資料處理協議

本頁為《GeneX 資料處理協議》之繁體中文參考譯本，僅供閱讀便利之用。協議以英文原版為唯一權威文本；本譯本與英文版如有任何不一致，概以英文版為準。

本資料處理協議（「本 DPA」）構成您（「客戶」）與 EASTAR ASSET MANAGEMENT LIMITED（「GeneX」、「我們」）之間服務條款之一部分，適用於 GeneX 為提供服務而代表您處理個人資料之情形。就資料保護事項，本 DPA 與服務條款如有牴觸，以本 DPA 為準。

1. 雙方角色

就客戶資料（您透過服務處理之對話、聯絡人與內容）中所含之個人資料，您為資料控制者，GeneX 為資料處理者，僅依您的指示行事。就您的帳戶、帳單與網站瀏覽資料（例如您的帳戶電子郵件、IP 位址與行銷歸因參數），GeneX 依我們的隱私權政策，以獨立控制者之身分行事。

2. 處理細節

• 處理標的：透過 GeneX 平台託管、傳輸及處理客戶資料。
• 處理目的：依服務條款提供、保護及支援服務。
• 資料主體類別：您的客戶與聯絡人（「終端使用者」）、您的員工（「客服人員」）。
• 資料類別：聯絡識別資訊（姓名、電話號碼）、訊息與對話內容、媒體檔案、裝置與使用情形中繼資料，以及客服人員之帳戶資料。
• 特種類別資料：未經我們事先書面同意，您不得透過服務提交特種個人資料（健康、生物特徵、政治立場、宗教信仰及類似資料）。

3. 處理指示

我們僅為提供服務而處理客戶資料，詳載於服務條款、本 DPA 及您的產品設定。如我們認為某項指示牴觸適用之資料保護法律，將通知您。

4. 保密

處理客戶資料之我們的人員，均負保密義務，並嚴格依「最小必要」原則取得存取權限。

5. 安全措施

我們維持技術與組織措施，包括：傳輸中資料（TLS）與靜態資料之加密；角色型存取控制，以及管理存取之多重要素驗證；管理操作之稽核日誌；分析與行銷歸因紀錄中之 IP 位址截斷；未註冊名單資料於 90 日內自動刪除；最小權限與安全開發實務；以及加密備份。我們得適時更新前述措施，惟不會實質降低其整體保護水準。

6. 子處理方

您授權我們得一般性委聘子處理方。我們於附錄 A 維護現行清單，並於新增或替換會處理客戶資料之子處理方前，至少 30 日前通知您；您得基於合理之資料保護理由提出異議，我們將與您善意共同處理，如異議無法解決，您得終止受影響之服務，並按比例取回預付費用。就子處理方履行本 DPA 義務之行為，我們視同自身行為負責，並對每一子處理方課以不低於本 DPA 保護水準之資料保護條款。

7. 資料主體請求

如我們收到您的終端使用者或客服人員，就客戶資料中其個人資料提出之請求，我們將通知您（法律禁止者除外），並於可行時引導該人士與您聯絡。我們就存取、更正、匯出及刪除提供自助工具，並就該等請求另行提供合理協助。

8. 個人資料侵害

知悉影響客戶資料之個人資料侵害事件後，我們將毫不遲延地通知您，並於可行時於 72 小時內為之；通知內容包括我們已知之侵害性質、受影響紀錄與人員之類別及概略數量、可能之後果，以及已採取或規劃中之措施。我們將採取合理步驟，協助您履行自身之通知義務。

9. 國際傳輸

我們將客戶資料與帳戶資料託管於新加坡之安全伺服器，並設有加密備份。新加坡獲歐盟委員會之充分性認定。如個人資料傳輸予位於歐洲經濟區（EEA）、英國或瑞士以外地區之服務提供商（例如位於美國之電子郵件遞送服務商），則適用歐盟標準契約條款（歐盟執行決定 2021/914；您為控制者時適用模組二，您為處理者時適用模組三），英國部分則適用國際資料傳輸附件（UK Addendum），均併入本協議以資引用。我們第 5 條所定之安全措施，以及依合理請求提供之傳輸影響評估，構成補充性措施。

10. 稽核與認證

我們維持集團層級之第三方認證，包括 ISO/IEC 27001。於合理請求並受保密約束下，我們將提供我們的安全文件與適用之稽核報告。如適用法律課予您之義務無法透過前述文件滿足，我們將事先與您商定稽核程序。

11. 資料之刪除與返還

訂閱期間，您得使用產品內建工具匯出客戶資料。終止或到期後，您有 30 日之匯出期間；其後我們於 90 日內刪除客戶資料，惟備份除外——備份依不超過 90 日之例行輪換週期刪除——以及法律要求我們保留之資料亦除外。我們得依請求確認業已刪除。

12. 處理紀錄

我們就服務維持處理活動之紀錄，符合 GDPR 第 30 條第 2 項之規定，並依合理請求向您提供相關資訊。

13. 效力順位

就資料保護事項：標準契約條款（於其適用範圍內）優先於本 DPA，本 DPA 優先於服務條款。

14. 聯絡

資料保護相關疑問：[email protected]。

附錄 A：子處理方

現行可能處理客戶資料或帳戶資料中所含個人資料之子處理方（截至本 DPA 生效日）：

• Alibaba Cloud（阿里雲）——雲端基礎設施（ECS），託管我們的正式環境系統。處理地點：新加坡。資料處理條款：Alibaba Cloud 資料處理增補協議（含歐盟標準契約條款及英國附件）。
• Resend, Inc.——交易與通知類電子郵件遞送。處理地點：美國。資料處理條款：Resend 資料處理協議（含歐盟標準契約條款；取得 SOC 2 Type II 認證）。

支付服務商。我們使用第三方支付服務商處理付款。該等服務商並非客戶資料之子處理方：

• Airwallex (Hong Kong) Limited——支付處理。就付款人帳戶與交易資料，Airwallex 以獨立控制者身分行事（用於防詐騙、合規及支付網路目的）；就我們提供之指示與帳單資料，則以處理者身分行事，依其資料處理增補協議（雙模組：控制者對控制者，及控制者對處理者）。
• PayPal——支付處理。就付款人資料，PayPal 以獨立控制者身分行事，用於其自身之防詐騙、合規及支付網路目的，詳見其支付處理產品資料保護增補協議。

備註。（一）我們的網域註冊商與 DNS 服務商（Namecheap）及 TLS 憑證機構（Let's Encrypt）不處理終端使用者之個人資料，於此僅為透明化而列示。（二）核心服務元件（資料庫、快取與網頁服務）為自行託管之開源軟體，運行於前述基礎設施。（三）GeneX 產品系統（包括 genex.eastarasset.com）由 EASTAR ASSET MANAGEMENT LIMITED 自行營運，並非第三方子處理方。如我們未來委聘集團公司或其他提供商處理客戶資料，將依第 6 條所定相同之通知與異議權利，加入本清單。

生效日期：2026 年 10 月 13 日 · EASTAR ASSET MANAGEMENT LIMITED