Privacy and Security Terms

「供應商」或 Kyndryl 之一方對他方之「業務聯絡資訊」是否具有存取權限？

若是，條款 I（「業務聯絡資訊」）及 X（「配合、查核及補救」）適用於該存取權限。

範例：

「供應商」為提供支援或維護而使用 Kyndryl 或「客戶」員工之姓名、電子郵件位址及電話號碼。
Kyndryl 為了通過驗證以存取「公司系統」而使用「供應商」員工之姓名與電子郵件位址。

附註：

「供應商」若屬正在提供維護或支援者，「供應商」對 BCI（例如：包含或未含「個人資料」之日誌檔）以外資訊具有存取權限，在此情形下，「供應商」亦應勾選第 2 項（若「供應商」對「個人資料」具有存取權限）及第 3 項（若「供應商」對非「個人資料」具有存取權限）下之方框。
如果供應商處理的是 Kyndryl 員工的資料，那麼供應商還要勾選項目 2 下的方框（如果擁有個人資料存取權）。

條款 I：「業務聯絡資訊」

若由「供應商」或 Kyndryl 之任一方處理他方之 BCI 者，則適用本「條款」。

1.1 不論 Kyndryl 與「供應商」於何處執行「供應商」之「服務」與「交付項目」交付有關業務，Kyndryl 與「供應商」均得處理他方之 BCI。

1.2 當事人之一方：

(a) 不得基於其他目的而使用或揭露他方 BCI（明確說明如下：非經他方事前書面同意及受影響「資料當事人」所必要之事前書面同意，任一方當事人不得基於行銷目的而「出售」他方之 BCI或使用或揭露他方 BCI）；及

(b) 若發生任何未獲授權使用個人資訊，且當事人希望停止處理和修補，則於他方提出書面要求時，應即刪除、修改、更正、歸還或提供有關處理他方 BCI 之資訊、限制對他方 BCI 之「處理」，或對他方 BCI 合理採取其他所要求的行動。

1.3 雙方當事人未就彼此之 BCI 訂立聯合「管控者」關係，「交易文件」之任何條款，均不得解釋為，亦不構成表示訂立聯合「管控者」關係之意圖。

1.4 Kyndryl 對 BCI 所為「處理」之其他詳細資料，請參閱「Kyndryl 隱私權聲明」(Kyndryl Privacy Statement)（網址：https://www.kyndryl.com/us/en/privacy）。

1.5 雙方當事人已實施技術及組織安全措施，未來亦持續維護，以防範他方 BCI 發生滅失、毀損、更改、意外或未經授權之存取及非法之「處理」等情事。

1.6 供應商發現涉及 Kyndryl BCI 的任何安全侵害後，應立即（在任何情況下不得晚於 48 小時）通知 Kyndryl。供應商將提供此類通知給 cyber.incidents@kyndryl.com。供應商將提供 Kyndryl 合理要求的此類安全侵害行為相關資訊，以及任何的供應商補救狀態和復原活動。例如，合理要求之資訊可能包括就安全侵害或「供應商」所為補救及還原活動相關事項所作成之日誌，該等日誌應足以證明對「裝置、系統或應用程式」、「裝置、系統或應用程式」之鑑識影像，以及其他類似項目所為之特許存取、管理存取及其他存取。

1.7 若「供應商」僅「處理」Kyndryl BIC，且對任何其他資料或著作物或「Kyndryl 公司系統」不具存取權限，則該「處理」僅適用本條款及條款 X（「配合、查核及補救」）。

條款 X：「配合、查核及補救」

「供應商」如係提供 Kyndryl「服務」或「交付項目」者，適用本條款。

1. 「供應商」之配合

1.1 Kyndryl 合理質疑任何「服務」或「交付項目」於過去、現在及未來有導致網路安全疑慮者，「供應商」應充分配合 Kyndryl 就該疑慮所為詢問，包括及時完整回應所要求之資訊（透過文件、其他記錄、相關「供應商人員」訪談等方式回應）。

1.2 雙方當事人同意下列事項：(a) 依要求提供彼此進一步資訊；(b) 簽署其他文件並交付彼此；及 (c) 他方當事人為執行此等「條款」及參用此等「條款」之文件之意旨的目的，而合理提出要求之其他行為或情事。例如，於 Kyndryl 要求時，「供應商」應即提供其與「再處理者」與下包商所訂書面契約中以隱私權與安全為重點之條款，包括授與該等「再處理者」與下包商本身對該等契約之存取權限（「供應商」有權授與該權限者）。

1.3 於 Kyndryl 要求時，「供應商」應即提供相關資訊，敘明其「交付項目」及其元件之製造、開發或以其他方式委外之所在國家/地區。

2. 查核（以下所稱「設施」，指「供應商」代管、處理或以其他方式存取「Kyndryl 著作物」之所在實體位置）

2.1 「供應商」應保留稽核記錄，以資證明其遵循「條款」。

2.2 Kyndryl 於事前三十日對「供應商」為書面通知後，得由其自己或由外部稽核員，查核「供應商」是否遵循「條款」，包括基於此目的而進入「設施」，惟 Kyndryl 不進入「供應商」對「Kyndryl 資料」進行「處理」所在資料中心，但 Kyndryl 基於善意理由認為進入該等資料中心足以提供相關資訊者，不在此限。「供應商」應配合 Kyndryl 之查核，包括及時完整回應要求資訊（透過文件、其他記錄、相關「供應商人員」訪談等方式回應）。「供應商」得提出其符合經認可之行為規範或經業界認證之證明，或以其他方式提供相關資訊，據以證明確實遵循「條款」，以供 Kyndryl 納入考量。

2.3除下列情形外，於 12 個月之期間內所為查核，以一次為限：(a) Kyndryl 擬查核「供應商」對疑慮事項所為補救，而該等疑慮事項係於 12 個月期間之前一查核所致者；或 (b) 已發生「安全侵害」，而 Kyndryl 欲查核該侵害事件是否與遵循義務相關。有前揭情形之一者，Kyndryl 將同於上述第 2.2 節所規定，於事前三十日以書面通知「供應商」，惟須對「安全侵害」為緊急處理者，Kyndryl 得以事前少於三十日之通知後執行查核。

2.4. 主管機關或其他「管控者」得履行第 2.2 節及第 2.3 節中同於 Kyndryl 之權利，惟該主管機關或其他「管控者」應瞭解主管機關得履行其依法所具有之其他權利。

2.5 Kyndryl 有合理依據足以推斷「供應商」未遵循任一「條款」者（不論該依據是否源自依「條款」或其他規定所為查核，均同），「供應商」應即補救其未遵循「條款」之情事。

3. 防偽程式

3.1 「供應商」之「交付項目」如有包含電子元件者（例如：硬碟機、固態硬碟、記憶體、中央處理器、邏輯裝置或纜線），「供應商」應持續採用記載完備防偽程式，其目的有二，首先是防止「供應商」提供 Kyndryl 偽造元件，此外可立即偵測及補救「供應商」因其錯誤而提供 Kyndryl 偽造元件之情事。對於提供 Kyndryl 電子元件（內含於「供應商」之「交付項目」）之「供應商」的所有供應商，應使其承擔前揭記載完備防偽程式之相同義務。

4. 補救

4.1 「供應商」未遵循「條款」所定「供應商」義務，致生「安全侵害」者，「供應商」應更正其未遵循義務，並補救「安全侵害」之不良後果，前述更正之履行與不良後果之補救，應依 Kyndryl 合理指示與時程為之。惟「安全侵害」係因「供應商」供應多租戶「代管服務」所致，並後續影響多位「供應商」客戶（包括 Kyndryl），「供應商」應依「安全侵害」之性質，及時以適當方式更正其執行上之缺失，並補救「安全侵害」所致不良後果，同時亦應就 Kyndryl 對該更正與補救之投入給予補償。在不影響上述權利或特權的情況下，如果供應商無法再遵守適用之資料保護法所規定的義務，供應商必須立即通知 Kyndryl。

4.2 Kyndryl 於其認為適當或必要時，有權參與第 4.1 節所指「安全侵害」之補救，且雙方當事人因前述更正之履行與補救作為，其所生成本與費用，由「供應商」負擔。

4.3 例如，「安全侵害」有關補救成本與費用可能包括下列作為所生成本與費用，以及為補救「安全侵害」之不良後果所需之成本與費用：偵測及調查「安全侵害」、依適用法律規章判定責任歸屬、為侵害通知、設置及維護電話客服中心、提供信用監控服務與信用恢復服務、重新載入資料、更正產品瑕疵（包括透過「原始碼」或其他開發）、聘僱第三人協助進行前揭或其他相關活動。明確說明如下：補救成本與費用不包括 Kyndryl 之利潤、業務、價值、收入、商譽或預期盈餘等之損失。

「供應商」是否對「個人資料」具有存取權限？

若是，條款 II（「技術與組織措施 - 資料安全」）、III（「隱私權」）、VIII（「技術與組織措施 - 一般安全」）及 X（「配合、查核及補救」）適用於該存取權限。

範例：

「供應商」於其交付「代管服務」時存取「個人資料」，以供 Kyndryl 內部使用及/或供「客戶」使用。
「供應商」提供醫療保健相關服務、行銷「服務」或人力資源或權益相關「服務」，並於提供該等服務時存取「個人資料」。
「供應商」為提供支援「服務」而存取內含「個人資料」之日誌檔。

條款 II：「技術與組織措施 - 資料安全」

若「供應商」係「處理」Kyndryl BCI 以外之「Kyndryl 資料」，則適用本條款。「供應商」於提供所有「服務」與「交付項目」時，均應遵循本條款之規定，俾以防範「Kyndryl 資料」發生滅失、毀損、更改、意外或未經授權之揭露、存取或其他非法之「處理」等情事。以下各項準用本條款之規定：「供應商」於其提供「交付項目」與「服務」時所操作或管理之所有 IT 應用程式、平台及基礎架構，包括所有開發、測試、代管、支援、作業及資料中心環境。

1. 資料之使用

1.1 非經 Kyndryl 事前書面同意，「供應商」不得將其他任何資訊或資料，包括「個人資料」，加入或包含於「Kyndryl 資料」中，且「供應商」除基於提供「服務」與「交付項目」之目的外，不得基於其他目的而以彙整或其他形式使用「Kyndryl 資料」（例如：「供應商」不得為進行研究與開發，以建立新供應項目或產生「供應商」供應項目有關報告，而使用或重複使用「Kyndryl 資料」評估改善「供應商」供應項目之效率或方法）。除「交易文件」另有規定者外，「供應商」不得「出售」「Kyndryl 資料」。

1.2 「供應商」不得將 Web 追蹤技術內嵌於「交付項目」，或將之納入「服務」之一部分（該等技術包括 HTML5、本端儲存體、第三人標籤或記號及網路信標 (web beacons)），但「交易文件」明文許可者不在此限。

2. 第三人之要求及保密

2.1 「供應商」不得將「Kyndryl 資料」揭露予任何第三人，但經 Kyndryl 事前書面授權者不在此限。政府（包括主管機關）要求存取「Kyndryl 資料」者（例如：美國政府對「供應商」發出國家安全令，要求其取得「Kyndryl 資料」者），或依法必須揭露「Kyndryl 資料」者，「供應商」應以書面對 Kyndryl 為該要求或規定之通知，並給予 Kyndryl 適當機會對揭露進行救濟（法律禁止為通知者，「供應商」應透過法律行動或其他方法，採取其合理認定之妥適行動，俾就「Kyndryl 資料」之禁用與揭露予以救濟）。

2.2 「供應商」對 Kyndryl 擔保下列事項：(a) 其員工中，僅限為提供「服務」或「交付項目」而須存取「Kyndryl 資料」之員工具有該存取權限，所為存取以為提供該等「服務」與「交付項目」所需者為限；及 (b)「供應商」已約束其員工遵循保密義務，規定其僅限依「條款」許可範圍使用及揭露「Kyndryl 資料」。

3. 「Kyndryl 資料」之歸還或刪除

3.1 「供應商」應於「交易文件」終止或期滿時，或於 Kyndryl 所要求之更早期日時，依 Kyndryl 之選擇而刪除或歸還「Kyndryl 資料」。若 Kyndryl 要求刪除，「供應商」應依「業界實作典範」使資料難以辨認且無法重新組合或重新建構，並向 Kyndryl 證實所為之刪除。若 Kyndryl 要求歸還「Kyndryl 資料」，「供應商」應於 Kyndryl 合理期限內，依 Kyndryl 合理書面指示歸還。

條款 III：「隱私權」

若「供應商」係「處理」「Kyndryl 個人資料」，則適用本條款。

1. 處理

1.1 Kyndryl 指定「供應商」僅限基於提供「交付項目」與「服務」之目的，且依 Kyndryl 書面指示（包括「條款」、「交易文件」及雙方當事人所訂關聯基本合約所載指示），對「Kyndryl 個人資料」進行「處理」而為「處理者」。若「供應商」未遵循指示者，Kyndryl 為書面通知後得終止「服務」中受影響之部分。若「供應商」認為前揭指示違反資料保護法者，「供應商」應立即於法定時限內通知 Kyndryl。如果供應商未能履行這些條款所規定的任何義務，並因此導致未經授權使用個人資訊，或者一般而言，在任何未經授權使用個人資訊的情況下，Kyndryl 將有權停止處理，改正缺失，並補救未經授權使用的不良影響，並依 Kyndryl 的合理方向與時程為之。

1.2 「供應商」應遵循「服務」與「交付項目」所適用之一切資料保護法。

1.3 「交易文件」之「附件」或「交易文件」本身，就「Kyndryl 資料」規定下列項目：

(a) 「資料當事人」之種類；

(b) Kyndryl 個人資料的類型；

(c) 資料操作及「處理」活動；

(d) 「處理」之期間與頻率；及

(e) 「再處理者」清單。

2. 技術與組織措施

2.1 「供應商」將實施及維護條款 II（「技術與組織措施 - 資料安全」）及條款 VIII（「技術與組織措施 - 一般安全」）規定技術與組織措施，俾以確保達到其「服務」與「交付項目」所示風險所適用之安全等級。「供應商」確認並瞭解條款 II、本條款 III 及條款 VIII 之限制規定，並應遵循之。

3. 資料當事人之權利與要求

3.1 「資料當事人」要求履行有關「Kyndryl 個人資料」之「資料當事人」權利（例如：資料之更正、刪除及封鎖等權利），「供應商」應立即將該項要求告知 Kyndryl（應使 Kyndryl 及任何「其他管控者」有充分時間足以履行其法定義務）。「供應商」亦得立即指示「資料當事人」對 Kyndryl 為前項要求。「供應商」不得回應「資料當事人」所提出之要求，但屬法律規定或 Kyndryl 以書面指示其回應者不在此限。

3.2 倘若 Kyndryl 有義務將「Kyndryl 個人資料」相關資訊提供予「其他管控者」或第三人（例如：「資料當事人」或「主管機關」），「供應商」應提供資訊及採取 Kyndryl 所要求之其他合理行動，即提供一切資訊並採取 Kyndryl 所要求之適當行動，為 Kyndryl 提供協助，並應使 Kyndryl 得以及時回應「其他管控者」或第三人。

4. 再處理者

4.1 「供應商」於新增「再處理者」或擴充現有「再處理者」之「處理」範圍前，應事先對 Kyndryl 為書面通知，並於書面通知中指明「再處理者」之姓名及說明「處理」之新增或擴充之範圍。 Kyndryl 得隨時基於合理理由對前揭新增「再處理者」或擴充範圍提出異議，有此情形者，雙方當事人應本誠實信用原則，共同處理 Kyndryl 之異議。 Kyndryl 有權隨時提出前揭異議，若 Kyndryl 於「供應商」之書面通知日起 30 日內未提出異議者，「供應商」得委任新增「再處理者」或擴充現有「再處理者」之「處理」範圍。

4.2 「供應商」於「再處理者」對「Kyndryl 資料」進行「處理」前，應加以規定各獲准之「再處理者」必須遵循「條款」所定資料保護、安全及認證等義務。「供應商」對於各「再處理者」義務之履行，應對 Kyndryl 負完全責任。

5. 跨境資料處理

依下列規定使用：

所稱有適當保護層級國家或地區，指依適用資料保護法或主管機關決策認定為提供有關傳輸之適當資料保護層級之國家或地區。

所稱資料輸入者，指非屬「有適當資料保護層級之國家或地區」之「處理者」或「再處理者」。

所稱歐標準契約條款 (EU Standard Contractual Clauses, EU SCC)指適用選擇性條款（第 9 條第 (a) 款第 1 項與第 17 條第 2 項除外），並於 https://commission.europa.eu/publications/standard-contractual-clauses-international-transfers_en 正式公布之「歐盟標準契約條款」（2021/914 委員會決策）。

所稱塞爾維亞標準契約條款（「塞爾維亞 SCC」）指經「塞爾維亞公眾利益與個人資料保護資訊委員會 (Serbian Commissioner for Information of Public Importance and Personal Data Protection)」採用，並於 https://www.poverenik.rs/images/stories/dokumentacija-nova/podzakonski-akti/Klauzulelat.docx 公布之「塞爾維亞標準契約條款」。

所稱標準契約條款 (SCC)，指依適用資料保護法規定，就「個人資料」傳輸予非屬「有適當資料保護層級之國家或地區」之「處理者」所必須簽訂之契約條款。

歐盟執委會標準契約條款之英國 (UK) 國際資料傳送附錄（亦稱「UK 附錄」），指的是已發布於下列網址的歐盟執委會標準契約條款之英國 (UK) 國際資料傳送附錄官方文件：https://ico.org.uk/for-organisations/guide-to-data-protection/guide-to-the-general-data-protection-regulation-gdpr/international-data-Transfer-agreement-and-guidance/。

歐盟委員會標準契約條款之瑞士附錄（瑞士附錄），係指歐盟執委會標準契約之條款，依據瑞士資料保護主管機關（FDPIC) 之決定適用，符合瑞士聯邦資料保護法 (FADP )。

5.1 未經 Kyndryl 事前書面同意，「供應商」不得跨境傳輸或揭露（包括遠端存取）「Kyndryl 個人資料」。經 Kyndryl 同意者，雙方當事人應協力確保遵循適用之資料保護法。 SCC 如係前揭法律所規定者，「供應商」於 Kyndryl 要求時應即簽訂 SCC。

5.2 EU SCC 有關規定：

(a) 「供應商」非位於「有適當資料保護層級之國家或地區」者，「供應商」茲此以「資料輸入者」身分與 Kyndryl 簽訂 EU SCC，且「供應商」應依 EU SCC 第 9 條之規定，與各獲准「再處理者」簽訂書面合約，並應依要求提供 Kyndryl 合約副本。

(i) 除雙方當事人另有書面約定者外，不適用 EU SCC 之「模組 1」。

(ii) 若 Kyndryl 為「控制者」，則適用 EU SCC 之「模組 2」；若 Kyndryl 為「處理者」，則適用「模組 3」。依 EU SCC 第 13 條之規定，若適用「模組 2」或「模組 3」，則雙方當事人同意下列事項：(1) EU SCC 將以主管監管機關所在歐盟成員國之法律為準據法；及 (2) EU SCC 所生任何爭議，悉由主管監管機關所在歐盟成員國之法院審理。若前揭第 (1) 項中之法律不允許第三方受益人之權利，則 EU SCC 以荷蘭之法律為其準據法，第 (2) 項項下因 EU SCC 所生任何爭議，悉由荷蘭阿姆斯特丹法院審理。

(b) 如果雙方當事人（供應商和 Kyndryl）都位於「有適當資料保護層級之國家或地區」，則供應商將作為資料輸出者，並與非位於「有適當資料保護層級之國家或地區」的每個獲核准「再處理者」約定 EU SCC。供應商將執行所需的傳輸影響評估 (TIA) 並通知 Kyndryl (1) 任何需要實施的補充措施和 (2) 已運用的措施，不得無故拖延。供應商將根據要求向 Kyndryl 提供 TIA 的結果，以及理解與評估結果所需的任何資訊。如果 Kyndryl 不同意供應商 TIA 的結果或已運用的補充措施，Kyndryl 和供應商將共同尋找可行的解決方案。 Kyndryl 保留暫停或終止相關供應商服務的權利，無需給予補償。為避免疑義，這不會解除供應商的「再處理者」與 Kyndryl 或其客戶成為 EU SCC 之其中一方當事人的義務，如下面第 5.2 (d) 節所述。

(c) 若「供應商」位於「歐洲經濟區」，而 Kyndryl 為不受「2016/679 一般資料保護規章」拘束之「控制者」，則適用 EU SCC 之「模組 4」，且「供應商」茲此以資料輸出者之身分，與 Kyndryl 簽訂 EU SCC。若適用 EU SCC 之模組 4，則當事人同意 EU SCC 以荷蘭之法律為其準據法，因 EU SCC 所生的任何爭議，悉由荷蘭阿姆斯特丹法院審理。

(d) 若「其他控制者」（如「客戶」或關係企業）依第 7 條中之對接條款 (docking clause) 要求成為 EU SCC 之當事人，則「供應商」茲此同意該項要求。

(e) 完成 EU SCC 之「附錄 II」所需之「技術與組織措施」，載明於前揭「條款」、「交易文件」本身及雙方當事人所訂關聯基本合約。

(f) EU SCC 與「條款」如有牴觸，優先適用 EU SCC。

5.3 關於「UK 附錄」：

a. 若供應商未設立於適用之國家或地區：(i) 該供應商則依據「UK 附錄」以 Kyndryl 進口商身分，受到上述歐盟 SCC 條款之約束（須視處理活動的環境而定）；(ii) 該供應商將與獲准之每一個再處理者簽署書面合約，並於 Kyndryl 要求時提供各份合約之副本。

b. 若供應商設立於適用之國家或地區，而 Kyndryl 是不受英國一般資料保護規章之約束（已納入歐盟（撤銷）條款 2018 年之英國 (UK) 法律）的控制者，則該供應商將依據「UK 附錄」以 Kyndryl 出口商身分，受到上述歐盟 SCC 5.2(b) 一節之約束。

c. 若其他控制者（如客戶或關係企業）要求成為 UK 附錄之合約方，則供應商因應允該類要求。

d. 「UK 附錄」中的附錄資訊（列於表三）可參見於適用的歐盟 SCC、這些條款、交易文件本身及關係方間相關聯的基本合約。 Kyndryl 或供應商於「UK 附錄」變更時，皆不得終止「UK 附錄」。

e. 若「UK 附錄」及這些條款存有任何歧異，將以「UK 附錄」為準。

5.4 「塞爾維亞 SCC」有關規定：

a. 「供應商」非位於「有適當資料保護層級之國家或地區」者，應依下列規定：(i)「供應商」茲此以「處理者」身分代表自己與 Kyndryl 簽訂「塞爾維亞 SCC」；及 (ii)「供應商」應依「塞爾維亞 SCC」第 8 條之規定，與各獲准「再處理者」簽訂書面合約，並應依要求提供 Kyndryl 合約副本。

b. 「供應商」位於「有適當資料保護層級之國家或地區」者，「供應商」代表位於「無適當保護層級國家」之各「再處理者」，與 Kyndryl 簽訂「塞爾維亞 SCC」。「供應商」未能為前述「再處理者」簽訂「塞爾維亞 SCC」者，「供應商」應於允許該「再處理者」對「Kyndryl 個人資料」進行「處理」前，提供 Kyndryl 該「再處理者」完成簽署之「塞爾維亞 SCC」，交由 Kyndryl 會簽。

c. Kyndryl 與「供應商」所訂「塞爾維亞 SCC」，應視事實所需，作為「控制者」與「處理者」所訂「塞爾維亞 SCC」，或作為「處理者」與「再處理者」所訂連續書面合約。「塞爾維亞 SCC」與「條款」如有牴觸，優先適用「塞爾維亞 SCC」。

d. 基於規範將「個人資料」移轉至「無適當保護層級國家/地區」之目的，為完成「塞爾維亞 SCC」之「附錄 1」至「附錄 8」所需資訊，載明於前揭「條款」及「交易文件」之「附件」，或「交易文件」本身。

5.5. 關於瑞士附錄：

根據第 5.1 節若發生 Kyndryl 個人資料轉移，均受第 5.2 節的歐盟執委會標準契約條款同意的瑞士聯邦資料保護法（FADP ) 所約束，並以依照以下修訂內容，採 GDPR 標準，約束瑞士的地區個人資料傳輸：

援引一般資料保護規定（GDPR），均應視為援引 FADP 同等條款；
瑞士聯邦資料保護及資訊委員會為主管機關，符合歐盟執委會標準契約條款附件 IC 第十三條

若傳輸僅受受 FADP 約束，則瑞士法律為準據法；
歐盟執委會標準契約條款第 18 條中的「成員國」，應擴展和包括瑞士，以允許瑞士資料主體在其常駐地區內行使權利。

為免存疑，上述主旨均非降低歐盟執委會標準契約條款給予之資料保護，而僅將此保護層面擴展至瑞士資料主體。若情況並非如此，則以歐盟執委會標準契約條款為準。

6. 協助及記錄

6.1 「供應商」在考量「處理」性質之情形下，應採取適當技術與組織措施，協助 Kyndryl 履行「資料當事人」之要求與權利有關義務。「供應商」在考量其可獲取資訊之情形下，應協助 Kyndryl 確保遵循下述事項有關義務：「處理」之安全、「安全侵害」之通知與溝通及「資料保護影響評量」之建立，包括於必要時事先諮詢權責主管機關。

6.2 「供應商」對於各「再處理者」姓名與聯絡人詳細資料，包括各「再處理者」之代表與資料保護主管，應維持最新記錄。「供應商」應依要求提供 Kyndryl 前揭記錄，使 Kyndryl 得以及時回應「客戶」或其他第三人所提出之要求。

---

條款 VIII：「技術與組織措施 - 一般安全」

若「供應商」提供 Kyndryl「服務」或「交付項目」，則適用本條款，但有下列情形者除外：「供應商」僅限於提供前述「服務」與「交付項目」時始對 Kyndryl BCI 具有存取權限（亦即，「供應商」將不「處理」其他「Kyndryl 資料」或對其他「Kyndryl 著作物」或「公司系統」不具有存取權限）、「供應商」之唯一「服務」與「交付項目」為將「就地部署軟體」提供予 Kyndryl，或「供應商」依條款 VII（包括其中之第 1.7 節）規定，以人員擴增模式提供其所有「服務」與「交付項目」者。

「供應商」應遵循本條款之規定，俾以防範下列情事：(a)「Kyndryl 著作物」發生滅失、毀損、更改、意外或未經授權之揭露或存取；(b) 非法「處理」「Kyndryl 資料」；及 (c) 非法「處置」「Kyndryl 技術」。以下各項適用本條款之規定：「供應商」於其提供「交付項目」與「服務」及「處置」「Kyndryl 技術」時所操作或管理之所有 IT 應用程式、平台及基礎架構，包括所有開發、測試、代管、支援、作業及資料中心環境。

1. 安全政策

1.1 「供應商」將持續採用 IT 安全政策及常規，此等政策及常規係為「供應商」業務不可或缺之一部分，且為「供應商」所有「供應商人員」均須遵循之規定，並應符合「業界實作典範」。

1.2 「供應商」對其 IT 安全政策與常規每年應至少審查一次，「供應商」為保護「Kyndryl 著作物」而認有必要修正此等安全政策與常規者，亦應予修正。

1.3 「供應商」應持續採用適用於一切新聘僱人員之標準必要聘僱查核規定，並準用於所有「供應商人員」及「供應商」之全資子公司。前述規定，在當地法律許可之範圍內，應包括前科背景調查、身分查核證明及「供應商」認有必要進行之其他查核。「供應商」認有必要者，應定期重複實施及重新查核前揭規定。

1.4 「供應商」每年均應對其員工實施安全與隱私權教育訓練，並要求所有員工每年均應證實其確實遵循「供應商」之行為規範或類似文件所訂定之「供應商」商業行為道德、機密性及安全政策。「供應商」對於具有「服務」、「交付項目」及「Kyndryl 著作物」元件管理存取權之人員，應予實施專為其「服務」、「交付項目」及「Kyndryl 著作物」職責與支援所為之其他政策與程序教育訓練，並於必要時維護所規定之法規遵循與認證。

1.5 「供應商」應設計安全與隱私權措施，以保護並維持「Kyndryl 著作物」之可用性，包括透過「供應商」對所有「服務」與「交付項目」及對「Kyndryl 技術」所為一切「處置」所為之實作、維護、遵循需要安全與隱私權設計之政策與程序、安全工程及安全作業。

2. 資安事件

2.1 「供應商」應依電腦資安事件處理「業界實作典範」，持續採用所規定之事故因應政策。

2.2 「供應商」應調查「Kyndryl 著作物」是否遭受未獲權限之存取或使用，並應擬定及實施適當之因應計劃。

2.3 供應商發現任何安全侵害後，應立即（在任何情況下不得晚於 48 小時）通知 Kyndryl。供應商將提供此類通知給 cyber.incidents@kyndryl.com。供應商將提供 Kyndryl 合理要求的此類安全侵害行為相關資訊，以及任何的供應商補救狀態和復原活動。例如，合理要求之資訊可能包括就安全侵害或「供應商」所為補救及還原活動相關事項所作成之日誌，該等日誌應足以證明對「裝置、系統或應用程式」、「裝置、系統或應用程式」之鑑識影像，以及其他類似項目所為之特許存取、管理存取及其他存取。

2.4 「供應商」應給予 Kyndryl 適當協助，俾能履行 Kyndryl、Kyndryl 關係企業及「客戶」就「安全侵害」應盡之法定義務（包括對「主管機關」或「資料當事人」為通知之義務）。

2.5 非經 Kyndryl 以書面核准或依法令規定須為告知或通知者，「供應商」不得告知或通知第三人「安全侵害」直接或間接與 Kyndryl 或「Kyndryl 著作物」相關。「供應商」於其將法令規定通知散布予第三人前，該通知如直接或間接漏露 Kyndryl 身分者，應事前以書面通知 Kyndryl。

2.6 「安全侵害」係因「供應商」違反「條款」所規定之義務所致者：

(a) 「供應商」所生費用，由「供應商」負擔，Kyndryl 對適用主管機關、其他政府及相關產業自治機構、媒體（依適用法律之規定）及「資料當事人」、「客戶」及他人為「安全侵害」通知，其所生費用亦由「供應商」負擔。

(b) 於 Kyndryl 請求時，「供應商」應自費設置電話客服中心，以回應「資料當事人」所提有關「安全侵害」及其所生後果之問題，且應持續營運電話客服中心，營運期間為自「資料當事人」人獲知「安全侵害」之日後一年之期間，或依適用資料保護法所定期間（以可提供較高保護效力者為準）。 Kyndryl 與「供應商」應共同協力製作 Script 及其他著作物，供電話客服中心人員於回覆詢問時使用。或者，Kyndryl 對「供應商」為書面通知時，Kyndryl 亦得設置並持續營運其自己之電話客服中心，以取代要求「供應商」設置電話客服中心，「供應商」應賠償 Kyndryl 因設置及持續營運前項電話客服中心所生實際成本。

(c) 向選擇進行信用監管服務與信用回復服務登錄之「安全侵害」事件利害關係人為該事件之通知後，自通知日期起算一年之期間或適用資料保護法所定期間（以可提供較高保護力者為準），Kyndryl 因提供前述服務所生實際成本，由供應商給予賠償。

3. 「實體安全」與「門禁管制」（以下所稱「設施」，指「供應商」代管、處理或以其他方式存取「Kyndryl 著作物」之所在實體位置）。

3.1 為防範「設施」遭受未獲授權之進入，「供應商」應設置適當之實體門禁管制設施，例如：屏障、卡控入口、監視器及人員接待櫃台。

3.2 「供應商」應規定，須經授權許可，始得出入「設施」及其內之管制區（包括臨時出入），並應依工作職責與業務需求限制出入權限。「供應商」有核發臨時出入證者，其授權員工於訪客在「設施」及管制區時，應全程陪同。

3.3 為適度限制「設施」內管制區之出入，「供應商」應實施人員出入之門禁管制，包括符合「業界實作典範」之多因子門禁管制，並應記載所有出入嘗試，記載事項應保留一年以上。

3.4 有下列情形之一時，「供應商」應撤銷出入「設施」及其內管制區之權限：a) 授權「供應商」員工離職；或 b) 授權「供應商」員工已無有效業務需求而不必再出入。「供應商」應採用有正式記載事項之離職手續，包括立即將其從門禁管制名冊中除名，以及繳回實體出入識別證。

3.5 「供應商」應採取預防措施，防範用於支援「服務」與「交付項目」及「Kyndryl 技術」之「處置」之所有實體基礎架構遭受天然或人為之環境威脅，例如：過高環境溫度、火災、水災、濕度、遭竊及蓄意破壞。

4. 存取、人為介入、傳輸及隔離控制

4.1 「供應商」於其操作「服務」與「交付項目」及「Kyndryl 技術」之「處置」時所管理網路之安全架構，「供應商」對其所記載之相關資訊，應予保留。「供應商」應分別審查前揭網路架構，並應採取措施，以防範對系統、應用程式及網路裝置發生未獲授權之網路連線，俾以符合安全分區、隔離及防禦等深度標準。「供應商」不得使用無線技術代管及操作「代管服務」；但「供應商」得使用無線網路技術交付「服務」與「交付項目」及對「Kyndryl 技術」進行「處置」，惟「供應商」應予加密，並要求該等無線網路必須進行安全驗證。

4.2 「供應商」應持續進行各項措施，此等措施之設計，旨在以符合邏輯之方式隔開及防範「Kyndryl 著作物」曝露於未獲授權之人或遭其存取。此外，「供應商」對其正式作業環境、非正式作業環境及其他環境，應持續進行適當隔離，「Kyndryl 著作物」目前已存在於非正式作業環境或已傳輸至該環境者（例如：重製錯誤），「供應商」應確保該非正式作業環境中之安全及隱私權保護措施確實同於正式作業環境。

4.3 「供應商」對傳輸中及處於靜止狀態之「Kyndryl 著作物」，均應予加密（但「供應商」對 Kyndryl 證明對處於靜止狀態之「Kyndryl 著作物」進行加密在技術上不可行，且 Kyndryl 對該項證明相當滿意者除外）。「供應商」對所有實體媒體（如有），例如：內含備份檔之媒體，亦應予加密。「供應商」應保留針對資料加密有關安全金鑰之產生、核發、散布、儲存、輪換、撤銷、回復、備份、銷毀、存取及使用所記載之各項程序。「供應商」應確保加密時所採用之特定加密方法，符合「業界實作典範」（例如：NIST SP 800-131a）之規定。

4.4 若「供應商」需要存取「Kyndryl 著作物」，「供應商」所取得之該項「Kyndryl 著作物」存取權，應以為提供及支援「服務」與「交付項目」所需之最低限度存取權為限。「供應商」應規定，前述存取權，包括基礎元件管理存取權（亦即，特許存取權），應以個人、職責為依據，並應由授權「供應商」員工依權責劃分原則予以核准及定期查核。「供應商」應持續施行相關措施，確認並移除冗餘帳戶與靜止帳戶。「供應商」應於帳戶所有人離職，或於 Kyndryl 或授權「供應商」員工（例如：帳戶所有人之經理）提出要求後二十四小時內，撤銷具有特許存取權限之帳戶。

4.5 為符合「業界實作典範」，「供應商」應持續採取相關技術措施，強制執行非作用中階段作業逾時、多次連續登入嘗試失敗後鎖定帳戶、高保護性密碼或通行詞組驗證等措施，以及要求以安全方式傳輸及儲存該等密碼及通行詞組之措施。此外，「供應商」對於所有對「Kyndryl 著作物」所為之非主控台型特許存取，均應採用多因子驗證。

4.6 「供應商」應監控特許存取權之使用，並持續採取專為下列用途設計之安全資訊及事件管理措施：(a) 識別遭受未獲授權之存取與活動；(b) 協助針對前項存取與活動進行即時且適當之因應；及 (c) 啟用由「供應商」、Kyndryl（依「條款」中之查核權，以及「交易文件」或雙方當事人所訂關聯基本合約或其他相關合約本中之稽核權利為之）及他人所為之稽核，確認是否遵循所記載之「供應商」政策。

4.7 「供應商」於日誌中依「業界實作典範」記錄所有用於提供「服務」或「交付項目」及對「Kyndryl 技術」進行「處置」之系統有關管理、使用者或其他存取或活動，日誌應予保留（於 Kyndryl 請求時並應出具日誌）。「供應商」應持續採取特定措施，用以防範該等日誌遭受未獲授權之存取、修改及意外或蓄意毀損。

4.8 「供應商」對為其所有或由其管理，以及由其用於提供「服務」或「交付項目」或對「Kyndryl 技術」進行「處置」之系統，包括終端使用者系統，應持續採取運算防護措施，包括下列防護措施：端點防火牆、全磁碟加密、為處置惡意軟體與進階持續威脅所採用之簽章型與非簽章型端點偵測與回應技術、時間型螢幕鎖定，以及用以強制執行安全配置及修補要件之端點管理解決方案。此外，「供應商」亦應實施技術與作業控管，以確保僅允許已知且可信任終端使用者系統得使用「供應商」網路。

4.9 為符合「業界實作典範」，「供應商」對從中呈現或處理「Kyndryl 著作物」之資料中心環境，應持續採取防護措施，包括入侵偵測與防範及阻斷服務攻擊之因應措施與風險管控。

5. 服務與系統完整性和可用度控管

5.1 「供應商」應執行以下各項：(a) 每年至少執行一次安全與隱私權風險評估；(b) 於正式作業發布前，及其發行後每年，應就「服務」與「交付項目」及其對「Kyndryl 技術」所為「處置」執行安全測試與漏洞評量，包括自動系統與應用程式安全掃描及手動道德駭客入侵；(c) 商請合格獨立第三人每年至少依「業界實作典範」執行一次滲透測試，包括自動與手動測試；(d) 針對「服務」與「交付元件」各元件及就其對「Kyndryl 技術」所為「處置」執行自動化管理與例行查核，以確認其是否符合安全配置要件；及 (e) 依相關風險、不當運用及影響，補救已識別漏洞或未符合安全配置要件之部分。「供應商」於其測試、評估、掃描及執行補救活動時，應採取適當步驟，防止「服務」中斷。於 Kyndryl 請求時，「供應商」應對 Kyndryl 出具「供應商」當時最新滲透測試活動書面摘要，此報告至少應包括測試涵蓋供應項目之名稱、測試之範圍內系統或應用程式數量、測試日期、測試使用方法及發現項目高階摘要。

5.2 「供應商」應持續執行專為管理有關將變更應用至其「服務」或「交付項目」或對「Kyndryl 技術」所為「處置」所致相關風險而設計之政策及程序。「供應商」於施行前揭變更前，包括受影響系統、網路及基礎元件等變更，應先於登錄變更要求中記載以下各項：(a) 變更之說明與原由；(b) 施行細節與時程；(c) 敘明對「服務」與「交付項目」、「服務」之客戶，或「Kyndryl 著作物」所生影響之風險說明書；(d) 預期成果；(e) 回復計劃；及 (f) 授權「供應商」員工之核准。

5.3 「供應商」應留存其操作「服務」、提供「交付項目」及對「Kyndryl 技術」進行「處置」時所使用一切 IT 資產之清冊。「供應商」應持續監視及管理前揭 IT 資產、「服務」、「交付項目」及「Kyndryl 技術」（包括該等資產、「服務」、「交付項目」及「Kyndryl 技術」之基礎元件）之性能（包括容量）與可用度。

5.4 「供應商」應從符合「業界實作典範」之預先定義系統安全映像檔或安全基準線（例如：「網際網路安全中心」(Center for Internet Security, CIS) 評比）建置其於開發或操作「服務」與「交付項目」及對「Kyndryl 技術」進行「處置」時所使用之一切系統。

5.5 在未限制「交易文件」或雙方當事人所訂關聯基本合約就業務持續所規定之「供應商」義務或 Kyndryl 權利之前提下，「供應商」應依所記載之風險管理準則，就業務與 IT 持續及災難回復等要件分別評量對「Kyndryl 技術」進行「處置」時所使用之各「服務」與「交付項目」及 IT 系統。在前述風險評估保證範圍內，「供應商」應確保前揭各該「服務」與「交付項目」及 IT 系統已依據「業界實作典範」，針對業務與 IT 持續及災難回復計劃，分別予以定義、記載、維護及每年查核。「供應商」應確保前揭計劃之設計，旨在達成以下第 5.6 節所定特定回復時間。

5.6 「代管服務」有關特定回復點目標 (RPO) 與回復時間目標 (RTO)：24 小時 RPO 及 24 小時 RTO；惟於 Kyndryl 以書面通知「供應商」有關 Kyndryl 已承諾「客戶」較短期間之 RPO 或 RTO（電子郵件視同書面）後，「供應商」應即遵循之。茲因前揭目標攸關「供應商」為 Kyndryl 提供之其他所有「服務」，「供應商」應確保其業務持續與災難回復計劃之設計，旨在達成 RPO 與 RTO，俾使「供應商」得以繼續遵循「交易文件」及雙方當事人所訂關聯基本合約及「條款」所規定「供應商」對 Kyndryl 之所有義務，包括「供應商」及時提供測試、支援及維護之義務。

5.7 「供應商」應於「服務」與「交付項目」，以及對「Kyndryl 技術」進行「處置」時所使用之系統、網路、應用程式及基礎元件範圍內，持續採取專為下列用途設計之措施：對該等「服務」與「交付項目」及關聯系統、網路、應用程式及基礎元件進行評量、測試及套用資訊安全建議修補程式。「供應商」於其判斷資訊安全建議修補程式為適用且適當時，應依所記載之嚴重性及風險評估準則實作該修補程式。「供應商」對資訊安全建議修補程式之實作，應受其變更管理政策之拘束。

5.8 若 Kyndryl 有合理依據認為「供應商」提供予 Kyndryl 之軟硬體可能包含侵害性元素，如間諜軟體、惡意軟體或惡意程式碼，「供應商」應即配合 Kyndryl 就 Kyndryl 之疑慮進行調查與補救。

6. 服務之供應

6.1 「供應商」應支援對 Kyndryl 使用者或「客戶」帳戶進行業界一般方法之聯合驗證，「供應商」對該 Kyndryl 使用者或「客戶」帳戶進行驗證時（例如：利用 Kyndryl 集中管理多因子「單一登入 (SSO)」、使用 OpenID Connect (OIDC) 或「安全主張標記語言 (Security Assertion Markup Language, SAML)」進行驗證），應遵循「業界實作典範」。

7. 下包商。在未限制「交易文件」或雙方當事人所訂關聯基本合約就下包商人才留任所規定之「供應商」義務或 Kyndryl 權利之前提下，「供應商」應確保為「供應商」執行工作之下包商已訂定監督管控措施，俾以遵循「條款」要求「供應商」應遵循之規定及應履行之義務。

8. 實體媒體。「供應商」對預定重複使用之實體媒體為重複使用前，將依「業界實作典範」，以安全之方式予以淨化，非預定重複使用之實體媒體，則予以銷毀。