Ultralytics 数据处理协议 (DPA)

本数据处理协议（“DPA”）被纳入并构成了 (i) Ultralytics 服务条款和/或 (ii) 引用本 DPA 的任何适用订单、企业协议或其他书面协议（统称“协议”）的一部分，该协议签署方为客户（“客户”、“你”）与 Ultralytics, Inc.（“Ultralytics”、“公司”、“我们”）。

本 DPA 反映了双方就以下事项达成的协议：

• (A) 控制者至处理者条款：Ultralytics 作为处理者（或在客户为处理者时的次级处理者），在与服务相关的范围内代表客户处理客户个人数据；以及
• (B) 控制者至控制者条款：各方作为独立控制者对控制者个人数据进行的个人数据处理，仅限于第 10 节所述范围。

本 DPA 在协议有效期内以及在 Ultralytics 代表客户处理客户个人数据期间持续有效。

本 DPA 仅适用于 Ultralytics 在 Ultralytics Platform 内对客户个人数据的处理。为免疑义，本 DPA 不适用于客户在 Ultralytics Platform 之外对 Ultralytics YOLO 开源模型的使用、部署或操作，相关责任由客户自行承担。

Ultralytics 可能会不时更新本 DPA 以反映法律、监管指南或服务的变更，更新在发布之日起生效，前提是此类更新不会在未经客户同意的情况下实质性降低对客户个人数据的隐私保护（法律另有要求的情况除外）。

Link to this section定义#

**“关联方”**是指直接或间接控制一方、受一方控制或与一方处于共同控制之下的任何实体，其中“控制”指拥有超过 50% 的表决权权益。

**“适当保障措施”**是指适用数据保护法律可能允许的个人数据传输机制，例如且不限于 GDPR 第 46 条所述的具有法律约束力的机制。

**“次级处理者”**是指由 Ultralytics 或其关联方聘请，在服务相关事宜中代表 Ultralytics 处理客户个人数据的任何处理者。

**“公司账户数据”**是指与公司和客户关系相关的个人数据，包括客户授权访问客户账户的个人姓名或联系信息，以及客户与其账户关联的个人的账单信息。公司账户数据还包括公司为管理其与客户的关系、身份验证或适用法律法规要求的目的而可能需要收集的任何数据。

**“公司使用数据”**是指公司在提供服务过程中收集和处理的服务使用数据，包括但不限于用于识别通信来源和目的地的数据、活动日志，以及用于优化和维护服务性能、调查和防止系统滥用的数据。

**“客户数据”**是指客户或其授权用户上传、提交、传输或以其他方式提供给服务进行处理的任何数据、内容、材料、文件或信息（包括数据集、图像、视频、标注、标签、元数据、模型输入和输出以及其他内容），包括通过客户使用服务为客户生成的任何数据。

**“客户个人数据泄露”**是指由于安全性违规导致 Ultralytics 或其次级处理者在服务相关过程中处理的客户个人数据被意外或非法销毁、丢失、篡改、未经授权披露或访问。客户个人数据泄露不包括未成功的尝试或不危及客户个人数据的活动（例如，不成功的登录尝试、端口扫描、拒绝服务攻击或其他针对防火墙或网络系统的攻击）。

**“数据保护法律”**是指与隐私和数据保护相关的所有适用法律，这些法律适用于一方根据协议处理个人数据的行为，包括（视情况而定）GDPR、UK GDPR、Swiss FADP、ePrivacy/PECR、CCPA/CPRA 以及其他适用的美国州隐私法。

**“GDPR”**指第 (EU) 2016/679 号条例；“UK GDPR”指纳入英国法律的 GDPR；“Swiss FADP”指瑞士联邦数据保护法（经修订）。“指令”指客户就处理客户个人数据向 Ultralytics 发出的书面记录指令，详见第 2.2 节。

**“SCCs”**指欧盟标准合同条款（决定 2021/914）；“UK Addendum”指 ICO 国际数据传输附录。其他大写术语的含义在数据保护法律和/或协议中予以定义。

**“服务”**指 Ultralytics 根据协议向客户提供的服务和功能，包括 Ultralytics Platform 以及任何相关的支持、管理和文档，详见协议所述。

**“Ultralytics Platform”**指 Ultralytics 的云端软件即服务环境，客户可通过该环境上传、管理、标注和版本化数据集；训练、评估、比较、导出和部署计算机视觉模型；管理项目和用户；并访问相关功能和支持。Ultralytics 在此环境中根据本 DPA 代表客户处理客户个人数据。

**“Ultralytics YOLO 开源模型”**指 Ultralytics 在适用开源许可下提供的开源计算机视觉模型及相关源代码，客户可以将其下载、部署、托管并在其自有环境中独立运行。为明确起见，当客户在 Ultralytics Platform 之外部署或使用 Ultralytics YOLO 开源模型时，Ultralytics 不会根据本 DPA 代表客户处理个人数据。

Link to this section客户责任#

2.1 合规义务。 客户负责在处理个人数据及使用服务时遵守数据保护法律，包括提供必要的通知以及获得任何必要的同意和授权。

2.2 指令。 协议（包括本 DPA）以及客户根据协议进行的配置和使用行为，构成了客户就 Ultralytics 处理客户个人数据所发出的完整指令。客户可在合同期内发出额外指令，前提是这些指令与协议和服务保持一致。若 Ultralytics 合理认为额外指令需要实质性变更或造成负担，双方将进行诚恳协商。

2.3 禁止处理的数据。 除非双方书面明确同意（包括就适用数据保护法律要求的额外保障措施达成一致），否则客户不得向 Ultralytics 提供、提交或使其获取任何 GDPR 第 9 条（或等同条款）下的特殊类别个人数据，或第 10 条下的有关刑事定罪或犯罪的数据。

以下列举的仅为示例，禁止处理的数据包括但不限于：

• 政府颁发的身份证件号码（如护照号码、国民身份证号码或社会安全号码）；
• 健康或医疗信息，包括用于唯一识别自然人的生物识别标识符；
• 关于个人的种族或民族出身、政治观点、宗教或哲学信仰或工会成员身份的信息；
• 为唯一识别自然人而处理的遗传数据或生物识别数据；
• 适用数据保护法律限制范围内的儿童个人数据；
• 以及与刑事定罪、涉嫌犯罪行为或执法活动相关的数据。

此外，服务亦不旨在处理适用数据保护法律要求加强保护的其他数据，例如支付卡数据、银行账号或精确地理位置信息。客户自行负责确保上传至服务或通过服务处理的数据集、图像、视频、标注、标签、元数据或其他内容不包含禁止处理的数据。任何违反本节规定处理禁止数据的行为均构成本 DPA 的重大违约。

2.4 不当数据；赔偿。 客户自行负责其提供给 Ultralytics 的客户个人数据的合法性，并确保其适用于服务。若因客户违反协议、本 DPA 或适用数据保护法律而向服务提供个人数据，由此产生的第三方索赔，客户将负责为 Ultralytics 进行辩护并使其免受损害。

Link to this sectionUltralytics 作为处理者的义务#

3.1 目的限制。 Ultralytics 仅在以下情况处理客户个人数据：(a) 为根据协议和附录 A 提供服务，(b) 根据客户的指令，以及 (c) 适用法律有此要求。除客户在服务中或通过书面形式明确指示外，Ultralytics 不会将客户个人数据或客户数据用于训练、改进或开发 Ultralytics 的通用或商业化模型。

3.2 法律冲突。 如果 Ultralytics 发现由于法律要求而无法按照指令处理客户个人数据，Ultralytics 将（在法律允许范围内）通知客户，并在必要时暂停受影响的处理活动（安全存储除外），直到客户发出合规指令。

3.3 人员保密。 Ultralytics 将确保获准处理客户个人数据的人员受保密义务约束。客户同意 Ultralytics 可在履行协议/DPA 所需的合理范围内，向其专业顾问和审计师披露客户个人数据，前提是相关方均受保密义务约束。

3.4 次级处理。 Ultralytics 可根据第 5 节聘请次级处理者，并对他们履行等同义务的行为负责。

3.5 删除/返还。 在服务终止后，除非法律要求保留，否则 Ultralytics 将根据协议和附录 A 删除或返还客户个人数据。客户提出要求时，Ultralytics 将根据 SCCs 提供删除证明。

Link to this section数据主体（或消费者）权利#

4.1 数据主体（或消费者）请求。 如果 Ultralytics 收到数据主体（或消费者）行使其访问权（或披露权）、更正权、处理限制权、擦除权（或删除权/“被遗忘权”）、数据可携带权、反对处理权，或其不受自动化个人决策约束的权利的请求（“数据主体（或消费者）请求”），Ultralytics 应在法律允许范围内，毫不拖延地通知账户主要联系人。

4.2 协助。 考虑到处理的性质，在客户无法使用现有服务功能满足此类请求的范围内，Ultralytics 将提供合理协助，支持客户响应行使数据保护法律项下数据主体权利的请求。

4.3 数据保护影响评估 (DPIA)；事先咨询。 考虑到处理的性质和 Ultralytics 可用的信息，Ultralytics 将在法律要求且客户无法获得相关信息的情况下，为客户提供合理协助，包括 (i) 数据保护影响评估和 (ii) 客户与监管机构的咨询和/或合作。除法律要求或与客户个人数据泄露相关的情况外，客户在任何十二 (12) 个月期间内不得要求此类协助超过一次。在法律允许的情况下，客户应报销 Ultralytics 在提供此类协助时产生的合理成本和费用。

Link to this section次级处理者#

5.1 一般授权。 客户授予 Ultralytics 一般性书面授权，以聘请次级处理者处理服务相关的客户个人数据。

5.2 清单与通知。 当前的子处理方清单可在 Ultralytics Sub-Processor List（以下简称“清单”）中查阅。Ultralytics 将提供一种订阅清单更新通知的机制，并将在授权新子处理方处理客户个人数据前至少提前十 (10) 天发出通知。客户有责任在可用时订阅此类通知；若客户未订阅，则视为客户知悉其可能无法通过该机制收到事先通知。在任何情况下，清单的更新均构成对子处理方变更的通知。客户知悉某些子处理方对于提供服务至关重要，反对使用特定子处理方可能会导致公司无法向客户提供服务。

为明确起见，参与提供服务的 Ultralytics 关联方（包括 Ultralytics Ltd (UK) 和 Ultralytics AI Spain, S.L.）在代表 Ultralytics Inc. 处理服务相关客户个人数据时，可作为集团内部的次级处理者。

5.3 反对新的次级处理者。 客户可根据第 5.2 节的规定，以合理的个人数据保护理由书面反对聘请新的次级处理者。如果 Ultralytics 无法合理解决客户的异议，客户可以书面通知终止受影响的服务，但客户仍需结清在该终止之前产生的费用。

5.4 义务下传。 Ultralytics 仅在进行合理、基于风险的尽职调查以评估次级处理者是否能够根据适用数据保护法律为客户个人数据提供适当保护水平后，方可聘请次级处理者，并将其作为供应商管理计划的一部分对次级处理者进行定期监控。Ultralytics 将确保其次级处理者受到的数据保护义务在实质上等同于或严于本 DPA 所述的义务。应客户要求，Ultralytics 将提供 SCCs 要求的相关次级处理者数据保护条款副本（可能会为保密起见进行脱敏处理）。

Link to this section安全性#

6.1 措施。 考虑到现有技术水平、处理的性质、范围、背景和目的，以及对自然人权利和自由风险的可能性和严重性，Ultralytics 应根据适用数据保护法律（包括 GDPR 第 32 条），实施并维护适当的技术和组织措施，以确保与该风险相适应的安全水平。这些措施在附录 C 中描述，Ultralytics 可不时对其进行更新，前提是此类更新不会实质性降低客户个人数据的整体保护水平。

6.2 客户责任。 尽管有上述规定，客户知悉，除非本 DPA 明确规定，否则客户负责其对服务的安全使用，包括保护其账户验证凭据、正确配置访问控制，并确保其用户以符合适用数据保护法律和 Ultralytics 提供的安全功能的方式访问和使用服务。

Link to this section客户审计与合规证明#

7.1 文档。 应合理要求，Ultralytics 将提供为证明合规本 DPA 所必需的合理信息（包括当前的第三方审计报告或认证，如有）。Ultralytics 将保存足以证明合规本 DPA 的记录，并在终止后保存此类记录一段合理时间（例如三 (3) 年），除非法律要求更长的保存期。

7.2 审计。 在数据保护法律有要求且现有文档不足的情况下，客户可在发出合理的提前书面通知后，自费请求对 Ultralytics 的相关系统和流程进行审计或检查。任何此类审计或检查仅应在双方就审计范围、时间和持续时间达成共同书面协议，以及就 Ultralytics 因审计投入的时间和资源达成合理的补偿率后方可进行。根据本节进行的任何审计均应：

• (a) 在任何十二 (12) 个月期间内不得超过一次；
• (b) 在 Ultralytics 的正常营业时间内进行；
• (c) 受制于合理的保密、安全和安全控制；以及
• (d) 仅限于与处理客户个人数据合理相关的系统和记录。

客户应及时通知 Ultralytics 在审计中发现的任何重大违规情况，以便 Ultralytics 有合理的合理机会解决此类发现的问题。

Link to this section个人数据泄露#

8.1 通知。 Ultralytics 将在知悉客户个人数据泄露后毫不拖延地通知客户，最迟不超过 72 小时。

8.2 协助。 考虑到 Ultralytics 可用的信息，Ultralytics 将为客户向监管机构和受影响的数据主体履行必要的通知义务提供合理协助。

8.3 无过错承认。 泄露通知不构成对过错或责任的承认。如果客户个人数据泄露是由客户或其用户的行为或疏忽引起的，则不适用此泄露通知义务。

Link to this section传输 (欧盟/英国/瑞士)#

9.1 国际传输。 客户知悉，Ultralytics 的主要处理操作可能发生在美利坚合众国以及提供服务所需的其他地点。

为明确起见，当 Ultralytics Inc. 及其关联方（包括 Ultralytics Ltd (UK) 和 Ultralytics AI Spain, S.L.）作为服务相关的次级处理者时，客户个人数据也可能在它们之间进行传输。如果此类传输在适用数据保护法律下属于国际传输，则应受适当保障措施的约束，包括 SCCs（如适用，模块 3）或其他有效的传输机制。

在需要将客户个人数据传输至未被承认具备足够数据保护水平的国家时，此类传输应根据适用数据保护法律受适当保障措施的约束，包括在适用时使用本 DPA 中纳入的 SCCs 和 UK Addendum。

9.2 欧盟 SCCs。 对于受 GDPR 管辖但传输至无充分性认定国家的客户个人数据，双方纳入欧盟 SCCs。如果客户为控制者，适用模块二（控制者→处理者）；如果客户为处理者，适用模块三（处理者→次级处理者）。SCC 附件使用附录 B（附件 I/III）和附录 C（附件 II）填写。

9.3 英国附录 (UK Addendum)。 对于受 UK GDPR 管辖的传输，双方纳入 UK Addendum，并通过引用附录 B/C 和选定的适用传输机制进行填写。

9.4 瑞士。 对于涉及瑞士的传输，适用欧盟 SCCs 并进行标准的瑞士修正（提及 GDPR 的部分包含 Swiss FADP；FDPIC 作为主管机关等），通过引用附录进行填写。

9.5 政府访问请求。 Ultralytics 将根据适用法律和 SCCs 处理有关客户个人数据的法律约束性请求，包括（在法律允许范围内）通知客户并进行合理合作。

Link to this section控制者至控制者条款（Ultralytics 账户 / 使用 / 安全运维）#

10.1 范围。 本节适用于双方作为独立控制者（非共同控制者）对控制者个人数据的处理，包括 Ultralytics 对公司账户数据和公司使用数据的处理。

10.2 独立控制者义务。 各方将：

• (a) 在遵守数据保护法律的前提下处理控制者个人数据；
• (b) 实施适当的安全措施；以及
• (c) 响应与其自身处理活动相关的监管沟通。

10.3 Ultralytics 控制者处理。 Ultralytics 作为控制者处理公司账户数据和公司使用数据，用于：账户管理、计费、安全监控和防止滥用、身份验证、法律合规、审计/会计以及服务运营（包括性能和可靠性）。此类处理在 Ultralytics 隐私政策中有所描述。本 DPA 中的任何内容均不得解释为在双方之间建立共同控制者关系。

为免疑义，Ultralytics 及其关联方在商业拓展、产品演示、合作伙伴关系及客户关系管理活动中，可以作为独立控制者处理有限的业务联系数据（如姓名、企业邮箱地址和专业联系方式）。

Link to this section加州条款 (CCPA/CPRA)#

11.1 服务提供者 / 处理者。 在 CCPA/CPRA 适用且 Ultralytics 代表客户处理客户个人数据的范围内，Ultralytics 充当“服务提供者”和/或“处理者”，且不会“出售”或“共享”此类个人信息。

11.2 有限使用。 除 CCPA/CPRA 允许的情况外，Ultralytics 不会将客户个人数据保留、使用或披露于提供服务这一直接商业目的之外。

11.3 禁止歧视。 双方不得因消费者行使其权利而对其进行歧视。

Link to this section一般条款#

12.1 责任限制。 除法律或 SCCs/UK Addendum 禁止的情况外，协议中的责任限制和排除条款适用于本 DPA。

12.2 可分割性。 若本 DPA 的任何条款无效或不可执行，则本 DPA 的其余条款应保持有效且具有约束力。无效或不可执行的条款应 (i) 根据需要进行修改，以确保其有效性和可执行性，同时尽可能保留双方的意图；如果无法做到，则 (ii) 以仿佛该无效或不可执行的部分从未包含在其中的方式进行解释。

12.3 本 DPA 的执行。 本 DPA 被纳入并构成了协议的一部分。客户通过以下方式签署本 DPA（包括在适用时签署欧盟 SCCs 和 UK Addendum）：

• (a) 接受或同意受协议约束（包括通过点击“我同意”或类似服务条款机制），
• (b) 签署纳入或引用协议的订单、工作说明书或其他书面协议，或
• (c) 在公司提供本 DPA 后继续使用服务。

客户声明并保证，代表客户接受协议和/或使用服务的个人有权约束客户，并在适用时约束其关联方。

12.4 联系方式。 隐私请求：privacy@ultralytics.com；DPO：dpo@ultralytics.com；法律声明：legal@ultralytics.com。

Link to this section双方；关联方#

客户代表其自身及其关联方签署本 DPA，这些关联方为协议下服务的授权用户，且是客户个人数据的控制者/处理者（“许可关联方”）。客户声明其有权约束许可关联方。

Link to this section附录 A：个人数据处理详情#

性质： Ultralytics 提供云端软件及相关服务，使客户能够访问和使用 Ultralytics 产品和功能，包括模型训练、推理、数据集管理、部署工作流程以及相关的支持和管理（“服务”），详见协议所述。

为明确起见，服务包括 Ultralytics Platform，Ultralytics 在此环境中根据本 DPA 代表客户处理客户个人数据。此外，Ultralytics 还提供 Ultralytics YOLO 开源模型，客户可将其下载并在其自有环境中独立部署和操作。当客户在 Ultralytics Platform 之外部署或使用 Ultralytics YOLO 模型时，Ultralytics 不会代表客户处理个人数据，客户自行负责实施适当的技术和组织措施，确定处理的目的和手段，并确保此类部署和使用符合适用数据保护法律。

目的： Ultralytics 代表客户处理客户个人数据，以实现以下目的：

• 根据本协议和客户的记录说明，提供、运营、保护并支持本服务；
• 遵守客户提供的其他合理的记录说明，前提是此类说明与本协议及本 DPA 一致；
• 响应客户或其授权用户在使用本服务过程中发起的请求（包括客户支持请求）；
• 监控、预防和检测安全事件、欺诈、滥用及服务误用；以及
• 遵守适用的法律义务。

除非客户通过书面形式或本服务明确指示，否则 Ultralytics 不会使用客户个人数据来训练或改进 Ultralytics 的通用模型。为明确起见，Ultralytics 可在允许的情况下使用公司使用数据以及聚合或去标识化数据来运营、保护和改进本服务。

如果客户选择通过本服务的社区或公共功能共享数据集、模型或其他内容，此类共享构成客户的记录说明。客户仍需独自负责确保其拥有向其他用户提供此类数据所需的所有权利及法律依据。

处理期限： Ultralytics 将在本协议期限内以及根据客户说明提供本服务所需的期限内处理客户个人数据。本协议终止或到期后，除非适用法律要求进一步保留，否则 Ultralytics 将根据本协议及本 DPA 删除或归还客户个人数据。为明确起见，若 Ultralytics 根据第 10 节作为独立控制者处理控制者个人数据（包括公司账户数据和公司使用数据），则此类处理将按照 Ultralytics 隐私政策中规定的期限进行。

数据主体类别： 客户个人数据可能涉及以下类别的受控于客户的数据主体：

• 客户的员工、承包商、代理人和代表；
• 客户的授权用户和管理员；
• 以及客户的最终用户、客户或其他由客户选择提交其个人数据至本服务的个人。

个人数据类别： 客户个人数据可能包括以下类别的个人数据（仅限于由客户或代表客户提交至本服务或通过本服务提供的范围）：

• 账户和用户身份数据，例如姓名、电子邮件地址、用户名/用户 ID、组织名称和用户角色/权限（例如：管理员/用户）。
• 使用及设备/技术数据，例如 IP 地址、设备标识符和系统属性（例如设备类型、操作系统、浏览器类型）、日志文件、时间戳、身份验证事件、访问历史记录以及（如果适用）作为企业设备或安全工作流程一部分收集的已安装应用程序或配置详细信息。
• 客户提供的内容和输入，例如用户生成的提示、评论、注释、数据集元数据或标签，以及客户通过本服务上传或提交的任何其他内容（包括图像/视频/音频或其他文件），但仅限于此类内容包含个人数据的范围。
• 支持和通信数据，例如客户支持通信、问题报告、故障排除信息和行政联系详情。

处理的个人数据类别还可能包括 Ultralytics 隐私政策中描述的类别。

敏感数据或特殊类别数据： 本服务并非旨在或用于处理特殊类别的个人数据（根据 GDPR 第 9 条或适用数据保护法下的同等定义）或与刑事定罪和违法行为相关的个人数据（GDPR 第 10 条），禁止客户提供此类数据，除非已与 Ultralytics 书面明确商定并采取了额外保障措施。

Link to this section附件 B：附件 I 和附件 III 信息（欧盟 SCC 和英国附录）#

以下内容包含欧盟 SCC 附件 I 和附件 III，以及英国附录表 1、附件 1A 和附件 1B 所要求的信息。

1. 双方

数据出口方：

• 名称：客户法律实体名称
• 交易名称（如有不同）：[可选]
• 地址：客户注册地址
• 官方注册编号（如有）：[可选]
• 联系人姓名、职位和详细联系方式：姓名、职位、电子邮件
• 与根据本条款传输的数据相关的活动：使用本协议项下的服务，包括根据本协议、本 DPA 和附件 A 的描述，将客户个人数据传输给 Ultralytics 进行处理。
• 签名和日期：签署/接受本协议/DPA 即表示
• 角色（控制者/处理者）：控制者

数据导入方：

• 名称：Ultralytics Inc.
• 交易名称（如有不同）：不适用
• 地址和联系方式：5001 Judicial Way, Frederick, MD, 21703, United States; privacy@ultralytics.com
• 官方注册编号（如有）：6755919
• 与根据本条款传输的数据相关的活动：代表客户处理客户个人数据，以提供、运营、保护、维护和支持本服务，以及本协议、本 DPA 和附件 A 中另行描述的内容。
• 签名和日期：签署/接受本协议/DPA 即表示
• 角色（控制者/处理者）：如本 DPA 第 3 节所述。

2. 传输说明

集团内部子处理者：

Ultralytics Ltd (英国) - 工程支持、客户支持、入职协助以及商业互动（包括演示和合作伙伴关系）

Ultralytics AI Spain, S.L. (西班牙) - 工程支持、商业互动和面向客户的活动，涉及有限的业务联系数据处理

3. 主管监管机构

监管机构应为数据出口方的主管监管机构，具体按照欧盟 SCC 第 13 条确定。就英国附录而言，监管机构应为英国信息专员办公室。

Link to this section附件 C：技术和组织安全措施#

以下内容包含欧盟 SCC 附件 II 和英国附录附件 II 所要求的信息。

Link to this section附件 D：英国附录#

欧盟委员会标准合同条款的国际数据传输附录

Link to this section第 1 部分：表格#

表 1：当事方

表 2：选定的 SCC、模块和选定条款

表 3：附录信息

“附录信息”是指为选定模块必须提供的信息，如经批准的欧盟 SCC 附录（当事方除外）中所列，对于本《英国附录》，其列于：

表 4：当经批准的《英国附录》变更时终止本《英国附录》

注意：如果 ICO 变更了经批准的《英国附录》，并直接导致以下情况发生实质性、不成比例且可证明的增加，则本条款允许选定的当事方（如有）终止本《英国附录》：(a) 其履行本《英国附录》项下义务的直接成本，或 (b) 其在本《英国附录》项下的风险。

Link to this section订立本《英国附录》#

每一方均同意受本《英国附录》中规定的条款和条件的约束，以换取另一方也同意受本《英国附录》的约束。

尽管经批准的欧盟 SCC 的附件 1A 和第 7 条要求当事方签字，但为进行英国境外传输，当事方可以任何使本《英国附录》对当事方产生法律约束力，并允许数据主体执行本《英国附录》中规定的权利的方式订立本《英国附录》。订立本《英国附录》的效果与签署经批准的欧盟 SCC 及经批准的欧盟 SCC 的任何部分相同。

Link to this section本《英国附录》的解释#

如果本《英国附录》使用的术语在经批准的欧盟 SCC 中有定义，则这些术语的含义应与经批准的欧盟 SCC 中的含义相同。此外，以下术语具有以下含义：

本《英国附录》必须始终以符合英国数据保护法的方式进行解释，以履行当事方提供适当保障措施的义务。

如果本《英国附录》中包含的条款以经批准的欧盟 SCC 或经批准的《英国附录》不允许的任何方式修改了经批准的欧盟 SCC，则此类修订将不会被纳入本《英国附录》，而经批准的欧盟 SCC 的等效条款将取而代之。

如果英国数据保护法与本《英国附录》之间存在任何不一致或冲突，以英国数据保护法为准。

如果本《英国附录》的含义不明确或存在多种含义，则适用与英国数据保护法最一致的含义。

任何对立法（或立法的特定条款）的引用均指该立法（或特定条款）随时间可能发生的变化。这包括该立法（或特定条款）在本《英国附录》订立后被合并、重新颁布和/或替换的情况。

Link to this section层级#

尽管经批准的欧盟 SCC 第 5 条规定经批准的欧盟 SCC 优先于当事方之间所有相关协议，但当事方同意，对于英国境外传输，下文第 10 节中的层级安排将优先适用。

如果经批准的《英国附录》与（适用的）欧盟 SCC 之间存在任何不一致或冲突，则经批准的《英国附录》优先于欧盟 SCC，除非（且在一定程度上）欧盟 SCC 中不一致或冲突的条款为数据主体提供了更大的保护，在这种情况下，这些条款将优先于经批准的《英国附录》。

如果本《英国附录》纳入了为保护受《GDPR》约束的欧盟境外传输而订立的欧盟 SCC，则当事方承认本《英国附录》中的任何内容都不会影响这些欧盟 SCC。

Link to this section纳入及对欧盟 SCC 的变更#

本《英国附录》纳入了欧盟 SCC，并在必要范围内进行了修订，以便：

• 它们共同适用于数据出口方进行的数据传输，在英国数据保护法适用于数据出口方进行该数据传输时的处理活动范围内，并为这些数据传输提供适当的保障措施；
• 上述第 9 至 11 节优先于欧盟 SCC 的第 5 条（层级）；以及
• 本《英国附录》（包括纳入其中的欧盟 SCC）(1) 受英格兰和威尔士法律管辖，(2) 由此产生的任何争议应由英格兰和威尔士的法院解决。

除非当事方已就满足本《英国附录》第 12 节要求的替代性修订达成一致，否则本《英国附录》第 15 节的规定将适用。

除满足本《英国附录》第 12 节的要求外，不得对经批准的欧盟 SCC 进行任何修订。

对欧盟 SCC 进行了以下修订（为了本《英国附录》第 12 节的目的）：

• 对“条款”的引用指本《英国附录》（包含欧盟 SCC）；
• 在第 2 条中，删除以下词语：“以及，关于从控制者到处理者和/或从处理者到处理者的个人数据传输，根据第 2016/679 号条例 (EU) 第 28(7) 条的标准合同条款”；
• 第 6 条（传输说明）被替换为：“传输的详情，特别是传输的个人数据类别和传输目的，是在英国数据保护法适用于数据出口方进行该传输时的处理活动时，附录 I.B 中所指定的。”；
• 模块 1 的第 8.7(i) 条被替换为：“它是传输到根据《英国 GDPR》第 17A 节受益于充分性法规的国家/地区，该法规涵盖了后续传输”；
• 模块 2 和 3 的第 8.8(i) 条被替换为：“后续传输是到根据《英国 GDPR》第 17A 节受益于充分性法规的国家/地区，该法规涵盖了后续传输；”
• 对“第 2016/679 号条例 (EU)”、“欧洲议会和理事会 2016 年 4 月 27 日关于在处理个人数据和此类数据自由流动方面保护自然人的第 2016/679 号条例 (EU)（通用数据保护条例）”和“该条例”的引用均替换为“英国数据保护法”。对“第 2016/679 号条例 (EU)”特定条款的引用替换为英国数据保护法的等效条款或节；
• 删除了对第 2018/1725 号条例 (EU) 的引用；
• 对“欧洲联盟”、“联盟”、“欧盟”、“欧盟成员国”、“成员国”和“欧盟或成员国”的引用均替换为“英国”；
• 模块一第 10(b)(i) 条中对“第 12(c)(i) 条”的引用，被替换为“第 11(c)(i) 条”；
• 不使用第 13(a) 条和附录 I 的 C 部分；
• “主管监督机构”和“监督机构”均替换为“信息专员”；
• 在第 16(e) 条中，第 (i) 款被替换为：“国务大臣根据 2018 年《数据保护法》第 17A 节制定了涵盖本条款所适用的个人数据传输的法规；”；
• 第 17 条被替换为：“本条款受英格兰和威尔士法律管辖”；
• 第 18 条被替换为：“由此产生的任何争议应由英格兰和威尔士的法院解决。” 数据主体也可以在英国任何国家的法院对数据出口方和/或数据进口方提起法律诉讼。当事方同意服从该等法院的管辖权。”；以及
• 经批准的欧盟 SCC 的脚注不构成《英国附录》的一部分，但脚注 8、9、10 和 11 除外。

Link to this section对本《英国附录》的修订#

当事方可同意修改欧盟 SCC 的第 17 条和/或第 18 条，以引用苏格兰或北爱尔兰的法律和/或法院。

如果当事方希望更改经批准的《英国附录》第 1 部分：表格中包含的信息格式，他们可以通过书面同意更改，前提是该更改不会降低适当的保障措施。

ICO 可不时发布修订后的《经批准的英国附录》，该附录：

• 对《经批准的英国附录》进行合理且成比例的更改，包括纠正《经批准的英国附录》中的错误；和/或
• 反映英国数据保护法的变化。

修订后的《经批准的英国附录》将指定修订后的《经批准的英国附录》生效的开始日期，以及当事方是否需要审查包括附录信息在内的本《英国附录》。本《英国附录》自指定的开始日期起，按照修订后的《经批准的英国附录》中的规定自动修订。

如果 ICO 根据本《英国附录》第 18 节发布了修订后的《经批准的英国附录》，且如果某一方因《经批准的英国附录》中的变更直接导致以下方面出现实质性、不成比例且可证明的增加：

• 其履行本《英国附录》项下义务的直接成本；和/或
• 其在本《英国附录》项下的风险，

且在任何情况下，该方已首先采取合理步骤来降低这些成本或风险，使其不再具有实质性和不成比例性，则该方可在合理通知期结束时终止本《英国附录》，方法是在修订后的《经批准的英国附录》开始日期之前，向另一方发出该期间的书面通知。

当事方无需任何第三方的同意即可对本《英国附录》进行更改，但任何更改必须按照其条款进行。