华为云数据处理附则
Print
华为云数据处理附则
本华为云数据处理附则（“附则”）是《华为云用户协议》（以下简称《协议》）的组成部分。
1.各方的角色
1.1客户作为个人信息处理者。如果客户是适用的隐私法中的客户数据的个人信息处理者，则：
1.1.1关于处理的细节详见第2节“关于处理的说明”；
1.1.2华为云是适用的隐私法中的客户数据的受托人；
1.1.3每一方都将履行适用的隐私法中的有关处理客户数据的义务。
1.2客户作为个人信息受托人。如果客户是适用的个人信息保护法中的客户数据的受托人，则除适用第1.1.1–1.1.3节外，客户还：
1.2.1应确保个人信息处理者持续有效的授权本附则中的(a) 指示；(b) 华为云作为另一个个人信息受托人；以及(c)华为云可以引入本附则第9节中的子个人信息受托人；
1.2.2将立即向相关个人信息处理者转发华为云根据本附则发出的或涉及数据跨境的任何通知（如适用）；
1.2.3向相关个人信息处理者提供华为云根据本附则提供的任何信息。
1.3 个人信息处理者请求。在本附则有效期内，如果华为云收到来自声称是客户数据个人信息处理者的第三方的请求或指示，华为云将建议该第三方与客户联系。华为云不会执行第三方的请求或指示，除非华为云得到客户的书面授权或请求指示。
2. 关于处理的说明
2.1 处理的对象。处理的对象为客户数据。
2.2 处理的期限。处理的期限由客户决定。
2.3 处理的目的。处理的目的是根据客户的指示，向客户提供云服务。
2.4 处理的性质。处理的性质是向客户提供云服务相关的计算、存储、传输、加工、删除等功能。
2.5 客户数据的类型。客户数据的类型是指您的内容中有关个人的信息。
2.6 个人信息主体的类别。个人信息主体的类别包括，由客户和/或最终用户在使用云服务过程中，由云服务处理的所有内容中有关个人信息的相关个人，如客户和/或客户的（a）雇员;（b）供应商;（c）最终用户;（d）顾客。
3. 处理的合法性
3.1 合法性。在执行本附则时,各方将遵守并应能够证明其遵守适用的隐私法。
3.2 信息。华为云将向客户提供所有必要信息以证明履行了本附则设定的义务。
3.3 客户的指示。各方同意本附则及《协议》构成客户对华为云处理客户数据的书面指示，包括客户或客户的最终用户通过云服务的配置工具（如华为云管理Console）或API接口而做出的指示。华为云将仅按照指示处理客户数据。
3.4 通知。考虑到处理的本质，客户同意华为云一般不可能就指示是否违反适用的隐私法而形成意见。然而，如果华为云一旦形成这样的意见，华为云将立即通知客户，该情形可能出现在华为云认为：(a) 适用的隐私法禁止华为云遵照指示；(b) 指示不遵从适用的隐私法；或(c) 华为云在其他方面无法遵守指示。本节不限制任何一方在《协议》其他条款中的权利和义务。
3.5 指示的范围。作为受托人，华为云将在需要提供、保障和监控服务时处理必要的客户数据，并且不会为与提供上述服务无关的目的，或违背《协议》、本附则设立的目的以及其他根据适用的隐私法所要求的任何目的，去收集、使用、保留、访问、共享、出售、转让或以其他方式处理客户数据。
4. 保密
4.1 人员。华为云将确保被授权处理客户数据的人员已承诺保密或承担适当的法定保密义务。
4.2 披露。在不影响上述第4.1条和以下第9条的前提下，华为云不会访问或使用，或向任何第三方披露任何客户数据，除非在特定情况下，为维护或提供服务所必需，或为遵守法律或有权公共机构的有效和有约束力的命令（如传票或法院命令）所必需。如果华为云被有权的公共机构传唤而披露客户数据，华为云将尽力将该传唤转达给客户。这可能包括向有权公共机构提供客户的基本联系信息。如果华为云在法律上有义务向有权的公共机构披露客户数据，华为云将向客户发出关于该命令的合理通知，让客户采取必要的补救措施，除非华为云在法律上被禁止这样做。
5. 安全和安全协助
5.1 安全措施。华为云将贯彻和维护安全措施。安全措施包括：物理访问控制、网络安全、数据完整性保护，身份识别及权限管理、运维安全等；帮助确保华为云的系统和服务持续具备保密性、完整性、可用性和弹性；帮助在意外情况发生后及时恢复对个人信息的访问；以及定期测试华为云系统和服务的有效性。华为云可能会不定期地更新安全措施，但发布这些更新不会导致服务的安全性产生实质减损。
5.2 访问客户数据。华为云将 (a) 授权其员工、与单个客户相关的子个人信息受托人仅在严格必要的情况下遵守指示访问客户数据；以及 (b) 采取适当措施确保其员工、与单个客户相关的子个人信息受托人执行其行为范围内适用的安全措施。
5.3 附加安全控制措施。客户可根据自身业务需求，选择实施附加安全控制措施来保护客户数据。附加安全控制措施可从华为云获取，或直接从第三方供应商获取。华为云将为附加安全控制措施提供以下便利： (a) 允许客户采取措施保护客户数据；以及 (b) 向客户提供关于保护、访问和使用客户数据的信息。
5.4 安全协助。在考虑到客户数据处理的本质和华为云可获得的信息的情况下，华为云将协助客户确保遵守适用的隐私法规定的义务，具体方式包括：
5.4.1 根据第 5.1 和 5.2 节以及附录 1 贯彻和维护安全措施；
5.4.2 根据第 5.3 节向客户提供附加安全控制措施的便利；
5.4.3 遵守第6条的条款；
5.4.4 如果上述第5.4.1-5.4.3款不足以使客户（或相关控制人）履行上述义务，在客户要求下，向客户提供额外的合理合作和协助。华为云因遵守本条规定而产生的任何合理费用将由客户独自承担。
5.5 客户的安全责任。在不影响第5.1-5.4节、第6节和本附则及《协议》其他条款中华为云的责任的情况下，客户对其使用服务和在华为云或子个人信息受托人系统外存储的任何客户数据的副本负责，包括：
5.5.1 使用服务和附加安全措施控制以确保安全等级与客户数据风险相适应；
5.5.2 确保客户用于访问服务的账号认证凭证、系统和设备的安全；以及
5.5.3 适当地备份其客户数据。
6. 个人信息泄露
6.1 通知。华为云在获知个人信息泄露后，将在合理的时间内通知客户。华为云将根据客户提供的联系信息，通过华为云选择的任何方式进行通知，通知方式包括但不限于电子邮件、短信等。客户有责任确保客户的管理员/人员在任何时候都保持账号里是准确的联系信息。
6.2 协助。如发生个人信息泄露，考虑到处理的本质和华为云可获得的信息，华为云将协助客户确保遵守适用隐私法规定的义务。
7. 审核验证
华为云聘用外部第三方独立机构验证其安全措施的充分性，包括华为云提供服务的物理数据中心的安全性。这些审核验证符合下列条件：（a）符合ISO/IEC 27001、ISO/IEC 27701、ISO/IEC 27017、ISO/IEC 27018、ISO/IEC 29151、ISO 27799、ISO 27034、ISO 22301、ISO/IEC 20000-1、CSA STAR、BS 10012、SOC等其他与所列出的标准实质等同的替代标准；（b）审核验证工作由独立的第三方机构人员完成;(c)审核验证工作至少每年进行一次，以及（d）审核验证结果为审核报告或认证证书。华为云已获得的审核报告或认证证书请见：https://www.huaweicloud.com/securecenter/compliance/compliance-center.html，以证明华为云遵守相关的义务。
8. 其他协助
8.1 法律遵从。考虑到客户数据处理的本质和华为云可获得的信息，除上述第5条规定的协助义务外，华为云将协助客户确保遵守适用隐私法规定的义务。
8.2 个人信息主体权利。考虑到处理的本质，华为云将协助客户完成其义务以满足个人信息主体根据适用的隐私法行使权利的请求。华为云通过账号的功能向客户提供采取必要行动的可能性以满足任何个人信息主体关于客户数据的请求。华为云将个人信息主体的请求向客户转达以及华为云提供账号功能应被视为华为云按照适用的隐私法的要求穷尽所应当提供的协助。
8.3 个人信息主体的请求。华为云将通过商业上合理的努力，及时向客户转发其收到的来自个人信息主体的任何请求。除非客户指示，否则华为云不会对该请求作出回应。华为云在遵守本条规定时产生的任何合理费用将由客户独自承担。
9. 子个人信息受托人处理
9.1 一般授权。客户同意，自《协议》签订之日起，华为云有权授权子个人信息受托人代表客户进行特定的处理行为，您可在以下网址参阅详细信息：https://www.huaweicloud.com/declaration/dpa-ie.html。与单个客户相关的子个人信息受托人将取决于客户选择的服务所在区域及客户使用的特定华为云服务。若客户不同意华为云授权前述子个人信息受托人代表客户进行特定的处理行为，客户可以：（a）将相关客户数据从前述您选择的服务所在区域中迁出；(b) 停止使用前述子个人信息受托人提供的云服务。
9.2 子个人信息受托人的义务。当华为云按照第 9.1 或 9.2 条委托一个子个人信息受托人，华为云将：
9.2.1 通过书面合同确保：
9.2.1.1 子个人信息受托人仅在履行被转让的义务所需的范围内访问和使用客户数据，并且按照《协议》（包括本附则）的规定进行；以及
9.2.1.2 本附则中提及的数据保护义务适用于子个人信息受托人；并且
9.2.2 对转让至子个人信息受托人的所有义务，包括所有作为和不作为行为，仍负有全部责任。
10. 客户数据跨境
10.1 客户数据处理的服务所在区域。华为云在中华人民共和国大陆境内及境外提供了服务，中华人民共和国大陆境外提供服务的区域，您可在以下网址参阅详细信息：https://www.huaweicloud.com/declaration/dpa-ie.html。客户数据处理的服务所在区域仅能由客户指定。
10.2 客户数据处理的位置。客户数据处理的位置是客户指定的服务所在区域。只有在以下情况下，华为云可能将客户数据转移出客户所选区域： (a)取得客户的同意，或者 (b) 为遵守适用的法律和法规以及法院或有权公共机构发出的具有约束力的命令所必需的。
10.3 客户数据跨境转移。当客户指定服务所在区域为中华人民共和国大陆境外，根据适用的隐私法，客户应负责开展数据出境安全评估或者履行附录2“数据出境合同”（以下简称“合同”）等数据出境方的义务，华为云应为客户开展数据出境安全评估提供必要协助或者履行附录2“数据出境合同”的数据境外接收方的义务。
11. 个人信息的退还或删除
11.1 个人信息的退还或删除。在《协议》有效期内，通过账号的功能，华为云将根据《协议》的条款为客户提供在任何时候删除全部客户数据的能力，除非适用的隐私法要求存储客户数据。在基于客户要求，或客户关闭其账号时，或《协议》中另有说明时（例如，在延长和/或保留期终止时），华为云将删除客户数据。
11.2 删除授权。客户指示华为云根据第11.1条删除所有客户数据。
12. 文件材料
12.1 处理记录。按照适用隐私法的规定华为云将保存其处理活动的适当文件材料。在适用的隐私法要求华为云收集和保留有关客户的特定信息的记录时，客户可使用华为云提供的控制措施和功能以提供此类信息并确保信息是准确且是不时更新的。如果适用的隐私法要求，华为云可以向监督机构提供任何此类信息。
13. 整体协议
本附则还包括所附的附录1“安全措施”和附录2“数据出境合同”。
14. 协议层级
除非经本附则调整，否则《协议》将保持完全效力。如果各方之间的任何其他协议，包括《协议》和本附则之间存在冲突，则以本附则为准。
15. 准据法和管辖
考虑到本附则中相互的义务，各方同意本附则受《协议》中规定的准据法和管辖的约束。
16. 定义
除非《协议》中另有定义，本附则中使用的所有术语将具有以下含义：
“隐私法”是指与本附则和《协议》项下的客户个人信息安全和保护有关的任何可能适用的中华人民共和国法律（如《个人信息保护法》、《数据安全法》、《网络安全法》及其他可适用的隐私保护法律），根据其实施或制定的任何法律、行政法规或规范性文件，以及这些法律、行政法规或规范性文件的修订、更新或重新颁布版本。
“客户数据 ”是指您的内容中包含的个人信息。
“您的内容”是指根据《协议》中定义的您的内容。指由您和/或您的最终用户以任何格式在服务上处理（包括收集、存储、使用、加工、传输、提供、公开、删除等）的所有数据、软件、文本、图像、视频、音频等。我们的材料、数据和信息不属于您的内容。
“个人信息”是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
“最终用户”是指客户允许访问和使用服务和/或您的内容的任何人。
“安全措施”是指本附则的附录1所述的保护客户数据免遭意外或非法破坏、损失、更改、未经授权的披露或访问的技术和组织措施。
“附加安全控制措施”是指客户通过其选择和/或决定使用的安全资源、特征、功能和/或控制，包括加密、记录和监控、身份和访问管理、安全扫描、隔离防护和容灾备份。
“子个人信息受托人”是指经华为云聘用并被授权为另一处理者，为提供部分服务的可对客户数据进行合理地访问和处理的第三方。
“监督机构”是指适用隐私法中定义的 “监督机构”（如适用）。
此外，术语“个人信息”、“个人信息泄露”、“个人信息主体”、“处理”、“个人信息处理者”和 “受托人”的含义应适用隐私法中赋予它们的含义。
附录1 - 安全措施
华为云已经实施并将保持以下技术和组织措施：
1. 物理访问控制
华为云实施了出入口控制、门禁系统、闭路电视系统等一系列措施来确保数据中心的物理安全，防止未经授权的访问、损坏或干扰华为云基础设施。
2. 网络安全
华为云部署了DDoS防护系统、入侵检测系统等防护机制保护网络免受攻击，制定漏洞管理策略、评估标准和管理流程，实现安全漏洞全生命周期管理。同时，定期运行漏洞扫描程序，及时发现潜在的安全漏洞，并采取应对措施。
3. 数据完整性
A. 华为云在数据存储和传输过程中，酌情使用推荐的行业标准协议对个人数据进行加密或假名化处理，以防止数据泄露和未经授权的访问。
B. 华为云对废弃的存储介质进行消磁处理后，再返回仓库，以确保介质在废弃前进行软件覆盖处理，防止数据泄露。在无法做到这一点的情况下（CD、DVD等），将进行物理销毁。
4. 身份认证和权限管理
A. 华为云根据业务需求和人员级别，部署访问控制机制，对人员访问数据进行身份认证并进行分级权限管理，确保只有授权人员才能访问个人数据。
B. 华为云通过对网络安全角色和职责的清晰定义和分配，通过风险评估，实现职责分离（SOD），降低风险，防止数据处理系统被未授权人员使用。
5.运维安全
华为云实施适当的运维安全管理和技术措施，包括身份认证和访问控制、变更和事件管理、漏洞管理、配置管理、事件日志等，持续监控网络安全事件和威胁，及时发现异常情况并主动采取措施，确保个人数据不会被未授权的人员读取、复制、篡改或删除。
6. 组织和员工安全
A. 华为云已经成立了隐私保护组织，识别和管理个人数据保护风险。
B. 华为云制定了数据安全和个人数据保护政策，包括安全漏洞响应、数据泄露流程等，以降低个人数据泄露带来的隐私安全风险，指导相关部门依法合规处理个人数据。
C. 华为云通过举办安全与隐私保护培训、测试、宣传等活动，提升员工个人数据保护意识。
7. 子个人信息受托人管理
在授权阶段，华为云识别数据处理供应商，并与之签署数据保护协议（Data Protection Agreement，简称DPA），以确保供应商作为子个人信息受托人只能按照客户的指令处理客户数据，并采取足够的组织和技术措施保护客户数据。
附录2：数据出境合同
一、数据出境方的义务
1. 按照相关法律法规规定处理个人信息，向境外接收方提供的个人信息仅限于实现处理目的所需的最小范围。
2. 向个人信息主体告知境外接收方的名称或者姓名、联系方式、处理目的、处理方式、个人信息的种类、保存期限，以及行使个人信息主体权利的方式和程序等事项。向境外接收方提供敏感个人信息的，还应当向个人信息主体告知提供敏感个人信息的必要性以及对个人权益的影响。但是法律、行政法规规定不需要告知的除外。
3. 基于个人同意向境外接收方提供个人信息的，应当取得个人信息主体的单独同意。涉及不满十四周岁未成年人个人信息的，应当取得未成年人的父母或者其他监护人的单独同意。法律、行政法规规定应当取得书面同意的，应当取得书面同意。
4. 尽合理地努力确保境外接收方采取本附则附录1的技术和管理措施，以履行本合同约定的义务。
5. 根据境外接收方的要求向境外接收方提供相关法律规定和技术标准的副本。
6. 答复监管机构关于境外接收方的个人信息处理活动的询问。
7. 按照相关法律法规对拟向境外接收方提供个人信息的活动开展个人信息保护影响评估。重点评估以下内容：
1）数据出境方和境外接收方处理个人信息的目的、范围、方式等的合法性、正当性、必要性。
2）出境个人信息的规模、范围、种类、敏感程度，个人信息出境可能对个人信息权益带来的风险。
3）境外接收方承诺承担的义务，以及履行义务的管理和技术措施、能力等能否保障出境个人信息的安全。
4）个人信息出境后遭到篡改、破坏、泄露、丢失、非法利用等的风险，个人信息权益维护的渠道是否通畅等。
5）评估当地个人信息保护政策和法规对合同履行的影响。
6）其他可能影响个人信息出境安全的事项。
保存个人信息保护影响评估报告至少3 年。
8. 根据个人信息主体的要求向个人信息主体提供本合同的副本。如涉及商业秘密或者保密商务信息，在不影响个人信息主体理解的前提下，可对本合同副本相关内容进行适当处理。
9. 对本合同义务的履行承担举证责任。
二、数据境外接收方的义务
1.按照本附则所列约定处理个人信息。如超出约定的处理目的、处理方式和处理的个人信息种类，基于个人同意处理个人信息的或涉及不满十四周岁未成年人个人信息的，应当事先取得数据出境方的单独同意。
2.受数据出境方委托处理个人信息的，应当按照与数据出境方的约定处理个人信息，不得超出与数据出境方约定的处理目的、处理方式等处理个人信息。
3.采取对个人权益影响最小的方式处理个人信息。
4.个人信息的保存期限为实现处理目的所必要的最短时间，保存期限届满的，应当删除个人信息（包括所有备份）。受数据出境方委托处理个人信息，委托合同未生效、无效、被撤销或者终止的，应当将个人信息返还数据出境方或者予以删除，并向数据出境方提供书面说明。删除个人信息从技术上难以实现的，应当停止除存储和采取必要的安全保护措施之外的处理。
5.按下列方式保障个人信息处理安全：
1）采取包括但不限于本附则附录1的技术和管理措施，并定期进行检查，确保个人信息安全。
2）确保授权处理个人信息的人员履行保密义务，并建立最小授权的访问控制权限。
6. 如处理的个人信息发生或者可能发生篡改、破坏、泄露、丢失、非法利用、未经授权提供或者访问，应当开展下列工作：
1）及时采取适当补救措施，减轻对个人信息主体造成的不利影响。
2）立即通知数据出境方，并根据相关法律法规要求报告监管机构。通知应当包含下列事项：
a）发生或者可能发生篡改、破坏、泄露、丢失、非法利用、未经授权提供或者 访问的个人信息种类、原因和可能造成的危害。
b）已采取的补救措施。
c）个人信息主体可以采取的减轻危害的措施。
d）负责处理相关情况的负责人或者负责团队的联系方式。
3）相关法律法规要求通知个人信息主体的，通知的内容包含本项第2条的事项。受数据出境方委托处理个人信息的，由数据出境方通知个人信息主体。
4）记录并留存所有与发生或者可能发生篡改、破坏、泄露、丢失、非法利用、未经授权提供或者访问有关的情况，包括采取的所有补救措施。
7. 同时符合下列条件的，方可再向中华人民共和国境外的第三方提供个人信息：
1）确有业务需要。向境外第三方提供的个人信息范围应当仅限于实现处理目的所需的最小范围。
2）已告知数据出境方该第三方的名称或者姓名、联系方式、处理目的、处理方式、个人信息种类、保存期限以及行使个人信息主体权利的方式和程序等事项。向第三方提供敏感个人信息的，还应当向数据出境方告知提供敏感个人信息的必要性以及对个人权益的影响。但是法律、行政法规规定不需要告知的除外。
3）基于个人同意处理个人信息的或涉及不满十四周岁未成年人个人信息的，应当取得数据出境方的单独同意。
4）与境外第三方达成书面协议，确保第三方的个人信息处理活动达到中华人民共和国相关法律法规规定的个人信息保护标准，并承担因向中华人民共和国境外的第三方提供个人信息而侵害个人信息主体享有权利的法律责任。
5）根据数据出境方的要求向数据出境方提供该书面协议的副本。如涉及商业秘密或者保密商务信息，在不影响数据出境方理解的前提下，可对该书面协议相关内容进行适当处理。
8. 受数据出境方委托处理个人信息，转委托第三方处理的，应当事先征得数据出境方同意，要求该第三方不得超出本合同第三章“个人信息出境说明”约定的处理目的、处理方式等处理个人信息，并对该第三方的个人信息处理活动进行监督。
9. 未经数据出境方同意，不得利用个人信息进行自动化决策。
10.承诺向数据出境方提供已遵守本合同义务所需的必要信息，允许数据出境方对必要数据文件和文档进行查阅。
11.对开展的个人信息处理活动进行客观记录，保存记录至少3 年，并按照相关法律法规要求直接或者通过数据出境方向监管机构提供相关记录文件。
12.根据相关法律法规规定，为数据出境方针对出境的个人信息开展个人信息保护影响评估等提供必要协助。
13.当个人信息主体依据相关法律法规，要求对已经出境的个人信息行使相关权利时，个人信息主体请求数据出境方采取适当措施实现而数据出境方无法实现的，应为数据出境方提供必要协助。
14.在组织内部建立有关个人信息处理的询问或投诉机制，并应及时处理数据出境方的任何有关个人信息处理的询问或投诉。将询问或投诉渠道的联系方式通过单独通知或在其网站发布公告的方式告知。
三、个人信息出境说明
根据本合同向境外提供个人信息的详情约定如下：
（一）个人信息主体：
客户和/或最终用户在使用云服务过程中，由云服务处理的所有内容中有关个人信息的相关个人。如客户和/或客户的（a）最终用户; （b）雇员;（c）供应商;（d）顾客。
（二）处理目的：
向客户提供云服务。
（三）处理方式：
云服务相关的计算、存储、传输、加工、删除等功能。
（四）出境个人信息的类别：
您的内容中有关个人的信息。
（五）传输方式：
公共互联网加密传输。
（六）个人信息出境后存储时间：
客户通过云服务提供的能力删除其客户数据或客户关闭其华为云账号时，华为云将删除客户数据。
（七）个人信息出境后存储地点：
客户指定的服务所在区域。
更新时间：2024年3月
