我們已根據 GDPR 更新 G Suite 的《資料處理修訂條款》和 Google Cloud Platform 的《資料處理與安全性條款》，您是否已接受新版條款內容？如果您尚未接受修訂後的條款，請參閱這篇說明文章或觀看這部影片，以便瞭解 G Suite 的相關操作指示。您也可以在這篇說明文章中找到 Google Cloud Platform 的相關操作步驟。
Google Cloud 與一般資料保護規則 (GDPR)
遵守 GDPR 是 Google 和客戶的第一要務。GDPR 旨在強化歐洲地區的個人資料保護措施，對所有機構的營運皆帶來影響。您對此肯定有許多疑問，而我們很樂意為您提供協助。Google Cloud 採用客戶導向的保護、控管與法規遵循措施，希望能夠充分協助您遵守 GDPR 的相關規定。
GDPR 是什麼？
GDPR 已於 2018 年 5 月 25 日生效，並取代了 1995 年制定的《歐盟資料保護綱領》。
GDPR 的規範具體且詳盡，適用於在歐洲地區設立據點或為歐洲使用者提供服務的企業和機構。GDPR 具備以下特性：
- 用於規範企業收集、使用及儲存個人資料的方式
- 以現有的文件和報告規範為基礎，以提升可靠度
- 能對未遵守規定的企業處以罰金
我們正在努力的部分
Google Cloud 一直支持能夠優先考量並增進使用者資料安全性與隱私權的計畫。我們進行了多次更新，以便確保 Google Cloud 的客戶能在 GDPR 生效後安心地使用服務。Google Cloud 會透過以下方式為合作夥伴提供協助：
- 在合約中承諾遵守 GDPR，以符合規範的方式處理所有 Google Cloud Platform 和 G Suite 服務中的客戶個人資料
- 提供額外的安全性功能，讓您妥善保護最為機密的個人資料
- 為您提供相關說明文件與資源，協助您針對我們的服務進行隱私權評估
- 配合監管生態的變化持續提升 Google 的法規遵循能力
G Suite 和 Google Cloud Platform 對於遵守 GDPR 的承諾
除了必須遵守其他規定之外，資料控管者所選的資料處理者也必須提供充分的保證，證明自己已採用合適的技術與機構措施，可確保資料處理程序符合 GDPR 的規定。在評估 G Suite 與 Google Cloud Platform 的服務時，建議您將以下幾個層面納入考量：
資料保護專業知識
Google 僱用的安全性和隱私權專業人士中，不乏全球頂尖的資訊、應用程式與網路安全性領域專家。這個專家小組的任務是維護公司的防禦系統、擬定安全性審查程序、打造更穩固的安全性基礎架構，並準確實行 Google 的安全性政策。
Google 也聘請了多位律師、法規遵循專業人士和公共政策專家，共同組成全方位的專家小組，負責確認 Google Cloud 是否遵守相關的隱私權與安全性規定。
上述小組會與客戶、業界相關人士和監管機關合作，確保 G Suite 和 Google Cloud Platform 服務能夠滿足客戶的法規遵循需求。
資料處理協議
G Suite 和 Google Cloud Platform 的資料處理協議清楚載明了我們對客戶隱私權的承諾。這些年來，我們也持續聽取客戶與監管機關的建議，逐步修訂條款內容。
為因應 GDPR 帶來的改變，我們最近特別更新了這些條款，並在 GDPR 正式生效前先行推出修訂版本，以便客戶在使用 Google Cloud 服務時進行法規遵循評估，並為 GDPR 做好準備。
客戶如需簽訂新版資料處理條款，可以按照這篇說明文章所述的程序選擇接受《G Suite 資料處理修訂條款》，以及按照這篇說明文章所述的程序選擇接受《GCP 資料處理與安全性條款》。
按照指示處理資料
如同我們根據 GDPR 修訂過的資料處理協議中所載明，在處理客戶及其使用者輸入 Google 系統中的資料時，Google 一定會按照客戶的指示進行作業。
員工保密承諾
所有 Google 員工都必須簽署保密協議，並完成必要的保密和隱私權教育訓練，以及 Google 行為準則教育訓練。《Google 行為準則》特別載明了所有員工在資訊保護方面應盡的責任與應有的行為。
為提供 G Suite 和 Google Cloud Platform 服務，我們必須進行許多資料處理程序。大多數資料處理活動均由 Google 集團公司直接執行，僅有少部分活動必須委請第三方廠商來協助支援。各家廠商都經過我們的嚴格篩選，確保其具備必要的技術性專業知識，能夠提供合適的安全性和隱私權保護機制。
凡是支援 G Suite 和 Google Cloud Platform 服務的 Google 集團複委託者與第三方複委託者，我們都會公開其相關資訊，並在資料處理協議中載明與這些複委託者有關的承諾。
根據 GDPR 的規定，我們應該採用合適的技術與機構措施，確保安全機制足以面對風險。
Google 採用的全球基礎架構可提供最先進的安全性功能，能夠保障資料在 Google 的整個資訊處理生命週期中安全無虞。這個基礎架構可提供安全的服務部署功能、具備使用者隱私權保護機制的安全資料儲存服務、跨服務的安全通訊機制、與客戶在網際網路上的安全隱密通訊功能，以及管理者的安全作業程序。G Suite 和 Google Cloud Platform 都是在這個基礎架構上運作。
我們設計的基礎架構安全機制採用層級式結構，從資料中心的實體安全、軟硬體的安全性保護機制，到支援作業安全性所採用的程序，都是根據層級安排規劃。這種層級式保護機制能提供穩固的安全性基礎，確保資料處理的每個環節都安全無虞。如想進一步瞭解 Google 的基礎架構安全性，請參閱《Google 基礎架構安全性設計總覽白皮書》。
可用性、完整性及彈性
Google 設計的平台元件具有高備援性。Google 資料中心遍布全球各處，可盡量減少地區性干擾 (例如天災與地區性停電) 對全球產品的影響。如發生軟硬體或網路故障問題，Google 服務會立即由一處設施自動切換至另一處，以持續為您提供服務，不致發生中斷問題。我們的高備援基礎架構能夠協助客戶防止資料遺失。
測試
Google 每年都會進行災難復原測試，讓基礎架構與應用程式小組有機會相互協調，並測試通訊計畫、容錯移轉情境、作業轉移及其他緊急狀況應對程序。所有參與災難復原演練的小組都必須擬定測試計畫，並在測試後記錄各項計畫的結果與需要改善的部分。
加密
Google 會使用加密機制來保護流動資料和靜態資料。根據預設，傳輸至 G Suite 的所有使用者資料都會透過 HTTPS 通訊協定加以保護。此外，G Suite 和 Google Cloud Platform 服務會自動透過一或多種加密機制為靜態儲存的客戶內容進行加密處理，客戶不需要採取任何動作。
存取權控管
Google 會根據員工的工作職務和角色授予相應的存取權與存取權限；我們採取最小許可權限與有知情必要原則，為不同職位的員工授予不同的存取權。員工如需取得更多的存取權，必須透過正式程序提出申請。根據 Google 的安全性政策，員工申請額外存取權時必須獲得資料/系統擁有者、經理或其他主管的核准。
安全漏洞管理
我們會運用市售工具、依特定需求建構的內部工具、高度自動化及手動的滲透測試、品管程序、軟體安全性審核及外部稽核等方式，詳細檢查軟體是否含有安全漏洞。廣大的安全性研究社群也是我們的強力後盾，我們非常重視他們為 G Suite、Google Cloud Platform 及其他 Google 產品找出安全漏洞時提供的協助。此外，我們還會透過「安全漏洞獎勵計畫」(Vulnerability Reward Program) 鼓勵研究人員回報針對設計與實施計畫時，可能導致客戶資料面臨風險的相關問題。
產品安全性：G Suite
G Suite 客戶可以善用各種產品功能與設定來進一步保護個人資料，藉此防範未經授權或非法的資料處理活動：
- 使用者在登入服務時，兩步驟驗證機制會要求他們提供額外的身分識別證明，因此可降低發生未經授權資料存取活動的風險。另一方面，強制使用安全金鑰功能則會索取實體金鑰，進一步提升使用者帳戶的安全性。
- 可疑登入活動監控功能會運用強大的機器學習技術來偵測可疑的登入活動。
- 強化版電子郵件安全機制規定所有電子郵件訊息都必須透過安全/多用途網際網路郵件延伸標準 (S/MIME) 簽署及加密。
- 資料遺失防護機制可保護 Gmail 和雲端硬碟中的機密資訊，以防未經授權的使用者取得重要資料。詳情請參閱我們的《資料遺失防護白皮書》。
- 雲端硬碟中的資訊版權管理服務除了可讓您透過進階共用選單停用下載、列印及複製檔案的功能，還能讓您設定檔案存取期限。
- 行動裝置管理服務可持續監控系統，並在偵測到可疑的裝置活動時通知您。
- 安全中心提供的全方位資訊主頁可讓您在同一個位置瞭解檔案的對外共用狀態、監控以機構內部使用者為目標的垃圾郵件和惡意軟體，並取得貴機構的安全性成效指標資料。
- Google 保管箱可讓您保留、封存、搜尋和匯出貴機構的電子郵件、Google 雲端硬碟檔案內容和公開即時通訊，藉此滿足電子蒐證 (eDiscovery) 與法規遵循的需求。
有了第三方應用程式存取權控管功能，您就能查看及控管哪些第三方應用程式採用 OAuth 來進行驗證及存取企業資料。您可以針對是否停用 OAuth 存取權進行更加精細的設定，並審核要加入許可清單的第三方應用程式。
如要瞭解詳情，請前往 https://gsuite.google.com/security。
產品安全性：GCP
GCP 客戶可以善用各種產品功能與設定來進一步保護個人資料，藉此防範未經授權或非法的資料處理活動：
- 使用者在登入服務時，兩步驟驗證機制會要求他們提供額外的身分識別證明，因此可降低發生未經授權資料存取活動的風險。另一方面，強制使用安全金鑰功能則會索取實體金鑰，進一步提升使用者帳戶的安全性。
- Cloud Identity and Access Management (Cloud IAM) 可讓您為 Google Cloud 資源建立精細的存取及修改權限，並加以管理。
- 資料遺失防護 API 可協助您識別並監控特殊類別個人資料的處理活動，再據此選用適當的控管措施。
- Cloud Logging 和 Cloud Monitoring 將記錄、監控、快訊和異常情況偵測系統整合至 Google Cloud。
- Cloud Identity-Aware Proxy (Cloud IAP) 可控管在 Google Cloud Platform 上運作的雲端應用程式存取權。
- Cloud Security Scanner 會掃描並偵測常見的 Google App Engine 應用程式安全漏洞。
- 有了 Security Command Center，您就能透過單一資訊主頁集中查看及監控自己的雲端資產儲存庫、在儲存系統中掃描機密資料、偵測常見的網路安全漏洞，以及審查重要資源的存取權。
如要瞭解詳情，請前往 https://cloud.google.com/security/
在協議效期內，管理員隨時可透過 G Suite 或 Google Cloud Platform 服務的功能匯出客戶資料 (詳情請參閱 Google Cloud Platform 說明文件)。數年前，我們便將資料匯出承諾納入資料處理條款中，並已根據 GDPR 更新這些條款內容。我們目前仍致力於提升各種資料匯出功能的健全性，讓客戶能夠以更輕鬆的方式安全地從 G Suite 和 Google Cloud Platform 服務中下載企業資料副本。
您也可以隨時利用 G Suite 或 Google Cloud Platform 服務的功能刪除客戶資料。Google 收到您的完整刪除指示 (例如已刪除的電子郵件再也無法從「垃圾桶」中復原) 之後，除非 Google 有保留這些資料的義務，否則我們會在 180 日內刪除所有系統內的相關客戶資料。
資料當事人的權利
透過 G Suite 和 Google Cloud Platform 的管理控制台與服務功能，資料控管者即可存取、更正或刪除自己和其使用者輸入 Google 系統的所有資料，並限制這類資料的處理方式。有了這類功能，如果資料當事人依據 GDPR 行使權利並提出相關要求，資料控管者就能履行相應的義務。
資料保護小組
Google 已為 Google LLC 及其子公司指派資料保護長，由資料保護長負責受 GDPR 規範的資料處理事宜，當中包含 Google Ireland Limited 的企業產品。Keith Enright (隱私權法律小組負責人) 將擔任 Google LLC 的資料保護長，並常駐於美國舊金山。
Google 已為企業產品指派專責小組，由他們在必要時負責處理與資料保護有關的客戶問題。相關協議中已提供這些小組的聯絡方式。客戶的管理員在登入管理員帳戶之後，即可透過 https://support.google.com/a/contact/googlecloud_dpr 與 G Suite 的雲端資料保護小組聯絡。另外，您或許也可以直接透過適用協議中列舉的方式通知 Google。如要與 Google Cloud Platform 的資料保護小組聯絡，請前往 https://support.google.com/cloud/contact/dpo。
事件通知
多年前，我們便已在 G Suite 和 Google Cloud Platform 的合約中載明事件通知的相關承諾。我們會確實遵守已根據 GDPR 更新的協議和條款中的資料事件條款，只要發生任何與您的客戶資料有關的事件，我們一定會立即通知您。
GDPR 提供多種機制，可協助推動歐盟境外的個人資料移轉活動。在個人資料移轉至第三方國家/地區時，這些機制可用於確認防護等級是否足夠，或者是否已採用適當的保護措施。
適當的保護措施可依據合約條款範本提供，而是否有足夠的防護等級則可依適足性認定 (例如支援《歐盟-美國隱私護盾》) 來加以確認。
根據 GDPR 的規定，我們已在現行的資料處理協議中提供承諾，會確實維護可協助推動歐盟境外個人資料移轉的機制。 Google 根據「歐盟-美國隱私護盾」及「瑞士-美國隱私護盾」架構獲得的認證包含 G Suite 和 Google Cloud Platform。另外，我們也獲得歐洲資料保護主管機關的認可，確認我們的合約條款範本符合規定，G Suite 和 Google Cloud Platform 合約中的承諾也完全符合相關規範，可合法地將個人資料從歐盟境內移轉至其他國家/地區。
客戶和監管機關都會要求我們延請獨立單位來審查安全性、隱私權和法規遵循控管機制。因此，G Suite 與 Google Cloud Platform 會定期委託多家第三方稽核單位進行獨立審查。
ISO/IEC 27001 (資訊安全性管理)
ISO 27001 是獲得國際廣泛認可的獨立安全標準。針對建置所有服務通用的共用基礎架構所需的系統、應用程式、人員、技術、處理程序和資料中心，以及各種 G Suite 和 Google Cloud Platform 產品，Google 均已獲得 ISO 27001 認證。
ISO/IEC 27017 (雲端服務安全性)
ISO 27017 是從 ISO/IEC 27002 衍生而來的資訊安全控管做法國際標準，專為雲端服務而制定。Google 已獲得相關認證，確認 G Suite 和 Google Cloud Platform 均符合 ISO 27017 的規定。
ISO/IEC 27018 (雲端服務隱私權)
ISO 27018 是一項國際做法標準，用於保護公用雲端服務中的個人識別資訊 (PII)。Google 已獲得相關認證，確認 G Suite 和 Google Cloud Platform 均符合 ISO 27018 的規定。
SSAE16/ISAE 3402 (SOC 2/3)
美國會計師協會 (American Institute of Certified Public Accountants，簡稱 AICPA) 制定了服務機構控管 SOC 2 與 SOC 3 稽核架構，當中載明「信賴原則」的定義，以及安全性、可用性、處理完整性和機密性的標準。Google 提供 Google Cloud Platform 和 G Suite 的 SOC 2 及 SOC 3 報告。
客戶肩負的責任
身為客戶，您應該負起哪些責任？
G Suite1 與 Google Cloud Platform 的客戶通常扮演資料控管者的角色，負責管理他們在使用 Google Cloud 服務時提供給 Google 的所有個人內容。資料控管者可以決定個人資料的使用目的與處理方式，Google Cloud 則時常扮演資料處理者的角色。因此，資料控管者在使用 G Suite 或 Google Cloud Platform 時，資料處理者 (即 Google Cloud) 就會代替他們處理個人資料。
什麼是資料控管者？
資料控管者負責採取適當的技術和機構措施，以確保並證明所有資料處理程序皆符合 GDPR 的規定；他們的義務與多項原則息息相關，例如合法性、公平性、透明度、目的限制、資料最小化、準確性，以及履行資料當事人的資料相關權利。
您可以定期查看與資料保護有關的國家或主管機關網站，並參閱國際隱私權專家協會 (International Association of Privacy Professionals，簡稱 IAPP) 等資料隱私權機構的出版品，藉此瞭解您在 GDPR 規定下的責任。我們也會持續更新本 GDPR 頁面和 GDPR 資源中心，為您提供相關的新聞與最新動態。
本網站旨在協助客戶充分瞭解 Google Cloud 如何因應 GDPR。網站中的內容不構成任何法律建議，因此如需適用於貴機構特定規定的準則，建議您諮詢法律專家。
您可以從哪裡著手？
身為 Google Cloud 的客戶，您應該應該在貴機構的資料保護法規遵循策略中納入 GDPR。您可以參考以下秘訣：
- 熟悉 GDPR 的條款內容。
- 為您經手的個人資料建立一份最新的清單，並利用 Google 提供的某些工具來識別及分類資料。
- 仔細檢視您目前的控管措施、政策與處理程序，並確認這些項目是否符合 GDPR 對於管理及保護資料的規定，再據此擬定相關計畫，以補強不足之處。
- 在制定法規遵循管理框架時，思考如何善用 Google Cloud 現有的資料保護功能，並從查閱 G Suite 或 Google Cloud Platform 的第三方稽核和認證資訊著手。
- 詳閱並接受修訂後的資料處理條款。請按照這篇說明文章所述的程序選擇接受《G Suite 資料處理修訂條款》，以及按照這篇說明文章所述的程序選擇接受《GCP 資料處理與安全性條款》。
常見問題
- GDPR 是什麼？
- 《一般資料保護規則》這項隱私權法規已於 2018 年 5 月 25 日生效，並取代了 1995 年 10 月 24 日制定的《資料保護綱領 (95/46/EC)》。
- GDPR 是否要求將個人資料儲存於歐盟境內？
- 否。如同《資料保護綱領》(95/46/EC)，GDPR 規範了歐盟境外個人資料移轉活動的特定條件。只要利用合約條款範本等機制，您就能確實遵守這些條件。
- Google 是否已根據 GDPR 更新條款內容？
- 多年前，Google Cloud 便已在資料處理條款中清楚載明我們對客戶隱私權和安全性的承諾。雖然 GDPR 直接適用於雲端服務供應商 (無論其合約承諾內容為何)，但我們已根據 GDPR 修訂相關條款，其中特別反映了 GDPR 第 28 條的內容 (雲端客戶在使用資料處理服務時的相關規定)。
- GDPR 是否賦予客戶稽核 Google Cloud 的權利？
- 根據 GDPR 的規定，在資料控管者與資料處理者簽訂的合約中，資料處理者必須賦予資料控管者相關的稽核權利。為提供客戶這方面的保障，我們也在新版資料處理協議中納入了稽核權。
- 在遵循 GDPR 規定方面，第三方的 ISO/IEC 27001、ISO/IEC 27017 和 ISO/IEC 27018 認證，以及 SOC 2/3 報告扮演了什麼角色？
- 客戶可以利用我們的第三方 ISO 認證與 SOC 2/3 稽核報告來進行風險評估，並判斷自己是否已採取適當的技術與機構措施。
- Google 還提供哪些 GDPR 相關資訊和資源？
- 請瀏覽 Google 的企業與資料網站和 GDPR 資源中心