Google Cloud 数据处理附录对应关系 - 美国州级隐私保护法律

最少化原则和目的限制

企业收集和使用消费者个人信息的范围应仅限于实现收集或处理个人信息的目的所合理需要的范围。

客户可以决定将哪些信息提供给服务，使用哪些服务，以及如何使用这些服务以及将其用于何种用途。Google 承诺仅在根据合同条款提供、保护和监控服务时访问或使用客户数据。

适用州：加利福尼亚州、科罗拉多州、康涅狄格州、特拉华州、佛罗里达州、印第安纳州、蒙大拿州、俄勒冈州、田纳西州、德克萨斯州、弗吉尼亚州

CDPA 参考：CDPA“一般条款”的第 5.2 条（“遵守客户的指示”）和第 7.1.2 条（“访问和合规性”）。

数据安全

企业必须制定、实施并维护合理的行政、技术和物理数据安全做法，以保护个人数据的机密性、完整性和可访问性。

除了 CDPA 附录 2 中所述的安全措施外，Google 还提供一些功能，使客户能够实施额外的保护措施来保护个人信息，这可能需要在客户管理下的云端中正确配置功能。

Google 负责管理其基础架构（即支持服务的硬件、软件、网络和设施）的安全性。Google 意识到，客户需要在风险评估中审查我们的内部控制。为了提供帮助，Google 至少每年进行几次独立的第三方审核，以对我们的运营和内部控制进行独立验证。Google 承诺在与您的合约期限内至少遵守以下主要国际标准：

• ISO/IEC 27001:2013（信息安全管理系统）
• SOC 2
• SOC 3

Google 还会向客户提供有关我们安全实践的详细信息，请访问以下网址：

• 基础架构安全页面
• 安全性白皮书
• 云原生安全性白皮书
• 基础架构安全设计概览页面
• 安全资源页面
• Cloud 合规性资源页面

适用州：加利福尼亚州、科罗拉多州、康涅狄格州、特拉华州、佛罗里达州、爱荷华州、印第安纳州、蒙大拿州、俄勒冈州、田纳西州、德克萨斯州、犹他州、弗吉尼亚州

CDPA 参考：CDPA“一般条款”的第 7.1 条（“Google 的安全措施、控制和协助”）、第 7.3 条（“客户的安全责任和评估”）、第 7.4 条（“合规认证和 SOC 报告”）和“附录 2”（“安全措施”）。

因行使权利而受到歧视

商家不得对行使权利的消费者进行歧视。

这是客户根据其自身经营活动情况应承担的责任。

适用州：加利福尼亚州、科罗拉多州、康涅狄格州、特拉华州、佛罗里达州、爱荷华州、印第安纳州、蒙大拿州、俄勒冈州、田纳西州、德克萨斯州、犹他州、弗吉尼亚州

CDPA 参考：不适用

歧视性处理

企业不得违反禁止非法歧视消费者的州和联邦法律来处理个人数据。

这是客户根据其自身经营活动情况应承担的责任。

适用州：科罗拉多州、康涅狄格州、特拉华州、佛罗里达州、爱荷华州、印第安纳州、蒙大拿州、田纳西州、德克萨斯州、弗吉尼亚州

CDPA 参考：不适用

敏感数据同意/选择退出要求

未经消费者同意，企业不得处理与消费者有关的敏感数据，如果消费者是已知的儿童，则必须遵守《儿童在线隐私保护法》(COPPA)。

这是客户根据其自身经营活动情况应承担的责任。

适用州：科罗拉多州、康涅狄格州、特拉华州、佛罗里达州、爱荷华州、印第安纳州、蒙大拿州、俄勒冈州、田纳西州、德克萨斯州、犹他州、弗吉尼亚州

CDPA 参考：不适用

其他同意义务

企业不得在未经同意的情况下，将设备收集的数据（例如语音或人脸识别数据）用于监控目的。

这是客户根据其自身经营活动情况应承担的责任。

适用州：佛罗里达州

CDPA 参考：不适用

未成年人 - 销售/分享/有针对性的广告方面的同意

未经同意，企业不得出于投放有针对性广告或促成销售的目的处理未成年人的个人数据。

这是客户根据其自身经营活动情况应承担的责任。

适用州：加利福尼亚州、康涅狄格州、蒙大拿州、俄勒冈州

CDPA 参考：不适用

在收款时收到通知

企业必须在收集个人信息时或之前向消费者提供通知。

这是客户根据其自身经营活动情况应承担的责任。

适用州：加利福尼亚州

CDPA 参考：不适用

隐私权声明

企业必须向消费者提供隐私权声明，说明将如何处理消费者的个人数据以及消费者权利。

这是客户根据其自身经营活动情况应承担的责任。

适用州：加利福尼亚州、科罗拉多州、康涅狄格州、特拉华州、佛罗里达州、爱荷华州、印第安纳州、蒙大拿州、俄勒冈州、田纳西州、德克萨斯州、犹他州、弗吉尼亚州

CDPA 参考：不适用

其他透明度义务

向消费者披露的信息必须易于获取且易于理解。

这是客户根据其自身经营活动情况应承担的责任。

适用州：加利福尼亚州、科罗拉多州、佛罗里达州

CDPA 参考：不适用

披露销售和有针对性的广告信息

企业必须披露个人信息销售或定向广告信息，并提供选择退出机制。

这是客户根据其自身经营活动情况应承担的责任。

适用州：科罗拉多州、康涅狄格州、特拉华州、佛罗里达州、爱荷华州、印第安纳州、蒙大拿州、俄勒冈州、田纳西州、德克萨斯州、犹他州、弗吉尼亚州

CDPA 参考：不适用

处理去标识化数据和化名数据

使用匿名化数据的企业必须采取合理措施，确保这些数据无法与消费者关联，并要求接收这些匿名化数据的任何人遵守这一义务。

这是客户根据其自身经营活动情况应承担的责任。Google 承诺仅在根据合同条款提供、保护和监控服务时访问或使用客户数据。

适用州：加利福尼亚州、科罗拉多州、康涅狄格州、特拉华州、佛罗里达州、爱荷华州、印第安纳州、蒙大拿州、俄勒冈州、田纳西州、德克萨斯州、犹他州、弗吉尼亚州

CDPA 参考：CDPA“一般条款”的第 5.2 条（“遵守客户指示”）。

数据保护评估

企业必须对某些处理活动进行数据保护评估。

Google 承诺在客户进行数据保护影响评估时提供合理的合作和协助。对于 Google Cloud Platform 或 Google Workspace 服务，请参阅 Google 的数据保护影响评估 (DPIA) 资源页面，详细了解什么是 DPIA，以及您在使用这些服务时是否需要 DPIA。

适用州：科罗拉多州、康涅狄格州、特拉华州、佛罗里达州、印第安纳州、蒙大拿州、俄勒冈州、田纳西州、德克萨斯州、犹他州、弗吉尼亚州

CDPA 参考：CDPA“一般条款”的第 8 条（“影响评估和咨询”）。

限制转售个人信息

第三方不得出售企业向其出售的个人信息。

Google 绝不会出售您的客户数据。Google 仅会在根据合同条款提供、保护和监控服务时访问或使用客户数据。

适用州：加利福尼亚州

CDPA 参考：CDPA“一般条款”的第 5.2 条（“遵守客户指示”）。

培训和记录保存要求

企业需要培训员工来处理消费者咨询，并在 24 个月内保留消费者请求和回复的记录。

这是客户根据其自身经营活动情况应承担的责任。

适用州：加利福尼亚州

CDPA 参考：CDPA“一般条款”的第 12.2 条（“Google 处理记录”）。

与服务提供商或承包商签订合同，规定向其出售、分享或披露个人信息的所有要求

如果企业要出售消费者的个人信息，则必须与第三方签订合同，并满足某些要求。

Google 不会购买客户的个人数据，也不会将客户的个人数据出售给任何第三方。Google 要求我们的分包商达到与我们相同的高标准。具体来说，Google 要求我们的分包商遵守我们与您签署的合约，并且仅在履行分包给他们的义务所需的范围内访问和使用您的数据，并且 Google 将继续对任何分包的义务负责。

适用州：加利福尼亚州

CDPA 参考：CDPA“一般条款”的第 11.3 条（“分包商参与要求”）。

控制方/处理方状态

就特定的个人数据处理而言，一方是控制方还是处理方，取决于个人数据的处理背景，这是一个基于事实的判断。

就 Google Cloud 而言，Google 充当客户个人数据的处理方。客户是控制方或处理方（视情况而定）。

适用州：科罗拉多州、康涅狄格州、特拉华州、佛罗里达州、爱荷华州、印第安纳州、蒙大拿州、俄勒冈州、田纳西州、德克萨斯州、犹他州、弗吉尼亚州

CDPA 参考资料：CDPA“一般条款”的第 4.1 条（“各方的角色”）。

合同要求

控制方与处理方之间的合同应规范处理方在代表控制方执行的处理活动中的数据处理程序。

客户的合同（包括云端数据处理附录）将管辖 Google 代表客户进行数据处理的相关流程。

适用州：加利福尼亚州、科罗拉多州、康涅狄格州、特拉华州、佛罗里达州、爱荷华州、印第安纳州、蒙大拿州、俄勒冈州、田纳西州、德克萨斯州、犹他州、弗吉尼亚州

CDPA 参考：CDPA“附录 1”（数据处理的标的和详细信息）。

数据使用限制

控制方与处理方之间的合同应规定数据处理说明、处理的性质和目的、要处理的数据主体类型、处理的时限，以及双方的权利和义务。

Google 承诺仅根据 CDPA 处理客户个人数据，包括“附录 1”，其中描述了处理标的和持续时间、处理的性质和目的以及数据类别。

适用州：加利福尼亚州、科罗拉多州、康涅狄格州、特拉华州、佛罗里达州、爱荷华州、印第安纳州、蒙大拿州、俄勒冈州、田纳西州、德克萨斯州、犹他州、弗吉尼亚州

CDPA 参考：“一般条款”的第 5.2 条（“遵守客户的指示”）和第 7.1.2 条（“访问和遵从”）以及 CDPA 的“附录 1”（“数据处理的标的和详情”）。

要求员工履行保密义务

控制方与处理方之间的合同将确保处理个人数据的每个人都负有保密义务。

客户可以随时访问其在 Google Cloud 上的数据（包括其最终用户的数据）。如果 Google 收到与客户个人数据相关的个人请求（例如客户的最终用户），我们的隐私权团队会建议要求提出者向您（Google Cloud 客户）提交请求。然后，Google Cloud 客户可以根据其内部流程和要求控制对这些请求的响应。

适用州：科罗拉多州、康涅狄格州、特拉华州、佛罗里达州、爱荷华州、印第安纳州、蒙大拿州、俄勒冈州、田纳西州、德克萨斯州、犹他州、弗吉尼亚州

CDPA 参考：CDPA“一般条款”的第 7.1.2 条（“访问权限和合规性”）以及“附录 2”（“安全措施”）的第 4 条（“人员安全”）。

审核要求

控制方与处理方之间的合同将确保处理方在业务方提出请求时向其提供信息，以证明处理方履行了其义务，并使用公认的控制框架每年接受独立审计。

Google 为客户提供相关安全文档供其审核，并至少每年进行几次独立的第三方审核，以对我们的运营和内部控制进行独立验证，从而支持客户遵守相关法规。您可以通过 Google 的“合规报告管理器”页面轻松地按需访问这些重要的合规性资源，无需额外付费。主要资源包括我们最新的 ISO/IEC 证书、SOC 报告和自我评估。

适用州：加利福尼亚州、科罗拉多州、康涅狄格州、特拉华州、佛罗里达州、爱荷华州、印第安纳州、蒙大拿州、俄勒冈州、田纳西州、德克萨斯州、弗吉尼亚州

CDPA 参考：CDPA“一般条款”的第 7.4 条（“合规认证和 SOC 报告”）和第 7.5 条（“合规性审核与审计”）。

协助处理控制方义务

处理方将遵循企业的指示，并协助企业考虑处理的性质以及处理方可获得的信息，以便响应消费者权利请求。

Google 承诺协助客户处理 CDPA“一般条款”的第 9 条中规定的消费者请求。

适用州：加利福尼亚州、科罗拉多州、康涅狄格州、特拉华州、佛罗里达州、爱荷华州、印第安纳州、蒙大拿州、俄勒冈州、田纳西州、德克萨斯州、弗吉尼亚州

CDPA 参考：请参阅上文“消费者权利”和“企业/控制方责任”部分中的回答。CDPA“一般条款”的第 9 条（“访问权限、数据主体权利、数据导出”）和第 9.2.2 条（“Google 协助处理数据正文请求”）。

协助处理控制方义务

处理方将遵守企业的指示，并协助企业：考虑处理的性质和处理方可获得的信息，履行其在处理个人数据的安全性和安全事故通知方面的义务。

Google 会实施并维护技术、组织和物理措施，以防止客户数据遭到未经授权的披露或访问。Google 会及时通知客户数据突发事件，并提供相关详细信息，不会有不必要的延误。Google 还为客户提供其他安全控制措施。

适用州：加利福尼亚州、科罗拉多州、康涅狄格州、特拉华州、佛罗里达州、爱荷华州、印第安纳州、蒙大拿州、俄勒冈州、德克萨斯州、犹他州、弗吉尼亚州

CDPA 参考：“一般条款”的第 7.1 条（“Google 的安全措施、控制和协助”）、第 7.1.4 条（“Google 的安全协助”）、第 7.2 条（“数据突发事件”）、第 7.2.1 条（“突发事件通知”）和第 7.3 条（“客户的安全责任和评估”）以及 CDPA 的附录 2（“安全措施”）。

协助处理控制方义务

考虑到处理的性质以及处理方可获得的信息，处理方将遵守企业的指示并提供以下方面的协助：提供进行数据保护评估所需的信息。

Google 承诺协助客户完成 CDPA“一般条款”的第 8 条中规定的数据保护评估。此外，对于 Google Cloud Platform 和 Google Workspace，Google 维护了数据保护影响评估 (DPIA) 资源中心来协助客户。

适用州：加利福尼亚州、科罗拉多州、康涅狄格州、特拉华州、佛罗里达州、印第安纳州、蒙大拿州、俄勒冈州、德克萨斯州、弗吉尼亚州

CDPA 参考：CDPA“一般条款”的第 8 条（“影响评估和咨询”）。

“分包商”反对权

除非企业有机会提出异议，否则不得聘请处理个人数据的分包商。

Google 向客户提供通知，其中包含有关任何新子处理方参与的信息，并为客户提供通过终止协议提出异议的机会。鉴于我们服务的一对多性质，Google 无法为每位客户启用批准流程。Google 要求我们的分包商达到与我们相同的高标准，并且对于任何转包的义务，Google 继续对您负有法律责任。具体来说，Google 要求我们的分包商遵守我们与您签订的合约，并且仅在履行分包给他们的义务所需的范围内访问和使用您的数据。

适用州：科罗拉多州、康涅狄格州、特拉华州

CDPA 参考：CDPA“一般条款”的第 11.1 条（“同意分包商参与”）、第 11.3 条（“分包商参与要求”）和第 11.4 条（“反对分包商的机会”）。

在终止/完成服务后删除或归还数据

数据控制方与数据处理方之间的合同将确保数据处理方在提供服务结束时归还或销毁所有客户个人数据。

Google 将根据适用法律在到期时删除所有客户数据（包括客户个人数据），最长不超过 180 天。如需详细了解 Google 的数据删除流程和承诺，请参阅 CDPA 和 Google Cloud 上的数据删除文档。

适用州：加利福尼亚州、科罗拉多州、康涅狄格州、特拉华州、佛罗里达州、爱荷华州、印第安纳州、蒙大拿州、俄勒冈州、田纳西州、德克萨斯州、弗吉尼亚州

CDPA 参考：CDPA“一般条款”的第 6.1 条（“客户删除”）和第 6.2 条（“条款到期时的归还或删除”）。

如果无法再履行义务，请通知控制方

如果处理方确定无法再履行 CCPA 规定的义务，则必须通知相应企业。

如果 Google 无法履行 CCPA 规定的义务，Google 将通知客户，除非适用法律禁止此类通知。

适用州：加利福尼亚州

CDPA 参考：CDPA 的“附录 3”（“特定隐私权法律”）中 CCPA 子条款的第 3 条（“合规性”）。