資料隱私權協議

附錄

本資料隱私權協議，包括下列所有附錄（本「DPA」），為合約指名之 Seagate 公司 (「Seagate」) 及合約中所指名之供應商公司 (「公司) 」（分稱為「一方」，統稱為「雙方」）。

公司已簽訂一份或多份請購單、合約及/或協議，包括工作說明（以下稱「合約）」，據此，公司同意向 Seagate 提供協議中更詳細規定的特定服務 (「服務」)。

雙方簽訂本 DPA 目的是確保公司在處理向公司提供或由公司代表 Seagate 及/或代表 Seagate 收集之個人資料時，其處理方式符合《資料保護法》及其對資料主體之個人資料之收集、使用及留存。

本 DPA 已納入並構成協議的一部分。本 DPA 中未定義的所有大寫詞彙均採用合約中所載涵義。

雙方確認並同意以下事項：

1. 定義
   1. 「關係企業」係指任何控管主體方、受控於主體方或與主體方共同控管的實體。
   2. 「控管」係指佔該實體當時未行使之總權益 (以完全稀釋基準計算) 百分之五十 (50%) 以上的所有權、投票權或類似權益。「受控」一詞應據此解釋。
      
   3. 「資料隱私洩漏」係指因意外或非法行為造成 Seagate 個人資訊受到破壞、損失、改動、未授權揭露、存取或者獲取，或是其他任何對 Seagate 個人資訊未授權的處理行為。
   4. 「資料保護法」係指適用於相關個人資訊的全球性資料保護、資料安全性和隱私權法律、規則和法規，包括在適用情況下：(i) 歐洲《資料保護法》；(ii) 經不時修訂、取代或更新之美國所有法律、規則與法規 ，包括美國各州隱私法；(iii) 資料安全計劃；(iv) 適合個人資訊性質之適用業界標準。
   5. 「資料安全計劃」或「DSP」係指美國司法部於 2025 年 1 月 8 日發布標題為「防止重點國家或受保護人員存取美國敏感個人資料和政府相關資料」（28 CFR 第 202 部分）的規則，該規則落實 2024 年 2 月 28 日第 14117 號行政命令（防止重點國家存取美國大量敏感個人資料和美國政府相關資料），該命令已進行修訂和更新。
   6. 「歐洲《資料保護法》」係指適用於歐盟的所有資料保護法律和法規 (「歐盟」) 或歐洲經濟區 (「EEA」)，包括：
      
      1. 通用資料保護規範 2016/679 (「EU GDPR」)；
      2. 歐盟 GDPR 依據英國 2018 年歐盟（退出）法第 3 節及英國 2018 年《資料保護法》（「英國 GDPR 」）
      3. 1992 年 6 月 19 日的瑞士聯邦《資料保護法》及其相應條例 (「瑞士 DPA」)；
         
      4. 2002/58/EC 號指令（關於電子通訊磁區中的個人資料處理及隱私保護）以及
         
      5. (A) 和 (D) 的適用國家實施方案。
   7. 「歐盟標準合約條款 (EU SCC)」係指歐盟執委會於 2021 年 6 月 4 日頒布的第 2021/914 號實施決議中所附的合約條款，該決議針對依據歐洲議會與理事會第 2016/679 號條例 (EU) 將個人資料傳輸至第三國的標準合約條款。
   8. 「個人資訊」係指任何能夠識別或與已識別或可識別的自然人相關的資訊，包括與裝置或線上識別碼相關的資訊，以及根據適用的《資料保護法》定義為「個人資料」、「個人識別資訊」或類似術語的任何資訊。
   9. 「處理」或「處理作業」係指但不限於對 Seagate 個人資訊執行的作業，不論是否透過自動化方式皆然，例如 Seagate 個人資訊的蒐集、記錄、排序、結構化、更動、使用、存取、揭露、傳播、複製、傳送、儲存，亦或是保留、刪除、對齊、合併、限制、調整、擷取、諮詢、破壞或棄置。
   10. 「受限傳輸」係指：
       1. 在歐盟 GDPR 適用的情況下，將個人資訊從 EEA 傳輸到不受歐盟委員會適用性判定的約束的 EEA 以外的國家/地區。
       2. 在英國 GDPR 適用的情況下，將個人資訊從英國傳輸到不受 2018 年英國《資料保護法》第 17A 節適用性法規約束，或不依據適用性法規的任何其他國家/地區以及
       3. 在瑞士 DPA 適用的情況下，將個人資訊從瑞士傳輸到不依據瑞士資料保護法認可的適用性決定的任何其他國家/地區。
   11. 「Seagate 個人資訊」係指由 Seagate 建立、擁有或提供的任何受個人資訊，或為 Seagate 建立的任何個人資訊，且公司可以代表 Seagate 存取、獲取、使用、維護或處理與雙方和/或其關係企業間的任何協議相關的個人資訊。
   12. 「敏感資訊」係指根據適用的《資料保護法》被歸類為敏感的任何 Seagate 個人資訊，包括：(i) 政府核發的身份證號（例如社會安全碼、護照號碼、納稅人識別碼和駕照號碼）；(ii) 金融帳戶或支付卡詳細資料，無論是否需要任何代碼或密碼，均可存取帳戶或信用記錄；(iii) 健康、基因或生物識別資訊；(iv) 揭示種族、民族、宗教、性取向或性生活、政治或哲學信仰或工會成員身分的資訊；(v) 背景調查或司法記錄，包括犯罪記錄或其他司法或行政程序資訊；以及 (vi) 根據適用的《資料保護法》（包括歐盟 GDPR、英國 GDPR 和瑞士 DPA）被指定為「敏感個人資訊」、「敏感個人資料」、「敏感資料」或「特殊類別資料」的任何其他資訊。
   13. 「標準條款」係指（如適用）本 DPA 第 4.1 節（歐洲經濟區、英國和瑞士標準條款）中規定的歐盟 SCC、英國補充條款和瑞士修訂條款。
   14. 「次要處理者」係指公司聘用的第三方或能夠存取、接收或處理任何 Seagate 個人資訊的任何其他次要處理者。
       
   15. 「監管機關」係指對《資料保護法》之遵循具有管轄權或監督權之監管機關、監督機構、政府機構、州政府機構、司法部長或其他主管機關。
   16. 「公司人員」係指公司授權處理 Seagate 個人資訊的任何公司員工、承包商、服務提供者、供應商、次要處理者或代理人。
   17. 「英國附錄」係指由資訊委員辦公室依據 2018 年英國《資料保護法》所頒布之國際資料傳輸附錄（B1.0 版）且會不時更新或修訂。
   18. 「美國州隱私權法」係指所有適用 Seagate 個人資訊的資料隱私權、資料保護和網路安全法律、規則和法規。
   19. 「控制者」、「資料主體」、「處理者」、「企業」、「收集者」、「使用者」、「共享者」、「銷售者」、「出售者」、「監管機關」和「服務提供者」等術語應具有《資料保護法》賦予之含義。
   20. 「美國大量敏感個人資料」、「重點國家」、「受保護資料交易」、「受保護人員」、「資料代理」、「僱傭協議」、「外國人」、「政府相關資料」、「投資協議」、「安全要求」、「交易」及「供應商協議」等術語應具有 DSP 賦予之含義。
   21. 「包括」一詞應理解為包括但不限於，且類似詞彙應據此解釋。
2. 資料安全性與保護
   1. 雙方身分。關於 Seagate 個人資訊，雙方特此確認並同意，公司將作為資料處理者，代表 Seagate 處理該等個人資訊。公司特此被指示在提供協議及本 DPA 規定的服務必要的範圍內處理個人資訊。
   2. 加州消費者隱私保護法 (CCPA) 角色。為遵守 2018 年加州消費者隱私法（加州民法典第 1798.100 條及後續條款（「CCPA」），經加州隱私法（「CPRA」）修訂（如適用）），公司應作為服務提供者，依據作為企業的 Seagate 的指示處理個人資訊。
   3. Seagate 個人資訊不揭露。未經 Seagate 事先書面授權，公司不得為任何目的以任何方式向任何第三方揭露 Seagate 個人資訊，按以下第 2.5 節（處理要求），揭露給次要處理者之情況則為例外。在不限制前述規定的前提下，公司在任何情況下均不得為公司或任何第三方的商業利益，出售或以其他方式向任何第三方揭露 Seagate 個人資訊。任何被授權處理 Seagate 個人資訊的人員必須簽訂合約約定對該等資訊保密，或承擔相應的法定保密義務。
   4. 處理限制。公司僅可為依據本協議並依照 Seagate 已記錄的合法指示，就向 Seagate 提供服務的目的，（「允許用途」）處理 Seagate 個人資訊。依據上述目的，Seagate 指示公司就以下附錄 I（資料處理說明）第 V B 部分（傳輸說明）之用途，Seagate 指示公司處理 Seagate 個人資訊。公司不得處理或允許處理 Seagate 的個人資訊，除非依據雙方和/或關係企業之任何協議或 Seagate 其他書面指示，為向 Seagate 提供服務所必需。
   5. 處理要求。公司應隨時：(a) 僅出於允許的目的處理 Seagate 個人資訊；(b) 不得為自身或任何第三方的目的處理 Seagate 個人資訊。公司不得：(i) 出售或共享 Seagate 個人資訊；(ii) 除允許用途外，不得出於任何其他目的保留、使用或揭露 Seagate 個人資訊，包括出於除履行本協議服務之外的商業目的保留、使用或揭露 Seagate 個人資訊；或 (iii) 在 Seagate 與公司間的直接業務關係之外保留、使用或揭露 Seagate 個人資訊。如果公司無法繼續履行 CCPA/CPRA 規定的義務，則應通知 Seagate。公司保證其理解並將遵守本協議第 2 節規定之要求和限制並將進一步遵守 CCPA/CPRA 適用於服務提供者的要求。此外，雙方確認並同意，雙方交換個人資訊不構成出售，也不構成雙方就本協議或本 DPA 交換的任何金錢或其他有價對價的一部分。在任何情況下，公司都不會將從 Seagate 收到的 Seagate 個人資訊與公司從他人或代表他人接收的個人資訊，或公司透過與消費者的任何互動收集的個人資訊合併。Seagate 和公司均聲明已閱讀並瞭解 CCPA/CPRA 規定的要求。
   6. 資訊安全計劃。公司會實行、維護、監控以及在必要時更新整份書面的資訊安全計劃，計劃內含用以保護 Seagate 個人資訊的適當管理、技術和實體安全防護措施，以保護 Seagate 個人資訊的安全性、機密性或完整性不受預測的威脅或危險影響（例如未經授權的存取、收集、使用、複製、修改、棄置或揭露，以及未經授權、非法或意外損失、破壞、獲取、損害，或任何其他未經授權的處理形式）（以下稱「資訊安全計劃」）。資訊安全計劃將包括隨附之附錄 II（安全標準）中列出的要求和措施。
   7. 對次要處理者的限制。公司可根據第 2.7 節規定的條件，在必要時向次要處理者揭露 Seagate 個人資訊，以向 Seagate 提供服務。公司應維護一份其向其揭露 Seagate 個人資訊的次要處理者清單，並應 Seagate 的要求向其提供該清單。如適用，自協議生效之日起，公司最新的次要處理者清單應包含在協議中，或包含在公司提供給 Seagate 並經雙方簽署的任何其他文件中，該清單應列明次要處理者。本司應在將任何次要處理者新增到清單前至少 30 個工作天，透過 [email protected] 通知 Seagate。如果 Seagate 在收到通知後 30 個工作天內未對擬議的次要處理者提出異議，則視為該次要處理者已獲得核准。如果 Seagate 對存取 Seagate 個人資訊的次要處理者有任何異議，則公司不得向該次要處理者揭露 Seagate 個人資訊。如果任一方發現次要處理者未能提供與所處理的 Seagate 個人資訊相關的風險相應的充分安全保障， Seagate 可自行決定將該次要處理者從清單中移除。如果 Seagate 對次要處理者提出異議或將其移除，公司將有合理的時間更換次要處理者。如果公司在未向次要處理者揭露 Seagate 個人資訊的情況下無法提供服務，則 Seagate 得終止雙方和/或其關係企業間任何適用的協議，且無需支付公司任何費用或承擔任何責任。
   8. 次要處理者的合規性和違約。公司使用次要處理者未減輕公司遵守本 DPA 或適用《資料保護法》的義務。公司應對其次要處理者提供的服務、資料隱私洩露以及違反本 DPA 和適用《資料保護法》的行為向 Seagate 承擔責任，其責任範圍與公司本身違反上述協議和法律的行為相同。
   9. 公司人員與次要處理者之義務。公司應確保任何有權存取 Seagate 個人資訊的人員或次要處理者簽訂書面協議，其中包含至少與本 DPA 相同的限制性條款。公司應確保所有隱私權和資料保護義務在其提供給 Seagate 的處理作業結束後仍繼續保持。此項義務永久存續，或者至少至公司已證明所有 Seagate 個人資訊已全數刪除、銷毀且無法恢復為止。
   10. 有限存取權。對於要求存取權以讓公司執行按雙方及/或其關係企業之間任何協議或 Seagate 書面指示規定之義務的公司人員或次要處理者，公司應限制對 Seagate 個人資訊的存取權，其 (a) 受過資料保護及安全規範訓練，且 (b) 同意遵守資料保密規定，程度至少與 Seagate 於其為 Seagate 提供處理作業期間或之後所要求的限制相當。
   11. 要求或申訴通知。除非法律禁止，否則公司接獲任何與 Seagate 個人資訊處理相關的要求或申訴後兩個工作天內應通知 Seagate，電子郵件位址 [email protected]，包括：
       1. 資料主體提出的資料可攜性要求，以及存取、變更、刪除或限制資料的要求，以及類似要求；或
       2. 關於處理侵害資料主體權利之申訴或指控。
   12. 公司回應。依據第 2.11 節（要求或申訴通知），除非獲得 Seagate 的明確授權，否則公司不得擅自處理此類要求或申訴。公司應就任何與邀求或申訴相關的行動與 Seagate 合作，包括但不限於刪除要求。公司應尋求實施適當的流程（包括技術和組織措施）以協助 Seagate 回應邀求或申訴，除非法律明令禁止。
   13. 揭露要求。除非法律禁止，否則公司應在收到任何要求或意圖強制揭露 Seagate 個人資訊之文件（例如口頭提問、質詢、聽證程序中對資訊或文件之要求、傳票、民事調查要求，或其他類似要求或程序；統稱「揭露要求」）後立即通知 Seagate。如果揭露要求不具約束性，公司不予回應。如果揭露要求具約束性，除非適用法律禁止，否則公司應在回應前至少 48 小時通知 Seagate，以便 Seagate 履行權利，避免或限制該揭露。公司應採取合理措施，以避免及限制任何揭露並保護 Seagate 個人資訊之機密性。針對為處理揭露要求所採取之相關行動，公司皆應與 Seagate 合作，包括合作取得適當的保護令或其他確保措施，以保護 Seagate 個人資訊之機密性。
       
   14. 合作。公司應協助 Seagate 達成《資料保護法》所規定之義務，包括 (a) 註冊及通知；(b) 權責；(c) 確保 Seagate 個人資訊之安全性；以及 (d) 履行隱私和資料保護影響評估（包括根據《資料保護法》進行的稽核和風險評估）以及與監管機關的相關諮詢。
   15. 參與法務調查。針對公司或公司之次要處理者所處理之 Seagate 個人資訊範圍內的相關調查，公司應協助並支援 Seagate 完成任何監管機關的任何調查。
   16. 可能違規或無法遵守之通知。公司於下列狀況下應立即通知 Seagate：
       1. 公司有理由相信任何 Seagate 提出的 Seagate 個人資訊處理指示可能違反適用法律；
       2. 公司有理由相信其無法履行本 DPA 或《資料保護法》中的任何義務，且其無法於合理時間內修正此狀況；或
       3. 公司得知適用法律下的任何事項或變更可能使其無法履行本 DPA 下之義務。
   17. 為確保合規性而暫停或調整。為防止潛在的違反或不遵守適用法律、本 DPA 或雙方和/或其關係企業間任何適用的隱私或資料保護協議的行為，Seagate 可暫停公司或其次要處理者對 Seagate 個人資訊的處理。公司應與 Seagate 合作，調整處理方式，以糾正任何潛在的違規或不合規行為。Seagate 得終止雙方及/或其關係企業間任何適用之協議，且無需支付公司任何費用或承擔任何責任。
3. 資料安全計劃
   1. 符合 DSP 規定。公司確認，特定 Seagate 個人資訊可能構成受 DSP 約束的大量美國敏感個人資料或政府相關資料。公司聲明並保證，處理 Seagate 個人資訊時，公司將遵守 DSP 的適用範圍，包括對存取、傳輸和使用此類資料的所有適用限制，且公司將僅根據本 DPA 處理 Seagate 個人資訊。本 DPA 中的任何條款均不允許公司從事 DSP 禁止的任何處理或傳輸活動。
   2. 禁止交易。公司不得從事涉及大量美國敏感個人資料或政府相關資料的資料代理活動，如果 DSP 禁止此類資料代理活動，包括可能導致重點國家或受保護人員存取此類資料的交易。無論是否採取匿名化、假名化、加密或其他技術保障措施，均適用此限制。
   3. 受限交易。如果公司履行服務可能涉及供應商協議、僱傭協議或投資協議，而這些協議可能導致受保護人員或重點國家/地區存取大量美國敏感個人資料或政府相關資料，則公司應：(a) 提前通知 Seagate；(b) 事先獲得 Seagate 的書面核准；以及 (c) 除了 DPA 中的安全標準或雙方另行約定的其他安全要求外，還應落實 DSP 所有適用的安全要求。
   4. 治理與持續義務。如果公司獲悉任何可能影響 DSP 合規性的情況發生變化，包括所有權、控制權、分包或地理存取權的變化，公司應立即通知 Seagate。Seagate 可在必要時暫停或限制對受影響資料的訪問存取，以解決 DSP 合規性問題。未遵守第 3 節規定構成對本 DPA 的重大違約情事，也可能構成對資料安全計劃的違約情事。
4. 資料傳輸
   1. 歐洲經濟區、英國及瑞士標準條款。
      1. 雙方同意若將 Seagate 個人資訊從 Seagate 傳輸至公司屬於受限傳輸，則應受適當標準條款的拘束。標準條款將自動以參照方式納入本 DPA 並構成完整的組成部分，如下所述：
         1. 如果 Seagate 個人資訊受歐盟 GDPR 保護，則適用以下歐盟 SCC：
            1. Seagate 為資料匯出方，公司為資料輸入方；
               
            2. 將適用「模組二 (C2P)」；
            3. 第 7 條中，適用選擇性對接條款；
               
            4. 「模組二 (C2P)」第 9 條中，適用「選項 2」，且對次要處理者變更的事先通知期限應依照本 DPA 第 2.7 條（對次要處理者的限制）的規定執行；
            5. 第 11 條中，不適用可選措詞；
            6. 第 17 條中；
               1. 對於「模組二 (C2P)」，適用「選項 1」，且
               2. 歐盟 SCC 將受愛爾蘭法律管轄；
                  
            7. 第 18(b) 條中，爭端應交由愛爾蘭法院解決；
               
            8. 歐盟 SCC 附錄 I 應視為已包含本 DPA附錄 I（資料處理說明）所列資訊；以及
            9. 歐盟 SCC 附錄 II 應視為已包含本 DPA附錄 II（安全標準）所列資訊。
         2. 對於受英國 GDPR 保護的資料，歐盟 SCC：(i) 應依據上文第 4.1B.a 節的規定填寫完畢後適用；(ii) 應視為已根據英國附錄的規定進行修訂，該英國附錄應視為已由雙方簽署並納入本 DPA 並構成其不可分割的一部分。歐盟 SCC 與英國附錄條款間的任何衝突應依據英國附錄第 10 節和第 11 節的規定解決。此外，英國附錄第 1 部分中的表 1 至表 3 應分別填寫本 DPA附錄 I（資料處理說明）和附錄 II（安全標準）中規定的資訊，而第 1 部分中的表 4 因無需選擇任何一方而視為已填寫完畢。
         3. 對於受瑞士 DPA 保護的 Seagate 個人資訊，只要滿足以下條件，將適用根據上文第 4.1B.a 節實施的歐盟 SCC：
            
            1. 歐盟 SCC 中提及的（歐盟）2016/679 號條例或 [歐盟 GDPR] 應解釋為提及瑞士聯邦資料保護法（「FADP」）；
            2. 提及「歐盟法」、「聯盟法」和「成員國法」，均應解釋為提及瑞士和瑞士法律，視情況而定；
            3. 「成員國」一詞不應解釋為排除瑞士的資料主體在其慣常居住地（瑞士）提起訴訟以維護其權利的可能性；
            4. 在修訂後的 FADP 生效前，歐盟 SCC 條款應解釋為保護法人實體的資料；以及
            5. 提及主管監管機關和主管法院，均應解釋為提及瑞士聯邦資料保護和資訊專員以及瑞士主管法院。
         4. 本 DPA 或合約的任何規定如直接或間接與標準條款相抵觸，則以標準條款為準。
         5. 公司應確保任何次要處理者在適用情況下亦執行此標準條款。
      2. 替代傳輸機制：如果公司採用本 DPA 中未說明的替代資料匯出機制（包括根據適用的歐洲《資料保護法》通過的任何標準條款的新版本或後續版本）以傳輸個人資訊（「替代傳輸機制」），本 DPA 中所述的任何適用傳輸機制應適用替代傳輸機制（但僅限於：(i) 此替代傳輸機制符合歐洲《資料保護法》；(ii) 適用於個人資訊傳輸目的地的地區；(iii) 滿足下文所述的通知要求；以及 (iv) 公司簽署其他必要文件並採取其他必要行動，以使該替代傳輸機制具有法律效力）。此外，如果具有管轄權的法院或具有約束力的監管機關（無論出於何種原因）命令或認定本 DPA 中所述的措施不足以合法傳輸此類 Seagate 個人資訊，Seagate 確認並同意，在符合下文所述的通知要求的前提下，公司可以實施任何合理必要的額外措施或保障措施，以確保合法傳輸此類 Seagate 個人資訊。通知的考量要求公司在實施替代傳輸機制或任何其他措施之前至少 30 個工作天通知 Seagate，電子郵件位址：[email protected]。如果 Seagate 在收到通知後 30 個工作天內未對擬議的替代傳輸機制或額外措施提出異議，則視為該替代傳輸機制或額外措施已核准。如果 Seagate 對任何此類替代傳輸機制或額外措施提出異議，則公司不得使用該等替代傳輸機制或任何額外措施。如果 Seagate 對替代傳輸機制或額外措施提出異議，則 Seagate 可自行決定終止雙方和/或其關係企業間任何適用的協議，且無需支付公司任何費用或承擔任何責任。
      3. 從有資料匯出要求的國家傳輸資料。如果任何《資料保護法》要求針對任何適用的資料出口限制採取進一步措施以允許 Seagate 個人資訊傳輸給公司（包括其次要處理者），公司將遵守此類資料保護要求，包括取得必要的同意或執行任何適用的資料傳輸協議（例如標準合約條款）或替代解決方案，以確保針對此類傳輸採取適當的保護措施。
   2. 其他司法管轄區條款。如適用，公司應遵守特定司法管轄區的要求，具體要求請見附錄 III（特定司法管轄地的資料隱私權規範）。
5. 合規性與權責
   1. 合規性。公司應確保公司及其次要處理者對 Seagate 個人資訊的處理符合所有適用公司和次要處理者的適用法律、自律框架和合約要求，包括所有適用的《資料保護法》。公司應每年審查公司及其次要處理者的實務做法，以確保其符合本 DPA 及所有適用的《資料保護法》。公司應自費配合 Seagate 提出的要求，證明其符合本 DPA 中提及的資料保護與安全條款。
   2. 處理活動記錄。公司將保留一份最新的記錄，內容包括公司代表和資料保護主管的詳細資料、所執行的處理活動類別、跨境資料傳輸資訊、針對處理資料實施的安全措施的總體描述、Seagate 個人資訊的每個次要處理者的名稱、聯絡資訊和處理詳細資料，以及（如適用）任何次要處理者的代表和資料保護主管。公司應 Seagate 或監管機關的要求，提供此記錄的歷史副本和最新副本。
   3. 稽核。收到書面請求時，公司應將所有能夠展現符合本 DPA 和《資料保護法》的必要資訊公開給 Seagate，且應允許並協助稽核作業，包括由 Seagate 或 Seagate 委託之獨立第三方稽核單位進行 Seagate 個人資訊處理方面的現場調查。任何此類獨立第三方稽核單位均需與雙方簽訂保密協議。公司應在合理時間內修正任何不合規之情形。如果無法補救，Seagate 得終止雙方及/或其關係企業間任何適用之協議，且無需支付公司任何費用或承擔任何責任。
      
6. 發生資料隱私洩漏後之公司責任
   1. 資料隱私洩漏通知。供應商應在得知可能有資料隱私洩漏情況的 24 小時內以書面通知 Seagate，告知已知或懷疑可能發生的資料隱私洩漏情況，並應立即：
      1. 將資料隱私洩漏情況通知 Seagate：[email protected]；
      2. 進行調查或於調查資料隱私洩漏情況期間提供必要協助；
         
      3. 向 Seagate 提供詳盡的資料隱私洩漏資訊，包括但不限於涉及資料主體的類別、位置和大致數量，以及 Seagate 個人資訊記錄的類別、位置和大致數量，並在出現其他資料隱私洩漏相關資訊時，繼續儘速提供給 Seagate；
      4. 採取所有商業上合理的步驟來消除資料隱私洩漏的影響，或協助 Seagate 進行該步驟；並且
      5. 經 Seagate 同意下，實施補救計劃並監控與 Seagate 個人資訊相關之資料隱私洩漏與弱點的解決過程，確保即時採取適當的修正動作。
   2. 控制與補救。公司應立即遏止和修復任何資料隱私洩漏的情況，避免資料隱私進一步外洩；且公司應採取所有必要措施以遵守適用之《資料保護法》和業界標準，以遏止並修復資料隱私洩漏情形。
   3. 通訊。未經 Seagate 事前同意，公司不得發出任何與資料隱私洩漏相關，能夠判別或可能合理判別或透露 Seagate 身分的通訊。
   4. 證據保留。公司應維護事件因應計劃。發現資料隱私洩漏後，公司應保留資料隱私洩漏相關之證據，並依據公司的事件因應計劃維持清楚的指揮系統。
   5. 合作。公司應與 Seagate 合作進行任何訴訟、調查或其他 Seagate 為保護 Seagate 使用、揭露、保護及維護 Seagate 個人資訊之權利所需要的行動。公司應進一步同意依 Seagate 及/或 Seagate 指定代表人所提出的請求，提供合理的協助和合作，以促進對資料隱私洩漏的修正、補救或調查作業，及/或減輕可能造成的傷害，包括任何 Seagate 判定應發送給受影響之資料主體、主管機關或第三方的通知，及/或佈建任何 Seagate 認定適合提供給受影響之資料主體的信用報告服務。公司應替 Seagate 負擔供應商資料隱私洩漏相關的合理開銷，包括但不限於調查、補救和通知作業。
7. 返還及安全刪除 SEAGATE 個人資訊
   1. 資料完整性。公司應遵守與維護資料完整性相關的所有 Seagate 指示，包括 (a) 處置公司維護但不再需要用於提供服務的 Seagate 個人資訊，除非《資料保護法》要求保留 Seagate 個人資訊；(b) 確保公司代表 Seagate 所建立的任何 Seagate 個人資訊均正確且為最新資訊；(c) 依 Seagate 之請求，在符合適用法律的情形下，允許 Seagate 存取任何 Seagate 個人資訊。
   2. Seagate 個人資訊的返還和刪除。在以下情況發生時（以較早者為準）：(a) Seagate 提出請求；或 (b) 雙方和/或其關係企業間處理 Seagate 個人資訊相關的協議到期或提前終止，根據 Seagate 的指示，公司應指示其次要處理者匯出 Seagate 個人訊息，或向 Seagate 或其第三方指定人員提供以 Seagate 確定的機器可讀和可互通格式匯出所有 Seagate 個人資訊的能力，除非《資料保護法》要求保留 Seagate 個人資訊。公司應在 Seagate 認為合理必要的時間內保留 Seagate 個人資訊，以允許 Seagate 能夠完全存取和匯出 Seagate 個人資訊，且 Seagate 無需支付任何費用。雙方應指定一名聯絡人負責遷移 Seagate 個人資訊，並應及時、勤勉、真誠地展開工作，以及時推動遷移工作。在 (a) Seagate 確認已正確接收和遷移 Seagate 個人資訊；或 (b) Seagate 通知公司其選擇不遷移 Seagate 個人資訊的 90 天後，公司和次要處理者應安全銷毀所有 Seagate 個人資訊、取消 Seagate 工作區識別碼的關聯，並使用新資料覆蓋，並透過核准的清理方式，銷毀 Seagate 個人資訊。
   3. Seagate 個人資訊銷毀。如果公司要處置任何紙本、電子或其他包含 Seagate 個人資訊的記錄，公司應採取一切合理步驟（根據 Seagate 個人資訊的敏感度）銷毀 Seagate 個人資訊，除非《資料保護法》要求保留 Seagate 個人資訊：(a) 粉碎；(b) 永久擦除和刪除；(c) 消磁；或 (d) 以其他方式修改此類記錄中的 Seagate 個人資訊，使其無法讀取、無法重建且無法解讀。如果公司停用或以其他方式淘汰包含 Seagate 個人資訊副本的硬碟機，則公司應根據美國國家標準與技術研究院 (NIST) 發布的 NIST 800-88 修訂版 1（介質清理指南）安全粉碎或銷毀該硬碟機，讓 Seagate 個人資訊無法讀取並銷毀。1p3公司應以書面形式證明該硬碟機已被粉碎​​或銷毀，且 Seagate 個人資訊無法讀取、擷取或以其他方式重建。
   4. 關於保留之通知。如果公司有法律義務應保留 Seagate 個人資訊至超過本 DPA 允許的期間，公司應以書面將其義務通知 Seagate，且不得為了實行公司的法律義務，而對此類資訊進行保留以外的進一步處理作業，並於法定保留期間屆滿後立即返還或銷毀 Seagate 個人資訊。本 DPA 的效期直到公司不再保管或控管或不再有權存取任何 Seagate 個人資訊為止。
   5. 文件。公司應依照本 DPA 以文件記錄 Seagate 個人資訊的保留或棄置。如果 Seagate 提出要求，公司應提供保留文件和 Seagate 個人資訊均已根據本 DPA 安全銷毀的書面證明。
8. 其他
   1. 期限。本 DPA 將持續有效，直到：(a)雙方間不存在其他有效協議；以及 (b) 公司不再持有、控制或存取任何 Seagate 個人資訊。公司將處理 Seagate 個人資訊，直到雙方關係依本協議的規定終止。公司持續處理 Seagate 個人資訊時，本 DPA 規定的義務和 Seagate 的權利將持續有效。
   2. 優先順序。如果本 DPA 與雙方和/或其關係企業間的任何協議出現矛盾，則以本 DPA 的規定為準，但涉及以下方面的矛盾除外：附錄 II（安全標準），在此情況下，其他協議將優先適用，前提是在其他協議中規定的安全標準是對附錄 II 所列最低要求的補充。本 DPA 不應限制標準條款，而僅應視作標準條款的補充。
   3. 更新。公司應合理合作視需要更新本 DPA 以確保符合適用法律與法規。
      
   4. 第三方受益人。Seagate 的關係企業是本 DPA 預期的第三方受益人，並可如同本 DPA 的簽署方般執行本 DPA 的條款。Seagate 也可能代表其關係企業執行本 DPA 的條款，而不是由其關係企業單獨對公司提起訴訟。
   5. 向監管機關揭露本 DPA。Seagate 會提供本 DPA 之摘要或副本給監管機關。
      
   6. 條款獨立性。如果本 DPA 中的任何條款失效或無效，並不會影響其餘條款。雙方應以合法且可反映失效或無效之條款目標的條款，更換掉失效或無效的條款。在缺少必要條款的情況下，雙方應本著誠心原則新增合適的條款。
   7. 闡釋。本 DPA 中的標題僅供參考之用，不影響對本協議的解釋。
      

附錄 I

資料處理說明

此附錄 I構成標準條款的一部分。

模組二：傳輸 – 控管者者至處理者（Seagate 個人資訊相關）(C2P)

A. 雙方清單

 

資料輸出方
名稱和地址	Seagate Technology LLC signing on behalf of Affiliates and subsidiaries 47488 Kato Road, Fremont, CA, 94538
聯絡人姓名及聯絡詳細資料	Seagate Technology LLC 代表關係企業與子公司簽署 47488 Kato Road, Fremont, CA, 94538 [email protected]
依據本標準條款與傳輸資料相關的活動	Seagate Technology LLC（代表關係企業及子公司）是硬體產品及軟體解決方案及服務供應商以支援各領域產業的業務流程。
簽名與日期：	簽訂納入本 DPA 的協議，資料輸出方將被視為自該協議生效之日起簽署本協議所包含的標準條款及其附錄。
資料輸出方角色（控管者/處理者）：	詳見本 DPA第 2.1 節（雙方身分）。

 

資料輸入方
名稱和地址	公司名稱及地址（如協議所載）
聯絡人姓名、職位及聯絡詳細資料：	公司名稱及地址（如協議所載）
依據本標準條款與傳輸資料相關的活動：	公司係向資料輸出方提供服務及支援的服務供應商，如協議所述。
簽章與日期：	簽訂納入本 DPA 的協議，資料輸入方將被視為自該協議生效之日起簽署本協議所包含的標準條款及其附錄。
資料輸入方角色	詳見本 DPA第 2.1 節（雙方身分）。

 

B. 傳輸說明

 

資料主體類別：	所傳輸的個人資料可能涉及以下幾類資料主體－包括過去和現在的資料主體： Seagate 的員工、顧問、顧問、供應商、承包商、子承包商及代理商； Seagate 的業務合作夥伴和潛在業務合作夥伴及其員工、合作夥伴、顧問、顧問、供應商、承包商、子承包商和代理商； 潛在行銷客戶以及過去和現在的消費者； Seagate 過去和現在的客戶及其員工、合作夥伴、顧問、顧問、供應商、承包商、子承包商和代理商。
傳輸的個人資料類別	由 Seagate 或 Seagate 代表向公司提供或由公司收集且與上述資料主體類別相關的個人資料，且公司有必要依合約向 Seagate 提供服務，依 Seagate 提供的合法指示文件，提供包括聯絡資訊例如名字、姓氏、電子郵件位址、公司地址、電話號碼以及 Seagate 提供的任何其他個人資料。
傳輸的敏感資料（如適用）並採取充分考量資料性質及相關風險的限制或保護措施：**	如合約載明
傳輸頻率	持續有效，但協議或雙方文件另有規定者不在此限。
處理性質/處理活動	如合約所述。
資料傳輸與處理之目的	依相關協議提供服務。
個人資料的保留期間或（如果無法）用於判斷該期間的準則：	個人資料將在下列情況下保留： (a) 依據本 DPA第 7.2 節 (返還及刪除 Seagate 個人資訊）；或 (b) 法律另有規定者或 (c) 或在包含適用相關服務之相關資訊之協議或其他雙方文件所載之期間內 以較長者為準。
如果傳輸至次要處理者亦應註明處理之標的物、性質及持續時間	公司應向次要處理者提供資料傳輸之處理的標的物、性質及持續時間至 [email protected]，如果該資訊尚未載於協議或雙方協議之其他文件。

 

C. 主管監督機關

 

根據歐盟 SCC 第 13 條，主管監管機關為以下三者之一：(i) 資料匯出方在 EEA 設立國的監管機關；(ii) 如果資料出口商未在 EEA 設立機構，則適用根據歐盟 GDPR 第 27 條第 1 款任命資料匯出方歐盟代表的 EEA 國家/地區的監管機關；或 (iii) 如果資料匯出方沒有義務指定代表，則適用與資料傳輸相關的 EEA 國家的監管機關。對於適用英國 GDPR 的個人資料處理，主管監管機關為資訊專員辦公室。對於適用瑞士 DPA 的個人資料處理，主管監管機關為瑞士聯邦資料保護和資訊專員。

 

附錄 II

安全標準

此附錄 II構成標準條款的一部分。

本附錄 II代表公司所採取的最低安全措施。如果雙方間的任何協議要求公司採取更高等級或更廣泛的安全措施，公司將遵守這些條款。公司必須依據業界標準，維護並執行保護 Seagate 個人資訊和其他資料的各項原則、標準和流程，例如公司員工有權存取的美國國家標準與技術研究院 (NIST) 的網路安全框架 2.0 以及 ISO 27001 或 27002 標準。

1. 資訊安全原則與標準。公司必須施行對有權存取指定 Seagate 個人資訊之員工和所有子承包商、公司或代理商的安全規範：
   1. 避免未經授權的人員取得 Seagate 個人資訊處理系統的存取權（實體存取控管）；
   2. 避免 Seagate 個人資訊處理系統遭到未經授權使用（邏輯存取控管）；
   3. 確保授權使用 Seagate 個人資訊處理系統的人員僅可存取其授權權限允許存取的 Seagate 個人資訊，且在處理或使用過程中和儲存後，不可未經授權讀取、複製、修改或刪除 Seagate 個人資訊（資料存取控管）；
   4. 確保在電子傳輸、傳送或儲存的過程中，無法未經授權讀取、複製、修改或刪除 Seagate 個人資訊，並可建立和認證透過資料傳輸設施進行之任何 Seagate 個人資訊傳輸作業的目標實體（資料傳輸控管）；
   5. 確保建立稽核追蹤，以記錄在 Seagate 個人資訊處理過程中，Seagate 個人資訊是否有遭到存取、修改、傳輸或移除，以及進行動作的對象（實體控管）；
      
   6. 確保 Seagate 個人資訊僅根據指示處理（指示控管）；
   7. 確保 Seagate 個人資訊受到保護，不受意外毀損或遺失影響（可用性控管）；以及
   8. 確保因不同目的所收集的 Seagate 個人資訊會分別處理（隔離控管）。

   公司會執行定期風險評估和審查，並且視適當情況，至少每年修改一次本資訊安全實作，或公司業務實作有重大變動而會合理影響 Seagate 個人資訊的安全性、保密性或完整性時加以修改，而前提是公司不會以削弱或影響 Seagate 個人資訊之機密性、可用性或完整性的方式來修改其資訊安全實作。

2. 實體安全性。在會使用或存放有 Seagate 個人資訊的資訊系統所位於的所有站點上，公司必須妥善維護商業上合理的安全系統。公司要合理限制對此 Seagate 個人資訊的適當存取權限。
3. 組織安全性。
   1. 要棄置或重新利用媒體時，必須採取必要程序，以免之後可在媒體上擷取到任何 Seagate 個人資訊，之後才可從庫存中取出。檔案所在的媒體為了維護作業而即將離開廠房時，必須採取必要程序以免過度擷取儲存其上的 Seagate 個人資訊。
   2. 公司必須實施安全原則和程序，以將敏感資訊的資產分類，釐清安全責任，並提高員工的警覺性。
   3. 所有 Seagate 個人資訊的安全事件均需依照適當的事件因應流程管理。
   4. 公司必須使用符合業界標準的加密工具以加密所有傳輸中或靜態保存的敏感資訊。
4. 網路安全性：公司必須使用商業上可取得的設備和業界標準技術以維護網路安全性，包括防火牆、入侵偵測及防禦系統、存取控制清單和路由協定。
5. 存取控管。公司必須維持適當的存取控管，包括但不限於限制 Seagate 個人資訊的存取至最低限度，僅授予需要此存取權的公司人員。
   1. 對於會使用或存放 Seagate 個人資訊之資訊系統的存取權限，僅有經授權的員工可授予、修改或撤銷。公司必須維護正確的存取記錄，在 Seagate 提出要求時需提供給 Seagate。
   2. 使用者管理程序必須定義使用者的角色和其權限，以及存取權限的授予、變更和終止方法，且需適當分配權責，並訂定記錄/監控的規範和機制。
   3. 公司的所有員工均需指派到不重複的使用者 ID。
   4. 必須根據「最小權限」的做法以實行存取權。
   5. 公司必須採取商業上合理的實體和電子安全措施以建立和保護密碼。
6. 病毒與惡意軟體控管。公司必須在系統上安裝並維護最新的防毒和惡意軟體防護軟體，並定期安排惡意軟體監控和系統掃描作業，以保護 Seagate 個人資訊不受預料中的威脅或危險影響，並避免 Seagate 個人資訊遭到未經授權的存取或使用。
7. 人員。在提供 Seagate 個人資訊存取權給公司人員前，公司必須先要求公司人員遵守公司的資訊安全計劃。公司必須實施安全意識計劃，訓練人員瞭解自身的安全防護義務。此計劃包括資料分類義務的教育訓練、實體安全控管教育訓練、安全實作教育訓練和安全意外回報教育訓練。公司需清楚定義員工的職權和責任。依據適用的聘僱條款與條件聘僱前，需先進行篩選。公司員工必須嚴格遵守訂下的安全原則及程序。如果員工違反資料隱私規定，必須按紀律處理。
8. 業務持續性。公司必須實施合適的備份及災難復原和業務復原計劃。公司需定期審核業務連續性計劃和風險評估作業。業務連續性計劃需定期測試更新，以確保為最新且有效的狀態。
9. 主要安全經理。公司必須通知 Seagate 其指定的主要安全經理。該安全經理將負責管理和協調公司履行其資訊安全計劃和本 DPA 中規定的義務。
10. 稽核。Seagate 依據本 DPA 第 5.3 節的  附錄 II (稽核）所載，保留稽核公司承諾的權利。
11. 違約。如果確定公司違反本 DPA，公司必須在不無故拖延的情況下，且無論如何必須在 30 個日曆日內糾正任何此類違約行為。任何已知或疑似的資料隱私洩露均應由本 DPA第 6 節 (發生資料隱私洩漏後之公司責任）管轄。

附錄 III

特定司法管轄地的資料隱私權規範

以下需求適用於指定的司法管轄地：

1. 澳洲
   1. 適用性。第 1 節規定適用以下情況：(a) 公司從位於澳洲的 Seagate 關係企業接收或存取 Seagate 個人資訊；或 (b) Seagate 通知公司 Seagate 個人資訊受這些要求的約束。
   2. 專業或產業協會的會員資格。 「敏感資訊」一詞還包括有關個人專業或產業協會會員資格的個人資訊。
   3. 澳洲隱私原則。公司在處理 Seagate 個人資訊或根據本 DPA 提供服務時，必須遵守 1988 年《隱私權法》（聯邦）規定的任何適用義務，包括「澳洲隱私原則」。
   4. 為執法目的使用或揭露的通知。如果公司為執法機構或代表執法機構進行的一項或多項執法活動，使用或揭露個人資訊，公司應保留使用和揭露的書面記錄，並及時向 Seagate 提供該記錄的副本，除非法律禁止。
   5. 澳洲政府相關識別碼。如果個人資訊內含澳洲政府的相關識別碼，公司 (a) 不應採用個人的澳洲政府相關識別碼作為內部的個人識別碼，除非經 Seagate 明確指示；(b) 不應使用或揭露澳洲政府相關識別碼，除非合理必要用於確認個人的身分，或除非經 Seagate 明確指示。
   6. 個人資訊收集。Seagate 對公司的指示中，要求公司代表 Seagate 收集個人資訊時，公司必須 (a) 尋求 Seagate 對以下事項的指示：(i) 與收集資料主體個人資訊相關，任何必須向資料主體提供的資訊；以及 (ii) 任何直接行銷目的所需的選擇加入同意表態；(b) 不在未經資料主體同意下收集任何敏感資訊。
   7. 公司與澳洲政府之協議。如果 Seagate 為澳洲聯邦層級、州層級或地區層級政府實體的合約服務供應商，且在 Seagate 因與相關政府實體之間訂定之協議，而應遵守的其他資料保護義務範圍內，按適用澳洲法律之要求，Seagate 會將同等義務加諸於公司。Seagate 與公司均同意在有需要的情況下簽訂額外協議，以反映這類義務。
2. 中國
   1. 適用性。第 2 節規定適用公司從位於中國的 Seagate 關係企業接收或存取 Seagate 個人資訊，或 Seagate 通知公司 Seagate 個人資訊受這些要求約束，則適用本規定。
   2. 個人資訊處理者 (PIPL) 角色。根據中華人民共和國《個人資訊保護法》，Seagate 將作為「個人資訊處理者」，決定處理的目的和方式。公司將作為「受託方」，根據本 DPA 的要求和 Seagate 的指示，代表 Seagate 處理個人資訊。
   3. 次要處理者。雖然本 DPA第 2.4 節 (處理限制）有相關規定，未經 Seagate 明示同意，公司不得委託任何次要處理者處理 Seagate 個人資訊。此類同意的條款受 DPA第 2.5 節 (處理要求）的約束。
   4. 有限處理時間。公司僅能在為完成處理目的所需的期間內處理 Seagate 個人資訊，除非雙方達成其他期間之合意。
   5. 受限傳輸。如果 Seagate 個人資訊在中國境內存放或持有，公司未經 Seagate 明示同意，不得將 Seagate 個人資料傳輸至中國境外。Seagate 特此同意公司在必要時傳輸此等 Seagate 個人資訊，前提是公司已採取一切措施以遵守《資料保護法》，保護此等 Seagate 個人資訊。
3. 印度
   1. 適用性。第 3 節規定適用《2000 年資訊科技法》和《2011 年資訊科技（合理安全措施和程序以及敏感個人資料或資訊）規則》的情況（「隱私規則」），經不時修訂和取代，適用於公司處理由印度 Seagate 關係企業提供的 Seagate 個人資訊，無論是否在印度處理。
   2. DPA 第 1.12 節應進行修訂以納入《隱私權規則》第 3 節規定的個人資訊類別。
4. 日本
   1. 適用性。第 4 節規定適用公司從位於日本的 Seagate 關係企業接收或存取的 Seagate 個人資訊。
   2. 公司人員。公司應負責監督公司人員是否遵守本 DPA。
   3. 聘僱管理措施。公司應依照厚生勞動省的《聘僱管理指南》的規定，保護與聘僱管理相關的 Seagate 個人資訊。
   4. 工作中接觸之個人資訊。公司應確保其員工不會洩漏或濫用在工作中接觸到的 Seagate 個人資訊。
   5. 傳送或揭露前同意。公司應在將社會安全號碼或稅務號碼揭露或傳送給非本 DPA 指定之任何第三方（包括任何關係企業）前取得 Seagate 書面同意，次要處理者亦包含於此列。
   6. 達成目的後返還或銷毀。公司應在達成資訊收集之目的後，停止處理並返還或銷毀所擁有的 Seagate 個人資訊。
   7. 備份目的。公司不應複製或重製 Seagate 個人資訊，除非是用於備份目的。
5. 南韓
   1. 適用性。第 5 節規定適用公司從位於南韓的 Seagate 關係企業接收或存取的 Seagate 個人資訊。
   2. 有限存取權。公司應將個人資訊的存取權限限制在為處理目的而合理需要此類存取權限的公司人員。
   3. 必要保護機制。公司應建立並維護保護機制，包括：
      1. 安全處理個人資訊的內部程序；
      2. 技術保護機制，例如防火牆、防毒及防惡意軟體；
         
      3. 實體存取限制，例如上鎖；
      4. 防止篡改或偽造存取日誌或處理記錄的措施；以及
      5. 可安全儲存及傳送個人資訊的措施，例如依《個人資訊保護法》（「PIPA」）、PIPA「實施辦法」、《資通訊網路之利用促進及資訊保護法》（「PICNU」）、PICNU「實施辦法」、《信用資訊使用及保護法》(UPCIA) 或其他南韓適用法律之要求對個人資訊進行加密。
   4. 特有識別資料之加密。公司應於下列狀況下加密居民登記號碼、駕照號碼和護照號碼：
      1. 透過資訊或通訊網路傳送時；
      2. 儲存於可攜式儲存媒體或周邊裝置上時；
      3. 儲存於外部電腦網路上，或非軍事區內，或個人電腦或行動裝置上時；或
      4. 如果公司的系統不符合 Seagate 指定之風險條件，儲存於公司內部網路時。
   5. 密碼及生物特徵資料之加密。公司應加密以任何格式儲存的所有密碼及生物特徵資料。
   6. 揭露前之資訊。公司應在揭露或傳送 Seagate 個人資訊給第三方資料處理者前，提前合理告知 Seagate。公司應在 Seagate 要求時提供下列資訊：(a) 外包之處理活動；(b) 第三方資料處理者的身分；(c) 任何 (a) 或 (b) 的變更。
   7. 教育訓練。公司應參與任何 Seagate 選擇提供給公司以防 Seagate 個人資訊在處理過程中遭竊取、洩漏、更動或損害的教育訓練。
6. 新加坡
   1. 適用性。第 6 節規定適用新加坡 2012 年《個人資料保護法》（2012 年第 26 號）適用公司處理 Seagate 個人資訊的情況。
   2. DPA 第 1.3 節應由下列條款取代：

      1.3 「資料隱私洩漏」係指導致 Seagate 個人資訊遭到意外或非法破壞、遺失、竄改、未經授權揭露、存取、取得的任何安全破壞行為，包括：(a) 未經授權存取、收集、使用、揭露、複製、修改或棄置 Seagate 個人資訊 (b) 在 Seagate 個人資訊可能遭到未經授權存取、收集、使用、揭露、複製、修改或棄置的情況下儲存 Seagate 個人資訊的儲存媒體或裝置遺失。

   3. DPA 第 6.1 節（資料隱私洩露通知）應由下列條款取代：
      

      6.1 資料隱私洩漏通知。如果公司有理由相信已發生資料隱私洩漏情形，公司應以書面通知 Seagate，資料隱私洩漏不得有不當延遲並應：

      1. 進行調查或於調查資料隱私洩漏情況期間提供必要協助；
      2. 向 Seagate 提供資料隱私洩漏的相關資訊並在出現其他相關資訊時立即提供；以及
         
      3. 採取商業上合理的措施以遏止資料隱私洩漏、減輕資料隱私洩漏的影響或協助 Seagate 進行相關作業，費用由公司支付。
7. 台灣
   1. 適用性。第 7 節規定適用公司從位於台灣的 Seagate 關係企業公司接收或存取的 Seagate 個人資訊。
   2. 次要處理者。雖然本 DPA第 2.4 節（處理限制）有相關規定，未經 Seagate 的明示書面同意，公司不得向任何次要處理者揭露或傳輸 Seagate 個人資訊，也不得允許任何次要處理者存取 Seagate 個人資訊。
   3. 有限處理時間。公司僅能在為完成處理目的所需的期間內處理 Seagate 個人資訊，除非雙方達成其他期間之合意。
   4. 保留存取記錄。公司應視需要保留存取記錄，確保這些記錄可定期檢視，以找出是否發生未經授權之存取。
8. 泰國
   
   1. 適用性。第 8 節規定適用泰國《個人資料保護法》BE 2562 (2019)（「PDPA」）及其不時修訂和取代的規定，該規定適用公司從位於泰國的 Seagate 關係企業接收或存取的 Seagate 個人資訊。
   2. DPA 第 1.3 節應由下列條款取代：

      1.3 「資料隱私洩漏」係指因蓄意、蓄意、疏忽、意外、未經授權或非法行為或與電腦犯罪有關的行為而導致個人資料遭非法或未經授權而遺失、存取、使用、修改或揭露之安全措施破壞行為、網路威脅、錯誤或意外或任何其他行為（如根據 PDPA 發出的通知所訂明）。
      

   3. DPA 第 1.12 節應修訂以納入 PDPA 第 26 節所指定的個人資料類別。
   4. 安全標準。公司應盡最大努力並採取一切合理措施以實行和維護安全標準，這些標準至少應符合附錄 II（安全標準）以及 PDPA 及任何其他規則、條例、通知和/或命令所規定的條款和要求，包括但不限於「個人資料保護委員會關於以下事項的通知：資料控制者的安全措施 BE 2565 (2022)」，並可隨時進行修訂、補充或取代。

本資料隱私權協議自 2026 年 6 月 1 日起生效。之前的版本可按以下方式查詢：

發布日期：2025 年 7 月 31 日

發布日期：2024 年 6 月 20 日

發布日期：2022 年 12 月 8 日