数据处理协议
本数据处理协议（“DPA”）是我们协议的一部分。 条款和条件 本条款适用于您使用# GoFile软件代表您处理他人个人数据的情况，例如您所申报企业的董事、员工、客户或顾客。本条款阐明了我们作为数据处理者，根据英国《通用数据保护条例》(GDPR) 第 28 条对您的义务。
您无需签署任何文件：使用本软件即表示您接受本数据处理协议。
1. 各方及角色
1.1 本数据保护协议属于 GOFILE Ltd.，一家在英格兰和威尔士注册的公司，注册号为 13521210，以# GoFile名义进行交易（“我们”、“我方”、“处理方”），以及持有# GoFile帐户的客户（“您”、“客户”）。
1.2 你是 控制器 除非您代表其他数据控制者处理客户个人数据，否则我们不会使用您的客户个人数据。我们是您的 处理器如果您本身作为数据处理者，我们将作为您的子数据处理者。您确认您有权根据本数据处理协议的条款指定我们。
1.3 对于您和您用户的个人数据——包括您的账户详情、账单、支持通信和营销偏好——我们是独立的数据控制者，并且我们的 隐私政策 本数据保护协议不再适用。
2. 定义
- 数据保护法 指英国通用数据保护条例、2018 年数据保护法、2003 年隐私和电子通信条例，以及（如适用）欧盟通用数据保护条例，所有这些条例均经过修订或替换。
- 客户个人数据 指您或任何代表您行事的人输入或上传到软件的个人数据，或软件根据您的指示从HMRC或公司注册处接收的个人数据。
- 软件 指 secure.gofile.co.uk 上的# GoFile服务以及我们向您提供的任何相关服务。
- 子处理器 指我们委托代表我们处理客户个人数据的第三方。
- 个人数据泄露, 控制器, 处理器, 数据主体 和 加工 具有数据保护法中规定的含义。
3. 处理详情
主题 – 准备、存储和提交您在软件中管理的企业的税务申报表、公司文件、工资信息和相关记录。
期间 – 只要您持有# GoFile帐户，加上第 9 条所述的保留期限。
自然与目的 – 收集、存储、组织、计算、传输至HMRC和公司注册处、检索和删除，仅用于向您提供软件。
数据主体类别 – 您的员工和用户；您所代表的企业的董事、股东、合伙人和员工；您作为代理人的客户及其员工；以及在申报表、备案文件或支持记录中出现的其他个人。
个人数据类别 – 姓名和联系方式；出生日期；国民保险号码、唯一纳税人参考号和其他税务标识符；就业、工资、养老金和福利详情；财务和会计信息；公司管理人员和持股详情；以及您上传的文件的内容。
特殊类别数据 – 本软件可能会处理有限的特殊类别数据，例如包含在工资单或辅助记录中的健康信息（例如与法定病假工资相关的健康信息）。如果您提供特殊类别数据，您有责任确保您拥有《通用数据保护条例》（GDPR）第6条规定的适当合法依据和第9条规定的处理条件，以及《2018年数据保护法》要求的任何其他条件。
4. 我们作为处理者的义务
我们将：
4.1 按照指示去做。 我们仅会根据您书面指示处理客户个人数据，这些指示包括本条款、本数据处理协议以及您在软件中采取的操作，除非法律另有规定，在这种情况下，我们会事先通知您，除非法律禁止我们这样做。如果我们认为您的指示违反了数据保护法律，我们也会通知您。
4.2 保密。 确保我们授权处理客户个人数据的每个人都负有保密义务，并接受适当的数据保护指导。
4.3 妥善保管。 实施并维护适当的技术和组织措施，以保护客户个人数据免遭意外或非法销毁、丢失、更改、未经授权的披露或访问。附件2概述了这些措施。我们可能会在持续履行数据保护法律规定的义务的前提下更新这些措施。
4.4 帮助您履行数据主体权利。 我们将采取适当的技术和组织措施，并考虑到处理的性质，协助您回应数据主体行使其权利的请求。如果数据主体就客户个人数据直接联系我们，我们将把他们转介给您，除非您要求我们这样做，否则我们不会代表您做出回应。
4.5 帮助您履行其他义务。 协助您履行与安全、违规通知、数据保护影响评估以及事先咨询信息专员或其他适用监管机构相关的义务，同时考虑到处理的性质和我们可获得的信息。
4.6 删除或退回数据。 服务结束后，按照第 9 条所述删除或返还客户个人数据。
4.7 证明符合规定。 提供合理必要的信息，以证明我们遵守英国 GDPR 第 28 条的规定，并允许和配合第 8 条所述的审计。
5. 子处理器
5.1 您以书面形式向我们提供一般授权，允许我们聘用我们网站上列出的分包商。 子处理器页面，构成本数据保护协议附件 3。
5.2 在变更生效之前，我们将通过电子邮件或软件通知您拟增加或替换的子处理器，让您有机会提出异议，并相应地更新该页面。
5.3 如果您基于合理的数据保护理由反对新的子处理者，请告知我们，我们将本着诚意与您讨论您的疑虑。如果问题无法解决，您可以关闭账户以停止使用受影响的服务。
5.4 我们将对每个子处理者施加不低于本数据处理协议中规定的数据保护义务，并且我们对每个子处理者履行其义务的情况仍承担全部责任。
5.5 HMRC和公司注册处 (Companies House) 不是子处理者。他们仅在您指示我们提交数据时才会收到这些数据，并且他们根据各自的隐私声明作为独立的控制者行事。
6. 个人数据泄露
6.1 如果我们发现影响客户个人数据的个人数据泄露事件，我们将按照数据保护法的要求，在不无故拖延的情况下通知您。
6.2 我们的通知将根据我们当时掌握的信息，描述数据泄露的性质、涉及的数据主体和记录的类别及大致数量、可能造成的后果，以及我们已采取或拟采取的措施。我们将分阶段提供更多信息。
6.3 我们将与您合作，并采取合理措施，协助您履行向信息专员或其他适用监管机构以及数据主体履行通知义务。除非您要求或法律另有规定，否则我们不会代表您向监管机构或数据主体发出通知。
7. 国际转账
7.1 本软件的数据库、上传的文档和备份均托管于英国。无论您在何处访问本软件，数据都会交付给您和您的授权用户。子处理者可能会在附件3所述的地点处理数据。如果数据传输需要根据数据保护法律采取保障措施，我们将使用适用的充分性决定或其他允许的传输机制。
8. 信息和审计
8.1 我们将在合理的时间内答复有关我们处理客户个人数据和我们的安全措施的合理书面信息请求。
8.2 如果您在审阅所提供的信息后，有理由相信有必要进行审计以验证我们是否遵守本数据处理协议，您可以自行进行审计，或指定一名受保密义务约束的独立审计师进行审计，但除非监管机构要求、发生个人数据泄露或您有理由怀疑存在违反本数据处理协议的重大违规行为，否则在任何12个月期间内，审计次数不得超过一次。审计申请必须至少提前30天以书面形式通知，除非监管机构合理要求更短的通知期限，或在发生个人数据泄露后，审计应在正常工作时间内进行，仅限于验证合规性所需的内容，并由您承担费用。审计范围不得涵盖我们子处理者的系统，我们将尽可能提供其自身的认证和报告。
9. 保留、退回和删除
9.1 关闭账户前，请使用软件提供的下载选项保存您需要保留的所有申报表、文件和记录。您也可以在服务终止时申请返还客户个人数据。
9.2 服务结束后，我们将根据您的选择删除或返还客户个人数据，并删除现有副本，但须遵守第 9.4 条的规定。
9.3 当您关闭账户或以书面形式要求我们关闭账户时，我们将在 3 个工作日内从我们的活跃系统中删除客户个人数据，但须遵守第 9.4 条的规定。
9.4 客户个人数据在从我们的活跃系统中删除后，可能会暂时保留在例行备份中。这些副本将受到保护，除出于备份、安全或灾难恢复目的所必需的情况外，不会被恢复或以其他方式处理，并且会在备份被正常覆盖时被删除。我们仅在英国法律要求我们存储的情况下，才会在服务结束后保留客户个人数据。
10. 您的义务
你会：
- 确保您有合法依据，并在必要时获得您客户的授权，向我们提供客户个人数据并指示我们对其进行处理；
- 确保您的指示符合数据保护法律，并且客户个人数据准确且最新；
- 请妥善保管您的账户凭证，并管理您组织内哪些人拥有访问权限；
- 如果您收到需要我们协助的数据主体请求或监管机构问询，请立即告知我们；
- 作为数据控制者或数据处理者，您有责任遵守适用的数据保护法律。
11. 责任
各方在本数据处理协议项下或与之相关的责任均受《条款和条件》中责任限制和免责条款的约束。本数据处理协议中的任何内容均不限制任何一方依法不得限制的责任。
12. 总则
12.1 本数据处理协议适用于我们代表您处理客户个人数据期间，并在条款终止后继续有效，直至处理结束。
12.2 如果本数据处理协议与条款在处理客户个人数据方面存在冲突，则以本数据处理协议为准。
12.3 我们可能会更新本数据处理协议，以反映法律或软件的变更。我们将在本页面发布新版本。对于重大变更，我们会在生效前通知您，且任何更新都不会实质性地降低对客户个人数据的保护。
12.4 本数据保护协议受英格兰和威尔士法律管辖。
附件
- 附件1 – 处理详情：见上文第 3 条。
- 附件2 – 技术和组织措施：访问控制、受保护数据库数据和软件连接的加密、备份以及与处理风险相适应的应用程序安全控制。证明合规性所需的信息可在条款 8 中找到。
- 附件3 – 授权子处理商：我们的 子处理器页面.
接触
有关此数据保护协议的任何事宜，请通过以下方式联系我们： 联系表格 或者通过您的帐户内的支持消息发送消息，并在消息中注明“数据保护”。