.
The period for which the Personal Data will be retained, or, if that is not possible, the criteria used to determine that period:	Until the earliest of (i) expiry/termination of the Main Agreement, or (ii) the date upon which processing is no longer necessary for the purposes of either party performing its obligations under the Main Agreement (to the extent applicable).
For transfers to (sub-) Processors, also specify subject matter, nature and duration of the processing:	The subject matter, nature and duration of the processing shall be as specified in the Main Agreement.

C. COMPETENT SUPERVISORY AUTHORITY


Identify the competent supervisory authority/ies in accordance (e.g. in accordance with Clause 13 of the EU SCCs)	In respect of the EU SCCs, means the competent supervisory authority determined in accordance with Clause 13 of the EU SCCs. In respect of the UK Addendum, means the UK Information Commissioner's Office.

附件二

技術和組織安全措施

已經實施並應該維護符合 ISO/IEC 27000 標準的信息安全計劃。雲耀斑的安全計劃應包括：

個人資料加密措施

Cloudflare 透過以下方式實作加密功能，以充分保護個人資料：

最先進的加密協議旨在利用已知可供公共機構使用的資源提供有效的保護，防止主動和被動攻擊；
值得信賴的公鑰認證機構和基礎設施；
有效的加密演算法和參數化，例如對稱式加密的最低 128 位元金鑰長度，以及非對稱演算法的至少 2048 位元 RSA 或 256 位元 ECC 金鑰長度。

確保處理系統和服務持續保密性、完整性、可用性和彈性的措施

Cloudflare 通過以下方式增強了生產環境中處理系統和服務的安全性：

採用程式碼檢閱程序來提高用於提供服務之程式碼的安全性；並在使用前和使用期間測試程式碼和系統是否存在漏洞；
維護外部錯誤賞金計劃;
使用檢查來驗證加密數據的完整性，以及
採用預防性和反應性入侵檢測。

Cloudflare 在地理位置分散的資料中心部署高可用性系統。

Cloudflare 實施輸入控制措施來保護和維護個人資料的機密性，包括：

輸入、讀取、更改及刪除資料的授權政策；
使用唯一的身份驗證憑據（密碼）和硬令牌對授權人員進行身份驗證；
在一段時間不活動後自動註銷用戶 ID;
保護輸入的資料，以及讀取、更改和刪除已儲存的資料；及
要求數據處理設施（裝有電腦硬件及相關設備的房間）保持上鎖和安全。

確保在發生物理或技術事故時及時恢復個人數據的可用性和訪問權限的措施

Cloudflare 實施措施以確保個人資料免受意外破壞或遺失，包括維護：

災難恢復和業務連續性計劃和程序;
分佈於地理位置的數據中心；
冗餘基礎架構，包括電源供應器和互聯網連接；
備份存儲在替代站點，並可在主要系統故障時進行還原；以及
定期測試的事件管理程序。

定期測試，評估和評估技術和組織措施的有效性，以確保處理的安全性的過程

Cloudflare 的技術和組織措施由外部第三方稽核人員定期測試和評估，這是 Cloudflare 安全&隱私合規計劃的一部分。這些可能包括年度 ISO/IEC 27001 稽核、AICPA SOC 2 第二類、PCI DSS 等級 1；以及其他外部稽核。內部審核以及年度和針對性的風險評估也會定期測試措施。

用戶識別和授權的措施

Cloudflare 通過以下方式實施有效的用戶身份驗證和權限管理措施：

應用強制性訪問控制和認證政策;
應用零信任的身份識別和授權模式；
使用唯一的身份驗證憑據和強大的多因素身份驗證，包括要求使用物理硬令牌來認證授權人員；
根據角色、核准和異常管理分配和管理適當的權限；以及
應用最小權限訪問的原則。

在傳輸過程中保護數據的措施

Cloudflare 採取有效措施來保護個人資料在傳輸過程中不被未經授權的方法讀取、複製、更改或刪除，包括：

使用最先進的傳輸加密協議，旨在利用已知可供公共機構使用的資源提供有效的保護，防止主動和被動攻擊；
使用可信賴的公鑰認證機構和基礎設施；
對提供傳輸加密的傳送和接收系統實施主動和被動攻擊的保護措施，例如足夠的防火牆、相互 TLS 加密、API 認證和加密，以保護數據傳輸的閘道和管道，以及測試軟件漏洞和可能的後門程序；
採用有效的加密演算法和參數化，例如對稱式加密採用至少 128 位元的金鑰長度，對非對稱演算法採用至少 2048 位元的 RSA 或 256 位元 ECC 金鑰長度；
使用受漏洞管理程序涵蓋的正確實施和妥善維護的軟件，並通過審計測試是否符合性；
執行安全措施以可靠地產生、管理、儲存和保護加密金鑰；以及
稽核記錄、監控和追蹤資料傳輸。

儲存期間保護資料的措施

Cloudflare 在儲存期間實施有效措施保護個人資料、控制和限制對資料處理系統的存取，以及透過以下方式：

使用最先進的加密協議，旨在利用已知可供公共機構使用的資源提供有效的保護，防止主動和被動攻擊；
使用可信賴的公鑰認證機構和基礎設施；
測試系統存儲數據的軟件漏洞和可能的後門;
採用有效的加密演算法和參數化，例如要求所有儲存個人資料的磁碟必須使用 128 位元或更長的金鑰長度使用 AES-XTS 加密。
使用受漏洞管理程序涵蓋的正確實施和妥善維護的軟件，並通過審計測試是否符合性；
執行安全措施以可靠地產生、管理、儲存和保護加密金鑰；
識別和授權可以訪問數據處理系統的系統和用戶；
在一段時間不活動後自動登出用戶；以及
稽核記錄、監控和追蹤資料處理和儲存系統的存取。

Cloudflare 對資料處理系統的特定區域實作存取控制，以確保只有獲得授權的使用者能夠在其各自存取權限 (授權) 所涵蓋的範圍內存取個人資料，並且在未經授權的情況下無法讀取、複製、修改或移除個人資料。這應通過各種措施來完成，包括：

有關每位員工查閱個人資料權限的員工政策和培訓；
應用用戶識別和授權的零信任模式；
使用唯一的身份驗證憑據和強大的多因素身份驗證，包括要求使用物理硬令牌來認證授權人員；
監控被授權刪除、添加或修改個人資料的行動；
僅向獲授權人士發放數據，包括分配差異化的訪問權限和角色；以及
控制對數據的訪問，以受控和記錄的數據銷毀。

確保個人資料處理地點的實體安全措施

Cloudflare 維護並實施有效的物理訪問控制政策和措施，以防止未經授權的人員訪問處理或使用個人數據的數據處理設備（即數據庫和應用程序服務器以及相關硬件），包括：

建立安全區域;
保護和限制存取路徑；
為員工和第三方建立存取授權，包括各自的文件；
記錄、監控和追蹤所有存取個人資料的資料中心；以及
託管個人數據的數據中心由安全警報系統和其他適當的安全措施保護。

確保事件記錄的措施

Cloudflare 實施了日誌記錄和監控程序，用於記錄、監控和跟踪對個人數據的訪問，包括系統管理員，並確保根據收到的指示處理數據。這是通過各種措施完成的，包括：

使用唯一的身份驗證憑據和強大的多因素身份驗證，包括要求使用物理硬令牌來認證授權人員；
應用用戶識別和授權的零信任模式；
維持系統管理員身份詳細資料的最新清單；
採取措施偵測、評估及應對高風險異常情況；
保存處理基礎設施的安全、準確和未經修改的訪問日誌 12 個月；以及
每年至少測試一次記錄配置，監控系統，警報和事件響應過程。

確保系統組態的措施，包括預設組態

Cloudflare 會為支援生產資料處理環境 (包括第三方系統) 的所有系統維護組態基準。組態基準應符合業界最佳實務，例如網際網路安全中心 (CIS) 第 1 級基準測試。必須使用自動化機制在生產系統上強制執行基準配置，並防止未經授權的變更。對基準的變更僅限於少數已授權的 Cloudflare 人員，而且必須遵循變更控制流程。變更必須可稽核，並定期檢查，以偵測與基準配置的偏差。

Cloudflare 使用最低權限原則為資訊系統設定基準。根據預設，存取組態會設定為「全部拒絕」，而且必須變更預設密碼以符合 Cloudflare 的政策，然後才能在 Cloudflare 網路上安裝裝置之前，或在軟體或作業系統安裝之後立即變更預設密碼以符合 Cloudflare 的政策。系統設定為根據國際原子時或國際標準時間 (UTC) 同步系統時鐘，而修改時間資料的存取僅限授權人員。

內部 IT 和 IT 安全治理和管理措施

Cloudflare 會針對可接受的 IT 系統使用和一般資訊安全性維護內部政策。 Cloudflare 要求所有員工至少每年進行一般安全性和隱私意識培訓。 Cloudflare 限制和保護個人資料的處理，並已記錄和實施：

正式的信息安全管理系統（ISMS），以保護 Cloudflare 數據和信息系統的機密性，完整性，真實性和可用性，並確保對支持運營的數據和信息系統進行安全控制的有效性；以及
正式的隱私權資訊管理系統 (PIM)，以保護支援 Cloudflare 全球管理網路的政策和程序的機密性、完整性、真實性和可用性，同時是客戶資訊的處理者和控制者。

Cloudflare 將保留技術和組織措施的文檔，以防審核和證據保護。 Cloudflare 應採取合理步驟確保其僱用的人員以及工作地點的其他人員了解並遵守本附件 2 中列出的技術和組織措施。

過程和產品的認證/保證措施

雲耀的 ISMS 和相關安全風險管理流程的實施已通過行業標準的 ISO/IEC 27001 的外部認證。 Cloudflare 的全方位 PIM 的實作已獲得業界標準 ISO/IEC 27701 的外部認證，作為客戶資訊的處理器和控制者。

Cloudflare 維持 PCI DSS 第 1 級合規性，因此 Cloudflare 每年都會由第三方合格的安全評估機構稽核。 Cloudflare 已根據 AICPA 信任服務標準進行了其他認證，例如 AICPA SOC 2 類型 II 認證，並且 Cloudflare 可能不時進行的這些認證和其他認證的詳細信息將在 Cloudflare 的網站上提供。

對於轉移至 (sub-) 處理器，也請說明 (sub-) 處理器將採取的特定技術和組織措施，以便能夠向控制器提供協助 (以及從處理器轉移至子處理者) 給資料匯出者)。

Measure	Description
Self-service access to meet data subject rights of access, erasure, rectification etc.	Ability to login to review and edit Personal Data via the Cloudflare dashboard.