Google Cloud 資料處理附加條款對照表 - 美國州級隱私權法律

最小化原則和用途限制

企業收集和使用消費者個人資訊時，應僅限於達成收集或處理個人資訊目的的合理必要範圍。

要提供哪些資訊給服務、要使用哪些服務、如何使用這些服務，以及用途為何，這些均由客戶決定。在存取或使用客戶資料時，Google 致力於根據合約條款，僅將該資料用於提供、保護和監控服務。

適用的州：加州、科羅拉多州、康乃狄克州、德拉瓦州、佛羅里達州、印第安納州、蒙大拿州、奧勒岡州、田納西州、德州、維吉尼亞州

CDPA 參考資料：CDPA「一般條款」的第 5.2 節 (遵循客戶指示)，以及第 7.1.2 節 (存取與遵循規範)。

資料安全性

企業必須就行政管理、技術和實體層面，建立、實施及維護合理的資料安全防護措施，以保護個人資料的機密性、完整性和可存取性。

除了 CDPA 附錄 2 所述的「安全措施」之外，Google 還提供功能，讓客戶採取額外的防護措施來保護個人資訊，但這可能需要在客戶管理的雲端中妥善設定功能。

Google 會控管基礎架構 (也就是支援服務運作的軟硬體、網路和設施) 的安全性。Google 瞭解客戶需要審查我們的內部控管措施，以進行風險評估。為此，Google 每年至少會進行多次獨立的第三方稽核，針對營運和內部控管措施提供獨立驗證。在合約期間，Google 承諾會遵守至少以下這些重要國際標準：

• ISO/IEC 27001:2013 (資訊安全性管理系統)
• SOC 2
• SOC 3

Google 也為客戶提供安全性做法詳細資訊，點選以下連結即可瞭解詳情：

• 基礎架構安全性頁面
• 安全性白皮書
• 雲端原生安全防護機制白皮書
• 基礎架構安全性設計總覽頁面
• 安全性資源頁面
• 雲端法規遵循資源頁面

適用的州：加州、科羅拉多州、康乃狄克州、德拉瓦州、佛羅里達州、愛荷華州、印第安納州、蒙大拿州、奧勒岡州、田納西州、德州、猶他州、維吉尼亞州

CDPA 參考資料：CDPA「一般條款」的第 7.1 節 (Google 安全措施、控管措施及協助)、第 7.3 節 (客戶的安全責任及評估)、第 7.4 節 (法規遵循認證和 SOC 報告)，以及附錄 2 (安全措施)。

因行使權利而遭受歧視

企業不得歧視行使權利的消費者。

這是客戶應負的責任，須根據客戶業務營運情況處理。

適用的州：加州、科羅拉多州、康乃狄克州、德拉瓦州、佛羅里達州、愛荷華州、印第安納州、蒙大拿州、奧勒岡州、田納西州、德州、猶他州、維吉尼亞州

CDPA 參考資料：不適用

歧視性的處理方式

企業處理個人資料時，不得違反嚴禁非法歧視消費者的州級和聯邦法律。

這是客戶應負的責任，須根據客戶業務營運情況處理。

適用的州：科羅拉多州、康乃狄克州、德拉瓦州、佛羅里達州、愛荷華州、印第安納州、蒙大拿州、田納西州、德州、維吉尼亞州

CDPA 參考資料：不適用

私密資料同意/退出規定

如未經消費者同意，或已知對象為兒童時 (根據 COPPA)，企業不得處理消費者的相關私密資料。

這是客戶應負的責任，須根據客戶業務營運情況處理。

適用的州：科羅拉多州、康乃狄克州、德拉瓦州、佛羅里達州、愛荷華州、印第安納州、蒙大拿州、奧勒岡州、田納西州、德州、猶他州、維吉尼亞州

CDPA 參考資料：不適用

其他同意義務

如未經同意，企業不得基於監控目的使用裝置收集到的資料 (例如語音或臉部辨識)。

這是客戶應負的責任，須根據客戶業務營運情況處理。

適用的州：佛羅里達州

CDPA 參考資料：不適用

未成年人 - 銷售/分享/指定廣告投放的同意

如未經同意，企業不得為了指定廣告投放或銷售目的，處理未成年人的個人資料。

這是客戶應負的責任，須根據客戶業務營運情況處理。

適用的州：加州、康乃狄克州、蒙大拿州、奧勒岡州

CDPA 參考資料：不適用

資料收集的通知

企業必須在收集個人資訊之前或當下通知消費者。

這是客戶應負的責任，須根據客戶業務營運情況處理。

適用的州：加州

CDPA 參考資料：不適用

隱私權聲明

企業必須向消費者提供隱私權聲明，說明個人資料處理方式及消費者權利。

這是客戶應負的責任，須根據客戶業務營運情況處理。

適用的州：加州、科羅拉多州、康乃狄克州、德拉瓦州、佛羅里達州、愛荷華州、印第安納州、蒙大拿州、奧勒岡州、田納西州、德州、猶他州、維吉尼亞州

CDPA 參考資料：不適用

其他資訊公開義務

必須提供向消費者揭露資訊的機制並確保揭露方式易於理解。

這是客戶應負的責任，須根據客戶業務營運情況處理。

適用的州：加州、科羅拉多州、佛羅里達州

CDPA 參考資料：不適用

銷售和指定廣告投放的揭露

如要從事個人資訊銷售或指定廣告投放活動，商家必須揭露這項資訊，並提供退出機制。

這是客戶應負的責任，須根據客戶業務營運情況處理。

適用的州：科羅拉多州、康乃狄克州、德拉瓦州、佛羅里達州、愛荷華州、印第安納州、蒙大拿州、奧勒岡州、田納西州、德州、猶他州、維吉尼亞州

CDPA 參考資料：不適用

處理去識別化的資料和匿名化資料

使用去識別化資料的企業必須採取合理措施，確保這類資料不會讓人聯想到特定消費者，並要求收到這類去識別化資料的所有對象均須善盡這項義務。

這是客戶應負的責任，須根據客戶業務營運情況處理。在存取或使用客戶資料時，Google 致力於根據合約條款，僅將該資料用於提供、保護和監控服務。

適用的州：加州、科羅拉多州、康乃狄克州、德拉瓦州、佛羅里達州、愛荷華州、印第安納州、蒙大拿州、奧勒岡州、田納西州、德州、猶他州、維吉尼亞州

CDPA 參考資料：CDPA「一般條款」的第 5.2 節 (遵循客戶指示)。

資料保護評估

企業必須針對特定處理活動，執行資料保護評估。

Google 會致力於在客戶進行資料保護影響評估時，以合理的方式配合及提供協助。對於 Google Cloud Platform 或 Google Workspace 服務，請參閱 Google 的資料保護影響評估資源頁面，進一步瞭解什麼是資料保護影響評估，以及您使用這些服務時是否需進行資料保護影響評估。

適用的州：科羅拉多州、康乃狄克州、德拉瓦州、佛羅里達州、印第安納州、蒙大拿州、奧勒岡州、田納西州、德州、猶他州、維吉尼亞州

CDPA 參考資料：CDPA「一般條款」的第 8 節 (影響評估與諮詢)。

個人資訊轉售限制

第三方不得販售企業出售給自己的個人資訊。

Google 絕對不會販售客戶資料。在存取或使用客戶資料時，Google 會根據合約條款，僅將該資料用於提供、保護和監控服務。

適用的州：加州

CDPA 參考資料：CDPA「一般條款」的第 5.2 節 (遵循客戶指示)。

訓練與記錄保存規定

企業必須訓練員工處理消費者問題，並保留消費者要求和回應記錄 24 個月。

這是客戶應負的責任，須根據客戶業務營運情況處理。

適用的州：加州

CDPA 參考資料：CDPA「一般條款」的第 12.2 節 (Google 處理記錄)。

向服務供應商或承包商出售、分享或揭露個人資訊時，一律須遵守的合約規定

出售消費者個人資訊的企業必須與第三方簽訂合約，明定特定規定。

Google 不會購買客戶個人資料，也不會將該資料出售給任何第三方。Google 要求分包商堅守和我們一樣的高標準。具體而言，Google 會要求分包商遵守我們與您的合約，並僅在執行分包義務的必要範圍內存取及使用您的資料，而 Google 仍會針對所有分包義務善盡相關責任。

適用的州：加州

CDPA 參考資料：CDPA「一般條款」的第 11.3 節 (複委託者委任要求)。

控管者/處理者身分

在特定個人資料處理上，特定的一方屬於控管者還是處理者，是根據事實判斷，而這取決於是在何種情況下處理個人資料。

基於 Google Cloud 的目的，Google 扮演的角色為客戶個人資料處理者。客戶為控管者或處理者 (視情況而定)。

適用的州：科羅拉多州、康乃狄克州、德拉瓦州、佛羅里達州、愛荷華州、印第安納州、蒙大拿州、奧勒岡州、田納西州、德州、猶他州、維吉尼亞州

CDPA 參考資料：CDPA「一般條款」的第 4.1 節 (各方角色)。

合約規定

處理者代控管者執行資料處理作業時，則其處理程序須符合控管者與處理者之間的合約規範。

Google 代客戶處理資料時，其資料處理程序須符合客戶合約 (包括《Cloud 資料處理附加條款》) 的規範。

適用的州：加州、科羅拉多州、康乃狄克州、德拉瓦州、佛羅里達州、愛荷華州、印第安納州、蒙大拿州、奧勒岡州、田納西州、德州、猶他州、維吉尼亞州

CDPA 參考資料：CDPA 附錄 1 (資料處理主題及詳細資料)。

資料使用限制

控管者與處理者之間的合約應載明資料處理指示、處理的性質和目的、處理的資料類型、處理的時間長度，以及雙方的權利和義務。

Google 會致力於僅依照 CDPA (包括附錄 1，其中說明處理的主題和時間長度、處理的性質和目的，以及資料類別)，處理客戶個人資料。

適用的州：加州、科羅拉多州、康乃狄克州、德拉瓦州、佛羅里達州、愛荷華州、印第安納州、蒙大拿州、奧勒岡州、田納西州、德州、猶他州、維吉尼亞州

CDPA 參考資料：CDPA「一般條款」的第 5.2 節 (遵循客戶指示)、第 7.1.2 節 (存取與遵循規範)，以及附錄 1 (資料處理主題及詳細資料)。

要求員工善盡保密義務

控管者與資料處理者之間的合約將確保，每位處理個人資料的人員均須善盡保密義務。

客戶可隨時存取 Google Cloud 中的資料 (包括他們的使用者資料)。如果 Google 收到個人 (如客戶使用者) 針對客戶個人資料提出的相關要求，我們的隱私權團隊會建議要求者向您 (也就是 Google Cloud 客戶) 提出要求。然後 Google Cloud 客戶便可依照內部程序和規定，自行掌控如何回應這些要求。

適用的州：科羅拉多州、康乃狄克州、德拉瓦州、佛羅里達州、愛荷華州、印第安納州、蒙大拿州、奧勒岡州、田納西州、德州、猶他州、維吉尼亞州

CDPA 參考資料：CDPA「一般條款」的第 7.1.2 節 (存取與遵循規範)，以及附錄 2 (安全措施) 中的第 4 節 (員工安全性)。

稽核規定

控管者與資料處理者之間的合約將確保，處理者會應要求提供相關資訊給企業，證明自己善盡處理者的義務，並且採用核可的控管架構，每年都進行獨立審查。

Google 會出具相關安全性文件供客戶審查，而且至少每年都會進行多次獨立的第三方稽核，針對營運和內部控管措施提供獨立驗證，藉此協助客戶符合相關規範。Google 的 法規遵循報告管理員頁面能讓您視需要輕鬆存取這些重要的法規遵循資源，而且無須額外付費。關鍵資源包括最新的 ISO/IEC 認證、SOC 報告和自我評估。

適用的州：加州、科羅拉多州、康乃狄克州、德拉瓦州、佛羅里達州、愛荷華州、印第安納州、蒙大拿州、奧勒岡州、田納西州、德州、維吉尼亞州

CDPA 參考資料：CDPA「一般條款」的第 7.4 節 (法規遵循認證和 SOC 報告) 和第 7.5 節 (法規遵循審查與稽核)。

協助履行控管者義務

處理者會遵循企業的指示，並協助企業考量處理作業的性質和處理者可用的資訊，以及回應消費者權利要求。

Google 在 CDPA「一般條款」的第 9 節中，承諾會協助客戶處理消費者要求。

適用的州：加州、科羅拉多州、康乃狄克州、德拉瓦州、佛羅里達州、愛荷華州、印第安納州、蒙大拿州、奧勒岡州、田納西州、德州、維吉尼亞州

CDPA 參考資料：請參閱上方「消費者權利」和「企業/控管者責任」小節的回應內容。CDPA「一般條款」的第 9 節 (存取；資料當事人權利；資料匯出) 和第 9.2.2 節 (Google 資料當事人要求協助)。

協助履行控管者義務

處理者會遵循企業的指示，並協助企業考量處理作業的性質和處理者可用的資訊，以及善盡個人資料處理作業的安全防護及安全性漏洞通知等義務。

Google 會實施及維護技術、組織及實體措施，以保護客戶資料，防止未經授權的揭露或存取行為。如發生資料事件，Google 會立即通知客戶並提供相關詳細資訊，不會無故拖延。Google 也會為客戶提供其他安全控管機制。

適用的州：加州、科羅拉多州、康乃狄克州、德拉瓦州、佛羅里達州、愛荷華州、印第安納州、蒙大拿州、奧勒岡州、德州、猶他州、維吉尼亞州

CDPA 參考資料：CDPA「一般條款」的第 7.1 節 (Google 安全措施、控管措施及協助)、第 7.1.4 節 (Google 安全協助)、第 7.2 節 (資料事件)、第 7.2.1 節 (事件通知)、第 7.3 節 (客戶的安全責任及評估)，以及附錄 2 (安全措施)。

協助履行控管者義務

處理者會考量處理作業的性質和處理者可用的資訊，遵循企業的指示，並提供進行資料保護評估所需的資訊來協助企業。

Google 在 CDPA「一般條款」的第 8 節中，承諾會協助客戶進行資料保護評估。此外，Google 也會針對 Google Cloud Platform 和 Google Workspace 維護資料保護影響評估資源中心，為客戶提供協助。

適用的州：加州、科羅拉多州、康乃狄克州、德拉瓦州、佛羅里達州、印第安納州、蒙大拿州、奧勒岡州、德州、維吉尼亞州

CDPA 參考資料：CDPA「一般條款」的第 8 節 (影響評估與諮詢)。

分包商拒絕權

除非企業有拒絕的機會，否則不得聘用處理個人資料的分包商。

如聘用任何新的複委託者，Google 會發送通知給客戶，並附上相關資訊，同時讓客戶有拒絕的機會，視需要終止協議。由於我們的服務具有一對多性質，因此 Google 無法個別為每個客戶執行核准程序。Google 除了要求分包商堅守和我們一樣的高標準之外，也還是會針對所有分包義務善盡相關責任。具體而言，Google 會要求分包商遵守我們與您的合約，並僅在執行分包義務的必要範圍內存取及使用您的資料。

適用的州：科羅拉多州、康乃狄克州、德拉瓦州

CDPA 參考資料：CDPA「一般條款」的第 11.1 節 (同意複委託者委任)、第 11.3 節 (複委託者委任要求)，以及第 11.4 節 (拒絕委任複委託者的機會)。

在服務終止/完成時刪除或歸還資料

控管者與資料處理者之間的合約將確保，處理者會在服務提供結束後歸還或刪除所有客戶個人資料。

Google 將依據適用法律，在效期結束後的 180 天內刪除所有客戶資料 (包括客戶個人資料)。如要進一步瞭解 Google 的資料刪除程序和承諾，請參閱 CDPA 和 Google Cloud 資料刪除說明文件。

適用的州：加州、科羅拉多州、康乃狄克州、德拉瓦州、佛羅里達州、愛荷華州、印第安納州、蒙大拿州、奧勒岡州、田納西州、德州、維吉尼亞州

CDPA 參考資料：CDPA「一般條款」的第 6.1 節 (由客戶刪除)，以及第 6.2 節 (「效期結束時歸還或刪除」)。

如果無法再履行義務，應通知控管者

如果處理者認定自己無法再按照 CCPA 履行義務，就必須通知企業。

如果 Google 無法按照 CCPA 履行義務，便會通知客戶 (除非適用法律禁止發出此類通知)。

適用的州：加州

CDPA 參考資料：CDPA 附錄 3 (特定隱私權法律) 中「CCPA」子節的第 3 節 (法規遵循)。