Ultralytics 数据处理协议 (DPA)

本数据处理协议（"DPA"）纳入并构成以下文件的一部分：(i) Ultralytics 服务条款和／或 (ii) 任何适用的订单表、企业协议或其他提及本 DPA 的书面协议（各称为“协议”），协议签约双方为客户（“客户”或“你”）与 Ultralytics, Inc.（“Ultralytics”、“公司”或“我们”）。

本 DPA 体现双方就以下事项达成的协议：

• (A) 控制者至处理者条款：Ultralytics 作为处理者（或客户为处理者时作为次级处理者），代表客户在提供服务过程中处理客户个人数据；以及
• (B) 控制者至控制者条款：每一方仅在第 10 节所述范围内，作为独立控制者处理控制者个人数据。

本 DPA 在协议期限内持续有效；只要 Ultralytics 仍代表客户处理客户个人数据，本 DPA 就持续有效。

本 DPA 仅适用于 Ultralytics 在 Ultralytics Platform 内处理客户个人数据的情况。为避免疑义，本 DPA 不适用于客户在 Ultralytics Platform 之外使用、部署或运行 Ultralytics YOLO 开源模型的情况，此类行为由客户自行负责。

Ultralytics 可能会不时更新本 DPA，以反映法律、监管指导或服务的变化；更新自发布之日起生效，但未经客户同意，不得实质性降低对客户个人数据的隐私保护（适用法律要求的情况除外）。

1. 定义#

“关联方”指直接或间接控制一方、受一方控制或与一方受共同控制的任何实体；“控制”是指拥有超过 50% 的表决权权益。

“适当保障措施”指适用数据保护法律可能允许的、用于个人数据传输的、具有法律强制执行力的机制，尤其包括但不限于 GDPR 第 46 条所述机制。

“次级处理者”指由 Ultralytics 或其关联方聘用、代表 Ultralytics 在提供服务过程中处理客户个人数据的任何处理者。

“公司账户数据”指与公司和客户关系有关的个人数据，包括客户授权访问客户账户的个人的姓名或联系信息，以及客户关联到账户的个人的账单信息。公司账户数据还包括公司为管理其与客户的关系、验证身份或遵守适用法律法规而可能需要收集的任何数据。

“公司使用数据”指公司在提供服务过程中收集和处理的服务使用数据，包括但不限于用于识别通信来源和目的地的数据、活动日志，以及用于优化和维护服务性能并调查和防止系统滥用的数据。

“客户数据”指客户或其授权用户上传至服务、通过服务提交或传输，或以其他方式提供以便在提供服务过程中进行处理的任何数据、内容、材料、文件或信息（包括数据集、图像、视频、标注、标签、元数据、模型输入和输出，以及其他内容），包括因客户使用服务而为客户生成的任何数据。

“客户个人数据泄露”指在提供服务过程中，由 Ultralytics 或其次级处理者处理的客户个人数据遭到意外或非法破坏、丢失、篡改、未经授权披露或访问，从而导致安全遭到破坏的事件。客户个人数据泄露不包括未成功的尝试，或未危及客户个人数据的活动（例如未成功的登录尝试、端口扫描、拒绝服务攻击，或针对防火墙或联网系统的其他攻击）。

“数据保护法律”指适用于协议项下一方处理个人数据行为的所有适用隐私和数据保护法律，包括（如适用）GDPR、UK GDPR、瑞士《联邦数据保护法》（FADP）、ePrivacy/PECR、CCPA/CPRA 以及其他适用的美国州隐私法律。

“GDPR”指《条例（EU）2016/679》；“UK GDPR”指纳入英国法律的 GDPR；“瑞士 FADP”指经修订的瑞士《联邦数据保护法》。“指示”指客户就处理客户个人数据向 Ultralytics 发出的有记录的指示，详见第 2.2 节。

“SCCs”指欧盟标准合同条款（决定 2021/914）；“英国附录”指 ICO《国际数据传输附录》。其他首字母大写的术语具有数据保护法律和／或协议赋予的含义。

“服务”指 Ultralytics 根据协议向客户提供的服务和功能，包括 Ultralytics Platform 以及任何相关支持、管理和文档，具体内容以协议中的进一步说明为准。

“Ultralytics Platform”指 Ultralytics 的云端软件即服务环境。客户可通过该环境上传、管理、标注和管理数据集版本；训练、评估、比较、导出和部署计算机视觉模型；管理项目和用户；并使用相关功能和支持。Ultralytics 也会通过该环境代表客户按照本 DPA 处理客户个人数据。

“Ultralytics YOLO 开源模型”指 Ultralytics 根据适用开源许可提供的开源计算机视觉模型及相关源代码，客户可在自己的环境中独立下载、部署、托管和运行。为明确起见，如果客户在 Ultralytics Platform 之外部署或使用 Ultralytics YOLO 开源模型，Ultralytics 不会根据本 DPA 代表客户处理个人数据。

2. 客户责任#

2.1 遵守法律。客户负责遵守与其处理个人数据和使用服务相关的数据保护法律，包括提供所需通知并取得任何必要的同意和授权。

2.2 指示。协议（包括本 DPA），以及客户按照协议配置和使用服务的行为，共同构成客户向 Ultralytics 发出的、关于处理客户个人数据的完整指示。客户可在协议期限内提供额外指示，但这些指示必须与协议和服务保持一致。如果 Ultralytics 有合理理由认为额外指示会要求作出重大变更或造成负担，双方将本着诚信原则进行讨论。

2.3 禁止数据。除非双方明确以书面形式达成协议（包括就适用数据保护法律要求的额外保障措施达成协议），否则客户不得向 Ultralytics 提供、通过 Ultralytics 提交或以其他方式向 Ultralytics 提供《通用数据保护条例》（GDPR）第 9 条（或同等规定）所指的特殊类别个人数据，或《通用数据保护条例》（GDPR）第 10 条所指的与刑事定罪或犯罪相关的数据。

以下仅为示例，并非穷尽，禁止数据包括：

• 政府签发的身份证明号码（例如护照号码、国家身份证号码或社会保障号码）；
• 健康或医疗信息，包括用于唯一识别自然人的生物识别标识；
• 有关个人种族或族裔出身、政治观点、宗教或哲学信仰，或工会会员身份的信息；
• 用于唯一识别自然人的遗传数据或生物识别数据；
• 适用数据保护法律限制处理的儿童个人数据；
• 以及与刑事定罪、涉嫌犯罪行为或执法活动相关的数据。

此外，服务也并非用于处理适用数据保护法律要求给予更高保护的其他数据，例如支付卡数据、银行账户号码或精确地理位置数据。客户全权负责确保上传至服务或通过服务处理的数据集、图像、视频、注释、标签、元数据或其他内容不包含禁止数据。违反本节规定处理任何禁止数据，均构成本 DPA 的重大违约。

2.4 不当数据；赔偿。客户全权负责确保提供给 Ultralytics 的客户个人数据合法且适用于服务。对于因客户违反协议、本 DPA 或适用数据保护法律向服务提供个人数据而引起的任何第三方索赔，客户应为 Ultralytics 抗辩并向 Ultralytics 作出赔偿。

3. Ultralytics 作为处理者的义务#

3.1 目的限制。Ultralytics 仅会在以下情形处理客户个人数据：(a) 按照协议和附件 A 提供服务；(b) 遵循客户指示；以及 (c) 遵守适用法律的要求。除非客户通过书面形式或服务明确作出指示，否则 Ultralytics 不会使用客户个人数据或客户数据来训练、改进或开发 Ultralytics 的通用模型或商业可用模型。

3.2 法律冲突。如果 Ultralytics 发现因法律要求而无法按照指示处理客户个人数据，Ultralytics 将在法律允许的范围内通知客户，并在必要时暂停受影响的处理（安全存储除外），直至客户发出符合要求的指示。

3.3 人员保密义务。Ultralytics 将确保获授权处理客户个人数据的人员承担保密义务。客户同意，Ultralytics 可在履行协议/DPA 所合理需要的范围内，向其专业顾问和审计人员披露客户个人数据，但须受保密义务约束。

3.4 分处理者。Ultralytics 可根据第 5 节聘用分处理者，并仍须对其履行同等义务负责。

3.5 删除/返还。服务终止后，除非法律要求保留，Ultralytics 将根据协议和附件 A 删除或返还客户个人数据。客户提出要求时，Ultralytics 将提供 SCCs 项下的删除证明。

4. 数据主体（或消费者）权利#

4.1 数据主体（或消费者）请求。在法律允许的范围内，如果 Ultralytics 收到数据主体（或消费者）提出的请求，要求行使其访问（或披露）权、更正权、限制处理权、删除权（或“被遗忘权”）、数据可携权、反对处理的权利，或不受自动化个人决策约束的权利（“数据主体（或消费者）请求”），Ultralytics 应及时通知账户中的主要联系人客户。

4.2 协助。考虑到处理的性质，如果客户无法使用现有服务功能满足数据主体根据数据保护法律提出的权利行使请求，Ultralytics 将为客户提供合理协助。

4.3 DPIA；事先咨询。考虑到处理的性质以及 Ultralytics 可获取的信息，在数据保护法律要求且客户无法以其他方式获取相关信息的情况下，Ultralytics 将在以下方面为客户提供合理协助：(i) 数据保护影响评估；以及 (ii) 客户与监管机构的咨询和/或合作。除非数据保护法律要求，或涉及客户个人数据泄露事件，否则客户每十二 (12) 个月不得要求此类协助超过一次。在法律允许的情况下，客户应偿还 Ultralytics 提供此类协助所产生的合理成本和费用。

5. 分处理者#

5.1 一般授权。客户以书面形式一般性授权 Ultralytics 聘用分处理者，为提供服务而处理客户个人数据。

5.2 名单和通知。当前分处理者名单见 Ultralytics 分处理者名单（“名单”）。Ultralytics 将提供订阅名单更新通知的机制，并至少提前十 (10) 天通知客户新分处理者获准处理客户个人数据。客户负责在该机制可用时订阅此类通知；如果客户未订阅，客户确认可能无法通过该机制收到事先通知。在任何情况下，名单更新均构成对分处理者变更的通知。客户确认，某些分处理者对于提供服务至关重要，且反对使用某一分处理者可能导致公司无法向客户提供服务。

为明确起见，参与提供服务的 Ultralytics 关联公司，包括 Ultralytics Ltd (UK) 和 Ultralytics AI Spain, S.L.，可在代表 Ultralytics Inc. 就服务处理客户个人数据时，作为集团内部的分处理者。

5.3 对新分处理者提出异议。客户可根据第 5.2 节，以合理的数据保护理由书面反对聘用新的分处理者。如果 Ultralytics 无法合理解决客户的异议，客户可通过书面通知停止受影响的服务，但客户仍须支付停止服务前已产生的费用。

5.4 义务传递。Ultralytics 仅会在进行合理且基于风险的尽职调查、评估分处理者是否有能力根据适用数据保护法律为客户个人数据提供适当保护后，才会聘用分处理者；Ultralytics 还会将对分处理者的定期监控纳入其供应商管理计划。Ultralytics 将确保分处理者承担与本 DPA 规定实质等同或保护力度更高的数据保护义务。客户提出要求时，Ultralytics 将根据 SCCs 提供相关分处理者数据保护条款的副本（可为保密目的进行删节）。

6. 安全#

6.1 措施。考虑到技术发展水平、处理的性质、范围、背景和目的，以及自然人权利和自由面临的风险（包括风险发生的可能性和严重程度），Ultralytics 应根据适用数据保护法律（包括 GDPR 第 32 条）实施并维持适当的技术和组织措施，以确保安全水平与此类风险相适应。相关措施载于附件 C，Ultralytics 可不时更新，但任何更新均不得实质性降低对客户个人数据的整体保护水平。

6.2 客户责任。尽管有上述规定，客户确认，除本 DPA 明确规定外，客户仍须负责安全地使用服务，包括保护账户身份验证凭据、适当配置访问控制，并确保用户以符合适用数据保护法律及 Ultralytics 提供的安全功能的方式访问和使用服务。

7. 客户审计与合规证明#

7.1 文档。经合理要求，Ultralytics 将提供证明其遵守本 DPA 所合理必要的信息（包括在可获取的情况下，当前的第三方审计报告或认证）。Ultralytics 将保存足以证明其遵守本 DPA 的记录，并在终止后保留此类记录一段合理期限（例如三 (3) 年），除非法律要求更长的保留期限。

7.2 审计。在数据保护法律要求且文档不足以证明合规的情况下，客户可在合理提前发出书面通知并承担费用的前提下，要求对 Ultralytics 的相关系统和流程进行审计或检查。任何此类审计或检查均须在双方就审计范围、时间和持续时间，以及 Ultralytics 为审计投入时间和资源的合理补偿费率达成书面协议后方可进行。根据本节进行的任何审计均应：

• (a) 每十二 (12) 个月不得超过一次；
• (b) 在 Ultralytics 的正常营业时间内进行；
• (c) 遵守合理的保密、安全和防护措施；以及
• (d) 限于与处理客户个人数据合理相关的系统和记录。

客户应及时将审计中发现的任何重大不合规情况通知 Ultralytics，以便 Ultralytics 有合理机会处理相关问题。

8. 个人数据泄露事件#

8.1 通知。Ultralytics 将及时通知客户发生客户个人数据泄露事件，且最迟不晚于发现该事件后的 72 小时。

8.2 协助。考虑到 Ultralytics 可获取的信息，Ultralytics 将为客户向监管机构和受影响的数据主体发出所需通知提供合理协助。

8.3 不构成承认。泄露事件通知不构成对过错或责任的承认。如果客户个人数据泄露事件由客户或其用户的作为或不作为所致，则在此范围内不适用泄露事件通知义务。

9. 数据传输（欧盟/英国/瑞士）#

9.1 国际传输。客户确认，Ultralytics 的主要处理操作可能在美国以及提供服务所需的其他地点进行。

为明确起见，客户个人数据也可能在 Ultralytics Inc. 与其关联公司（包括 Ultralytics Ltd (UK) 和 Ultralytics AI Spain, S.L.）之间传输，前提是此类关联公司因提供服务而作为分处理者。此类传输符合适用数据保护法律规定的国际传输情形时，应受适当保障措施约束，包括 SCCs（适用时为模块 3）或其他有效传输机制。

如果必须将客户个人数据传输至尚未被认可为提供充分数据保护水平的国家/地区，则此类传输将根据适用数据保护法律采取适当保障措施，包括在适用情况下采用纳入本 DPA 的 SCCs 和英国补充条款。

9.2 欧盟 SCCs。对于受 GDPR 约束、传输至未获充分性认定的第三国的客户个人数据，双方将纳入欧盟 SCCs。客户为控制者时适用模块二（控制者→处理者）；客户为处理者时适用模块三（处理者→分处理者）。SCC 附件根据附件 B（附件 I/III）和附件 C（附件 II）填写。

9.3 英国补充条款。对于受英国 GDPR 约束的传输，双方将纳入英国补充条款，并参考附件 B/C 及适用的传输机制选项填写。

9.4 瑞士。对于瑞士境内的传输，适用经过标准瑞士修订的欧盟 SCCs（其中，对 GDPR 的引用包括瑞士 FADP；FDPIC 为主管机关等），并参考附件填写。

9.5 政府访问请求。对于具有法律约束力的客户个人数据请求，Ultralytics 将根据适用法律和 SCCs 进行处理，包括在法律允许的情况下通知客户并提供合理合作。

10. 控制者对控制者条款（Ultralytics 账户/使用情况/安全运营）#

10.1 范围。本节适用于双方各自作为独立控制者（而非共同控制者）处理控制者个人数据的情形，包括 Ultralytics 对公司账户数据和公司使用数据的处理。

10.2 独立控制者义务。各方将：

• (a) 遵守数据保护法律处理控制者个人数据；
• (b) 实施适当的安全措施；以及
• (c) 回复与其自身处理活动相关的监管机构通信。

10.3 Ultralytics 作为控制者的处理活动。Ultralytics 作为控制者处理公司账户数据和公司使用数据，用于账户管理、账单处理、安全监控和滥用防范、身份验证、遵守法律、审计/会计以及服务运营（包括性能和可靠性）。此类处理活动载于 Ultralytics 隐私政策。本 DPA 中的任何内容均不得解释为在双方之间建立共同控制者关系。

为免生疑问，Ultralytics 及其关联公司可作为独立控制者，在商业推广、演示、合作伙伴关系和客户关系管理活动中处理有限的业务联系人数据（例如姓名、公司电子邮件地址和专业联系信息）。

11. 加利福尼亚州条款（CCPA/CPRA）#

11.1 服务提供商/处理者。在 CCPA/CPRA 适用且 Ultralytics 代表客户处理客户个人数据的范围内，Ultralytics 作为“服务提供商”和/或“处理者”，且不会“出售”或“共享”此类个人信息。

11.2 限定用途。除 CCPA/CPRA 允许的情形外，Ultralytics 不会在提供服务的直接业务目的之外保留、使用或披露客户个人数据。

11.3 歧视。各方不得因消费者行使其权利而歧视该消费者。

12. 一般条款#

12.1 责任限制。协议中的责任限制和免责条款适用于本 DPA，但法律或 SCCs/英国补充条款禁止的情形除外。

12.2 可分割性。如果本 DPA 的任何条款无效或不可执行，本 DPA 的其余部分仍然有效。无效或不可执行的条款应：(i) 在必要范围内予以修订，以确保其有效且可执行，同时尽可能保留各方的原意；如果无法做到这一点，则 (ii) 按照该无效或不可执行部分从未包含在本 DPA 中的方式解释。

12.3 本 DPA 的签订。本 DPA 纳入协议并构成协议的一部分。客户通过以下方式签订本 DPA（包括在适用情况下的欧盟 SCCs 和英国补充条款）：

• (a) 接受或同意受协议约束（包括点击“我同意”或服务条款中的类似机制），
• (b) 签署纳入或引用协议的订单表、工作说明书或其他书面协议，或
• (c) 公司提供本 DPA 后使用或继续使用服务。

客户声明并保证，代表客户接受协议和/或使用服务的个人有权约束客户，并在适用情况下约束其关联公司。

12.4 联系方式。隐私请求：privacy@ultralytics.com；DPO：dpo@ultralytics.com；法律通知：legal@ultralytics.com。

13. 双方；关联公司#

客户代表自身及其在协议项下获授权使用服务且作为客户个人数据控制者/处理者的关联公司（“获准关联公司”）签订本 DPA。客户声明其有权约束获准关联公司。

附件 A：个人数据处理详情#

性质：Ultralytics 提供基于云的软件及相关服务，使客户能够访问和使用 Ultralytics 产品和功能，包括模型训练、推理、数据集管理、部署工作流及相关支持和管理（“服务”），具体如协议所述。

为明确起见，服务包括 Ultralytics Platform，Ultralytics 通过该平台代表客户并根据本 DPA 处理客户个人数据。此外，Ultralytics 还提供 Ultralytics YOLO 开源模型，客户可在自己的环境中独立部署和运行这些模型。如果客户在 Ultralytics Platform 之外部署或使用 Ultralytics YOLO 模型，Ultralytics 不会代表客户处理个人数据；客户全权负责实施适当的技术和组织措施、确定处理的目的和方式，并确保此类部署和使用符合适用数据保护法律。

目的：Ultralytics 代表客户处理客户个人数据，用于以下目的：

• 根据协议和客户记录在案的指示提供、运营、保护和支持服务；
• 遵守客户提供的其他有据可查且合理的指示，但此类指示须符合协议和本 DPA；
• 响应客户或其授权用户在使用服务时发起的请求（包括客户支持请求）；
• 监控、防范和检测安全事件、欺诈、滥用和服务误用；以及
• 遵守适用的法律义务。

除非客户通过书面形式或服务明确作出指示，否则 Ultralytics 不会使用客户个人数据训练或改进 Ultralytics 的通用模型。为明确起见，在允许的情况下，Ultralytics 可使用公司使用数据以及汇总数据或去标识化数据来运营、保护和改进服务。

如果客户选择通过服务的社区或公开功能分享数据集、模型或其他内容，此类分享即构成客户记录在案的指示。客户仍全权负责确保拥有向其他用户提供此类数据所需的全部权利和合法依据。

处理期限：Ultralytics 将在协议期限内以及根据客户指示提供服务所需的期限内处理客户个人数据。协议终止或到期后，除非适用法律要求继续保留，Ultralytics 将根据协议和本 DPA 删除或返还客户个人数据。为明确起见，如果 Ultralytics 根据第 10 节作为独立控制者处理控制者个人数据（包括公司账户数据和公司使用数据），此类处理将按照 Ultralytics 隐私政策规定的期限进行。

数据主体类别：客户个人数据可能涉及以下类别的数据主体，具体由客户确定并控制：

• 客户的员工、承包商、代理人和代表；
• 客户的授权用户和管理员；
• 以及客户的终端用户、客户，或客户选择向服务提交其个人数据的其他个人。

个人数据类别：客户个人数据可能包括以下类别，但仅限于由客户或代表客户提交至服务或通过服务提供的范围：

• 账户和用户身份数据，例如姓名、电子邮件地址、用户名/用户 ID、组织名称以及用户角色/权限（例如管理员/用户）。
• 使用情况和设备/技术数据，例如 IP 地址、设备标识符和系统属性（例如设备类型、操作系统、浏览器类型）、日志文件、时间戳、身份验证事件、访问历史，以及（如适用）作为企业设备或安全工作流的一部分而收集的已安装应用程序或配置详情。
• 客户提供的内容和输入，例如用户生成的提示、评论、注释、数据集元数据或标签，以及客户通过服务上传或提交的任何其他内容（包括图像/视频/音频或其他文件），但仅限于此类内容包含个人数据的范围。
• 支持和通信数据，例如客户支持通信、问题报告、故障排除信息和管理联系人详情。

处理的个人数据类别还可能包括 Ultralytics 隐私政策中所述的类别。

敏感数据或特殊类别数据：服务并非旨在处理《通用数据保护条例》（GDPR）第 9 条所定义的特殊类别个人数据（或适用数据保护法律中的同等数据），也并非旨在处理与刑事定罪和犯罪相关的个人数据（《通用数据保护条例》（GDPR）第 10 条）；除非事先与 Ultralytics 明确达成书面协议并采取额外保障措施，否则客户不得提供此类数据。

附件 B：附件 I 和附件 III 信息（欧盟 SCCs 和英国补充条款）#

以下内容包括欧盟 SCCs 附件 I 和附件 III，以及英国补充条款表 1、附件 1A 和附件 1B 所要求的信息。

1. 双方

数据出口方：

• 名称：客户法人实体名称
• 交易名称（如不同）：[可选]
• 地址：客户注册地址
• 官方注册编号（如有）：[可选]
• 联系人的姓名、职位和联系方式：姓名、职务、电子邮件
• 与根据本条款传输的数据相关的活动：根据协议使用服务，包括按照协议、本 DPA 和附件 A 中的说明，向 Ultralytics 传输客户个人数据，以便开展与服务相关的处理。
• 签署和日期：通过签署/接受协议/DPA
• 角色（控制者/处理者）：控制者

数据进口方：

• 名称：Ultralytics Inc.
• 交易名称（如不同）：不适用
• 地址和联系信息：5001 Judicial Way, Frederick, MD, 21703, United States；privacy@ultralytics.com
• 官方注册编号（如有）：6755919
• 与根据本条款传输的数据相关的活动：代表客户处理客户个人数据，以提供、运营、保护、维护和支持服务，以及协议、本 DPA 和附件 A 中另行说明的活动。
• 签署和日期：通过签署/接受协议/DPA
• 角色（控制者/处理者）：如 DPA 第 3 节所述。

2. 传输说明

集团内部子处理者：

Ultralytics Ltd（英国）- 工程支持、客户支持、入驻协助和商业互动（包括演示和合作伙伴关系）

Ultralytics AI Spain, S.L.（西班牙）- 工程支持、商业互动和面向客户的活动，涉及对业务联系信息的有限处理

3. 主管监管机构

主管监管机构应为根据欧盟 SCC 第 13 条确定的数据出口方所在的主管监管机构。就英国补充条款而言，主管监管机构应为英国信息专员办公室。

附件 C：技术和组织安全措施#

以下内容包含欧盟 SCC 附件 II 和英国补充条款附件 II 要求提供的信息。

附件 D：英国补充条款#

欧盟委员会标准合同条款的国际数据传输补充条款

第 1 部分：表格#

表 1：各方

表 2：选定的 SCC、模块和条款

表 3：附录信息

“附录信息”是指已批准欧盟 SCC 附录中规定的、所选模块必须提供的信息（各方信息除外）；对于本英国补充条款，该信息载于：

表 4：已批准的英国补充条款变更时终止本英国补充条款

注：本条款允许选定的一方（如有）在 ICO 对已批准的英国补充条款作出变更，且该变更直接导致以下任一方面出现实质性、不成比例且可证明的增加时，终止英国补充条款：(a) 该方履行英国补充条款项下义务的直接成本；或 (b) 该方在英国补充条款项下承担的风险。

订立本英国附录#

各方同意受本英国附录所载条款和条件的约束，以换取另一方也同意受本英国附录的约束。

尽管经批准的 EU SCCs 附件 1A 和第 7 条要求各方签署，但就向英国境外进行的传输而言，各方可以通过任何能使本英国附录对各方具有法律约束力、并允许数据主体执行本英国附录所规定权利的方式订立本英国附录。订立本英国附录的效力与签署经批准的 EU SCCs 及其任何部分相同。

本英国附录的解释#

本英国附录中使用经批准的 EU SCCs 所定义术语时，这些术语应具有与经批准的 EU SCCs 中相同的含义。此外，下列术语具有以下含义：

对本英国附录的解释必须始终与英国数据保护法律保持一致，并确保其履行各方提供适当保障措施的义务。

如果英国附录中的条款以经批准的 EU SCCs 或经批准的英国附录不允许的方式修订经批准的 EU SCCs，则该等修订不纳入英国附录，并由经批准的 EU SCCs 中相应的条款取代。

如果英国数据保护法律与英国附录之间存在任何不一致或冲突，应以英国数据保护法律为准。

如果英国附录的含义不明确或存在多种解释，应采用与英国数据保护法律最为一致的含义。

凡提及法律（或法律的具体条款），均指该法律（或具体条款）可能随时间发生变化后的版本。这包括在订立英国附录后，该法律（或具体条款）被整合、重新颁布和/或替代的情形。

优先顺序#

尽管经批准的 EU SCCs 第 5 条规定经批准的 EU SCCs 优先于各方之间所有相关协议，但各方同意，就英国境外传输而言，应以以下第 10 节所列的优先顺序为准。

如果经批准的英国附录与 EU SCCs（如适用）之间存在任何不一致或冲突，则经批准的英国附录优先于 EU SCCs；但如果 EU SCCs 中不一致或冲突的条款（在存在不一致或冲突的范围内）为数据主体提供了更高程度的保护，则以该等条款为准，并优先于经批准的英国附录。

如果本英国附录纳入了为保护受 GDPR 约束的欧盟境外传输而订立的 EU SCCs，各方确认，本英国附录中的任何内容均不影响该等 EU SCCs。

纳入 EU SCCs 及其变更#

本英国附录纳入 EU SCCs，并在必要范围内作出修订，以便：

• 这些条款共同适用于数据出口方向数据进口方进行的数据传输，但仅限于英国数据保护法律适用于数据出口方在进行该数据传输时的数据处理的范围，并为此类数据传输提供适当保障措施；
• 上述第 9 至第 11 节优先于 EU SCCs 第 5 条（优先顺序）；以及
• 英国附录（包括其中纳入的 EU SCCs）(1) 受英格兰和威尔士法律管辖，且 (2) 因其产生的任何争议均由英格兰和威尔士法院解决。

除非各方已同意符合本英国附录第 12 节要求的替代修订，否则适用本英国附录第 15 节的规定。

除为满足本英国附录第 12 节要求而作出的修订外，不得修订经批准的 EU SCCs。

为满足本英国附录第 12 节的要求，EU SCCs 作出以下修订：

• 凡提及“条款”，均指纳入 EU SCCs 的本英国附录；
• 在第 2 条中，删除以下文字：“以及，对于控制者向处理者和/或处理者向处理者进行的数据传输，依据《欧盟条例 (EU) 2016/679》第 28(7) 条订立的标准合同条款”；
• 第 6 条（传输说明）替换为：“传输的详细信息，特别是所传输的个人数据类别以及传输目的，应为附件 I.B 中规定的信息，但仅限于英国数据保护法律适用于数据出口方在进行该传输时的数据处理的情形。”；
• 模块 1 第 8.7(i) 条替换为：“该传输至依据 UK GDPR 第 17A 条享有充分性规定的国家，且该规定涵盖后续传输”；
• 模块 2 和模块 3 第 8.8(i) 条替换为：“后续传输至依据 UK GDPR 第 17A 条享有充分性规定的国家，且该规定涵盖后续传输；”
• 凡提及“条例 (EU) 2016/679”、“欧洲议会和理事会于 2016 年 4 月 27 日颁布的关于保护自然人处理个人数据以及此类数据自由流动的条例 (EU) 2016/679（通用数据保护条例）”和“该条例”，均替换为“英国数据保护法律”。凡提及“条例 (EU) 2016/679”的具体条款，均替换为英国数据保护法律中的相应条款或章节；
• 删除对条例 (EU) 2018/1725 的引用；
• 凡提及“欧洲联盟”、“联盟”、“EU”、“EU 成员国”、“成员国”和“EU 或成员国”，均替换为“英国”；
• 模块一第 10(b)(i) 条中对“第 12(c)(i) 条”的引用，替换为“第 11(c)(i) 条”；
• 不适用第 13(a) 条和附件 I 的 C 部分；
• “主管监管机构”和“监管机构”均替换为“信息专员”；
• 第 16(e) 条的 (i) 款替换为：“国务大臣依据《2018 年数据保护法》第 17A 条制定涵盖本条款所适用的个人数据传输的法规；”；
• 第 17 条替换为：“本条款受英格兰和威尔士法律管辖”；
• 第 18 条替换为：“因本条款产生的任何争议均应由英格兰和威尔士法院解决。”数据主体也可以在英国任何国家的法院对数据出口方和/或数据进口方提起法律诉讼。各方同意接受该等法院的管辖。”；以及
• 经批准的 EU SCCs 的脚注不构成本英国附录的一部分，但脚注 8、9、10 和 11 除外。

对英国附录的修订#

各方可以同意修改 EU SCCs 第 17 条和/或第 18 条，使其指向苏格兰或北爱尔兰的法律和/或法院。

如果各方希望更改经批准的英国附录第 1 部分“表格”中所含信息的格式，可以通过书面协议同意该更改，但前提是该更改不会降低适当保障措施的水平。

ICO 可能会不时发布修订后的经批准的英国附录，以：

• 对经批准的英国附录作出合理且合乎比例的更改，包括更正其中的错误；和/或
• 反映英国数据保护法律的变更。

修订后的经批准的英国附录将指定其变更的生效日期，并说明各方是否需要审查本英国附录（包括附录信息）。自指定的生效日期起，本英国附录将自动按照修订后的经批准的英国附录进行修订。

如果 ICO 依据本英国附录第 18 节发布修订后的经批准的英国附录，而某一方将因经批准的英国附录发生变更而直接导致以下方面大幅、不成比例且可证明地增加：

• 其履行英国附录项下义务的直接成本；和/或
• 其在英国附录项下承担的风险，

且在上述任一情形下，该方已首先采取合理措施降低相关成本或风险，使其不再大幅且不成比例，则该方可以在合理通知期结束时终止本英国附录，但必须在修订后的经批准的英国附录生效日期之前向另一方发出该通知期的书面通知。

各方无需取得任何第三方同意即可修改本英国附录，但任何修改都必须符合本英国附录的条款。