資料處理協議

本資料處理協議（「本 DPA」）適用於您使用服務處理您自己客戶的個人資料的情況，並構成您與 Codesignx Limited（「MakesBooking」、「我們」、「我方」）之間服務條款的一部分。

您毋須另行簽署：接受服務條款即接受本 DPA。如貴機構需要已簽署的文本，請向我們索取。

香港與歐洲法律就同樣的兩種角色使用不同用語。在本 DPA 中，「資料使用者」與「控制者」同義，「資料處理者」與「處理者」同義。個人資料、處理、資料當事人及個人資料外洩事故，按《個人資料（私隱）條例》（第 486 章）及（在其適用時）GDPR 所賦予的涵義理解。

就您輸入服務的客戶個人資料而言，您是資料使用者，我們是您的資料處理者。由您決定收集甚麼及為何收集；我們按您的指示持有及處理。

就您自己的帳戶及帳單資料（即您及您員工作為我們客戶的個人資料）而言，我們是資料使用者，並受私隱政策規管。

• 標的及目的：提供您所訂閱的預約平台。
• 期間：於您的帳戶存續期間，其後按私隱政策所述處理。
• 處理的性質：收集、儲存、整理、顯示、傳送、備份及刪除。
• 個人資料類型：姓名、聯絡資料、預約及出席記錄、購買及付款記錄、您選擇記錄的備註，以及 IP 位址等存取資料。
• 資料當事人類別：您的客戶及其代為預約的人士，以及您的員工。
• 我們不會索取健康或生物特徵等敏感類別資料，服務亦非為保存該等資料而設計。如您在自由文字欄位中記錄該等資料，則您以資料使用者身分自行承擔風險。

• 我們僅按您的書面指示處理資料。您對服務的使用及本條款即構成該等指示。如我們認為某項指示違法，我們會告知您並可拒絕執行。
• 所有可存取該等資料的人員均負有保密義務。
• 我們維持適當的保安措施，包括傳輸加密、存取控制，以及將每個商戶的資料與其他商戶的資料分隔。
• 當您的客戶行使查閱、更正或刪除等權利時，我們會將該要求轉交您，並提供工具及資料協助您處理。
• 我們會在合理範圍內，按我們所知悉的情況協助您履行外洩通報及影響評估的義務。
• 協議終止時，我們按下文所述刪除或交還資料。

• 您須有合法依據收集該等資料並將其提供予我們。
• 您須告知客戶您如何使用其資料，包括在您的預約頁面上發佈您自己的私隱聲明。
• 您須為所輸入資料的準確性負責，並須妥善控制自身的存取權。
• 您向我們發出的指示須為合法。

您一般性授權我們委聘次級處理者。現行名單刊於私隱政策「我們與誰分享」一節，該名單為權威名單。

在新增或更換會處理您客戶個人資料的次級處理者前，我們會提供至少 30 日通知。如您於該期間內基於資料保障理由合理反對，我們會與您商討；如未能解決，您可終止受影響的服務，而我們會退還您已支付但未獲提供服務期間的費用。

就次級處理者履行本協議義務一事，我們仍須向您負責。

如我們知悉影響您資料的個人資料外洩事故，我們會在無不當延誤的情況下通知您，並提供我們所知的資料：事件經過、受影響的資料類別及大約記錄數目、可能後果，以及我們採取的措施。隨着掌握更多資料，我們會持續向您更新。

作為資料使用者，是否通知監管機構或您的客戶由您決定，我們會予以支援。

您客戶的記錄存放於香港，詳見私隱政策。部分次級處理者必然跨境營運（例如內容傳送網絡、付款處理商、分析服務供應商），私隱政策已列明。

本節僅在 GDPR 或英國 GDPR 適用於您的處理活動時，於其適用範圍內生效，並不另行改變本 DPA。

• 上述義務即為我們的第 28 條承諾，並應據此理解。
• 就歐洲經濟區或英國以外的資料轉移，適用歐盟委員會的標準合約條款（以及在相關情況下的英國國際資料轉移附錄），由 MakesBooking 作為資料接收方，您作為資料輸出方。已簽署的附件可按要求提供。
• 如監管機構或法律變更要求採用不同的轉移機制，我們會予以落實，而非在欠缺機制下繼續處理。

我們會提供您合理需要的資料，以證明我們履行本協議義務。如仍不足夠，您可對我們進行審核——每十二個月一次，須提前 30 日書面通知，於辦公時間內進行，不得干擾服務，並須遵守保密義務。費用由您承擔，惟審核發現我們有重大違約者除外。

協議終止時，我們會按要求以機器可讀格式向您提供客戶記錄，其後按私隱政策所載時間表刪除或匿名化。請於要求刪除前先索取副本——其後我們無法再行提供。

如法律有所要求，我們可保留資料；在我們持有期間，該等資料仍受本 DPA 規管。

本 DPA 項下的責任受服務條款的責任限制規管。就個人資料的保障而言，本 DPA 與服務條款如有差異，以本 DPA 為準。

本文件以英文、繁體中文及簡體中文發佈。各版本之間如有任何不一致或歧義，概以英文版本為準。

有關本 DPA 的任何事宜，請聯絡 [email protected]。