個人資料處理委託契約

本契約依據個人資料保護法第 26 條,就委託方因服務向受託方委託處理的個人資料的處理事項作出規定。

本契約構成服務條款的一部分。關於委託處理,本契約與服務條款規定不一致時,以本契約為準。

委託方為組織,組織的客戶與組織的成員為當事人。

委託的個人資料項目、處理目的、當事人類型與保存期間如附件 1 所示。

受託方僅執行附件 1 所載的業務,且僅於該業務所需的範圍內處理個人資料。

受託方不得逾越附件 1 的目的範圍處理受託的個人資料,並依委託方書面化的指示進行處理。

受託方實施安全頁面所載的技術與管理保護措施,包括傳輸與儲存的加密、存取控制,以及針對個人資料存取的僅附加(append-only)稽核紀錄。

受託方將存取限定於委託業務所需的人員,並對該等人員課予於業務結束後仍存續的保密義務。

受託方不會將受託的個人資料及其衍生資料用於 AI 模型訓練。此與隱私權政策第5節相同,對組織的資料亦無例外地適用。

委託方對附件 2 所載的再受託方予以事先同意。受託方對各再受託方課予不低於本契約水準的義務。

受託方擬新增或變更再受託方時,將於其生效前通知。不同意的組織可就剩餘使用期間解除相應服務。

附件 2 的再受託方均位於境外,因此委託業務的執行伴隨個人資料的國際傳輸。接收方、國家、項目與目的如附件 2 所載。

傳輸時間為服務處理相應資料之時,傳輸方式為加密通訊,接收方於附件 1 所載期間內保存。

當事人向委託方行使權利時,受託方將考量處理的性質與所持有的資訊,支援委託方作出回應。

當事人就組織委託的資料直接聯繫受託方時,受託方將引導其聯繫委託方,並將該事實告知委託方。

受託方獲悉受託的個人資料外洩後,將立即通知委託方,並一併告知外洩了什麼、何時以何種方式發生、正在採取何種措施。

向當事人與監管機關的通知由委託方負責。受託方將提供必要的資訊,以便委託方進行該通知。

委託方可要求提供確認委託處理是否遵守本契約所需的資料,受託方將於合理期間內配合。

委託方要求現場查核時,雙方將事先協商範圍與時間,以免影響其他組織的資料。

委託業務終止後,受託方將立即銷毀受託的個人資料。但法令要求保存者除外;經委託方請求,受託方將確認銷毀事實。

附件 1 保存期間尚未屆滿的資料,於該期間屆滿時銷毀。備份依其自身週期銷毀。

受託方違反本契約致當事人受有損害者,承擔相應責任;委託方向當事人賠償者,委託方可向受託方求償。

本條不限制委託方作為處理目的與方式的決定者所承擔的責任。