订单处理协议

本数据处理协议（“DPA”）是双方根据主合同（以下简称“主合同”）就个人数据处理问题签订的。根据主合同提供服务（“服务”）需要处理数据。 如果此类数据由个人数据组成或包含个人数据，则数据处理者将充当此类数据的数据处理者，而根据《通用数据保护条例》（以下简称“GDPR”）第 28 条，控制者仍然是此类数据的控制者。

服务由数据处理器提供，控制者提供自己的数据，控制其向数据处理器的传输，并且在软件即服务 (SaaS) 模型的情况下，直接控制上传到服务的此类数据的处理。 控制者同意并理解，数据处理者不会监控数据控制者的数据或控制者对此类数据的处理，除非控制者明确请求数据处理者访问此类数据。 因此，控制者的唯一责任和义务是确保根据适用的数据保护法收集和传输控制者的数据，特别是确保这样做有法律依据，并且确保数据主体正确了解其个人数据的收集和处理。

作为数据处理者，数据处理者将仅根据本数据处理协议 (DPA) 的规定和控制者的书面说明处理控制者的个人数据。 如果欧盟法律或需要进一步处理个人数据的成员国法律要求数据处理者，则数据处理者应在处理前将这些法律要求告知控制者，除非相关法律以重要公共利益为由禁止此类通知； 在后一种情况下，数据处理者会在法律允许的情况下立即通知控制者进行进一步处理。数据处理者应确保并定期验证其职责范围内的个人数据处理（包括其聘用的任何子处理者）是根据本 DPA、适用的数据保护法，特别是 GDPR 的规定进行的。

处理的细节在以下条款和主合同中描述。考虑到其作为控制者的义务，控制者将通知处理者是否有必要补充主合同中规定的条款。

处理者将按照主合同中的规定处理个人数据。

除非另有书面约定，处理者通常会在主合同和本合同处理协议期间处理个人数据。

处理者仅在其自己的场所或其授权的分处理者的场所处理个人数据。所有加工操作通常在欧盟成员国或欧洲经济区协议缔约方的其他国家进行。

只有在双方事先达成协议且满足第 44 条及以下条款的要求的情况下，才允许在 EU/EEA 之外对个人数据进行任何处理。符合 GDPR。

双方同意本 DPA 包含控制者有关代表处理者处理个人数据的一般说明。

控制者发出的任何偏离本数据处理协议规定或对处理者施加新的、额外义务的具体指示，均需要处理者的同意才能生效。对于此类具体指示，双方将适用主合同中约定的修改程序（如果适用）。

控制者有责任确保其代表控制者发出的有关个人数据处理的指示符合适用的数据保护法，并且处理者可以根据这些指示处理个人数据，而不会违反适用的数据保护法，特别是 GDPR。 如果处理者认为控制者的指令违反了适用的数据保护法，处理者将相应地通知控制者。在这种情况下，处理者有权拒绝执行该指令，直到控制者确认为止。

责任人的具体指示必须以书面形式或至少由授权代表责任人的人员以文本形式给出。口头发出的指示必须立即得到授权人之一的确认，并且至少以文本形式确认，才能生效。

数据处理者的员工：(i) 在被授权处理个人数据的范围内，他们有义务保密或遵守适当的法律保密义务； (ii) 仅按照数据处理者的指示处理个人数据，除非根据适用的数据保护法有义务进行其他处理； (iii) 将定期获悉本 DPA 和适用的数据保护法（特别是 GDPR）规定的义务。

未经控制者事先同意，数据处理者不得复制代表控制者处理的个人数据。这不包括确保正确数据处理和正确提供服务（包括数据备份）所需的副本，以及履行法律保留义务所需的副本。

只要存在任命数据保护官员的法律要求，处理者就会任命一名知识渊博且可靠的数据保护官员。处理者向控制者提供此类指定数据保护官员的联系方式。

在开始处理之前，数据处理器执行以下操作 www.fitness-nation.com/support/tom.html 列出了技术和组织措施，并在本订单处理协议的整个期限内维护这些措施。这些技术和组织措施旨在确保与系统的机密性、完整性、可用性和弹性方面的风险相适应的安全级别。 必须考虑现有技术、实施成本以及处理的性质、范围、背景和目的，以及 GDPR 第 32 条第 1 款含义内的自然人权利和自由风险的不同可能性和严重性。

由于技术和组织措施受到技术进步和技术发展的影响，数据处理者可以实施替代和适当的措施，前提是这不会导致安全标准不低于以下规定 www.fitness-nation.com/support/tom.html 指定。

数据处理者只能在征得控制者事先同意的情况下聘请分处理者代表控制者处理个人数据。负责人特此同意使用以下内容 www.fitness-nation.com/support/subunternehmen.html 列出的子处理者。

数据处理者对每个子处理者施加数据保护、保密和数据安全义务，这些义务至少与本处理协议中规定的数据处理者对控制者的义务一样严格。如果分处理者未能遵守对其施加的这些义务，则数据处理者将对这些违规行为承担责任，就好像这些违规行为是其自身的过错一样。

处理者应以书面形式通知控制者任何新的子处理者参与。如果控制者在收到此类通知后三十 (30) 天内以合理的理由反对转让，双方将寻求友好解决方案。 在这种情况下，如果在两 (2) 个月内无法找到友好解决方案，控制者有权终止与需要聘请拟议分处理者的服务相关的主合同。

双方同意，单纯提供辅助服务的提供商不是数据保护法含义内的数据处理者；这尤其包括邮政或快递服务提供的运输服务，以及现金运输服务、电信服务、保安服务和清洁服务。尽管有上述规定，数据处理者仍将与此类分包商签订行业标准保密协议。

如果分处理者位于欧盟或欧洲经济区以外的第三国，则本第 7 条的规定也适用。 在控制者同意使用子处理者的情况下，控制者特此授权处理者代表控制者与在欧盟或欧洲经济区之外处理控制者数据的子处理者签订合同，并纳入关于将个人数据传输到第三国处理者的欧盟标准合同条款 5. 2010 年 2 月或欧盟委员会或相关监管机构随后采用的标准数据保护条款（如果适用）。

根据控制者的书面请求，如果数据保护监管机构进行调查或提出请求，处理者将向控制者提供适当的协助，只要此类调查或请求与服务相关。处理者应向控制者提供合理协助，以履行与此类调查或请求相关的所有义务。 如果数据保护监管机构直接向处理者发起调查或直接向处理者提出相应的请求，处理者应在允许的范围内立即通知控制者并配合此类调查或请求。

如果处理者发现与根据本数据处理协议处理个人数据有关的个人数据泄露，则处理者应立即通知控制者，不得无理拖延。 如果由于此类通知，控制者需要向数据保护监管机构和/或数据主体承担报告义务（特别是根据 GDPR 第 33 条和第 34 条），则处理者应向控制者提供适当且必要的协助，以履行这些报告义务。 如果处理者不对可报告的数据泄露负责，则处理者有权根据主合同中商定的报酬率收取支持服务费用。

处理者应协助控制者进行控制者可能需要进行的与个人数据处理相关的任何数据保护影响评估，包括在适当情况下咨询相关数据保护监管机构（GDPR 第 35 条和第 36 条），同时考虑处理的性质和处理者可获得的信息。 处理者有权按照主合同约定的报酬标准收取支持服务费用。

如果数据主体直接联系处理者提出投诉、请求或行使其权利，处理者应立即通知控制者，不得无理拖延。除非控制者明确指示处理者这样做，否则处理者本身不会响应请求。 处理者应向控制者提供适当的协助，以回应此类投诉、询问和数据主体请求。处理者有权根据主合同中约定的报酬率对所提供的支持收取费用。

根据控制者的合理指示，在本数据处理协议 (DPA) 期限内或终止后或根据相关特定协议终止个人数据处理时，处理者将销毁、删除或返还代表控制者处理的数据。 如果适用法律禁止处理者销毁、删除或返还代表控制者处理的个人数据，则处理者将停止主动处理此类数据，但只会继续存储这些数据，以遵守法律要求，特别是法定保留义务，并在法律障碍不再存在时，根据控制者的原始指示，将其销毁、删除或返还给控制者。

处理者创建任何个人数据销毁或删除的证据，并根据要求向控制者提供。

控制者有权在正常工作时间（周一至周五上午 9:00 至下午 5:00）自费、在不中断运营的情况下并严格遵守处理者商业秘密和商业秘密的保密规定，进入处理者处理控制者数据的场所，以验证是否遵守本订单处理协议。 管制员通常会就此类现场检查提供充分的通知（至少提前两周）。

如前款所述，责任人原则上有权每个日历年进行一次现场检查。这并不影响管制员在发生特殊事件时进行进一步现场检查的权利。

如果控制者委托第三方进行审查，则控制者必须以书面形式向第三方做出承诺，其程度与控制者根据本数据处理协议对处理者承担的义务相同。此外，责任人必须要求第三方保守机密和秘密，除非第三方负有职业保密义务。 应处理者的要求，控制者必须立即向处理者提供与第三方的保密协议。责任人不得委托处理器的竞争对手进行测试。

除现场检查外，还可以通过遵守 GDPR 第 40 条规定的经批准的行为准则、根据 GDPR 第 42 条在经批准的认证机制下进行认证，或者提供适当的最新证书、报告或独立机构报告的摘录（例如， 审核员、内部审核员、数据保护官、IT 安全部门、数据保护审核员或质量审核员）或通过 IT 安全或数据保护审核获得的适当认证 - 例如B. 根据 ISO 27001 -（“测试报告”），前提是该测试报告使控制者能够对本 DPA 的遵守情况合理地感到满意。

如果现场检查不是由于加工者的不当行为造成的，加工者有权按照主合同约定的报酬标准收取现场检查期间发生的费用。

这些一般条款和条件与主合同受同一法律管辖，主合同双方同意的法院对因这些一般条款和条件引起的或与之相关的任何争议拥有专属管辖权。

这些一般行政法规的变更或补充只有以书面形式才有效。

如果这些条款和条件的任何规定被具有管辖权的法院认定为无效或无法执行，则其余规定将仍然具有完全效力。

本数据处理协议 (DPA) 在主合同签订时生效，作为主合同的组成部分。无论主合同期限是否结束，它仍然有效，直到数据处理者和/或所有委托的子处理者删除所有个人数据后自动到期。