订阅协议
最后更新于2025年1月10日
本订阅协议（连同所有订单表格及附件，统称“协议”）由Mitratech Holdings, Inc.的子公司Mitratech Trakstar, Inc.及其关联公司（“Trakstar”）订立 规范对人力资源计算机程序、软件模块及交互式计算机服务（用于人力资源与管理解决方案）的访问与使用，涵盖Trakstar及其关联公司所有适用文档，以及所有相关接口、功能、 网络服务、补充内容、附加组件、修正程序、漏洞修复、修改、增强功能、更新、新版本或后续发布的版本（统称"系统"）的访问与使用行为，并构成系统访问方及/或使用方（"客户"）——包括但不限于所有访问或使用系统的客户人员——与Trakstar之间具有法律约束力的协议。
本协议包含关于客户权利与义务的重要信息，以及可能适用于客户的条款、限制和免责声明。在访问或使用本系统或其任何部分之前，请仔细阅读本协议。 通过点击"我同意"或访问/使用本系统（或其任何部分），您代表客户确认并声明：(A) 您已获得客户充分授权，可代表客户接受本协议所有条款；(B) 您已阅读并理解本协议所有条款与条件；(C) 客户同意受本协议所有条款与条件约束；(D) 客户确认本协议具有与Trakstar与客户签署书面合同同等的法律效力。 若您或您所代表的客户不愿受本协议所有条款与条件的约束（包括但不限于前述确认与同意事项）， 则您不得点击本协议关联的"我同意"按钮，且不得访问或使用该系统或其任何部分；Trakstar不会且不会授予您或客户访问或使用该系统或其任何部分的任何权利或许可。
本协议要求通过仲裁解决争议，而非陪审团审判。
本协议适用于客户对系统的订阅。Trakstar可随时自行决定修改本协议，只需在本网站（"本网站"）发布通知或通过电子邮件向客户发送修订通知，客户即视为同意接受此类通知方式。 本协议的任何变更自上述"最后更新日期"（"最后更新日"）起生效。客户在最后更新日后继续使用系统，即视为接受并同意相关变更。Trakstar与客户之间所有订单表单（定义见下文）均受本协议约束。
1.系统访问与使用。
1.1.订单表单。双方必须在系统内明确客户正在接收或将接收订阅的服务（以下简称"服务"），同时载明订阅期限、相关费用及其他条款， 该等条款须通过双方共同认可的书面订单表（每份订单表称为"订单表"）予以确认（认可形式可为书面协议、点击式协议或通过DocuSign等可靠电子方式，无论认可发生于本协议生效日前、生效日当天或生效日之后）。 此后"系统"仅指客户依据有效订单表订阅服务所必需的系统部分。服务应提供Trakstar文档中载明的业务功能，该功能将随Trakstar对系统的修改而更新（"技术规范"）。
1.2.访问权限。在遵守本协议条款及条件的前提下（包括及时支付所有应付费用），Trakstar特此：(a) 同意根据Trakstar的标准访问协议，通过互联网向客户授权访问和使用系统的员工（每位称为"用户"，统称为"用户"）提供非排他性访问权限； (b) 授权客户以非独占、不可转让的方式，允许用户访问及使用始终驻留于Trakstar所有或控制的服务器上的系统； (c) 授权客户在非独占、不可转让的基础上，允许用户根据客户制作系统使用相关的内部支持、培训或沟通材料之需要，对Trakstar不时向客户提供的标准文档（"文档"）进行合理数量的全部或部分复制。
1.3. 有限范围。Trakstar仅在客户订单表中规定的期限内提供有限期的系统访问及使用订阅服务。客户确认，对系统的访问及使用仅限于上述第1.1条和第1.2条明确规定的范围，不存在任何默示许可；本协议未明确授予的所有权利均由Trakstar保留。
1.4.限制条款。客户同意其自身及旗下董事、高管、员工、商业伙伴、承包商或代理人不得：
a.不得对系统或其任何组件进行反汇编、逆向工程、反编译或以其他方式试图获取源代码；
b. 除本协议明确同意的情况外，不得以任何方式复制、翻印、修改、销售、租赁、转授权、营销或商业利用本系统或其任何组成部分（包括进一步分发空白表格或模板）；
c. 除客户内部用途外，不得使用或允许使用本系统。客户同意不得向第三方提供系统访问权限或服务，包括但不限于任何服务局、分时租赁、租赁、分销或转售、出租、应用服务提供商安排或其他任何形式的安排；
d.向任何与Trakstar无关联的第三方披露、转售或授予系统或其任何组件的访问代码访问权限。
1.5.更新。Trakstar可自行决定向系统提供错误修正、漏洞修复、修改或轻微增强功能（每项称为“更新”，统称为“更新”），这些更新通常向订阅相同服务的客户开放。
1.6.升级。Trakstar可能开发提供新功能或服务的新模块（每项均为“升级”），这些模块不属于客户订阅的服务范围。客户可自行决定根据新订单表的条款购买升级订阅。
1.7.系统的某些部分。
a.客户确认并同意，系统中的特定部分仅可用于传输和存储简历（或履历表）、与招聘候选人（以下简称“候选人”）相关的文件、职位描述及上述内容的相关评论。 在系统上述部分中，客户不得：(i) 利用本服务上传与候选人搜索流程、职位描述及相关评论无关的广告或材料；或 (ii) 传输未经请求的信息、材料或数据（包括但不限于"垃圾邮件"）。
b.客户进一步确认并同意，客户不得：(i) 传输任何具有破坏性的代码或试图自动从屏幕收集信息的代码（屏幕抓取）；或 (ii) 使用自动化系统（"机器人"）同时上传多条数据流（例如为多个候选人上传数据）。 若Trakstar合理认定客户的带宽使用量过高（该认定完全由Trakstar自行决定），为保障所有客户的服务响应能力，Trakstar保留在通知客户后，降低或禁用客户对系统该部分功能的使用权限，直至客户降低其带宽消耗。
1.8.修改系统的权利。
a.Trakstar提供可配置的平台，能够满足客户需求，而无需为特定客户进行一次性定制开发。 但若客户需要特定开发工作，则客户应向Trakstar提出需求。待双方就该特定开发工作（"特定工作"）签署书面订单并按订单规定费用执行后，Trakstar将以商业上合理的方式完成该特定工作开发，并将该成果作为服务内容提供给客户。
b.Trakstar保留以下权利：在不承担任何客户责任的前提下，自行决定更改、增强及修改系统与服务的规格、构成及提供方式，但此类变更不得实质削弱其功能。Trakstar进一步保留基于系统、服务或其组成部分开发新产品和/或服务，或将上述内容整合至新产品和/或服务的权利。
1.9.第三方产品与服务。
a.客户可使系统部分组件与第三方产品或服务实现互操作，包括但不限于人力资源管理软件、虚拟会议软件或文档管理软件（统称“第三方产品”）。 客户通过服务访问或使用此类第三方产品，以及客户与任何第三方产品供应商（每家均称为"第三方供应商"）之间的数据交换，均仅限于客户与相关第三方供应商之间。除非订单表中明确规定，Trakstar不保证或支持任何第三方产品，无论其是否被Trakstar标注为"认证"或其他状态。
b.若客户在使用服务时涉及第三方产品，则（i）客户应确保其对第三方产品及其自有客户数据拥有充分权利，以允许第三方供应商进行此类使用；（ii）客户特此授权Trakstar允许相关第三方供应商访问客户数据，以实现该第三方产品与服务的互操作所需。 对于因第三方供应商或第三方产品访问而导致的客户数据泄露、传播、修改或删除，Trakstar概不负责。
c.本系统的某些功能可能与第三方产品互操作。若客户希望使用该等功能，则需：(i) 客户须获得第三方供应商的授权，允许本系统与第三方产品进行接口对接及访问；以及 (ii) 客户特此授权Trakstar允许系统与第三方产品中的客户账户、数据、材料及其他信息（统称"客户第三方产品资料"）进行接口对接及访问，以实现该第三方产品与本服务的互操作。 对于任何第三方产品的运行状况，或本服务因依赖第三方产品而产生的可用性及运行状况，Trakstar概不负责。若第三方供应商停止以合理条款提供与对应服务功能互操作的第三方产品，Trakstar可终止提供该等服务功能，且客户无权要求任何退款、抵扣或其他补偿。
d.客户应：(i) 负责遵守本协议及Trakstar政策（包括但不限于确保所有用户遵守），相关政策详见：https://www.trakstar.com/acceptable-use-policy/，上述政策均通过引用纳入本协议并构成其组成部分； (ii) 确保客户数据及客户第三方产品资料始终准确且适当，其获取或提供给Trakstar的行为不违反任何适用法律、政策、合同限制或其他第三方权利，且不侵犯或盗用任何方的知识产权或其他权利； (iii) 采取一切商业上合理的措施防止服务遭未经授权的访问或使用，并立即向Trakstar通报任何此类未经授权的访问或使用行为；(iv) 仅依据文档说明及适用法律法规使用服务。
e.系统部分内容可能包含指向第三方网站及供应商的链接。此类链接不代表Trakstar对相关网站（或其内容）及供应商的认可、赞助或批准。客户确认Trakstar无法控制此类第三方网站及供应商。 客户理解并同意，Trakstar对任何第三方网站或供应商不作任何陈述或保证，亦不认可该等网站或供应商提供的产品或服务。Trakstar特此声明免除：(i)对第三方网站内容承担的全部责任与义务；(ii)对客户向第三方提供的任何信息（包括但不限于信用卡及其他个人信息）安全性的任何陈述或保证。 客户可能向第三方提供的信息安全性，并不可撤销地放弃就该等网站（含其内容）及供应商向Trakstar及其董事、高管、员工、代理人及成员提出任何索赔的权利。
2. 期限与终止。
2.1.协议期限。本协议的初始期限自客户同时完成以下两项操作之日（即"生效日"）起算：(a)点击接受本协议；(b)与Trakstar签订订单表单。除非根据本协议提前终止，协议将持续有效直至所有订单表单失效。
2.2.订单表期限。每份订单表的期限自该订单表的"开始日期"（"订单表开始日期"）起算，并持续至相关订单表所载期限届满时止（"订单表初始期限"）。届时，在Trakstar根据本协议作出的任何费用调整的前提下， 订单表期限将自动续期，后续续期年限均等于订单表初始期限的年数（每段续期年限称为"订单表续期"，与初始期限合称"订单表期限"），除非且直至任一方在当前订单表期限届满前至少六十（60）日以书面形式通知对方不续约的意图。
2.3.终止。若发生重大违约行为，非违约方可向违约方发送书面通知，告知违约性质，并给予三十（30）天期限纠正非金钱性违约，或十（10）天期限纠正金钱性违约（下称"补救期"）。 若违约方未能在补救期内纠正重大违约行为，非违约方可立即终止本协议。
2.4.终止的影响。
a.无论因何种原因导致订单表格到期或终止，(i) 该到期或终止前根据订单表格应付给Trakstar的任何款项均应立即到期并支付， 客户须立即支付全部款项（若因合理争议导致未付款项，则应在争议解决时按要求支付，并可能产生逾期付款费（定义见下文））；(ii) 订单表中规定的服务及相关系统的所有访问权限与使用权限将立即终止。
b.本协议因任何原因到期或终止时， (i) 在此之前根据所有订单表应付给Trakstar的任何款项均应立即到期并支付，客户须及时支付全部款项（若因合理争议导致未付款项，则该等款项应在争议解决时按要求支付，并可能产生逾期付款费（定义见下文））； (ii) 所有订单表项所载服务的访问权限及使用权限，以及相关系统的使用权限将立即终止，客户及所有用户须立即停止访问或使用该等服务，且须立即停止使用其持有或控制的另一方的任何保密信息（不限于此）； (iv) 客户可从系统中访问并下载客户数据（定义见下文），若客户在到期或终止日期后五（5）日内提出请求，Trakstar将在客户承担费用的前提下，协助客户以当时的状态下载客户数据，但需采用客户合理接受的格式。 Trakstar将依据其标准流程执行离职处理工作，相关流程文件可应要求提供副本。
c.此外，无论因何种原因导致本协议到期或终止， 客户确认并同意，除非双方事先另有书面约定或Trakstar依法另有要求，Trakstar无义务在协议到期或终止后三十（30）天内保留任何客户数据，且客户授权Trakstar在该30天期限届满时永久删除其仍持有或控制的所有客户数据。 客户应独自承担下载所有客户数据的责任，并确保遵守适用于客户的所有数据保留法规。
d.下列条款在本协议终止或到期后仍继续有效：第2.4条；第3.2条；第3.3条；第8条；第9.1条；第9.2条；第9.3条；第9.4条；第9.5条；第10条；第11.2条；第11.3条；第11.4条；第12条；第14条；以及第15条。
3.费用；付款与税费
3.1.订阅费用。
a.客户应在收到发票后，按年度预付订单表中规定的"按座位计费"订阅费（以下简称"订阅费"）给Trakstar。客户必须提供完整法定名称、完整公司名称、有效电子邮箱地址、准确的账单信息及任何其他要求的信息（包括合同期内上述信息的任何变更），以完成支付流程。 客户确认并同意：若在合同期内任何时间增加用户席位，Trakstar有权按当时现行订阅费标准就新增席位向客户开具发票。 除客户根据上述第2.3条因Trakstar重大且未纠正的违约行为终止本协议的情况外，所有订阅费均不予退还。若发生上述终止情形，客户将获得合同年度（定义见下文）剩余期间预付订阅费的按比例退款。
b.客户确认并同意，订阅费（即为每个"席位"支付的费用）在合同期限内的每个合同年度保持固定（但客户理解，其在合同期限内任何时间点增加的额外席位仍需支付相应费用），其中： "合同年度"指适用订单表有效期内的每个12个月周期，首合同年度自该订单表生效日起算，后续合同年度均以该生效日周年日为起始日。 Trakstar可通过至少提前七十五（75）日通知客户的方式调整下个合同年度的订阅费。该通知可通过电子邮件、网站公告或系统内公告方式发送，客户特此同意接受此类通知形式。
3.2.滞纳金。
a.除非适用订单表另有明确规定，客户应在发票日期后三十（30）日内支付所有无合理争议的发票金额。 客户须在发票开具之日起三十（30）日内支付适用订单表中规定的后续年度所有应付金额，除非适用订单表另有明确规定。客户须在争议解决后按要求的时间和金额支付所有因合理争议而暂扣的应付金额。
b.在全额支付前，所有未在发票日期后三十（30）天内支付且不存在善意争议的款项，Trakstar可酌情按年化十二百分比（12%）或适用法律允许的最高利率（以较低者为准）计收利息（"逾期付款费"）。 对于存在善意争议的款项，客户应在争议解决时限内及时支付争议裁决要求的金额，并一并支付适用的逾期付款费（如有）。
3.3.税费。所有订阅费用均不含税，且客户应承担所有税费（包括但不限于销售税、增值税及类似税费）、关税等，但基于Trakstar净收入计算的税费除外。
4.服务级别承诺
4.1.可用性；服务级别例外。Trakstar应尽商业上合理的努力，确保系统至少99.5%的时间可供客户使用，但以下例外情况（"服务级别例外"）除外，对此Trakstar不承担责任：
a. Trakstar认为必要的系统或服务器定期维护程序、增强、维修或修正（包括但不限于不定期的产品更新与改进）；
b.因客户重大违反本协议（包括但不限于未及时支付到期且无合理争议的款项）导致Trakstar暂停客户系统访问权限的期间，前提是Trakstar已就该重大违约行为向客户发出通知，且客户在收到通知后十（10）日内未纠正该违约行为；
c. 客户或其用户的行为或疏忽导致服务水平不足或故障，包括但不限于：客户滥用系统、用户互联网浏览器的计划内或计划外中断、用户内部网络已知且持续的响应迟缓，或用户计算机硬件、电信系统或电力供应存在问题；或
d.超出Trakstar合理控制范围或Trakstar无法合理预见的因素，包括但不限于：电信或数字传输链路中断或故障、因客户互联网服务提供商（ISP）导致的延迟或故障、恶意网络攻击、网络拥塞或其他不可抗力事件（具体定义见下文第13条）。
4.2.客户义务。客户同意，若怀疑系统因Trakstar过失而无法使用，应立即通知Trakstar。在通知中，客户应按Trakstar要求提供合理信息，以便进行正确诊断和修复。
4.3.系统中断。就本协议而言，当系统在客户托管的生产环境中因服务级别例外情况以外的原因无法使用，且该不可用状态导致系统无法达到99.5%的可用性目标时（服务级别例外时间不计入不可用时间），即构成"系统中断"。 若连续三个（3）月内发生服务中断，客户可向Trakstar发出书面通知终止本协议，但须在最近一次连续中断发生后三十（30）日内行使终止权，否则本协议仍视为有效。
5.支持
5.1.一线支持。客户应为其用户提供一线支持。客户应指定一名"内部管理员"，并以书面形式将该管理员的姓名及联系方式通知Trakstar。 内部管理员负责：录入所有客户相关信息与数据、用户ID信息及组织架构（包括但不限于准确的职位名称和/或角色，该信息将用于基于角色的系统访问权限管理）；并负责培训客户用户。所有用户关于系统功能的疑问均应首先咨询客户的内部管理员。
5.2 二线支持。只要客户按本协议及时支付订阅费，Trakstar应在其正常工作时间（美国东部时间周一至周五上午9:00至晚上8:00）内，仅通过客户的内部管理员向客户提供标准技术支持与维护服务。 Trakstar可通过电话、电子邮件及其他互联网技术直接向客户内部管理员提供此类支持。二级支持指对系统的直接技术支持，包括但不限于：(a) 直接回应内部管理员关于系统性能、功能或操作的咨询；(b) 直接处理系统性能缺陷的报告问题； (c) 诊断系统性能缺陷问题；(d) 解决系统性能缺陷问题。Trakstar还应为系统提供标准错误修正及维护性修改。
5.3.附加支持。尽管有上述规定，若Trakstar基于合理商业判断认定客户根据第5.2条要求的技术支持涉及详细、专业化的维护或支持服务，且其性质或规模与向订阅类似服务的其他客户提供的服务存在差异，则Trakstar应通知客户：所请求的支持将被视为附加服务，需另行协商收取相应费用。
5.4.响应承诺— 在我们的营业时间内（美国东部时间周一至周五上午9:00至晚上8:00）。
严重性级别 描述 沟通频率
严重 服务完全中断或用户无法访问系统（每小时发布）
高 服务运行但存在功能限制，对业务影响较小（每4小时发布）
标准 服务运行但存在非关键性功能限制，对系统整体运行影响轻微（按需发布）
6.系统维护
Trakstar应采用行业标准实践，运用业内惯用的技术和组织安全措施，确保所有客户数据及其他由客户或任何用户传输至系统或存储于系统中的信息或材料（"客户数据"）的安全性、保密性和完整性。 Trakstar应在工作日期间以滚动7天为周期，每日对系统中的客户数据进行增量备份，并在每个周末执行完整备份。
7.特定客户义务
7.1.客户应对其账户下发生的所有活动承担责任，并应遵守与访问或使用本系统相关的所有适用的地方、州、国家及外国法律、条约和法规，包括与数据隐私、数据安全、国际通信以及技术或个人数据传输相关的法规。 客户应独自确保其用户接受充分培训，以正确访问或使用系统。客户应独自负责并承担提供所有必要设备、设施及连接服务的费用，包括但不限于任何互联网接入或电信服务，以实现对系统的使用与访问。
7.2.A 客户的用户将通过单点登录（SSO）或非SSO方式访问系统。若客户通过SSO访问系统，则客户需负责管理用户凭证。 若客户通过非SSO方式访问系统，则每位用户在注册及创建账户过程中均需设置唯一用户名（"用户名"）和密码（"密码"）。用户不得选择与他人重复的用户名，亦不得使用Trakstar单方面认定为冒犯性或不当的用户名。 客户须独自承担确保用户密码保密性的责任。客户对其账户的所有使用行为或活动承担全部责任，包括但不限于第三方使用客户账户、用户名及密码的行为。任何欺诈、滥用或其他非法活动均可能构成终止客户账户的依据，具体由Trakstar全权酌情决定，且Trakstar可将客户移交相关执法机构处理。
8.保密信息；个人信息
8.1.保密信息。
a.就本协议而言，“保密信息”指（i）就各方而言，根据本协议披露或以其他方式提供的所有非公开、业务特定信息（但均不包括下文第8.2节所述的个人信息），该等信息涉及服务提供方或接收方、或任一方的供应商、关联方、投资者、客户、产品及/或服务、定价、 研发、技术、知识产权、财务数据或运营等内容，且在披露时明确标注为保密，或根据信息本身性质及披露情境应被善意视为保密的信息；(ii)就Trakstar而言，指系统及文档。
b.义务。客户同意仅向Trakstar披露其为使Trakstar能够提供服务所合理必需的客户保密信息，Trakstar同意仅向客户披露其为使客户能够接收服务所合理必需的Trakstar保密信息。 接收方（"接收方"）从披露方（"披露方"）处获取保密信息后，不得将披露方的任何保密信息用于本协议规定的服务提供与接收目的之外的任何用途，且须严格遵守本协议所有条款与条件。 此外，接收方仅可向因履行本协议需要知悉该等保密信息且承担不低于接收方保密义务的员工或承包商披露披露方的保密信息。 接收方应以保护自身同类机密或专有信息的方式，且至少以合理谨慎的程度，保护披露方的保密信息免遭未经授权的使用、访问或披露。 客户同时同意不：(i) 向第三方披露（无论书面或口头）与系统相关的任何基准测试数据；及 (ii) 利用 Trakstar 的保密信息创建或委托第三方创建与系统软件实质相似的任何计算机软件或文档。
c.义务终止。若接收方能证明以下任一情形成立，其根据本第8.1条对披露方任何保密信息承担的义务即告终止：(i)该信息在披露方披露时已为接收方合法知悉； (ii) 由第三方在无保密限制的情况下合法向接收方披露；(iii) 已成为或因非接收方过失而成为公众可普遍获取的信息；或(iv) 由接收方在未接触或使用披露方保密信息的情况下独立开发而成。 此外，接收方可在下列情形下披露披露方的保密信息：(1) 经披露方书面批准；(2) 接收方为依据本协议行使权利而进行的法律程序所必需； 或（3）法律或法院等司法/行政机构命令所要求，但接收方须立即以书面形式通知披露方，并在披露方合理要求且费用由其承担的前提下，配合披露方采取合法行动抗辩或限制该强制披露范围。
d.保密信息的返还。接收方应在披露方提出书面要求后，立即向披露方返还或销毁其持有或控制的所有披露方保密信息，并永久删除该等保密信息的电子副本。
8.2.个人身份信息。客户数据可能包含可单独或与其他个人或识别信息结合使用以识别、定位或联系个人的信息（“个人身份信息”）。各方关于个人身份信息的权利与义务详见本协议附件A。
9.客户数据；客户-第三方系统
9.1.客户始终且将始终承担全部责任：
a.关于客户数据，客户对所有客户数据的准确性、质量、完整性、合法性、可靠性及适用性承担责任，并在此向Trakstar声明、保证并承诺：(i)客户对所有客户数据及其他保密信息（包括但不限于所有知识产权和商业秘密权利）拥有必要权利； 且已取得所有必要同意、完成所有必要披露，并遵守所有适用法律法规（包括但不限于所有隐私及数据安全法律法规），以传输、输入、加载及使用其输入系统的客户数据及/或其他保密信息，并允许Trakstar提供服务，此等要求均符合适用法律、法规或规章的规定； (ii) 当客户数据及其他保密信息处于客户保管或控制期间，客户应负责采取所有适当的隐私与安全保障措施，包括但不限于在客户保管或控制期间实施相关行政管理、物理防护及技术防护措施。
b.对于客户要求Trakstar访问或使用的任何第三方系统、应用程序、软件或在线服务（每项均为“客户第三方系统”，统称为“客户第三方系统”），客户特此声明、保证并承诺： 客户特此向Trakstar声明、保证并承诺：客户对所有客户第三方系统拥有必要权利（包括但不限于所有许可及合同权利），且已从相关第三方获得必要授权，允许Trakstar根据客户书面指示访问并使用该等客户第三方系统，以配合服务开展相关操作。
9.2.若客户因其自身及/或提交至系统的客户数据而受《通用数据保护条例》（欧盟法规2016/679）约束 （"GDPR"）约束时，作为附件A附录的Trakstar数据处理补充条款（"DPA"）连同标准合同条款及其附件，构成本协议组成部分并通过此引用纳入本协议，适用于客户数据包含个人信息的范围。 为明确起见，解释DPA时，客户应视为数据控制者，Trakstar则作为数据处理者。若个人数据从欧洲经济区（EEA）、英国及/或瑞士转移，则适用DPA中进一步规定的标准合同条款或其他充分保护措施。 就标准合同条款而言，客户及其适用关联方均为数据出口方，客户接受本协议即视为客户或其适用关联方已签署标准合同条款及附件。
9.3.若客户自身及/或提交至系统的客户数据受其他数据法规约束，客户应始终遵守该等数据法规。 就本协议而言，“数据法规”指适用于与本协议相关数据处理的任何适用数据保护、隐私或类似法律法规，包括联邦贸易委员会指南、数字广告联盟制定的自律原则、2018年《加州消费者隐私法案》（Cal. 民法典第1798.100条及以下条款，以及其他涉及数据隐私与安全的美国州级及联邦立法。上述各项均以相关法律法规不时修订后的最新版本为准。
9.4.客户确认使用本服务涉及通过互联网及其他网络传输客户数据及其他通信内容，此类传输可能被未经授权的第三方访问。客户必须立即通过[email protected]向Trakstar报告任何疑似安全漏洞。 对于客户数据中包含或源自的任何病毒、蠕虫、特洛伊木马或其他破坏性代码、恶意软件组件、或对网络或系统有害的代码或程序（统称"恶意软件"），客户应承担全部责任，Trakstar不承担任何责任，前提是该恶意软件并非通过Trakstar引入客户数据或源自Trakstar。
9.5.客户特此授权Trakstar在本协议有效期内接收、维护、修改、分发及展示客户数据，此授权仅限于使Trakstar能够向客户提供服务，以及本协议另有授权之情形。 客户进一步授权Trakstar收集匿名化服务信息（如使用或流量模式），并将其与其他客户数据汇总生成统计信息，用于分析改进服务，以及开发、展示和分发Trakstar洞察基准报告及类似报告。前提是Trakstar须采取合理措施确保该信息无法关联至客户、 客户用户或任何可识别自然人进行关联，且Trakstar仅可使用此类匿名化及聚合服务信息，不得尝试重新识别相关信息。 除本协议允许的情形外，Trakstar不得编辑、删除或披露客户数据内容，除非获得客户授权，或法律要求Trakstar采取此类行动，或Trakstar真诚认为此类行动对于以下目的必要：(i) 遵守适用法律或响应针对Trakstar的法律程序；(ii) 保护和维护Trakstar的权利或财产； (iii) 执行本协议；或 (iv) 履行本协议、技术规范中所述或依据客户指示的Trakstar义务。
9.6.若客户、代表客户行事的个人或实体，或用户删除、修改、销毁、损坏、遗失或未能存储任何客户数据，客户应承担全部责任。
10.知识产权
10.1.Trakstar 财产。客户确认，在 Trakstar 与客户之间，Trakstar 是且将始终是系统及文档、 包括其所有组件及部分内容，以及Trakstar在提供服务过程中使用或向客户提供的所有其他材料、信息、流程和技术，对前述任何内容所作的改进、增强、更新、升级及修改（无论是否与本协议相关），所有特定作品，以及前述各项所包含的全球范围内所有专利权、商业秘密、著作权、商标权及其他专有权利。
10.2.客户财产。在客户与Trakstar之间，客户是且将始终是其保密信息及客户数据中所有权利、所有权及利益的唯一及排他性所有者。
10.3.专有权利保护。客户不得从系统或文档中删除或遮盖任何专有权、版权、专利、商标、设计权、商业秘密或其他专有权利标识。
11.有限保修；免责声明
11.1.保修。Trakstar声明并保证，本协议项下提供的系统及服务将实质上符合Trakstar提供的规格说明及文档。
11.2.免责声明。除上述第11.1节明确规定外， Trakstar及其许可方明确声明不作任何形式或性质的陈述、保证及条件，无论明示或暗示、书面或口头，包括但不限于关于满意质量、性能、适销性、耐用性、特定用途适用性、所有权、不侵权的陈述、保证及条件，以及依据法规、法律、交易惯例或行业惯例产生的陈述、保证及条件。 Trakstar及其许可方不作以下陈述或保证：(a) 服务将满足客户的业务需求；(b) 服务将无错误或不中断，或其使用结果将准确可靠；(c) 系统或任何服务中的所有缺陷均可被发现或修正。某些州不允许对默示担保进行限制，因此上述限制可能不适用于客户。
11.3.确认。客户确认，在适用情况下，Trakstar对以下事项不具备控制权且无采取任何行动的义务：客户通过系统访问其哪些客户数据；客户数据可能对客户或任何用户产生的影响；客户对客户数据的解读或使用方式；或客户因接触客户数据而可能采取的行动。 客户免除Trakstar因客户通过系统获取或可获取的客户数据而产生的任何责任，包括但不限于：获取或未获取、使用或未使用、依赖或未依赖、采取行动或未采取行动等情形。 Trakstar对系统内包含或通过系统访问的任何客户数据内容不作任何陈述或保证，且Trakstar对系统内包含或通过系统访问的客户数据的准确性、完整性、版权合规性或合法性不承担任何责任。
11.4.独家补救措施。除上述服务级别承诺的独家补救措施外，且除Trakstar针对侵权行为提供的独家补救措施外，对于任何违反保证的行为或Trakstar未能按本协议要求提供服务的情况（"缺陷"）， 客户的唯一且排他性救济及Trakstar在此项下的全部义务，应由Trakstar自行选择：或由Trakstar补救该缺陷，或由Trakstar退还金额，该金额等于客户为该缺陷支付的费用减去客户因该缺陷所获的任何利益。
12.责任限制；赔偿
12.1.限制条款。
a.在适用法律允许的最大范围内，对于Trakstar违反本协议任何条款的行为（附件A所述违约或违约行为除外）， 在任何情况下，Trakstar及其许可方的全部责任（如有）均不超过客户在诉讼事由首次发生之合同年度内实际向Trakstar支付的订阅费的1倍。 在适用法律允许的最大范围内，对于特拉克斯特违反附件A的任何违约或违约行为， 在任何情况下，Trakstar及其许可方的全部责任（如有）均不超过客户在诉讼事由首次发生之合同年度内实际向Trakstar支付的订阅费的1倍。
b.在适用法律允许的最大范围内，Trakstar及其许可方概不承担任何特殊、附带、间接或后果性损失或损害、业务收入损失、利润损失、数据丢失、 保险损失、延误赔偿、惩罚性或示范性赔偿、预期利润或节省未能实现，或任何其他人士对客户提出的索赔，无论诉讼场所以及诉讼依据是合同、担保、严格责任、侵权行为 （包括但不限于过失）或其他原因提起诉讼，即使Trakstar及其许可方已被告知可能发生此类损失或损害，且即使本协议规定的补救措施被视为未能实现其基本目的。
c.本协议中规定责任限制、免责声明或损害赔偿排除的各项条款，旨在分配协议双方的风险。 此种风险分配体现在Trakstar向客户提供的定价中，构成双方交易基础的核心要素。上述各项条款均具有独立效力，不受本协议其他条款影响。 本第12条的限制条款在任何情况下均适用，即使本协议中任何有限补救措施未能实现其基本目的。
12.2.免责声明。在法律允许的最大范围内，Trakstar对通过系统提供的服务之可靠性、可用性或可操作性不承担任何责任。客户使用本系统即表示认可Trakstar对以下情形造成的损害不承担责任：(a) 使用本系统； (b) 无法临时或永久访问或检索系统内容；以及 (c) 下载系统所含信息（包括但不限于因病毒、蠕虫、木马程序或任何类似污染性/破坏性程序造成的损害）。本条款规定的限制在协议终止或到期后仍然有效。
12.3.一年时效限制。任何一方不得在本协议项下或与本协议相关的事由（追索应付Trakstar的费用或开支除外）产生后一年内，或该事由被发现之日（以较晚者为准）后一年内，提起任何形式的诉讼。
12.4.客户赔偿责任。在遵守本协议条款的前提下，客户同意就任何因第三方就客户在第9.1条所述陈述、保证及承诺项下的作为或不作为而提出的索赔、要求、诉讼程序或诉讼所产生的损失、损害、费用或成本（包括合理律师费（含内部法律服务分摊成本）） （"责任"），该等责任源于第三方就客户在第9.1条所述陈述、保证及承诺项下的作为或不作为所提出的任何索赔、要求、诉讼程序或诉讼。
12.5.Trakstar的赔偿责任。若第三方对客户提出索赔，主张客户使用系统侵犯或违反任何美国专利、版权、商业秘密或其他专有权利，作为客户的唯一补救措施， Trakstar将承担费用为客户辩护，并就该索赔产生的任何损失、成本、费用（含律师费）或责任向客户进行赔偿并使其免受损害，无论该索赔是否成立。 若因上述指控导致系统使用被禁令或命令禁止，或Trakstar认为系统可能成为侵权索赔对象时，Trakstar可自行选择并承担费用，作为客户的唯一补救措施：(a) 为客户获取继续使用系统的权利； (b) 替换或修改系统使其不构成侵权（此类修改或替换在所有实质方面应与原系统功能等效）；或(c) 若(a)及(b)均不可行，则按比例退还未提供服务的预付订阅费并终止本协议。 但若索赔源于客户自行修改系统或超出Trakstar用户文档规定的使用范围，则Trakstar不予赔偿。 此外，若侵权索赔基于以下情形，Trakstar亦不承担赔偿责任：(i) 任何非Trakstar提供的信息、设计、规格、指令、软件、数据或材料；或 (ii) 客户通过系统访问的第三方门户或其他外部来源系统（例如通过超链接访问的第三方网页）； 或（iii）基于任何系统与Trakstar未提供之产品或服务的组合。本条款规定了客户针对任何侵权索赔或损害的唯一救济途径。
13.不可抗力
尽管本协议另有规定，若任何一方因不可抗力事件导致的延误而无法全部或部分履行本协议项下义务（付款义务除外），则该方在该期间内可免于履行相应义务。 就本协议而言，"不可抗力事件"指天灾、战争（无论是否实际宣战）、武装冲突或其严重威胁、敌对行动、封锁、军事禁运、破坏活动、暴动、叛乱、公敌行为、骚乱或其他公民抗命行为、政府行为、司法行动、爆炸、恐怖主义行为或威胁（包括网络恐怖主义）、 自然灾害（包括但不限于小行星撞击或火山活动）、暴风（包括但不限于飓风、龙卷风或暴风雪）、大气扰动（包括但不限于地磁风暴、太阳耀斑或影响电网、变压器及卫星传输的太阳信号中断）、雷击毁损、火灾、 地震、海啸、洪水、瘟疫、流行病、大流行病、检疫、内乱、罢工或停工或劳资纠纷（为避免疑义，特排除Trakstar员工罢工）、卫星故障、长期互联网中断、通信线路故障或电力中断。
14.放弃陪审团审判与具有约束力的仲裁
14.1.客户与Trakstar同意放弃在法院或陪审团面前诉讼索赔的权利。客户若诉诸法院本可享有的其他权利，在仲裁中亦可能无法获得或受到限制。 任何因客户订阅服务而产生或相关的索赔、争议或纠纷（无论基于合同、侵权或其他原因，无论是否已存在、现存或未来发生，包括法定索赔、消费者保护索赔、普通法索赔、 故意侵权、禁令救济及衡平法主张）均应通过具有约束力的仲裁进行独家且最终解决。
14.2.本仲裁将由美国仲裁协会（"AAA"）依据其《商业仲裁规则与调解程序》（"商业规则"）进行管理。仲裁员将拥有独家权限解决任何与本仲裁条款可仲裁性及/或可执行性相关的争议，包括任何关于仲裁条款或协议存在不合理条款的质疑，或任何主张该条款或协议无效、可撤销或其他无效情形的质疑。 仲裁员有权裁决法律或衡平法下法院可作出的任何救济。仲裁员作出的任何裁决均为最终裁决，对各方均具约束力，并可在任何有管辖权的法院登记为判决书。
14.3.若本仲裁协议的任何条款被认定为不可执行，该不可执行条款将予以删除，其余仲裁条款仍具有约束力。
15.杂项。
15.1.转让。未经另一方事先书面同意（不得无理拖延、附加条件或拒绝），任何一方均不得转让本协议， 任何试图进行此类转让的行为均属无效。但若发生合并、出售与本协议相关业务的资产或进行整合时，任一方可无需对方同意，将本协议及其项下所有权利转让给关联方或受让人。任何违反本第15.1条的转让或委托行为均属无效。 任何转让或委托均不免除转让方在本协议项下的义务。
15.2.法律选择。因本协议引起或与之相关的所有事项均受特拉华州内部法律管辖并据此解释，且不适用任何可能导致适用特拉华州以外其他司法管辖区法律的法律选择或冲突规则（无论该规则源自特拉华州或其他司法管辖区）。
15.3.完整协议。本协议及其所有附件、Trakstar的《可接受使用政策》（最新版本可在此处查阅），以及本协议所提及的其他协议和文件，共同构成双方就本协议及相关事项达成的完整协议。本协议取代双方之间先前所有协议。 除本协议及所引述文件协议外，双方之间不存在其他任何协议、陈述或保证。
15.4.出口合规。服务、系统及其他Trakstar技术可能受美国及其他司法管辖区的出口法律法规约束。各方声明其未被列入任何政府禁止名单。 客户进一步声明：其所在地不在美国禁运国家或地区（包括但不限于古巴、伊朗、朝鲜、苏丹、叙利亚或克里米亚），且不会在上述地区访问或使用系统或服务的任何部分，亦不会允许任何用户在该等地区访问或使用系统或服务的任何部分；同时承诺不会违反任何适用的美国、当地或外国出口法律法规访问或使用系统或服务的任何部分。
15.5.反馈。客户可自行决定不定期向Trakstar提供反馈，但并非必须如此，该等反馈不应被视为客户的保密信息。 若客户向Trakstar提供反馈，客户特此授予Trakstar一项永久性、不可撤销、非排他性、全球范围、可转让、可转授、可再许可、免版税且已全额支付的许可，允许Trakstar为任何目的使用及开发该反馈。
15.6.独立承包商关系。本协议双方之间的关系属于独立承包商关系。 任何一方均非另一方的代理人、代表或雇员。任何一方均无权以另一方名义签订任何协议，亦无权为另一方承担任何义务或责任，或以其他方式约束另一方。本协议的解释不得被理解为在双方之间建立协会、代理、合资企业或合伙关系，亦不得对任何一方施加因该等关系产生的任何责任。
15.7.通知。本协议项下任何通知、批准、请求、授权、指示或其他通讯均应以书面形式发出，并视为已送达且具有法律效力：(a) 若通过确认传真发送，则以发送日期为准；(b) 若亲自送达至收件方，则以送达日期为准； (c) 经商业隔夜快递寄送并附书面收据确认后，自寄出之日起一个工作日后视为送达；或(d) 若通过美国邮政以预付邮资及手续费的挂号信（要求回执）或任何其他可提供收据的快速邮递方式寄送，自邮寄之日起五个工作日后视为送达。各方可使用本协议签署下方所列的联系方式。
15.8.可分割性。若本协议的任何条款或规定因任何原因被认定为全部或部分非法、不可执行或无效，则该非法、不可执行或无效的条款或其部分应从本协议中删除，且该条款不影响本协议其余部分的合法性、可执行性或有效性。 若本协议任何条款或部分条款依据本节规定被删除，则应在法律允许范围内，以尽可能合法、可执行且有效的条款替代被删除条款，该替代条款的含义应与被删除条款在法律允许范围内尽可能接近。
15.9.第三方受益人。本协议不授予亦无意授予客户和Trakstar以外的任何个人或实体任何权利或救济。
15.10. 权利放弃。Trakstar未行使本协议项下的任何权利或条款，不构成对该权利或条款今后行使的放弃。任何权利或条款的放弃，仅在Trakstar经正式授权的代表签署书面文件后方为有效。
增补件 A
个人信息
1.数据处理补充协议
1.1.《Trakstar数据处理补充协议》副本可于https://www.trakstar.com/data-processing-addendum查阅，该协议将与适用英国及欧盟《通用数据保护条例》的客户签署。
2.《加州消费者隐私法案》
2.1.定义。本协议适用以下定义及解释规则：(i) "CCPA"指经修订的《2018年加州消费者隐私法案》（加州民法典第1798.100至1798.199条）、CCPA法规（加州法规汇编第11编第999.300至999.337条）以及加州总检察长发布的任何相关法规或指引；(ii) "CCPA定义术语"指CCPA中定义的术语（包括个人信息和商业用途）；(iii) "商业用途"指CCPA第999.300条第(a)款所指的商业目的；(iv) "商业用途"指CCPA第999.300条第(b)款所指的商业目的；(v) "商业用途"指CCPA第999.300条第(c)款所指的商业目的；(vi) "商业用途"指CCPA第999.300条第(d)款所指的商业目的；(vii) "商业用途"指CCPA第9 11，§§ 999.300 至 999.337），以及加州总检察长发布的任何相关法规或指导意见；CCPA中定义的术语（包括个人信息和商业目的）在本补充条款中具有相同含义； (ii) “合同约定业务目的”指本协议所述服务中Trakstar接收或访问个人信息的目的；(iii) “授权人员”指客户授权向Trakstar提供个人信息处理指令的个人或人员类别，包括员工、承包商、应聘者、招聘经理、受训人员及培训师。
2.2.Trakstar的《加州消费者隐私法案》义务。
a.Trakstar仅为合同约定业务目的收集、使用、保留或披露个人信息，该等目的系客户向授权人员提供个人信息或允许其访问个人信息所依据。
b.Trakstar不会为自身商业目的或以不符合《加州消费者隐私法案》(CCPA)的方式收集、使用、保留、披露、出售或以其他方式提供个人信息。若法律要求Trakstar为与合同约定业务目的无关之目的披露个人信息，Trakstar须首先告知客户该法律要求，并给予客户提出异议或质疑的机会，除非法律禁止此类通知。
c.Trakstar将把个人信息的收集、使用、保留和披露限制在合理必要且与实现合同约定业务目的或其他兼容运营目的相称的活动中。
d.Trakstar必须立即遵守客户的任何要求或授权人员的任何指示，包括要求Trakstar提供、修改、转移或删除个人信息，或停止、减轻或纠正任何未经授权的处理行为。
e.若合同约定业务目的要求Trakstar代表客户向个人收集个人信息，Trakstar将在收集时始终提供符合《加州消费者隐私法案》(CCPA)的告知书，且该告知书须经客户事先书面批准。未经客户事先书面同意，Trakstar不得以任何形式修改或变更该告知书。
f.在《加州消费者隐私法案》（CCPA）允许的情况下，Trakstar可对个人信息进行聚合、去标识化或匿名化处理，使其不再符合个人信息的定义，并可将此类聚合、去标识化或匿名化数据用于自身研发目的及其他商业用途，例如趋势分析或基准测试。 Trakstar不会尝试或实际重新识别任何先前已聚合、去标识化或匿名化的数据，并将通过合同条款禁止下游数据接收方尝试或实际重新识别此类数据。
2.3.协助客户履行《加州消费者隐私法案》义务。
a.Trakstar将合理配合并协助客户履行其《加州消费者隐私法案》（CCPA）合规义务，并回应与CCPA相关的咨询，包括处理可验证的消费者请求，同时将考虑Trakstar处理数据的性质及Trakstar可获取的信息。
b.若Trakstar收到任何直接或间接涉及双方遵守《加州消费者隐私法案》（CCPA）的投诉、通知或通讯，必须立即通知客户。具体而言，若Trakstar收到依据CCPA提出的可验证消费者请求，必须在[十（10）]个工作日内通知客户。
2.4.分包
a.Trakstar可使用分包商提供部分合同业务服务。Trakstar不得向分包商披露任何《加州消费者隐私法案》视为销售的信息。
b.对于使用的每家分包商，Trakstar将向客户提供一份最新清单，其中披露：
(1) 分包商的名称、地址及联系方式。
(2) 分包商提供的服务类型。
(3) 过去12个月内向分包商披露的个人信息类别。
c.Trakstar对分包商履行其协议义务的行为仍对客户承担全部责任。
d.若Trakstar对分包商履行其个人信息义务的情况进行审计，Trakstar将向客户提交审计结果。
2.5.《加州消费者隐私法案》保证。
a.各方在收集、使用、保留或披露个人信息时，均应遵守《加州消费者隐私法案》的所有适用要求。
b.Trakstar声明其无理由认为任何《加州消费者隐私法案》（CCPA）的要求或限制会妨碍其提供任何合同约定业务目的或履行本协议项下义务。若Trakstar获悉CCPA要求发生任何可能对其履行本协议产生不利影响的变更，须在知悉后立即通知客户。
《加州消费者隐私法案补充隐私政策》
最后更新于2022年6月22日
本加州居民补充隐私政策是对应用培训系统公司及其子公司（统称为"Trakstar"，下称"Trakstar"、"我们"或"我们的"）隐私政策内容的补充说明，仅适用于居住于加利福尼亚州的访问者、用户及其他人士（下称"消费者"或"您"）。 我们发布本声明旨在遵守《2018年加州消费者隐私法案》（"CCPA"）及其他加州隐私法规。CCPA中定义的任何术语在本声明中具有同等含义。
我们收集的信息
我们收集能够识别、关联、描述、引用特定消费者或设备，或能够直接或间接与之相关联或合理关联的信息（“个人信息”）。具体而言，在过去十二（12）个月内，我们从消费者处收集了以下类别的个人信息：
| 类别 | 实例 | 收藏 |
| A.标识符。 | 真实姓名、别名、邮政地址、唯一个人标识符、在线标识符、互联网协议地址、电子邮件地址、账户名、社会保险号、驾照号、护照号或其他类似标识符。 | 是 |
| B.加州客户记录法规》（Cal. Civ. Code § 1798.80(e)）中列出的个人信息类别。Code § 1798.80(e)）。 | 姓名、签名、社会保障号码、身体特征或描述、地址、电话号码、护照号码、驾驶执照或州身份证号码、保险单号码、教育背景、就业情况、就业历史、银行账户号码、信用卡号码、借记卡号码或任何其他财务信息、医疗信息或健康保险信息。此类别中包含的某些个人信息可能与其他类别存在重叠。 | 是 |
| C.受加州或联邦法律保护的分类特征。 | 年龄（40岁及以上）、种族、肤色、血统、国籍、公民身份、宗教或信仰、婚姻状况、健康状况、身体或精神残疾、性别（包括生理性别、性别认同、性别表达、怀孕或分娩及相关医疗状况）、性取向、退伍军人或服役状态、遗传信息（包括家族遗传信息）。 | 是 |
| D.商业信息。 | 个人财产、产品或服务的购买、获取或考虑记录，或其他购买或消费历史或倾向。 | 没有 |
| E.生物识别信息。 | 用于提取模板或其他标识符或识别信息的遗传、生理、行为和生物特征或活动模式，如指纹、脸部指纹和声纹、虹膜或视网膜扫描、击键、步态或其他身体模式，以及睡眠、健康或运动数据。 | 没有 |
| F.互联网或其他类似网络活动。 | 浏览记录、搜索记录、消费者与网站、应用程序或广告的互动信息。 | 是 |
| G. 地理位置数据。 | 物理位置或移动。 | 没有 |
| H. 感官数据。 | 音频、电子、视觉、热、嗅觉或类似信息。 | 没有 |
| I.专业或就业相关信息。 | 当前或过去的工作经历或绩效评估。 | 是 |
| J.非公开教育信息（根据《家庭教育权利和隐私法案》（20 U.S.C. Section 1232g, 34 C.F.R. Part 99））。 | 由教育机构或代表教育机构的一方保存的与学生直接相关的教育记录，如成绩、成绩单、班级名单、学生课程表、学生身份代码、学生财务信息或学生违纪记录。 | 没有 |
| K.从其他个人信息中得出的推论。 | 反映一个人的偏好、特征、心理趋势、倾向、行为、态度、智力、能力和性向的概况。 | 没有 |
个人信息不包括：
- 政府记录中公开可获取的信息。
- 去标识化或聚合的消费者信息。
- 《加州消费者隐私法案》范围排除的信息，例如：
- 受《1996年健康保险可携性与责任法案》（HIPAA）及《加州医疗信息保密法》（CMIA）保护的健康或医疗信息，或临床试验数据；
- 受特定行业隐私法律保护的个人信息，包括《公平信用报告法》（FRCA）、《格雷姆-里奇-比利雷法案》（GLBA）或《加州金融信息隐私法》（FIPA），以及《1994年驾驶员隐私保护法》。
我们从以下来源获取上述各类个人信息：
- 直接通过招聘过程中进行的背景调查。
- 直接或间接来自我们网站和产品的活动。例如，通过网站提交的信息或自动收集的使用详情。
个人信息的使用
我们可能会出于以下一项或多项业务目的使用或披露所收集的个人信息：
- 履行我们与您签订的任何合同所产生的义务并行使相关权利，包括服务、计费和收款事宜。
- 为实现或满足信息提供的目的。例如，若您的雇主为获取我们所提供产品的相关服务而向我们提供您的个人信息，我们将依据适用的客户协议使用该信息以履行此类服务。
- 为您提供您向我们请求的信息、产品或服务。
- 向您提供有关我们产品或服务、活动或新闻的提醒及其他通知，这些内容可能令您感兴趣。
- 履行我们与您签订的任何合同所产生的义务并行使相关权利，包括服务、计费和收款事宜。
- 为改进我们的网站并向您呈现其内容。
- 用于测试、研究、分析和产品开发。
- 在必要或适当的情况下，为保护我们、我们的客户或其他人的权利、财产或安全。
- 为响应执法机构的要求，并根据适用法律、法院命令或政府法规的要求。
- 如在收集您的个人信息时向您说明的情况，或《加州消费者隐私法案》(CCPA)另有规定的情况。
- 评估或实施合并、剥离、重组、改组、解散或其他出售或转让本公司全部或部分资产的行为，无论作为持续经营还是破产、清算或类似程序的一部分，其中本公司持有的个人信息属于被转让的资产。
我们不会在未事先通知您的情况下，收集额外的个人信息类别，也不会将已收集的个人信息用于实质上不同、无关或不相容的目的。
共享个人信息
我们可能出于商业目的向第三方披露您的个人信息。当我们为商业目的披露个人信息时，我们会签订一份合同，该合同将明确披露目的，并要求接收方对个人信息保密，且除履行合同外不得将其用于任何其他目的。
在过去的十二（12）个月内，我们出于商业目的披露了以下类别的个人信息：
类别A：标识符。
B类：加州客户记录中的个人信息类别。
第一类：专业或与就业相关的信息。
我们出于商业目的向以下类别的第三方披露您的个人信息：
- 我们的附属机构。
- 服务提供商。
- 您或您的雇主授权我们向其披露您的个人信息，以便我们向您提供产品或服务。
在过去的十二（12）个月内，我们未出售任何个人信息。
您的权利与选择
《加州消费者隐私法案》（CCPA）赋予消费者（加州居民）对其个人信息的特定期权。本节阐述您的CCPA权利，并说明如何行使这些权利。
知情权与数据可携权
您有权要求我们向您披露过去12个月内我们收集和使用您个人信息的相关信息（即"知情权"）。在收到您的请求并确认您的身份后，我们将向您披露：
- 我们收集的关于您的个人信息类别。
- 我们收集的关于您的个人信息的来源类别。
- 我们收集或出售该个人信息的企业或商业目的。
- 我们与之共享该个人信息的所有第三方类别。
- 我们收集的关于您的具体个人信息（也称为数据可移植性请求）。
- 若我们出于商业目的出售或披露您的个人信息，将分别提供两份独立清单，披露：
- 销售，识别每类接收方购买的个人信息类别；以及
- 出于商业目的进行的信息披露，需明确各接收方类别所获取的个人信息类别。
删除权
您有权要求我们删除从您处收集并保留的任何个人信息，但某些例外情况除外（"删除权"）。一旦我们收到您的请求并确认您的身份，我们将从记录中删除您的个人信息（并指示我们的服务提供商删除），除非适用例外情况。
我们可能会拒绝您的删除请求，如果保留该信息对我们或我们的服务提供商而言是必要的，以便：
- 根据与客户签订的协议提供服务，其中已确立对您信息的合法使用。
- 为完成我们收集个人信息的目的，提供您所要求的商品或服务，在与您持续的业务关系中采取合理预期的行动，或以其他方式履行我们与您的服务协议。
- 检测安全事件，防范恶意、欺骗、欺诈或非法活动，或起诉此类活动的责任人。
- 调试产品以识别并修复影响现有预期功能的错误。
- 行使言论自由权，确保其他消费者行使言论自由权的权利，或行使法律规定的其他权利。
- 遵守《加利福尼亚州电子通信隐私法》（《加州刑法典》第1546条及以下条款）。
- 在符合所有其他适用伦理和隐私法律的前提下，为公共利益开展公开或经同行评审的科学、历史或统计研究时，若信息删除可能导致研究成果无法实现或严重受损，且您此前已提供知情同意，则可进行此类研究。
- 仅允许符合您与我们之间关系所建立的消费者合理预期的内部使用。
- 履行法律义务。
- 将该信息用于其他符合您提供该信息时所处情境的内部及合法用途。
我们将从记录中删除或去标识化不属于上述例外情形的个人信息，并要求我们的服务提供商采取类似措施。
行使知情权或删除权
如需行使上述访问权、数据可携权及删除权，请通过以下任一方式向我们提交可验证的消费者请求：
只有您本人或经法律授权代表您行事的人员，方可提出与您的个人信息相关的知情或删除请求。您亦可代表您的未成年子女提出知情或删除请求。
您在12个月内仅可提出两次可验证的消费者请求，以获取访问权限或数据可移植性。可验证的消费者请求必须：
- 请提供充分信息，以便我们合理核实您是我们所收集个人信息的主体本人或其授权代表。
- 请详细描述您的请求，以便我们能够充分理解、评估并作出回应。
若我们无法核实您的身份或提出请求的权限，且无法确认所涉个人信息与您本人相关，则无法响应您的请求或提供个人信息。提出知情或删除请求无需您在我方创建账户。但当请求涉及与特定账户关联的个人信息时，通过密码保护账户提交的请求将被视为已充分验证。 我们仅会将可验证消费者请求中提供的个人信息用于核实请求人的身份或提出请求的权限。
响应时限与格式
我们将在十（10）个工作日内确认收到您的请求。若您未在10天期限内收到确认通知，请联系[email protected]。 我们致力于在收到可验证消费者请求后45天内予以答复。若需延长处理时间（最长90天），我们将以书面形式告知您原因及延期时限。若您在我司拥有账户，书面答复将发送至该账户；若无账户，则通过电子方式发送。 我们提供的任何披露信息仅涵盖可验证消费者请求收到前12个月的期间。回复中还将说明无法满足请求的具体原因（如适用）。对于数据可移植性请求，我们将选择便于使用的格式提供您的个人信息，确保您能够无障碍地将信息从一个实体传输至另一个实体。
我们处理或回应您的可验证消费者请求时不收取费用，除非该请求属于过度、重复或明显无理的情况。若我们判定该请求应收取费用，将在完成请求前向您说明决定依据并提供费用预估。
个人信息销售选择退出与选择加入权利
我们不会出售消费者的个人信息。
如果您年满16周岁，您有权随时要求我们停止出售您的个人信息（即"选择退出权"）。我们不会出售实际知悉未满16周岁消费者的个人信息。选择同意出售个人信息的消费者，可随时选择退出未来的销售活动。
如需行使退出权，您（或您的授权代表）可通过发送电子邮件至[email protected] 向我们提交请求。
一旦您提出退出请求，我们将至少等待十二（12）个月后才会再次征求您对个人信息销售的授权。但您可随时通过发送邮件至[email protected] 联系我们，改变主意重新选择加入个人信息销售。
您无需注册账户即可行使退出权利。我们仅会将退出请求中提供的个人信息用于审核并响应该请求。
不歧视
我们不会因您行使《加州消费者隐私法案》（CCPA）赋予的任何权利而对您进行歧视。除非CCPA允许，否则我们不会：
- 拒绝向您提供商品或服务。
- 对商品或服务收取不同的价格或费率，包括通过提供折扣或其他优惠，或施加惩罚性措施。
- 为您提供不同等级或品质的商品或服务。
- 建议您可能获得不同价格或费率的商品或服务，或不同等级或质量的商品或服务。
隐私声明变更
我们保留随时自行决定修订本补充隐私政策的权利。当我们对本隐私政策进行修改时，将在网站上发布更新通知并更新政策的生效日期。在变更发布后您继续使用本网站的行为，即视为您接受此类变更。
联系信息
若您对本通知、我们的隐私政策、我们收集和使用您个人信息的方式、您对该使用行为的选择权与权利有任何疑问或意见，或希望行使加州法律赋予您的权利，请随时通过以下方式联系我们：
邮政地址：
应用培训系统公司
收件人：数据保护官
樱桃街113号
邮政信箱57615
华盛顿州西雅图市 98104
若您因身体残疾需要以其他格式获取本补充隐私政策，请联系[email protected]或致电 1 (877) 489-5651。
《加州消费者隐私法案》（CCPA）申请人须知
本隐私声明适用于加利福尼亚州居民的Trakstar职位申请者，是对Applied Training Systems, Inc.及其子公司（统称"我们"）隐私政策内容的补充，仅适用于Trakstar职位申请者，包括加利福尼亚州居民的访客、用户及其他相关人员（"消费者"或"您"）。 我们制定本声明以遵守《2018年加州消费者隐私法案》（"CCPA"）及其他加州隐私法规。CCPA中定义的任何术语在本声明中具有相同含义。
我们收集的信息
我们收集能够识别、关联、描述、引用特定消费者或设备，或能够直接或间接与之相关联或合理关联的信息（“个人信息”）。具体而言，在过去十二（12）个月内，我们从消费者处收集了以下类别的个人信息：
| 类别 | 实例 | 收藏 |
| A.标识符。 | 真实姓名、别名、邮政地址、唯一个人标识符、在线标识符、互联网协议地址、电子邮件地址、账户名、社会保险号、驾照号、护照号或其他类似标识符。 | 是 |
| B.加州客户记录法规》（Cal. Civ. Code § 1798.80(e)）中列出的个人信息类别。Code § 1798.80(e)）。 | 姓名、签名、社会保障号码、身体特征或描述、地址、电话号码、护照号码、驾驶执照或州身份证号码、保险单号码、教育背景、就业情况、就业历史、银行账户号码、信用卡号码、借记卡号码或任何其他财务信息、医疗信息或健康保险信息。此类别中包含的某些个人信息可能与其他类别存在重叠。 | 是 |
| C.受加州或联邦法律保护的分类特征。 | 年龄（40岁及以上）、种族、肤色、血统、国籍、公民身份、宗教或信仰、婚姻状况、健康状况、身体或精神残疾、性别（包括生理性别、性别认同、性别表达、怀孕或分娩及相关医疗状况）、性取向、退伍军人或服役状态、遗传信息（包括家族遗传信息）。 | 是 |
| D.商业信息。 | 个人财产、产品或服务的购买、获取或考虑记录，或其他购买或消费历史或倾向。 | 没有 |
| E.生物识别信息。 | 用于提取模板或其他标识符或识别信息的遗传、生理、行为和生物特征或活动模式，如指纹、脸部指纹和声纹、虹膜或视网膜扫描、击键、步态或其他身体模式，以及睡眠、健康或运动数据。 | 没有 |
| F.互联网或其他类似网络活动。 | 浏览记录、搜索记录、消费者与网站、应用程序或广告的互动信息。 | 是 |
| G. 地理位置数据。 | 物理位置或移动。 | 没有 |
| H. 感官数据。 | 音频、电子、视觉、热、嗅觉或类似信息。 | 没有 |
| I.专业或就业相关信息。 | 当前或过去的工作经历或绩效评估。 | 是 |
| J.非公开教育信息（根据《家庭教育权利和隐私法案》（20 U.S.C. Section 1232g, 34 C.F.R. Part 99））。 | 由教育机构或代表教育机构的一方保存的与学生直接相关的教育记录，如成绩、成绩单、班级名单、学生课程表、学生身份代码、学生财务信息或学生违纪记录。 | 没有 |
| K.从其他个人信息中得出的推论。 | 反映一个人的偏好、特征、心理趋势、倾向、行为、态度、智力、能力和性向的概况。 | 没有 |
个人信息不包括：
- 政府记录中公开可获取的信息。
- 去标识化或聚合的消费者信息。
- 《加州消费者隐私法案》范围排除的信息，例如：
- 受《1996年健康保险可携性与责任法案》（HIPAA）及《加州医疗信息保密法》（CMIA）保护的健康或医疗信息，或临床试验数据；
- 受特定行业隐私法律保护的个人信息，包括《公平信用报告法》（FRCA）、《格雷姆-里奇-比利雷法案》（GLBA）或《加州金融信息隐私法》（FIPA），以及《1994年驾驶员隐私保护法》。
我们从以下来源获取上述各类个人信息：
- 直接通过招聘过程中进行的背景调查。
- 直接或间接来自我们网站和产品的活动。例如，通过网站提交的信息或自动收集的使用详情。
个人信息的使用
我们可能会出于以下一项或多项业务目的使用或披露所收集的个人信息：
- 招聘与录用，例如通过您的申请材料及面试流程进行。
- 对新员工进行背景调查。
- 为遵守强制性的政府报告义务。
- 通过我们的HCM系统管理员工档案。
- 为改进我们的网站并向您呈现其内容。
- 在必要或适当的情况下，为保护我们、我们的客户或其他人的权利、财产或安全。
- 为响应执法机构的要求，并根据适用法律、法院命令或政府法规的要求。
- 如在收集您的个人信息时向您说明的情况，或《加州消费者隐私法案》(CCPA)另有规定的情况。
我们不会在未事先通知您的情况下，收集额外的个人信息类别，也不会将已收集的个人信息用于实质上不同、无关或不相容的目的。
共享个人信息
Trakstar的政策是保护您的隐私。除非在雇主/雇员关系下获得明确授权，否则我们不会向第三方披露、出售或共享您的个人信息。此类披露情况详见下文：
在过去的十二（12）个月内，我们出于商业目的披露了以下类别的个人信息：
类别A：标识符。
B类：加州客户记录中的个人信息类别。
C类。根据加利福尼亚州或联邦法律受保护的分类特征。
第一类：专业或与就业相关的信息。
我们出于商业目的向以下类别的第三方披露您的个人信息：
- 人力资源管理与人力资源服务供应商。
- 背景调查服务提供商。
- 具有强制性报告要求的政府机构。
在过去的十二（12）个月内，我们未出售任何个人信息。
您的权利与选择
您有权要求我们向您披露过去12个月内我们收集和使用您个人信息的相关信息。在收到并确认您的可验证消费者请求后，我们将向您披露：
- 我们收集的关于您的个人信息类别。
- 我们收集的关于您的个人信息的来源类别。
- 我们收集或出售该个人信息的企业或商业目的。
- 我们与之共享该个人信息的所有第三方类别。
- 我们收集的关于您的具体个人信息（也称为数据可移植性请求）。
- 若我们出于商业目的出售或披露您的个人信息，将分别提供两份独立清单，披露：
- 销售，识别每类接收方购买的个人信息类别；以及
- 出于商业目的进行的信息披露，需明确各接收方类别所获取的个人信息类别。
删除请求权
您有权要求我们删除已收集并保留的任何您的个人信息，但某些例外情况除外。一旦我们收到并确认您的可验证消费者请求，我们将从记录中删除您的个人信息（并指示我们的服务提供商删除），除非适用例外情况。
我们可能会拒绝您的删除请求，如果保留该信息对我们或我们的服务提供商而言是必要的，以便：
- 遵守联邦、州和地方法律
- 配合联邦、州或地方当局进行的民事、刑事或监管调查、审查、传票或传唤。
- 就我们合理且真诚地认为可能违反联邦、州或地方法律的行为或活动，与执法机构合作。
- 否则，行使或捍卫法律主张。
- 在已确立合法使用您信息的前提下，根据与您签订的雇佣协议管理雇主与雇员的关系。
- 行使言论自由权，确保其他消费者行使言论自由权的权利，或行使法律规定的其他权利。
- 遵守《加利福尼亚州电子通信隐私法》（《加州刑法典》第1546条及以下条款）。
- 在符合所有其他适用伦理和隐私法律的前提下，为公共利益开展公开或经同行评审的科学、历史或统计研究时，若信息删除可能导致研究成果无法实现或严重受损，且您此前已提供知情同意，则可进行此类研究。
- 将该信息用于其他符合您提供该信息时所处情境的内部及合法用途。
行使访问权、数据可携权及删除权
如需行使上述访问权、数据可携权及删除权，请通过以下任一方式向我们提交可验证的消费者请求：
只有您本人或经您授权、在加利福尼亚州务卿处注册的代理人，方可就您的个人信息提出可验证的消费者请求。您亦可代表您的未成年子女提出可验证的消费者请求。
您在12个月内仅可提出两次可验证的消费者请求，以获取访问权限或数据可移植性。可验证的消费者请求必须：
- 请提供充分信息，以便我们合理核实您是我们所收集个人信息的主体本人或其授权代表。
- 请详细描述您的请求，以便我们能够充分理解、评估并作出回应。
若我们无法核实您的身份或提出请求的权限，且无法确认所涉个人信息与您本人相关，则无法响应您的请求或向您提供个人信息。提出可验证的消费者请求无需您与我们建立雇佣关系。我们仅将可验证消费者请求中提供的个人信息用于核实请求人的身份或提出请求的权限。
响应时限与格式
我们致力于在收到可验证的消费者请求后45天内予以回应。若需更多时间（最长90天），我们将以书面形式告知您原因及延长期限。若您在我方拥有账户，我们将通过该账户发送书面回复；若未注册账户，则以电子方式发送书面回复。 我们提供的任何披露信息仅涵盖可验证消费者请求收到前12个月的期间。若无法满足请求，回复中将说明具体原因。对于数据可移植性请求，我们将选择便于使用的格式提供您的个人信息，确保您能无障碍地将信息从一个实体传输至另一个实体。
我们处理或回应您的可验证消费者请求时不收取费用，除非该请求属于过度、重复或明显无理的情况。若我们判定该请求应收取费用，将在完成请求前向您说明决定依据并提供费用预估。
不歧视
我们不会因您行使《加州消费者隐私法案》赋予的任何权利而对您进行歧视。
隐私声明变更
我们保留随时自行修改本隐私声明及隐私政策的权利。当我们对本隐私声明进行修改时，将通过电子邮件或网站公告的方式通知您。
联系信息
若您对本通知、我们的隐私政策、我们收集和使用您个人信息的方式、您对该使用行为的选择权与权利有任何疑问或意见，或希望行使加州法律赋予您的权利，请随时通过以下方式联系我们：
数据处理补充条款
本数据处理补充协议（以下简称“补充协议”）构成特拉华州公司应用培训系统有限公司（以下简称“数据处理方”）与本补充协议签署方（以下简称“客户”，与数据处理方合称“双方”）之间签订的主服务协议（以下简称“协议”）的组成部分。
独奏会
A. 客户作为数据控制者行事，该定义依据《通用数据保护条例》（GDPR）（定义如下）；
B. 客户希望将某些涉及个人数据处理的服务分包给数据处理方；以及
C. 双方寻求实施一项符合现行法律框架（涉及《通用数据保护条例》及其他数据保护法律）要求的数据处理协议，该协议通过引用方式纳入附件A所载标准合同条款（定义见下文）的全部规定（该条款作为本协议附件A随附，并通过此引用纳入本协议），且本协议未另行载明。
鉴于此，鉴于本协议所载的承诺与约定，各方均意图受本协议的法律约束，特此承诺并约定如下：
1. 定义。除非本文件另有定义，本补充协议中使用的首字母大写的术语和表述具有以下含义：
“补充协议”指本数据处理补充协议及所有附件。“关联方”指就某一方而言，直接或间接控制该方、受该方控制或与该方受共同控制的实体，其中“控制”指通过持有表决权证券、合同或其他方式，对另一实体的管理政策具有指导或促使指导的权力。
“客户个人数据”指根据协议或与协议相关，由受委托的数据处理方代表客户处理的任何个人数据。
“EEA”指欧洲经济区。
“GDPR”，即《通用数据保护条例》，指欧盟及欧洲经济区适用于本协议项下个人数据传输与处理的法律法规，包括（如适用）2016年4月27日欧洲议会和理事会颁布的第2016/679号条例。
“数据传输”指客户或客户授权用户向数据处理方传输客户个人数据的行为，包括数据处理方向分包数据处理方进行的任何后续传输。
“数据保护法律”指《通用数据保护条例》（GDPR），以及在适用范围内，英国和美国的数据保护或隐私法律、法规或法律要求。
“个人数据”指关于个人的信息，该信息：(a) 可用于识别、联系或定位特定个人；(b) 可与其他信息结合使用以识别、联系或定位特定个人；或 (c) 根据涉及可识别个人信息的收集、使用、存储或披露的适用法律法规被定义为“个人数据”或“个人信息”。
“处理”是指对个人数据或个人数据集实施的任何操作或操作系列，无论是否通过自动化方式进行，包括收集、记录、组织、结构化、存储、改编或修改、检索、咨询、使用、通过传输披露、传播或其他方式提供、对齐或组合、限制、删除或销毁。
“服务”指数据处理方根据协议向客户提供的服务。
“标准合同条款”指适用于客户向数据处理方转移个人数据的标准合同条款（不时更新），并通过纳入本补充协议附件1所列待转移个人数据的描述及附件2所列待实施的技术和组织措施予以修订。
“次级处理者”指由数据处理者或其任何其他次级处理者聘用的任何处理者，该处理者同意从数据处理者或其任何其他次级处理者处接收客户个人数据，且该数据专用于在数据处理者指示下、依据本补充协议条款、标准合同条款及书面分包合同条款进行的、代表数据处理者实施的后续处理活动。
"委员会"、"控制者"、"数据主体"、"成员国"、"个人数据泄露"及"监管机构"等术语应具有与《通用数据保护条例》（GDPR）中相同的含义，其相关术语亦应据此解释。
2. 标准合同条款
a. 通过引用纳入的标准合同条款。客户（作为“数据出口方”）与数据处理方（作为“数据进口方”）特此订立本标准合同条款，该条款通过引用方式完整纳入，并包含欧盟委员会对标准合同条款实施的任何修订（在该等修订涉及受特定国家或地区数据保护法约束的受限数据转移时），以反映（在不导致实质性不确定性的前提下） 根据相关数据保护法作出的任何变更（包括替换）：(a) 欧盟委员会对《通用数据保护条例》下经其批准的等效合同条款所作的变更（适用于欧盟或成员国数据保护法）；或 (b) 任何等效主管机构对其批准的等效合同条款所作的变更，或另一主管机构根据其他数据保护法批准的等效合同条款所作的变更。 标准合同条款的管辖法律应为数据出口方的法律。若标准合同条款与本补充条款、协议或各方就服务达成的其他协议存在冲突，应以标准合同条款为准。b. 标准合同条款的废止。若欧盟委员会或依据《通用数据保护条例》对标准合同条款进行修订或废止，双方应本着诚意协商解决方案，确保个人数据传输符合《通用数据保护条例》要求。
3. 客户个人数据的处理
a. 数据处理方的责任。数据处理方应：
i. 在处理客户个人数据时，遵守所有适用的数据保护法律；ii. 除根据相关客户书面指示（包括协议中规定的内容）处理客户个人数据外，不得进行其他处理；
iii. 应客户要求，向客户提供当前分包处理者的名单，包括其所在国家/地区以及该分包处理者处理的个人数据类型；
iv. 否则须遵守本附件及协议中所述适用于客户个人数据处理的标准合同条款。
b. 客户责任。客户应：
i. 在履行协议项下义务时，始终遵守与个人数据处理相关的适用数据保护法律；ii. 在服务期间全程指示数据处理方，仅代表客户并依据适用数据保护法律及标准合同条款处理所转移的客户个人数据；
iii. 确保已从与个人数据相关的每位个人及实体处获得具有法律约束力的同意，该同意须符合适用的数据保护法律以及客户的政策和程序，涵盖个人数据的收集、访问、使用、维护和/或披露。
iv. 及时向数据处理方通报其实施的任何涉及个人数据处理与保护的政策，并明确指示数据处理方应如何执行这些政策；
v. 及时将数据主体个人数据的任何删除请求告知数据处理方，并提供详细说明，指导数据处理方如何处理该请求；以及
vi. 向数据处理方提供以下信息，并在必要时及时更新：(a) 客户数据保护官或其他联系人的身份及联系方式；(b) 客户欧盟代表的身份及联系方式；(c) 拟处理的个人数据类型；以及 (d) 个人数据所涉及的数据主体类别。
c. 处理授权。客户特此授权并指示数据处理方根据本补充协议及主协议处理客户个人数据。客户确认该等客户个人数据将在美国境内进行处理，并存储于位于美国的服务器上。
d. 同意分包处理。客户特此授权数据处理方继续使用本补充协议签署之日已由数据处理方聘用的分包处理方。数据处理方应就任何新分包处理方的任命通知客户。客户可基于合理理由拒绝拟议任命。双方应共同解决客户提出的异议。 若双方未能达成协议，数据处理方与客户应本着诚意共同终止合同。数据处理方须确保其与分包处理方的合作安排受书面合同约束，该合同条款须至少提供与本补充协议同等水平的客户个人数据保护，并符合《通用数据保护条例》及适用数据保护法规的要求。
4. 数据处理方人员。数据处理方应采取合理措施确保其任何员工、 或承包商的可靠性，确保在每种情况下，访问权限严格限于因履行本协议目的所必需且需知悉/访问相关客户个人数据的个人，并确保该等个人在履行对数据处理方的职责时遵守数据保护法律，同时确保所有此类个人均受保密承诺或专业/法定保密义务约束。
5. 安全。
a. 安全系统。数据处理方应结合技术现状、实施成本、处理的性质、范围、背景及目的，以及对自然人权利自由造成不同可能性和严重程度风险的因素，针对客户个人数据实施并维持适当的技术和组织措施，以确保达到符合以下要求的安保水平：(a) 适用的数据保护法律； (b) 因非法或未经授权处理、或因个人数据意外丢失、损毁、篡改、泄露或毁灭可能造成的损害；以及(c) 个人数据的性质。b. GDPR要求。数据处理方应针对个人数据实施并维持适当的技术和组织安全措施，以确保安全级别与风险相适应，包括酌情采用《通用数据保护条例》所述措施，特别是与潜在个人数据泄露相关的措施。具体而言，数据处理方应：
i. 制定并遵守安全政策，该政策应：(a) 基于定期影响评估确定安全需求；(b) 将政策实施责任分配给特定个人或团队成员，包括设立数据保护官（"DPO"）；ii. 确保采取适当的安全保障措施和病毒防护，以符合行业最佳实践的方式保护处理个人数据所使用的硬件和软件；
iii. 确保其个人数据的存储符合行业惯例，使记录个人数据的媒介（包括纸质记录和电子存储记录）存放于安全场所，并对人员访问个人数据实施严格监控与管控；以及
iv. 在客户支持门户内建立安全可靠的个人数据传输机制（例如采用加密技术）。
6. 数据主体权利
a. 数据主体请求。数据处理方在法律允许的范围内，若收到数据主体行使以下权利的请求，应及时通知客户：访问权、更正权、限制处理权、删除权、数据可携权、反对处理权，或不受自动化个人决策约束的权利（每项均为“数据主体请求”）。 数据处理方应根据处理活动的性质，在可行范围内通过适当的技术和组织措施协助客户履行《通用数据保护条例》或适用数据保护法项下对数据主体请求的响应义务。除适用法律要求外，未经客户事先书面同意，数据处理方不得直接响应任何此类数据主体请求（仅限于确认请求涉及客户的情况）。 此外，若客户在使用服务过程中无法处理数据主体请求，数据处理方应在客户要求下，在法律允许范围内且该请求符合《通用数据保护条例》或适用数据保护法律要求的前提下，以商业上合理的方式协助客户回应该请求。 由此产生的任何协助费用，在法律允许范围内应由客户承担。b. 政府请求。根据本协议处理的个人数据，可能应执法机构（无论位于美国或欧洲经济区）的有效请求及法律要求予以披露。数据处理方应立即通知客户任何第三方要求披露客户个人数据的请求，并将与客户合作确保此类客户个人数据的保密性。 客户有权随时以对本条款适用性存疑为由，暂停数据传输及/或终止本协议。
7. 个人数据泄露
a. 违规通知。数据处理方在知悉影响客户个人数据的个人数据违规事件后，应根据《通用数据保护条例》及适用数据保护法规，及时向客户发出通知，并提供充分信息以协助客户履行数据保护法规规定的向数据主体报告或告知个人数据违规事件的义务。 数据处理方依据本第0条对个人数据泄露事件的通知或响应，不应被解释为数据处理方对该泄露事件存在过失或承担责任的承认。个人数据泄露通知（如有）将通过数据处理方选择的任何方式（包括电子邮件）发送至客户的一名或多名业务、技术或行政联系人。 客户有责任确保其在数据处理方的支持系统中始终保持准确的联系信息。b. 数据处理方的缓解措施。数据处理方将尽合理努力查明此类个人数据泄露的原因，并应及时且不作不合理延迟地：(a) 调查个人数据泄露事件，向客户提供相关信息（包括在适用情况下，数据处理方根据《通用数据保护条例》须向数据控制方提供的信息，以合理可获取的范围为限）； (b) 在数据处理方合理控制范围内采取合理措施减轻影响，最大限度降低个人数据泄露造成的损害。本条款义务不适用于因客户或其授权用户行为导致的任何泄露事件。
c. 合作数据处理方应与客户协作，并根据客户指示采取合理的商业措施，协助调查、减轻及补救每起此类个人数据泄露事件。
8. 客户个人数据的删除或返还；审计权。
a. 个人数据的删除或返还。在服务提供期满终止服务后，数据处理方应根据客户选择，删除其代表客户处理的所有个人数据并向客户确认已完成删除，或向客户返还其代表客户处理的所有个人数据并删除现有副本。 尽管有上述规定，数据处理方可在数据保护法及美国其他适用法律 （统称"适用法律"）所要求的范围和期限内保留客户个人数据，并确保所有此类客户个人数据的保密性，且仅为适用法律规定的存储目的所必需而处理该等数据，不得用于其他目的。 双方同意，标准合同条款中所述的个人数据删除证明，仅应数据出口方的要求由数据进口方提供。b. 审计。数据处理方应根据客户要求提供所有必要信息以证明其遵守本附录，并允许客户或客户指定的审计机构对签约数据处理方处理客户个人数据的情况进行审计（包括检查），并为此提供协助。客户的信息获取权和审计权仅在《协议》未另行授予其符合数据保护法相关要求的信息获取权和审计权的情况下，方依据本节产生。
9. 责任限制各方及其所有关联方因本补充协议产生或与之相关的责任（无论基于合同、侵权或其他责任理论），其总责任限额均受协议中责任限制条款的约束。
10. 保险。除本协议规定的要求外，客户应购买并于协议有效期内持续维持网络责任保险，以覆盖任何影响客户个人数据的个人数据泄露事件，或因客户行为或不作为导致数据处理方或其关联方遭受的其他损失，每次事故赔偿金额不低于1,000,000欧元。 该责任险保单应将Applied Training Systems, Inc.列为附加被保险人。
11. 杂项
a. 通知。根据本补充协议发出的所有通知及通讯均须依照主协议规定的方式送达。b. 修订。除非经双方授权代表签署书面文件，否则对本补充协议的任何变更、修订或修改均不具有法律效力。
c. 适用法律与管辖权。关于标准合同条款、客户个人数据的处理、隐私及安全事宜，适用法律应为客户所在地的法律。对于因本补充协议或主协议引发的其他所有索赔或争议，适用法律及管辖地应遵循主协议的条款规定。
d. 可分割性。若本补充协议的任何条款根据任何适用法律被认定为无效或不可执行，则该无效或不可执行条款将被视为被有效且可执行的条款所取代，该替代条款应尽可能贴近原条款的意图，且补充协议其余部分将继续有效。
e. 歧义。本补充条款中的任何歧义均应作有利于数据处理方遵守适用法律的解释。
f. 完整协议与冲突。本补充协议构成双方关于个人数据隐私与安全的完整协议，并取代任何其他口头或书面协议、陈述或谅解。 本协议中所有条款，只要未被本补充条款明确修订或补充，且不与《通用数据保护条例》及适用数据保护法的强制性要求相抵触，在签署本补充条款后仍保持完全效力并继续适用，包括但不限于：管辖法律与争议解决、管辖权、责任限制（在《通用数据保护条例》允许的最大范围内）。
数据处理补充协议附件A
标准合同条款
（数据控制者）与 Applied Training Systems, Inc.（数据处理者）
第一部分
条款1
目的与范围
(a)
这些标准合同条款旨在确保符合欧洲议会和理事会2016年4月27日关于在向第三国转移个人数据时保护自然人个人数据处理及此类数据自由流动的第2016/679号条例（《通用数据保护条例》）的要求。
(b)
各方：
(i)
自然人或法人、公共当局、机构或其他实体（下称“实体”），其转移个人数据的情况详见附件I.A（下称“数据出口方”），以及
(二)
从数据出口方直接或间接通过另一实体（该实体亦为本条款的缔约方）接收个人数据的第三国实体（如附件I.A所列）（下称"数据进口方"）
已同意这些标准合同条款（以下简称“条款”）。
(c)
本条款适用于附件I.B所列个人数据的转移。
(d)
本条款的附录包含其中提及的附件，构成本条款不可分割的组成部分。
条款2
条款的效力与不变性
(a)
本条款根据《欧盟条例》第46(1)条及第46(2)(c)条规定了适当保障措施，包括可强制执行的数据主体权利及有效法律救济；对于数据控制者向处理者及/或处理者间的数据转移，则依据第28(7)条采用标准合同条款。 (2)(c)条规定了适当的保障措施，包括可强制执行的数据主体权利和有效的法律救济。对于数据从控制者向处理者和/或处理者向处理者的转移，根据欧盟法规2016/679第28(7)条规定了标准合同条款，前提是这些条款未被修改（仅限于选择适当的模块或在附录中添加/更新信息的情况除外）。 这并不妨碍各方将本条款规定的标准合同条款纳入更广泛的合同，并/或添加其他条款或额外保障措施，但前提是这些条款不得直接或间接与本条款相抵触，也不得损害数据主体的基本权利或自由。
(b)
本条款不影响数据出口方根据欧盟法规2016/679所承担的义务。
条款3
第三方受益人
(a)
数据主体可作为第三方受益人，对数据出口方和/或数据进口方援引并执行这些条款，但以下情况除外：
(二)
第8.1(b)款、第8.9(a)、(c)、(d)及(e)款；
(iii)
第9条(a)、(c)、(d)和(e)款；
(b)
(a)段不影响数据主体根据欧盟法规2016/679享有的权利。
第4条
口译
(a)
本条款中使用《欧盟条例》(EU) 2016/679所定义的术语时，该等术语应具有该条例中规定的相同含义。
(b)
本条款应参照欧盟法规(EU) 2016/679的规定进行解读。
(c)
本条款的解释不得与《欧盟条例》2016/679规定的权利和义务相抵触。
第五条
层级
若本条款与双方在签署本条款时或之后达成的相关协议条款存在冲突，则以本条款为准。
第六条
转账说明
转移的具体细节，特别是转移的个人数据类别及其转移目的，详见附件I.B。
第7条 — 可选
对接条款
(a)
非本条款缔约方的实体，经缔约方同意后，可随时通过填写附录并签署附件I.A，以数据出口方或数据进口方的身份加入本条款。
(b)
加入实体在完成附录并签署附件I.A后，即成为本条款的缔约方，并根据其在附件I.A中的指定身份，享有数据出口方或数据进口方的权利与义务。
(c)
加入实体在成为缔约方之前的期间，不享有或承担本条款所产生的任何权利或义务。
第二部分——当事方的义务
第八条
数据保护保障措施
数据出口方保证其已尽合理努力确认数据进口方能够通过实施适当的技术和组织措施，履行其在本条款项下的义务。
(a)
数据进口方仅应根据数据出口方的书面指示处理个人数据。数据出口方可在合同存续期间随时发出此类指示。
(b)
数据进口方若无法遵循这些指示，应立即通知数据出口方。
数据进口方仅可为附件I.B所列的特定转移目的处理个人数据，除非数据出口方另有指示。
应要求，数据出口方应免费向数据主体提供本条款的副本，包括由各方完成的附录。 为保护商业秘密或其他保密信息（包括附件II所述措施及个人数据）所必需时，数据出口方可在分享副本前对本条款附录文本进行部分删节，但须提供实质性摘要，以确保数据主体能够理解内容或行使权利。 经要求，各方应在不披露被编辑信息的前提下，尽可能向数据主体说明编辑原因。本条款不影响数据出口方根据欧盟法规2016/679第13条及第14条承担的义务。
若数据接收方发现其接收的个人数据存在不准确或已过时的情况，应及时通知数据传输方。在此情况下，数据接收方应与数据传输方合作，对数据进行删除或更正。
数据进口方仅可在附件I.B规定的期限内进行处理。处理服务终止后，数据进口方应根据数据出口方的选择，删除所有代表数据出口方处理的个人数据，并向数据出口方证明已完成删除；或向数据出口方返还所有代表其处理的个人数据，并删除现有副本。 在数据删除或返还前，数据接收方应持续确保遵守本条款。若适用当地法律禁止返还或删除个人数据，数据接收方保证将继续确保遵守本条款，且仅在该当地法律要求的范围内及期限内处理数据。 此规定不影响第14条条款，特别是第14(e)条要求数据接收方在合同存续期间，若其有理由相信自身已受或正在受不符合第14(a)条要求的法律或惯例约束时，须立即通知数据传输方。
(a)
数据接收方以及在传输过程中数据发送方应实施适当的技术和组织措施，以确保数据安全，包括防范导致数据意外或非法毁损、丢失、篡改、未经授权披露或访问的安全漏洞（以下简称"个人数据泄露"）。 在评估适当的安全水平时，各方应充分考虑技术现状、实施成本、处理的性质、范围、背景和目的，以及处理对数据主体造成的风险。各方尤其应考虑采用加密或假名化技术（包括传输过程中），只要该方式能实现处理目的。 采用假名化处理时，用于将个人数据关联至特定数据主体的补充信息应尽可能由数据出口方独家控制。数据进口方履行本款义务时，至少应实施附件二规定的技术和组织措施，并定期核查以确保这些措施持续提供适当的安全保障水平。
(b)
数据进口方仅应在严格必要范围内向其人员提供个人数据访问权限，以用于合同的执行、管理和监督。其应确保获准处理个人数据的人员已承诺保密，或受适当的法定保密义务约束。
(c)
若发生涉及数据进口方依据本条款处理的个人数据泄露事件，数据进口方应采取适当措施应对泄露事件，包括减轻其不利影响的措施。 数据进口方在知悉泄露事件后，还应在不延误的情况下立即通知数据出口方。该通知应包含可获取更多信息的联络点详情、泄露事件性质说明（包括在可能情况下涉及的数据主体类别及近似数量、相关个人数据记录）、可能后果，以及已采取或拟采取的应对措施（包括在适当情况下减轻其可能不利影响的措施）。 若无法同时提供全部信息，初始通知应包含当时可获取的信息，后续信息应在可获取时及时补充，不得无故拖延。
(d)
数据进口方应与数据出口方合作并予以协助，使数据出口方能够履行其根据《欧盟条例》2016/679所承担的义务，特别是通知主管监督机构和受影响的数据主体，同时需考虑处理的性质以及数据进口方可获得的信息。
当转移涉及个人数据时，若该数据揭示种族或民族出身、政治观点、宗教或哲学信仰、工会会员身份、用于唯一识别自然人的遗传数据或生物特征数据、健康状况或个人性生活及性取向数据、或涉及刑事定罪和犯罪的数据（以下统称"敏感数据"），数据接收方应适用附件I.B所述的特定限制和/或额外保障措施。
数据接收方仅可在数据移交方书面指示下向第三方披露个人数据。此外，数据仅可在满足以下条件时向欧盟境外的第三方（位于数据接收方所在国或其他第三国，下称"后续转移"）披露：该第三方已受或同意受本条款约束，且符合相应模块要求；或满足下列任一条件：
(i)
后续转移是向根据欧盟法规(EU) 2016/679第45条作出充分性决定的国家进行的，该决定涵盖后续转移；
(二)
第三方根据(EU) 2016/679条例第46条或第47条，就相关处理活动确保采取适当保障措施；
(iii)
后续转移对于在特定行政、监管或司法程序中确立、行使或抗辩法律主张是必要的；或
(iv)
为保护数据主体或其他自然人的重大利益，必须进行后续传输。
任何后续转移均须以数据接收方遵守本条款项下所有其他保障措施为前提，特别是用途限制。
(a)
数据进口方应及时充分处理数据出口方根据本条款提出的与数据处理相关的查询。
(b)
各方应能够证明其符合本条款的规定。特别是，数据进口方应就其代表数据出口方开展的处理活动保留适当的文件记录。
(c)
数据接收方应向数据传输方提供所有必要信息，以证明其遵守本条款规定的义务。应数据传输方要求，数据接收方应允许并协助对本条款涵盖的处理活动进行审计，审计应在合理间隔进行，或在存在违规迹象时实施。数据传输方在决定是否进行审查或审计时，可考虑数据接收方持有的相关认证。
(d)
数据出口方可自行开展审计，或委托独立审计机构进行。审计可包括对数据进口方场所或实体设施的检查，并应在适当情况下提前合理通知。
(e)
各方应根据主管监督机构的要求，向其提供(b)和(c)段所述信息，包括任何审计结果。
第九条
使用次级处理者
(a)
一般书面授权。数据进口方已获得数据出口方的一般授权，可从约定名单中聘请次级处理者。 数据接收方拟通过增补或替换次级处理者变更该名单时，须至少提前10日以书面形式明确告知数据传输方，确保数据传输方在次级处理者受聘前有充分时间提出异议。数据接收方应向数据传输方提供必要信息，使其能够行使异议权。
(b)
当数据进口方委托次级处理者执行特定处理活动（代表数据出口方）时，应通过书面合同实现，该合同实质上应规定与数据进口方根据本条款承担的数据保护义务相同的义务，包括数据主体的第三方受益人权利条款。 各方同意，数据进口方遵守本条款即视为履行其在第8.8条项下的义务。数据进口方应确保次级处理者遵守其根据本条款所承担的义务。
(c)
数据进口方应根据数据出口方的要求，向其提供此类次级处理者协议的副本及任何后续修订。在保护商业秘密或其他机密信息（包括个人数据）所必需的范围内，数据进口方可在共享协议副本前对协议文本进行编辑处理。
(d)
数据进口方应就分包处理者履行其与数据进口方签订的合同所规定的义务，向数据出口方承担全部责任。数据进口方应将分包处理者未能履行该合同项下义务的情况通知数据出口方。
(e)
数据进口方应与次级处理者约定第三方受益条款，规定当数据进口方实际消失、依法终止存在或陷入破产时，数据出口方有权终止次级处理者合同，并指示次级处理者删除或返还个人数据。
第十条
数据主体权利
(a)
数据进口方应以透明且易于获取的形式，通过个别通知或在其网站上告知数据主体经授权处理投诉的联络点。其应及时处理从数据主体收到的任何投诉。
(b)
若数据主体与任一方就遵守本条款发生争议，该方应尽最大努力及时友好解决问题。各方应就此类争议相互通报，并在适当情况下合作解决。
(c)
当数据主体根据第3条主张第三方受益人权利时，数据进口方应接受数据主体作出的以下决定：
(i)
向其惯常居住地或工作地点所在成员国的监督机构，或根据第13条规定的主管监督机构提出投诉；
(d)
各方同意，数据主体可在《欧盟条例》2016/679第80(1)条规定的条件下，由非营利机构、组织或协会代表。
(e)
数据进口方应遵守根据适用欧盟或成员国法律具有约束力的决定。
(f)
数据进口方同意，数据主体所作的选择不应损害其根据适用法律寻求救济的实质性权利和程序性权利。
第12条
责任
(a)
任何一方违反本条款规定，均应对其给另一方或各方造成的损害承担赔偿责任。
(b)
数据进口方应对数据主体承担责任，且数据主体有权就数据进口方或其次级处理者因违反本条款项下第三方受益人权利而对数据主体造成的任何物质或非物质损害获得赔偿。
(c)
尽管有(b)款规定，数据出口方应对数据主体承担责任，且数据主体有权就数据出口方或数据进口方（或其次级处理者）因违反本条款项下第三方受益人权利而对数据主体造成的任何物质或非物质损害获得赔偿。 此规定不影响数据出口方的责任，且当数据出口方作为代表控制者行事的处理者时，亦不影响控制者根据《欧盟条例》(EU) 2016/679或《欧盟条例》(EU) 2018/1725（视适用情况）所承担的责任。
(d)
各方同意，若数据出口方依据(c)款对数据进口方（或其次级处理者）造成的损害承担责任，则有权向数据进口方追索与该损害中数据进口方责任部分相对应的赔偿金额。
(e)
若因违反本条款而对数据主体造成损害，且存在多个责任方，则所有责任方应承担连带责任，数据主体有权向法院对其中任何一方提起诉讼。
(f)
双方同意，若一方根据(e)款被认定承担责任，则有权向另一方/各方追索与其损害责任相符的赔偿部分。
(g)
数据进口方不得援引次级处理者的行为来规避其自身的责任。
第十三条
监督
(a)
根据附件I.C所示，在《欧盟条例》2016/679第27条第(1)款定义的代表设立所在成员国的监督机构，应作为主管监督机构行使职权。
(b)
数据接收方同意接受主管监督机构的管辖，并在任何旨在确保遵守本条款的程序中予以配合。特别是，数据接收方同意回应询问、接受审计，并遵守监督机构采取的措施（包括补救措施和补偿措施）。其应向监督机构提供书面确认，证明已采取必要行动。
第三部分
公共当局获取信息时的当地法律与义务
第十四条
影响条款合规性的当地法律和惯例
(a)
各方保证，其没有理由认为目的地第三国适用于数据进口方处理个人数据的法律和惯例——包括任何披露个人数据的要求或授权公共当局访问的措施——会妨碍数据进口方履行本条款项下的义务。 此项保证基于以下理解：凡尊重基本权利与自由本质、且在民主社会中为保障《欧盟条例》2016/679第23(1)条所列目标之一而采取的措施未超出必要且相称范围的法律与实践，均不与本条款相抵触。
(b)
各方声明，在提供(a)段所述担保时，已特别充分考虑以下要素：
(i)
转移的具体情况，包括处理链的长度、涉及的参与方数量及使用的传输渠道；预定的后续转移；接收方的类型；处理的目的；转移的个人数据的类别和格式；转移发生的经济领域；转移数据的存储位置；
(二)
目的地第三国的法律和惯例——包括要求向公共当局披露数据或授权此类当局访问数据的规定——在数据转移的具体情况下具有相关性，以及适用的限制和保障措施；
(iii)
为补充本条款规定的保障措施而实施的任何相关合同、技术或组织保障措施，包括在传输过程中及在目的地国家处理个人数据时采取的措施。
(c)
数据进口方保证，在执行(b)款规定的评估时，已尽最大努力向数据出口方提供相关信息，并同意将继续与数据出口方合作以确保遵守本条款。
(d)
各方同意记录根据(b)款进行的评估，并应主管监督机构的要求提供该评估记录。
(e)
数据进口方同意，在同意本条款后及合同存续期间，若其有理由相信自身正受或已受不符合(a)款要求的法律或实践约束——包括因第三国法律变更或某项措施（如披露请求）表明该等法律在实践中的适用不符合(a)款要求——应立即通知数据出口方。 (a)款规定。
(f)
根据(e)款发出通知后，或数据出口方有理由相信数据进口方无法再履行本条款规定的义务时，数据出口方应立即确定由数据出口方和/或数据进口方采取的适当措施（例如确保安全和保密性的技术或组织措施）以应对该情况。 若数据出口方认为无法确保数据转移的适当保障措施，或经主管监督机构指示，应暂停数据转移。 在此情况下，数据出口方有权终止涉及本条款项下个人数据处理的合同。若合同涉及两个以上方，数据出口方仅可针对相关方行使终止权，除非各方另有约定。依据本条款终止合同时，第16条(d)及(e)项应予适用。
第15条
公共当局获取数据时数据接收方的义务
(a)
数据进口方同意在下列情况下及时通知数据出口方，并在可能的情况下通知数据主体（必要时可借助数据出口方的协助）：
(i)
收到目的地国公共机构（包括司法机构）依据该国法律发出的具有法律约束力的要求，要求披露根据本条款转移的个人数据；该通知应包含所请求个人数据的信息、请求机构、请求的法律依据及所作出的回应；或
(二)
如进口方获悉公共当局根据目的地国法律直接获取依据本条款转移的个人数据，应立即通知出口方；该通知应包含进口方掌握的所有相关信息。
(b)
若根据目的地国法律，数据进口方被禁止通知数据出口方和/或数据主体，数据进口方同意尽最大努力争取豁免该禁令，以便尽快传递尽可能多的信息。数据进口方同意记录其最大努力的证明，以便在数据出口方要求时予以展示。
(c)
在目的地国法律允许的情况下，数据接收方同意在合同有效期内定期向数据传输方提供尽可能多的相关信息，包括收到的请求详情（特别是请求数量、所请求数据类型、请求方机构、请求是否被质疑以及质疑结果等）。
(d)
数据进口方同意在合同有效期内根据(a)至(c)款的规定保存相关信息，并应主管监督机构的要求提供该信息。
(e)
第(a)至(c)款的规定不影响数据进口方根据第14(e)条及第16条所承担的义务，即在无法遵守本条款时须及时通知数据出口方。
(a)
数据接收方同意审查披露请求的合法性，特别是该请求是否仍属于请求公共当局被授予的权限范围。经审慎评估后，若认定存在合理依据认为该请求违反目的地国法律、国际法适用义务及国际礼让原则，数据接收方应提出异议。 数据接收方应在相同条件下寻求上诉途径。对请求提出异议时，数据接收方应申请临时措施以暂停请求效力，直至主管司法机关就请求实质作出裁决。在适用程序规则要求披露前，不得披露所请求的个人数据。上述要求不影响数据接收方根据第14(e)条承担的义务。
(b)
数据进口方同意记录其法律评估及对披露请求的任何异议，并在目的地国法律允许的范围内向数据出口方提供该记录。数据进口方还应在主管监督机构要求时向其提供该记录。
(c)
数据导入方同意在回应披露请求时，基于对请求的合理解释，提供最低限度的可允许信息。
第四部分
终局条款
第16条
违反条款与终止
(a)
数据进口方若因任何原因无法遵守本条款，应立即通知数据出口方。
(b)
若数据接收方违反本条款或无法遵守本条款，数据移交方应暂停向该接收方转移个人数据，直至其恢复合规状态或合同终止。此规定不影响第14(f)条的适用。
(c)
数据出口方有权终止合同，只要该合同涉及根据本条款处理个人数据的情况，且当：
(i)
数据出口方已根据(b)款暂停向数据进口方转移个人数据，且在暂停后合理期限内（无论如何不得超过一个月）未能恢复对本条款的遵守；
(iii)
数据进口方未能遵守主管法院或监管机构就其在本条款项下义务作出的具有约束力的决定。
在上述情况下，数据出口方应将此类违规行为告知主管监管机构。若合同涉及两方以上，数据出口方仅可针对相关方行使终止权，除非各方另有约定。
(d)
根据(c)款在合同终止前已转移的个人数据，应由数据出口方选择立即退还给数据出口方或予以全部删除。此规定同样适用于该数据的任何副本。 数据进口方应向数据出口方证明数据已删除。在数据删除或返还前，数据进口方应持续确保遵守本条款。若适用数据进口方的当地法律禁止返还或删除已转移的个人数据，数据进口方保证将继续确保遵守本条款，且仅在当地法律要求的范围内及期限内处理该数据。
(e)
任何一方均可在下列情形下撤销其受本条款约束的同意：(i) 欧盟委员会根据欧盟法规(EU) 2016/679第45(3)条作出涵盖本条款适用之个人数据转移的决定； 或（ii）当个人数据转移目的地国将《欧盟条例》2016/679纳入其法律框架时。此撤销不影响《欧盟条例》2016/679对相关处理行为规定的其他义务。
第17条
管辖法律
本条款应受欧盟某成员国法律管辖，前提是该法律允许第三方受益权。双方同意该法律应为 插入管辖地。
第18条
管辖地选择与管辖权
(a)
因本条款产生的任何争议，应由欧盟成员国法院解决。
(c)
数据主体亦可在其惯常居住地的成员国法院对数据出口方和/或数据进口方提起法律诉讼。
附录
附件一
本节包含重要信息及订阅协议表格，所有相关方必须完成该表格方可成功签订本协议。
您应如何处理此文件
- 点击上方按钮下载PDF文件
- 您需在第7页填写相关信息，方可与Trakstar签订本协议。
- 请在第8页的"控制方"栏中填写贵公司名称。
- 请在第18页的相应栏位中填写您的管辖区域。
- 请核对信息，并在第19页填写必要栏目。
- 在第21页确定有权监督机构。
- 在提供所需信息后，请将填写完整的PDF文件发送至您的Trakstar客户经理或[email protected]邮箱。
附件二
技术和组织措施，包括确保数据安全的技术和组织措施
技术和组织措施必须具体详细地描述，而非笼统表述。尤其要明确指出哪些措施适用于每项转移或每组转移。
1.1. 合规性
1.1.1.Trakstar SOC报告。Trakstar每年接受SOC 2标准合规性审计。该全面审计由持牌注册会计师事务所执行，详细记录了Trakstar组织架构及产品工具、方法与流程在安全性、可用性、完整性、保密性及隐私保护方面的实施情况。客户可随时索取我们的SOC 2报告。
1.1.2.Trakstar GDPR合规性。Trakstar符合欧盟《通用数据保护条例》要求。2021年，Trakstar（隶属于母公司Applied Training Systems Inc.旗下，涵盖原品牌Trakstar、Reviewsnap、Recruiterbox及Mindflash）已通过欧盟-美国隐私盾框架认证。 针对2020年7月"施雷姆斯二案"判决及2021年后续裁决，Trakstar已调整合规措施，在数据处理补充协议（DPA）中纳入标准合同条款。我们为欧盟境内客户或受GDPR约束的欧盟雇员所在企业执行DPA协议。
1.1.3.AWS SOC报告。Trakstar产品及平台托管于亚马逊网络服务平台。所有AWS合规性与审计报告均可供AWS客户查阅，需签署保密协议。AWS持有包括SOC 2、ISO 27001:2013、GDPR等多项认证。如需查阅AWS SOC 2报告，请访问AWS Artifact服务。
1.2. 组织架构
1.2.1.隐私保护。Trakstar团队将客户数据隐私与安全置于首位。我们采取主动措施限制Trakstar员工访问客户数据的权限。通过定期审查并严格执行相关政策、培训及监控流程，我们全力保障客户数据安全。更多详情请参阅《隐私政策》，该政策可能由Trakstar不定期更新。
1.2.2.安全与数据政策。Trakstar安全团队每年定期审查并更新IT安全政策及培训计划，必要时亦会进行调整。这些政策将分发至全体员工，且必须严格遵守。 在数据安全与处理方面，员工必须接受涵盖数据类型及保护措施的专项培训。这些安全培训计划重点涉及变更管理、资产使用、计算机安全、密码凭证管理、丢失与盗窃防范、使用监控及基础设施保护等核心议题。维护客户数据的完整性与安全性是所有Trakstar员工的共同责任。
1.2.3.安全培训。所有Trakstar新员工均须接受安全意识培训，并每年重新参加该课程。培训内容涵盖常见错误与威胁，以及与SaaS公司相关的行业特定风险。通过严格的测验体系及应对真实威胁案例的演练，对团队成员进行知识考核与验证。
1.2.4.背景调查、行为准则与监督机制。员工入职前须接受背景调查，流程包括犯罪记录核查、推荐人背景调查及学历认证。特定岗位人员需满足更严格的筛选要求。 全体员工须签署员工手册，其中包含行为准则及相关政策，涵盖公司设备使用规范、信息技术与安全政策遵守要求等事项。应用培训系统（即Trakstar及其旗下品牌，包括Trakstar Hire、Trakstar Learn、Trakstar Perform和Reviewsnap）由董事会监督管理，该董事会负责企业运营与管理事务。
1.3. 基础设施与终端安全
1.3.1.云安全。所有Trakstar产品及服务均部署于亚马逊网络服务（AWS）平台。Trakstar工程团队已实施多重管控措施及监控/合规工具，确保严格遵循资产安全规程，涵盖以下风险管控：不安全的安全组配置、IAM账户凭证与加密密钥轮换、多因素认证（MFA）验证机制、网络基础设施访问的安全VPN连接等。 工程团队部署了多重监控工具以识别变更并触发警报，同时向团队成员发送冗余通知。Trakstar工程团队采用分段账户与隔离访问凭证来限制操作范围，并遵循最小权限原则开展运营活动。
1.3.2.加密。客户及其用户与Trakstar平台的通信均通过互联网进行，采用最低TLS 1.2级别的安全连接，禁止使用HTTP连接。所有传输中的数据均采用该标准或更高标准进行加密。静态数据通过强加密算法进行加密与隔离。此外，存储在员工笔记本电脑上的所有数据均实现全面加密，并通过备份解决方案进行冗余存储与加密。
1.3.3.密码管理。所有可访问生产系统的用户必须使用复杂且长度的密码，并采用安全密码管理工具定期轮换密码。此政策同样适用于本地笔记本电脑及单点登录集成软件。笔记本电脑无人看管时须保持锁定状态，并启用带密码保护的自动屏幕保护程序。通过钓鱼攻击演练和相关政策，确保员工遵守规定并接受过应对安全威胁的培训。
1.3.4.网络安全。所有AWS生产账户均采用防火墙和应用威胁检测机制，用于识别并阻断针对基础设施或应用程序的威胁。内部系统禁止直接连接。对外系统除非获得明确授权，否则连接将被阻断。通过VPC和安全组实现网络隔离，确保系统相互独立。对于办公环境及远程员工，所有网络均被视为不可信并按公共连接处理；笔记本电脑及其他连接设备均按此原则进行配置。
1.3.5.入侵检测与防御。Trakstar工程团队部署了一套工具组合，旨在识别并主动阻止入侵行为、扫描活动及恶意有效载荷突破我们的安全边界。该体系涵盖生产系统、应用安全、电子邮件防护、设备威胁检测，以及特权提升等违规用户行为。除上述措施外，我们还通过审计日志与记录系统识别异常行为并触发警报。所有基础设施配置变更均处于实时监控状态，一旦发现异常将立即触发警报并启动调查。
1.3.6.防病毒系统。Trakstar全线产品均已部署防病毒及恶意软件防护措施，并持续监控以缓解常见威胁与漏洞。该系统定期更新恶意软件特征库，并持续扫描恶意活动。员工笔记本电脑上的系统由Trakstar安全团队远程实施、保障及管理。
1.3.7.身份与访问管理。遵循最小权限原则，Trakstar工程团队将系统访问权限控制在最低必要范围。这包括系统根用户或管理员账户等特权账户。此外，团队每月对特权账户进行监控，并通过异常活动检测警报机制实施管控。
1.3.8.身份验证。Trakstar组织全面采用双因素身份验证机制。双重验证要求得到严格执行并定期审查。可接受的验证方式包括物理令牌（如YubiKey）或应用程序生成的验证码。员工还需通过受管单点登录解决方案访问支持企业级单点登录集成的设备与系统。
1.4. 物理安全
1.4.1.办公场所。Trakstar员工通常采用远程办公模式，仅丹佛设有实体办公室。员工接受过相关流程培训，包括通过VPN访问安全系统、笔记本电脑管理规范以及设备丢失或被盗的报告流程。所有关键任务系统及敏感数据均不存储于实体办公环境中。员工笔记本电脑均实施全面安全防护并接受远程管理，可随时撤销访问权限并执行远程数据销毁。
1.5. 安全运营
1.5.1.漏洞管理。已建立多项流程与工具用于识别、优先级排序及修复漏洞。Trakstar工程团队会审查通过自动化扫描及其他方法发现的漏洞，以确定其威胁等级与分类。漏洞检测从源代码层面启动，配备的扫描器可识别OWASP十大漏洞等威胁。
1.5.2.补丁管理。实施月度补丁更新周期，通过发布修复漏洞的版本使工具、操作系统及其他软件保持最新状态。对于高危问题，将按需实施补丁修复以消除潜在威胁。
1.5.3.漏洞披露政策。Trakstar发布漏洞披露政策，该政策可能不时由Trakstar更新，涵盖我们对外部发现漏洞的响应措施。Trakstar不向道德黑客提供报酬，但对其贡献表示感谢。该政策涵盖预期要求、报告政策、适用范围及披露方式。
1.5.4.渗透测试。Trakstar发布漏洞披露政策，该政策可能不时由Trakstar更新，涵盖我们对外部发现漏洞的响应措施。Trakstar不向道德黑客提供报酬，但对其贡献表示感谢。该政策涵盖预期要求、报告政策、适用范围及披露方式。
1.5.5.变更管理。采用变更控制政策与流程，在部署前对代码或基础设施的任何变更影响进行规范审查。现行流程确保变更经多名员工审核并获得工程管理层批准。所有变更均有记录，并关联至特定变更控制单以供审计。
1.5.6.软件开发流程。工程团队在软件开发过程中设置多个检查点，以确保Trakstar产品的安全性和完整性。这些措施包括：通过代码审查的拉取请求、基础设施即代码、将配置和安全参数隔离至安全存储（参数化处理），以及采用全自动化测试套件确保符合质量控制标准。开发流程由完整的工单系统和敏捷开发流程支持，用于记录需求、质量保证流程及部署情况。
对于向（次级）处理者转移的情况，还应说明（次级）处理者为能够向客户提供协助而需采取的具体技术和组织措施；对于从处理者向次级处理者转移的情况，则需说明向ATSI提供协助所需采取的具体技术和组织措施。
附件三
次级处理者清单
次级处理者
客户已授权使用以下次级处理者。数据处理者可修订此清单，并在变更后10日内通知客户，客户自收到通知之日起10日内有权对变更提出异议。请列明次级处理者的身份及联系方式，并酌情提供次级处理者数据保护官的详细信息：
姓名：克里斯·麦克莱夫，CTP
地址：应用培训系统公司，樱桃街113号，邮政信箱57615，西雅图，华盛顿州 98104-2205
联系人姓名、职位及联系方式：
克里斯·麦克莱夫，首席技术官，[email protected]
处理活动的说明（包括在授权多个次级处理者时明确划分责任）：（见下文图表）
