资料处理协议

本资料处理协议（“本 DPA”）适用于您使用服务处理您自己客户的个人资料的情况，并构成您与 Codesignx Limited（“MakesBooking”、“我们”、“我方”）之间服务条款的一部分。

您毋须另行签署：接受服务条款即接受本 DPA。如贵机构需要已签署的文本，请向我们索取。

香港与欧洲法律就同样的两种角色使用不同用语。在本 DPA 中，“资料使用者”与“控制者”同义，“资料处理者”与“处理者”同义。个人资料、处理、资料当事人及个人资料外泄事故，按《个人资料（隐私）条例》（第 486 章）及（在其适用时）GDPR 所赋予的涵义理解。

就您输入服务的客户个人资料而言，您是资料使用者，我们是您的资料处理者。由您决定收集什么及为何收集；我们按您的指示持有及处理。

就您自己的帐户及帐单资料（即您及您员工作为我们客户的个人资料）而言，我们是资料使用者，并受隐私政策规管。

• 标的及目的：提供您所订阅的预约平台。
• 期间：于您的帐户存续期间，其后按隐私政策所述处理。
• 处理的性质：收集、储存、整理、显示、传送、备份及删除。
• 个人资料类型：姓名、联络资料、预约及出席记录、购买及付款记录、您选择记录的备注，以及 IP 地址等存取资料。
• 资料当事人类别：您的客户及其代为预约的人士，以及您的员工。
• 我们不会索取健康或生物特征等敏感类别资料，服务亦非为保存该等资料而设计。如您在自由文字栏位中记录该等资料，则您以资料使用者身分自行承担风险。

• 我们仅按您的书面指示处理资料。您对服务的使用及本条款即构成该等指示。如我们认为某项指示违法，我们会告知您并可拒绝执行。
• 所有可存取该等资料的人员均负有保密义务。
• 我们维持适当的保安措施，包括传输加密、存取控制，以及将每个商户的资料与其他商户的资料分隔。
• 当您的客户行使查阅、更正或删除等权利时，我们会将该要求转交您，并提供工具及资料协助您处理。
• 我们会在合理范围内，按我们所知悉的情况协助您履行外泄通报及影响评估的义务。
• 协议终止时，我们按下文所述删除或交还资料。

• 您须有合法依据收集该等资料并将其提供予我们。
• 您须告知客户您如何使用其资料，包括在您的预约页面上发布您自己的隐私声明。
• 您须为所输入资料的准确性负责，并须妥善控制自身的存取权。
• 您向我们发出的指示须为合法。

您一般性授权我们委聘次级处理者。现行名单刊于隐私政策“我们与谁分享”一节，该名单为权威名单。

在新增或更换会处理您客户个人资料的次级处理者前，我们会提供至少 30 日通知。如您于该期间内基于资料保障理由合理反对，我们会与您商讨；如未能解决，您可终止受影响的服务，而我们会退还您已支付但未获提供服务期间的费用。

就次级处理者履行本协议义务一事，我们仍须向您负责。

如我们知悉影响您资料的个人资料外泄事故，我们会在无不当延误的情况下通知您，并提供我们所知的资料：事件经过、受影响的资料类别及大约记录数目、可能后果，以及我们采取的措施。随着掌握更多资料，我们会持续向您更新。

作为资料使用者，是否通知监管机构或您的客户由您决定，我们会予以支援。

您客户的记录存放于香港，详见隐私政策。部分次级处理者必然跨境运营（例如内容传送网络、付款处理商、分析服务供应商），隐私政策已列明。

本节仅在 GDPR 或英国 GDPR 适用于您的处理活动时，于其适用范围内生效，并不另行改变本 DPA。

• 上述义务即为我们的第 28 条承诺，并应据此理解。
• 就欧洲经济区或英国以外的资料转移，适用欧盟委员会的标准合约条款（以及在相关情况下的英国国际资料转移附录），由 MakesBooking 作为资料接收方，您作为资料输出方。已签署的附件可按要求提供。
• 如监管机构或法律变更要求采用不同的转移机制，我们会予以落实，而非在欠缺机制下继续处理。

我们会提供您合理需要的资料，以证明我们履行本协议义务。如仍不足够，您可对我们进行审核——每十二个月一次，须提前 30 日书面通知，于办公时间内进行，不得干扰服务，并须遵守保密义务。费用由您承担，惟审核发现我们有重大违约者除外。

协议终止时，我们会按要求以机器可读格式向您提供客户记录，其后按隐私政策所载时间表删除或匿名化。请于要求删除前先索取副本——其后我们无法再行提供。

如法律有所要求，我们可保留资料；在我们持有期间，该等资料仍受本 DPA 规管。

本 DPA 项下的责任受服务条款的责任限制规管。就个人资料的保障而言，本 DPA 与服务条款如有差异，以本 DPA 为准。

本文件以英文、繁体中文及简体中文发布。各版本之间如有任何不一致或歧义，概以英文版本为准。

有关本 DPA 的任何事宜，请联络 [email protected]。