# 数据处理附录

> Shoprocket 数据处理附录，涵盖 GDPR 规定的数据处理义务。

最后更新于 2026年4月26日

此翻译仅为方便你阅读。[英文版本](https://v3.shoprocket.io/gdpr.md)才是具有法律约束力的版本，两者不一致时以英文版本为准。

本 Shoprocket 数据处理附录（“附录”）对您（“您”）与 **Shoprocket LTD**（公司编号 12656598，在英格兰和威尔士注册，地址 20-22 Wenlock Road, London, NG 17U）之间的 Shoprocket 条款与条件（“协议”）进行修改。如果您与 Shoprocket 另有单独的 SLA，则协议中的提及均指该 SLA。本附录受协议约束并纳入协议。此处未定义的任何首字母大写术语，其含义以协议中的规定为准。

---

## 定义

- **账户设置**：您的 Shoprocket 账户的配置（包括安全设置），让您管理 Shoprocket 如何处理个人数据。
- **业务目的**：协议中定义的服务。
- **客户账户数据**：与您和 Shoprocket 的关系有关的个人数据（例如授权联系人、账单详情），以及 Shoprocket 为账户管理、身份核查或法律要求而收集的信息。
- **客户使用数据**：Shoprocket 在您使用服务时处理的使用数据（例如日志、性能指标、防滥用数据）。
- **数据保护立法**：包括 CCPA、欧盟 GDPR、《瑞士联邦数据保护法》、英国 GDPR、DPA 2018 和 PECR 2003（均包括其更新版本）。术语（例如“数据控制者”“数据处理者”）遵循欧盟 GDPR。
- **EEA**：欧洲经济区。
- **欧盟 SCC**：根据委员会决定 2021/914 制定的标准合同条款。
- **EEA 外传输**：在没有欧盟 GDPR 第 45 条规定的充分性认定的情况下，将个人数据（受欧盟 GDPR 管辖）传输到 EEA 以外。
- **英国外传输**：在没有英国国务大臣作出的充分性认定的情况下，将个人数据（受英国 GDPR 管辖）传输到英国以外。
- **服务提供商**：具有 CCPA 中所定义的含义。
- **服务**：Shoprocket 用于创建/管理网店（“Shoprocket 店铺”）、处理商品、支付、配送、营销的工具，以及 Shoprocket 可能提供的任何工具或服务。
- **Shoprocket 账户**：您的账户，让您访问服务（包括账户设置），位于 [https://www.shoprocket.io](https://www.shoprocket.io)。
- **Shoprocket 隐私政策**：位于 [https://shoprocket.io/privacy](https://shoprocket.io/privacy) 的通知（含其更新版本）。
- **Shoprocket 店铺**：由 Shoprocket 托管或提供支持的您的电商网站。
- **特殊类别数据**：具有欧盟/英国 GDPR 第 4(13)、4(14)、4(15) 和 9 条（视适用情况）中所定义的含义。
- **标准合同条款（SCC）**：欧盟 SCC 和英国 SCC（视相关情况而定）。
- **英国 SCC**：经英国 ICO 的 IDTA 附录修订的欧盟 SCC。
- **我们/我们的**：Shoprocket LTD（包括“Shoprocket”和“Shoprocket.io”）。
- **您/您的**：协议中指明的合同方。

---

## 客户指示

本附录和协议（包括您的账户设置中的指示）构成 Shoprocket 如何处理个人数据的**书面指示**。Shoprocket 仅会按指示处理个人数据。超出这些条款的额外指示需要事先书面同意（并可能产生额外费用）。

如果您的指示违反数据保护立法或偏离已商定的指示，Shoprocket 可以终止本附录和协议。鉴于处理的性质，Shoprocket 通常无法判断您的指示是否违法；如果其确实形成此类意见，将通知您，您可以修改或撤回该指示。

---

## 数据处理

1. **Shoprocket 的处理**
  
   - **数据处理者/服务提供商**：除客户账户数据和客户使用数据外，Shoprocket 代表您处理个人数据（根据欧盟/英国 GDPR）或个人信息（根据 CCPA）。
   - **独立数据控制者**：对于直接从店铺客户收集的个人数据以及客户账户数据或客户使用数据，Shoprocket 是数据控制者。
2. **存储**
  
   - 个人数据存储于：
  
     1. 爱尔兰（或其他 EEA 区域）的 AWS 服务器，
     2. 德国纽伦堡/法尔肯施泰因的 Hetzner 服务器。
3. **范围和目的**
  
   - Shoprocket 仅在为您指定的业务目的（与所购买的服务一致）所必需的范围内，并依照数据保护立法处理个人数据。
   - 如果法律要求以不同方式处理，除非法律禁止，Shoprocket 将通知您。
   - Shoprocket 将及时遵循您的书面指示，修改、传输或删除个人数据，或停止未经授权的处理。
   - 除非披露已获授权或法律要求，Shoprocket 对个人数据保密。
   - Shoprocket 协助您履行合规义务（例如数据主体请求、DPIA），不收取额外费用。
   - Shoprocket 会通知您可能影响协议或本附录的法律变更。
4. **Shoprocket 作为独立数据控制者**
  
   - 对于客户账户数据和客户使用数据，Shoprocket 不是共同控制者，而是依照 Shoprocket 隐私政策，为管理与您的关系、防止欺诈/安全事件、履行法律义务等目的处理这些数据。
5. **CCPA**
  
   - 除客户账户数据和客户使用数据外，Shoprocket 是您在 CCPA 下的服务提供商；它不会“出售”此类个人信息，仅将其用于履行服务或法律另有允许的用途。
6. **附加组件**
  
   - 您可以根据与各发布者另行签订的 EULA，集成第三方附加组件（“附加组件”）。Shoprocket 会向附加组件发布者传输必要的个人数据，但不对其处理行为负责。目前 Shoprocket 推广的附加组件包括：
  
     - **Amazon、eBay、Facebook Marketplace、Google Shopping、Instagram Shopping**：多渠道履约与同步。
     - **Affirm、Afterpay、Alipay、Apple Pay、Click to Pay、GrabPay、GooglePay、iDEAL、Klarna、Microsoft Pay、PayPal、P24、Sofort、Stripe、WeChat Pay**：支持各种方式/币种的支付集成。
     - **Zapier**：自动化 Shoprocket 与其他应用之间的数据传输/工作流。
   - 如果 Shoprocket 与您已订立 SCC，则在 SCC 要求的情况下，您集成附加组件的指示即视为同意向这些附加组件发布者传输个人数据。
7. **您的责任**
  
   - 对于 Shoprocket 代表您收集或处理的任何个人数据，您是数据控制者。
   - 您负责满足通知/同意要求，并确保遵守数据保护立法。

---

## 个人数据类型和处理目的

- **标的事项**：您上传到服务的个人数据，包括您的 Shoprocket 账户或店铺。
- **期限**：由您决定（直到您暂停/终止您的 Shoprocket 订阅或相关集成）。
- **目的**：按您的指示提供服务（例如运营您的 Shoprocket 店铺/账户）。
- **处理性质**：Shoprocket 的电商平台（以及任何子处理者/附加组件发布者）可能存储或处理个人数据。
- **个人数据类型**：您上传的数据（例如联系信息、客户详情、交易记录）。
- **数据主体**：您、您的客户、员工、承包商、代理人、供应商或供货商。

---

## 数据处理的安全

Shoprocket 将保持适当的技术和组织措施，保护个人数据免受未经授权或非法的处理、意外丢失或破坏，并与欧盟/英国 GDPR 的**第 32 条**保持一致。措施包括（视情况而定）：

- 数据的假名化/加密；
- 确保系统的保密性、完整性、可用性和韧性；
- 在事件发生后及时恢复数据可用性；
- 定期测试、评估和评价这些措施。

### Shoprocket 的员工

- Shoprocket 确保处理个人数据的员工、承包商和代理人接受过培训，受保密义务约束，并充分了解其数据保护义务。

### 安全（重述）

- Shoprocket 持续更新技术/组织保障措施，以防止未经授权的处理，包括加密、系统韧性、可恢复性和有效性测试。

---

## 个人数据泄露

1. **通知**
  
   - 如果 Shoprocket 获知以下情况，将在 **72 小时**内（且不得无故延迟）通知您：
  
     1. 个人数据的丢失/损坏；
     2. 任何意外、未经授权或非法的处理；
     3. 个人数据泄露。
2. **信息**
  
   - Shoprocket 提供事件描述、受影响的数据类别/数量，以及已采取或建议采取的减轻影响的措施。
3. **合作**
  
   - Shoprocket 与您协调调查，除非法律要求，否则未经您的书面同意不会通知第三方。
4. **费用**
  
   - Shoprocket 承担履行这些义务的合理费用，除非事件因您的指示、疏忽或违约而引起，在这种情况下由您承担 Shoprocket 的合理费用（包括专业顾问费用）。

---

## 子处理者

Shoprocket 目前使用以下**子处理者**进行数据托管/处理、基础设施/网络服务或其他服务功能：

| **名称** | **说明** | **地点** |
| --- | --- | --- |
| **200OK LLC (Profitwell)** | 订阅报告/分析。 | 美国马萨诸塞州 |
| **Amazon Web Services EMEA SARL** | 云托管、计算、存储。 | 欧盟卢森堡 |
| **Automattic, Inc. (Gravatar)** | 允许用户向 Shoprocket 账户上传头像。 | 美国加利福尼亚州 |
| **Cloudflare, Inc.** | 网络安全与连接。 | 美国加利福尼亚州 |
| **Crisp IM SAS** | 用于用户支持的在线聊天和客户消息应用。 | 欧盟法国 |
| **Facebook Technologies Ireland** | 用于转化、广告优化、受众建立的 Facebook Pixel。 | 欧盟爱尔兰 |
| **Google Ireland Limited** | Google Analytics（行为分析）、Adwords（广告投放/变现）。 | 欧盟爱尔兰 |
| **GmbH** | 云托管、计算和存储。 | 欧盟德国 |
| **TPS Unlimited, Inc. (Taxjar)** | 为 Shoprocket 店铺提供欧盟 VAT & 美国销售税的税费自动化。 | 美国加利福尼亚州 |
| **Twilio, Inc. (Sendgrid)** | 多渠道消息（电子邮件、短信、WhatsApp）。 | 欧盟爱尔兰 |
| **Twitter, Inc.** | 用于转化跟踪和广告效果指标的 Twitter Pixel。 | 美国加利福尼亚州 |

您授权 Shoprocket 使用上述子处理者，并概括授权 Shoprocket 添加其他子处理者（“获授权子处理者”）。在使用新的子处理者之前，Shoprocket 将至少提前 **30 天**通过网站、电子邮件或账户通知予以通知。您可在收到通知后 **10 天**内，基于合理的数据保护理由以书面形式提出异议。如果涉及关键的子处理者，且在 **90 天**内未找到替代方案，您可以中止或终止相关服务（仍需支付到期的任何费用）。

如果您在 10 天内没有提出异议，新的子处理者即视为获得批准。Shoprocket 聘用子处理者时，将：

- 将访问权限限制在提供或改进服务所必需的范围内；
- 对其施加相同的数据保护义务；
- 仍对其合规情况承担责任。

如果 SCC 适用，您的授权视为第 9(c) 条或相关英国 SCC 条款项下的事先书面同意。Shoprocket 在向您提供子处理合同之前，可以删去非必要的商业细节。

---

## 个人数据的传输

Shoprocket 可能为提供服务而将个人数据传输到 EEA、英国或瑞士以外（例如，位于美国的某些附加组件发布者/子处理者）。在没有适用的充分性认定的情况下，Shoprocket 将依照数据保护立法确保适当的保障措施。

- **EEA 外传输**：适用欧盟 SCC（Shoprocket 作为控制者时适用模块一，作为处理者时适用模块二）。某些条款（例如第 7 条的加入条款）不适用；争议适用爱尔兰法律/法院。
- **英国外传输**：适用 IDTA 附录。
- **从瑞士的传输**：与欧盟 SCC 类似，并针对瑞士 FADP 作出修改。
- **补充措施**：
  
  - 截至本附录之日，不存在正式的政府数据访问请求。
  - 如果被强制要求披露您的数据，Shoprocket 将通知您（除非被禁止）并协助您寻求保护措施。
  - Shoprocket 与您将定期讨论进口国的法律是否提供同等保护或是否需要额外措施。
  - 如果任何传输机制不再有效，或监管机构暂停其适用，Shoprocket 可以实施替代安排或暂停传输。

如果您批准位于 EEA 以外的子处理者/附加组件，则您也授权 Shoprocket 代表您签署 SCC。

---

## 投诉、数据主体请求和第三方权利

Shoprocket 将及时向您提供您所需的任何信息或协助，以便：

1. 履行数据主体的权利（访问、更正、删除、可携带、反对等）。
2. 处理或遵守监管机构的信息/评估通知。

如果 Shoprocket 收到与处理有关的投诉或通信，将立即通知您；如果收到数据主体请求，将在 **14 天**内通知您。Shoprocket 协助作出回应，除非法律要求或根据您的指示，不会向第三方披露个人数据。

---

## 期限和终止

只要协议有效，或 Shoprocket 仍保留任何相关个人数据，本附录就持续有效。为数据保护目的而必须继续有效的条款仍然有效。任何对本 DPA 的重大违反即构成对协议的重大违反，您有权立即终止而无需承担进一步责任。

如果数据保护立法的变更使一方无法履行其义务，双方可以暂停处理，直到实现合规。如果在 **90 天**内未能解决，任何一方均可通过通知立即终止。

---

## 数据的返还和销毁

- **应请求**，Shoprocket 向您（或您书面指定的第三方）提供个人数据的副本或访问权限，格式由您指定（在合理的情况下）。
- **终止时**，Shoprocket 返还或删除个人数据，除非法律要求继续存储。如果删除不可行或不合法，Shoprocket 将阻止进一步的处理并继续保护这些数据。
- **SCC 证明**：如果 SCC 适用，Shoprocket 将应您的书面请求，依照欧盟 SCC（或英国 SCC）第 8.1(d) 条证明已删除。
- 如果任何法律/法规要求 Shoprocket 保留某些数据，其将通知您依据、期限，并在不再需要时予以删除。
- Shoprocket 在完成删除后 **30 天**内证明已删除。

---

## 记录

Shoprocket 保存所有个人数据处理的详细、准确、最新的记录（例如安全措施、子处理者、处理目的、任何国际传输）。这些记录必须能让您核实 Shoprocket 的合规情况。应请求提供副本。

---

## 保证

Shoprocket 保证：

1. 其有权访问个人数据的员工、分包商或代理人可靠、值得信赖，并接受过适当培训。
2. 其将完全遵守数据保护立法和相关法律处理个人数据。
3. 其没有理由相信法律会阻止提供约定的服务。
4. 考虑到技术和成本，其将采取适当措施，防止未经授权的处理或意外损坏/丢失，确保与风险和数据敏感性相称的安全。

---

## 执行和修改

签署协议即表示您同意并受本附录约束。如因法律或监管原因需要，Shoprocket 可以提前 **30 天书面通知**更新本附录。如果您提出异议且未能达成共同解决方案，您可以在该期限内以书面通知终止受影响的服务（需支付已发生的任何费用）。因此类终止不再产生任何进一步的索赔。

## 附件 A

**Shoprocket 安全标准**

（此处未定义的首字母大写术语，其含义以附录中所赋予的为准。）

本附件概述了 Shoprocket 的技术和组织措施，目的是：

1. 保护个人数据免遭意外或非法的丢失、访问或披露；
2. 识别可预见的安全风险，防止对服务（包括您的 Shoprocket 账户）的未经授权访问；
3. 通过风险评估和测试，将安全风险降到最低。

Shoprocket 指定一名或多名员工监督这些信息安全做法并回应相关咨询。

---

## 1. 共同责任模型

Shoprocket 是一款**基于云的 SaaS** 应用，由以下方托管：

- 位于 eu-west-1 区域（爱尔兰）的 **Amazon Web Services (AWS)**
- 位于德国法尔肯施泰因的 **Hetzner Online**

**AWS** 运行 Shoprocket 的主平台、基础设施和数据托管。**Hetzner Online** 提供额外的专用服务器空间，用于图片、数字下载、日志和发票。在此模型下：

- **Shoprocket** 管理应用层面的安全（例如用户访问、应用补丁）。
- **AWS / Hetzner** 管理物理安全和底层云环境。

有关 AWS 和 Hetzner 安全的更多详情，请参阅它们各自的文档。

---

## 2. AWS 和 Hetzner Online 服务器

### AWS

Shoprocket 在依照英国 GDPR 第 28(3)(c) 条和第 32 条进行审慎审查后选择了 AWS。AWS 已通过众多标准的认证（例如 SOC 1/2/3、ISO 27001/27017/27018、PCI DSS、FedRAMP、HITRUST），并提供详尽的合规文档。Shoprocket 将 AWS 配置为仅在欧盟/EEA 内存储个人数据。

### Hetzner Online

Hetzner Online 已通过 DIN ISO/IEC 27001 认证，为某些数据备份和日志提供专用服务器空间。Hetzner Online 位于纽伦堡和法尔肯施泰因的数据中心经过第三方审计和认证，并实施了信息安全管理体系（ISMS）。

---

## 3. Shoprocket 应用的设计、完整性和可用性

- **架构**：Shoprocket 应用使用 JavaScript 框架构建，依赖 Amazon 的关系数据库服务（Amazon RDS）for MySQL。
- **高性能和冗余**：AWS 自动处理负载均衡，Shoprocket 在 Amazon S3 上保留每日备份。备份存储在不同的 AWS 区域以提高韧性。此外，备份还存储在 Hetzner Online 的专用服务器上（采用 RAID-1 磁盘系统）。
- **安全设计**：Shoprocket 定期检查已知的网络漏洞（例如 OWASP 十大风险），并实施 XSS 防护和净化。专业的第三方每年对代码和基础设施进行漏洞测试，并辅以第三方漏洞扫描服务。

---

## 4. 加密

- **静态数据**：AWS/Hetzner 上的个人数据使用 **AES-256** 或更高强度加密。
- **密钥管理**：AWS 密钥管理服务（KMS）确保任何人（包括 AWS 员工）都无法访问明文密钥；密钥每年轮换。Hetzner 实施全盘 AES-256 加密以及强制身份验证。
- **传输中的数据**：所有对外的数据传输均使用 **TLS 1.2+**。API 和网页界面要求使用 HTTPS（不允许未加密连接）。

---

## 5. 将服务器位置限制在 EEA/欧盟

Shoprocket **仅在 EEA 内**存储数据（爱尔兰的 AWS，德国的 Hetzner），最大限度降低与 EEA 以外数据传输相关的风险（例如遵守 Schrems II 判决）。

---

## 6. 可用区

Shoprocket 的前端/后端系统**冗余分布**在多个可用区（AWS 和 Hetzner 均如此）。每个可用区都有多个 ISP、电源和高速链路，确保高可用性和最佳性能。

---

## 7. 入侵检测

Shoprocket 使用**入侵检测系统（IDS）**监控：

- 日志文件中的异常条目，
- 文件完整性变化，
- 网络流量（欺骗、已知漏洞利用、rootkit），
- 端口变化，以及
- AWS 账户事件（例如配置变更）。

严重异常会触发自动预防措施。IDS 还支持 PCI DSS 3.0 的要求。

---

## 8. 日志 / 审计追踪

Shoprocket 记录：

- 系统事件，
- 错误，
- 用户活动，
- 数据库登录/请求，
- 其他与安全相关的事件。

Shoprocket 使用 **AWS CloudTrail** 记录其云环境中的所有事件，以保证透明度和用于取证。

---

## 9. 监控

Shoprocket 使用多种**监控工具**确保可用性和性能，跟踪：

- **可用性**：应用可访问性、后端/系统健康状况；
- **资源**：CPU、网络接口、存储使用情况；
- **性能**：应用/数据库响应时间；
- **安全**：IDS 状态、系统更新、错误/访问日志。

Shoprocket 员工还会关注安全更新、漏洞报告和相关安全博客（如 OWASP）。

---

## 10. 安全审计和渗透测试

Shoprocket 定期进行**内部和外部安全测试**。外部服务提供商检查漏洞，内部审计则评估技术和组织措施的有效性。

---

## 11. 变更管理

Shoprocket 为代码变更维护有版本控制的**代码仓库**，并设有与生产环境镜像一致的预发布环境。变更在部署前经过测试，确保时间/内容的可追溯性。

---

## 12. 访问控制

- **最小必要原则**：只有因职责需要访问系统的员工才能获得访问权限。
- **IAM 系统**：访问控制使用 AWS/Hetzner 的身份管理。
- **安全**：后端系统只能通过安全的、经过身份验证的连接访问。极少数人员出于诊断目的可直接访问数据；此类访问会被记录和监控。

## 附件 B

**跨境传输**

## 第 1 部分 - EEA 外传输

1. **标准合同条款（SCC）附件 I.A**
  
   - **数据输出方**：您（依据协议）。
  
     - 联系方式：与协议中相同。
     - 角色：数据控制者。
     - **模块一**：数据输入方是数据控制者（针对客户账户数据 & 客户使用数据）。
     - **模块二**：数据输入方是数据处理者（针对所有其他个人数据）。
     - 签署/日期：通过订立协议 & DPA，数据输出方自生效日期起视为已签署 SCC。
   - **数据输入方**：Shoprocket。
  
     - 联系方式：与协议中相同。
     - 签署/日期：通过订立协议 & DPA，数据输入方自生效日期起视为已签署 SCC。
2. **SCC 附件 I.B**
  
   - 数据主体：见附录第 4.6 条。
   - 个人数据类别：见附录第 4.5 条。
   - 无意传输特殊类别数据。
   - 频率：在协议期限内持续进行。
   - 性质：见附录第 4.4 条。
   - 目的：见附录第 4.3 条。
   - 保留：协议期限内，除非另有说明。
   - 子处理者传输：标的事项、性质和期限依据附录第 9 条。
3. **SCC 附件 I.C**
  
   - 主管监督机构：与附录第 10(e) 条中相同。
   - **Shoprocket 安全标准（附件 A）**满足 SCC 附件 II 的要求。
4. **冲突**
  
   - 如果 SCC 与 DPA 或协议之间发生任何冲突，以 SCC 为准。

---

## 第 2 部分 - 英国外传输

1. **IDTA 附录**适用于英国外传输，自 **2022年3月21日**起生效。
2. 协议或 DPA 中未定义的术语，遵循**附件 2 第 2 部分**（强制性条款）中的含义。

### 第 1 部分：表格

### IDTA 附录表 1

1. **表 1**
  
   - **数据输出方**：您（依据协议）。
  
     - 联系方式：与协议中相同。
     - 签署/日期：通过订立协议 & 附录，输出方自生效日期起视为已签署 IDTA 附录。
   - **数据输入方**：Shoprocket。
  
     - 联系方式：与协议中相同。
     - 签署/日期：通过订立协议 & DPA，输入方自生效日期起视为已签署 IDTA 附录。

### IDTA 附录表 2

1. **表 2**
  
   - **已批准的欧盟 SCC**：对本附录有效的已批准欧盟 SCC 中的条款/模块。
   - 使用的模块/条款：
  
     - 模块 1 和模块 2，第 7 条和第 11 条（选项）不适用，第 9a 条为一般授权，通知期为 30 天（附录第 9.2 条）。
     - 不将输入方的个人数据与输出方的数据合并。

### IDTA 附录表 3

1. **附件 I.A**
  
   - **数据输出方**：您（控制者）。
   - **数据输入方**：Shoprocket（客户账户/使用数据的控制者；其他个人数据的处理者）。
   - 签署/日期：订立协议 & DPA 时视为已签署。
2. **附件 I.B**
  
   - 数据主体、数据类别、不含特殊类别数据、持续传输、处理的性质/目的以及保留，均与附录第 4.4、4.3、4.5、4.6 条一致。
   - 子处理者信息依据附录第 9 条。
   - 附件 III（子处理者清单）不适用，因为 Shoprocket 采用一般授权。

### IDTA 附录表 4

1. 输入方可以依据本 IDTA 附录第 26 条终止本 IDTA 附录。

### 第 2 部分：强制性条款

1. 各方以对方的同意为对价受这些 IDTA 附录条款约束，使数据主体能够按规定行使权利。
2. 订立本 IDTA 附录等同于签署已批准的欧盟 SCC（包括附件 1A/第 7 条要求的任何签署）。

### 解释

1. 已批准的欧盟 SCC 中的术语在此具有相同含义；其他相关术语（例如“附录欧盟 SCC”“已批准附录”“英国数据保护法律”）在本 IDTA 附录中定义。
2. 本 IDTA 附录的解释必须与英国数据保护法律一致，并且必须满足“适当保障措施”。
3. 对已批准的欧盟 SCC 作出的、其本身或已批准附录不允许的任何修改均属无效。相互冲突的条款恢复为未修改的 SCC 条款。
4. 如果与英国数据保护法律存在冲突，以后者为准。
5. 任何含糊之处均以最符合英国数据保护法律的方式解决。
6. 对法律的引用包括其任何修订或合并版本。

### 层级

1. 已批准的欧盟 SCC 第 5 条规定其优先于其他协议，但对于受限传输，适用下文第 17 节中的层级。
2. 如果与已批准的欧盟 SCC 不一致或冲突，则以已批准附录为准，但 SCC 为数据主体提供**更大保护**的情形除外，在这种情况下以 SCC 条款为准。
3. 此处的任何内容均不影响各方为遵守欧盟 GDPR 而使用的任何 SCC。

### 欧盟 SCC 的纳入和变更

1. IDTA 附录纳入已批准的欧盟 SCC，并作必要修改，使其适用于与英国相关的传输，取代第 5 条的层级，并确保其受**英国法律/法院**管辖（除非为苏格兰或北爱尔兰另行选择）。
2. 如果没有商定特定的替代方案，则适用第 22 节。
3. 除第 19 节所需之外，不允许对已批准的欧盟 SCC 作进一步修改。
4. 对附录欧盟 SCC 的**修改**包括：澄清对英国数据保护法律的引用，将对条例 (EU) 2016/679 的引用替换为“英国数据保护法律”，删除对条例 (EU) 2018/1725 的引用，将第 17/18 条调整为英国法律/法院，等等。脚注不构成 IDTA 的一部分，但脚注 8、9、10、11 除外。

### 对本 IDTA 的修改

1. 各方可以将第 17 条或第 18 条改为指向苏格兰或北爱尔兰的法院。
2. 经双方书面同意，各方还可以调整表格格式，但须确保保护水平保持不变。
3. ICO 可以不时发布修订后的已批准附录，该附录自生效之日起自动修订本 IDTA 附录，各方可能需要进行审查。
4. 如果 ICO 的变更大幅且不成比例地增加了一方的成本或风险，且无法减少这些成本/风险，则该方可以在修订后的附录生效之前，合理通知另一方后终止本 IDTA。
5. 变更无需任何第三方同意，但修改必须符合本 IDTA 附录的条款。

---

- HTML version: https://v3.shoprocket.io/zh/gdpr
- Language: 中文 (zh)
- Also in: [العربية](https://v3.shoprocket.io/ar/gdpr.md), [Deutsch](https://v3.shoprocket.io/de/dsgvo.md), [Ελληνικά](https://v3.shoprocket.io/el/gdpr.md), [English](https://v3.shoprocket.io/gdpr.md), [Español](https://v3.shoprocket.io/es/rgpd.md), [Français](https://v3.shoprocket.io/fr/rgpd.md), [עברית](https://v3.shoprocket.io/he/gdpr.md), [हिन्दी](https://v3.shoprocket.io/hi/gdpr.md), [Bahasa Indonesia](https://v3.shoprocket.io/id/gdpr.md), [Italiano](https://v3.shoprocket.io/it/gdpr.md), [日本語](https://v3.shoprocket.io/ja/gdpr.md), [Lietuvių](https://v3.shoprocket.io/lt/bdar.md), [Norsk](https://v3.shoprocket.io/nb/gdpr.md), [Nederlands](https://v3.shoprocket.io/nl/avg.md), [Polski](https://v3.shoprocket.io/pl/rodo.md), [Português](https://v3.shoprocket.io/pt/rgpd.md), [Română](https://v3.shoprocket.io/ro/gdpr.md), [Русский](https://v3.shoprocket.io/ru/gdpr.md), [ไทย](https://v3.shoprocket.io/th/gdpr.md), [Türkçe](https://v3.shoprocket.io/tr/gdpr.md)