OPSWAT 学院奖学金计划条款与条件

1. 该计划向符合以下所有条件的参与者开放：
   1. 至少 18 岁；
   2. 英语水平；
   3. (A) 在网络安全行业工作或 (B) 在网络安全领域或网络实体系统、信息安全和/或计算机科学等相关领域学习，目的是从事网络安全工作；以及
   4. 准备在获得课程包后六（6）个月内完成课程包。
2. 如果雇员的雇主准则或规章不允许其参加本计划或接受课程包，则本计划不对其开放。此外，巴尔干地区、白俄罗斯、布隆迪、中非共和国、象牙海岸、古巴、伊朗、伊拉克、黎巴嫩、利比亚、缅甸（前缅甸）、朝鲜、俄罗斯、索马里、苏丹、南苏丹、叙利亚、乌克兰、委内瑞拉、也门和津巴布韦的居民没有资格参加本计划。本计划在这些国家或法律禁止或限制的国家或地区无效。
3. 合作伙伴有责任确保其参与者符合本节的要求。

如果合作伙伴目前或计划与OPSWAT （如客户或渠道合作伙伴）开展业务，则合作伙伴证明其参与该计划不会影响其与OPSWAT 之间关系的客观性，也不会造成实际、潜在或想象中的利益冲突。

在遵守适用法律的前提下，OPSWAT 保留以下权利：(i) 出于任何原因，随时取消、终止、修改或暂停本计划和奖学金条款，且不承担任何责任；(ii) 限制或约束对本计划的参与。

1. 通过本计划颁发的所有课程套餐总价值上限为10,000,000美元，将颁发给最多两万五千（25,000）名参与者。 每位参与者限获赠一套（1）课程套餐。OPSWAT 保留根据可用资源，并由OPSWAT 全权酌情决定，将课程套餐的总价值控制在 10,000,000 美元以下，和/或将入选候选人人数控制在两万五千（25,000）人以下的权利。
2. 根据本奖学金条款的规定，一旦被合作伙伴选中，每位入选的参与者将获得课程包的使用权，该课程包包含通过OPSWAT 学院提供的九（9）门认证课程，自交付给参与者之日起六（6）个月内有效。课程包材料均为英文。
3. 合作伙伴不得对任何课程套餐进行替换、转让、转移或现金兑换。如果合作伙伴的参与者因任何原因无法参加或接受课程套餐或课程套餐的任何部分，OPSWAT 将不再对合作伙伴承担任何义务。合作伙伴将课程套餐授予参与者后，OPSWAT 将不会更换任何丢失或被盗的课程套餐。
4. 合作伙伴应自行承担与课程套餐有关的任何地方税、省税、国家税或任何其他适用税以及任何其他成本、支出和费用。
5. 所有成本和费用，包括支持服务，凡未在上述课程包中明确列出的，均由合作伙伴自行承担。

本计划须遵守适用法律及本奖学金条款。合作伙伴应对其参与本计划时遵守任何适用法律、规则和法规、合同限制以及（如有）办公室或公司政策承担全部责任。参与本计划即表示合作伙伴确认其未违反上述任何规定。

合作伙伴承认并同意，OPSWAT 既未就课程包或计划做出任何明示或暗示的、事实上或法律上的担保、陈述或保证，也不以任何方式对此负责或承担责任。特此声明，本计划和课程包 "按原样 "提供。OPSWAT 尤其是，对于任何类型的技术故障或超出OPSWAT合理控制范围的任何其他因素，OPSWAT 概不负责。对于合作伙伴或其参与者的数据或设备因参与本计划或从课程包下载资料或使用课程包而受到的伤害或损坏， 概不负责。

合作伙伴同意，OPSWAT 、其附属机构、转售商、分销商及其各自的所有管理人员、董事、雇员、承包商、代表和代理（"被免责方"）对任何种类或性质的任何伤害、损失或损害（包括对个人的直接、间接、附带、后果性或惩罚性损害，包括但不限于残疾或死亡）的任何索赔、责任或诉讼原因不承担任何责任，合作伙伴对此免责并不承担任何责任。在不限制前述规定的前提下，本网站上的所有内容以及与本程序相关的内容均 "按原样 "提供，不提供任何明示或暗示的保证，包括但不限于适销性、特定用途适用性和非侵权的暗示保证。某些司法管辖区可能不允许限制或排除附带或间接损害赔偿责任或排除默示保证，在这种情况下，此类限制或排除应仅在相关司法管辖区法律允许的范围内适用。

合作伙伴和OPSWAT 承认并同意，任何一方均可将本计划（包括与本计划相关的任何提交资料）用于所有媒体的宣传、广告和营销目的。任何一方均可出于上述目的使用另一方的名称、商标和计划详情，但前提是此类使用必须符合各自的商标准则。如果一方认为另一方在广告或营销材料中使用其商标不当或可能损害其商业利益，则可要求另一方停止使用。本协议终止后，双方应立即停止使用对方的所有商标。

OPSWAT 收集的所有个人信息将用于本计划的管理，并遵守OPSWAT 的隐私政策（网址：https://www.opswat.com/legal/privacy-policy，以下简称“隐私政策”）。通过参与本计划，合作伙伴确认并同意OPSWAT 将根据隐私政策处理合作伙伴及其参与者的个人数据。 若适用法律要求OPSWAT 须与合作伙伴就OPSWAT处理合作伙伴向OPSWAT 提供的参与者个人信息事宜签订协议，则本协议附件 A 所附的《数据处理补充条款》将通过引用并入本奖学金条款。

1. 各方均确认，《奖学金条款》构成了双方就本项目达成的完整协议，且任何一方均不依赖于另一方所作的任何口头或书面陈述。OPSWAT 可随时通过更新本网站来更新此处规定的条款。
2. 这些奖学金条款将在所有方面按照美国佛罗里达州的法律进行解释和执行，而不参照其法律选择规则。根据或依照本奖学金条款产生的任何付款纠纷、争议或索赔应尽可能友好解决。在此情况下，双方同意提交位于美国佛罗里达州坦帕市的联邦法院和州法院（如适用）作为专属审判地和专属管辖权。
3. OPSWAT 由于OPSWAT 合理控制范围之外的原因，或由于任何不可抗力事件、技术或设备故障、恐怖行为、劳资纠纷或任何形式的行为/不行为（无论合法或非法）、运输中断、内乱或OPSWAT控制范围之外的任何其他类似或类似原因，而导致无法提供任何课程包或课程包的任何部分， 不对合作伙伴或其参与者承担任何责任。
4. 奖学金条款中的任何内容均不得在双方之间建立或被视为建立合伙、合资或雇主与雇员或委托人与代理人的关系。
5. 未经OPSWAT 的事先书面同意，合作伙伴不得转让奖学金条款下的任何权利。非奖学金条款当事人不享有奖学金条款下或与奖学金条款有关的任何权利。
6. 一方向任何其他方发出的通知将采用书面形式，并在确认送达后按以下方式生效：(i) 如果是发给合作伙伴，则通过参与者提供的电子邮件或实际地址发送；以及 (ii) 如果是发给OPSWAT ，则通过电子邮件发送至Legal@OPSWAT.com或 5411 SkycenterDrive, #900, Tampa, FL 33607, Attn: Legal。通知必须特别注明是根据本奖学金条款发出的通知。电子邮件发送的通知在电子邮件发出时即视为已发出并收到。合作伙伴同意接受邮寄送达。为免生疑问，如果通知通过专人或快递送达，则应在送达时视为送达；如果通过预付邮资的一等邮件送达，则应在两个工作日内视为送达。
7. 任何一方未行使任何权利、权力或补救措施均不构成对该权利、权力或补救措施的放弃。
8. 如果奖学金条款的任何规定（或任何规定的任何部分）被有管辖权的法院或其他机构认定为无效、非法或不可执行，则该规定或部分规定应在所需范围内被视为不构成奖学金条款的一部分，奖学金条款其他规定的有效性和可执行性不受影响。

本《数据处理补充协议》（“DPA）应适用于OPSWAT根据《奖学金条款》，在合作伙伴参与本计划期间，从合作伙伴处或代表合作伙伴接收并处理参与者个人数据（定义见下文）的相关事宜。

本协议中，合伙人及OPSWAT 均应称为“一方"”，合称“各方”。

在本 DPA 中，以下术语具有如下含义。本 DPA 中使用但未定义的术语应具有奖学金条款中规定的含义。

“关联方”就各缔约方而言，指控制该缔约方、受该缔约方控制或与该缔约方受共同控制的实体。

“汇总数据”指通过删除个人或其他信息（采取商业上合理的努力或按照适用法律的要求）进行匿名化处理的统计数据、基准数据、指标以及其他信息或数据，使得该数据无法归因于特定个人或合作伙伴。

“适用法律”是指适用的国家、联邦、州及地方法律、规则、指南、法院或政府机构的命令以及法规。

“控制”是指对某实体百分之五十（50%）以上表决权或股权的实际控制权。

“数据保护法规”指适用法律，包括但不限于适用于根据奖学金条款处理合作伙伴个人数据的欧洲经济区（EEA）和/或成员国（如《通用数据保护条例》（GDPR））、英国及瑞士的法律（在所有情况下，均包括其经修订、被取代或替代后的版本）。

“数据主体”指与合作伙伴个人数据相关的个人。

“EEA”指欧洲经济区。

“GDPR”指《欧盟通用数据保护条例》（EU 2016/679）。

““信息安全事件” 是指导致OPSWAT持有、保管或控制的合作伙伴个人数据发生意外或非法销毁、意外丢失、篡改、未经授权披露或访问的安全漏洞。“信息安全事件”不包括未成功的尝试或未危及合作伙伴个人数据安全的活动，包括未成功的登录尝试、ping测试、端口扫描、拒绝服务攻击以及针对防火墙或联网系统的其他网络攻击。

“合作伙伴个人数据”指受数据保护法规保护的、与已识别或可识别的自然人相关的信息，该信息由合作伙伴提供或向OPSWAT 提供，或由OPSWAT 以其他方式代表合作伙伴处理，在每种情况下，均与《奖学金条款》中规定的计划有关。

"处理”是指对合作伙伴个人数据进行的任何操作或一系列操作，包括收集、记录、组织、结构化、存储、改编或修改、检索、查阅、使用、通过传输进行披露、传播或以其他方式提供、对齐或组合、限制或删除合作伙伴个人数据。术语“处理”、“处理”和“已处理”应据此解释。

“SCC”指欧盟委员会2021年6月4日发布的第(EU) 2021/914号决定，该决定涉及根据欧洲议会和理事会第(EU) 2016/679号条例向第三国转移个人数据的标准合同条款，该决定可能不时被修订、重述或取代。

“安全措施”指OPSWAT 为保护合作伙伴个人数据而采取的技术和组织措施，具体详见第5.1节（OPSWAT的安全措施）。

“次级处理者”指除OPSWAT 以外的第三方，由OPSWAT 根据本数据处理附录（DPA）聘请并授权，以处理与该计划相关的合作伙伴个人数据。

“术语”一词的含义以第2条的规定为准。

本 DPA 将在奖学金条款生效时生效，并在奖学金条款终止时自动失效。

3.1 处理范围；合作伙伴说明；OPSWAT 遵守合作伙伴说明。

通过签订本《数据处理协议》（DPA），合作伙伴指示OPSWAT 仅按照《数据保护法规》处理合作伙伴的个人数据。OPSWAT 将仅根据合作伙伴的指示处理合作伙伴的个人数据：(a) 为了提供该计划； (b) 根据奖学金条款（包括本《数据处理协议》）的授权；以及 (c) 根据合作伙伴提供的其他书面指示，且经OPSWAT 以书面形式确认该等指示构成本《数据处理协议》目的下的处理指示，除非适用法律另有要求。处理的主题和详细信息详见附录1（处理详情）。

3.2 合作伙伴的责任。

合作伙伴声明并保证：(a) 合作伙伴已根据数据保护法获得任何必要的授权、同意和许可，以便OPSWAT根据本 DPA 的条款处理合作伙伴的个人数据（包括向OPSWAT 转移或提供访问合作伙伴个人数据的权限）；且 (b) 合作伙伴有关处理合作伙伴个人数据的指示、决定和行动应遵守适用法律，包括数据保护法。如果合作伙伴无法遵守本第 3.2 条（合作伙伴的责任），合作伙伴应及时通知OPSWAT 。

3.3 分析。

OPSWAT 可能出于多种目的收集、开发、创建、提取、汇编、综合、分析、使用、商业化或与第三方共享汇总数据，包括：(i) 维护、改进、营销和推广该计划；(ii) 识别、理解和预测性能及安全问题以及影响这些问题的因素； (iii) 向我们的客户提供更新、功能增强及个性化体验；以及 (iv) 研究和开发新产品及服务。为避免疑义，汇总数据不包括合作伙伴个人数据或任何可识别合作伙伴身份的信息。

在本 DPA 的有效终止日期，或应合作伙伴的书面请求，OPSWAT 应根据适用法律，在合理可行的情况下尽快从OPSWAT的系统中删除、允许合作伙伴访问、更正或归还合作伙伴的个人数据（包括现有副本），除非适用法律要求或允许OPSWAT 保留合作伙伴的个人数据（例如，适用法律可能允许OPSWAT 保留以电子方式存储在数据存档或备份系统中的合作伙伴个人数据副本）。

OPSWAT OPSWAT 可随时更新或修改安全措施，前提是此类更新和修改不会严重降低计划的整体安全性。

OPSWAT 仅允许员工、独立承包商、OPSWAT 关联公司和次级处理商访问合作伙伴的个人数据，这些员工、独立承包商、 关联公司和次级处理商在其工作范围内需要访问合作伙伴的个人数据，并且其保密义务不低于OPSWAT在奖学金条款中规定的保密义务。

1. 5.3.1 信息安全事件通知。如果OPSWAT 意识到信息安全事件，OPSWAT 将：(a) 在意识到信息安全事件后，根据第 13 节（通知）的规定，无不当延迟地将信息安全事件通知合作伙伴；并且 (b) 采取合理措施，查明此类信息安全事件的原因，最大限度地减少损害，并防止再次发生。除适用法律要求的范围外，未经合作伙伴事先书面同意，OPSWAT 不得向第三方发出任何明确点名合作伙伴的信息安全事件通知，但经批准的分包商、执法部门、保险理赔机构和OPSWAT的信息安全事件响应服务提供商除外。
2. 5.3.2 通知。合作伙伴应自行负责遵守适用于合作伙伴的事件通知法律，并履行与任何信息安全事件相关的第三方通知义务（例如，GDPR 第 33 和 34 条）。在此情况下，OPSWAT 将向合作伙伴提供合理的协助。
3. 5.3.3OPSWAT 不承认过失。 OPSWAT根据本第 5.3 节（信息安全事件）对信息安全事件的通知或响应不应被解释为OPSWAT 承认对信息安全事件的任何过失或责任。

5.4.1 合作伙伴的安全责任。

合作伙伴同意，在不影响OPSWAT第 5.1 节（OPSWAT的安全措施）和第 5.3 节（信息安全事件）规定的义务的情况下：

1. 合作伙伴全权负责其学员对课程套餐的使用，包括确保学员：(i) 确保学员用于访问课程套餐的账户验证凭据、系统和设备的安全；以及 (ii) 备份其个人数据。
2. OPSWAT 对于合作伙伴选择在OPSWAT及其子处理商的系统之外存储或传输的合作伙伴个人数据（例如，离线或内部存储），合作伙伴不承担任何保护义务。

5.4.2 合作伙伴安全评估。

1. 合作伙伴自行负责审查和评估服务、安全措施以及OPSWAT在本第 5 条（数据安全）下的承诺是否满足合作伙伴的需求，包括合作伙伴在数据保护立法下的任何安全义务。
2. 合作伙伴承认并同意，（考虑到行业标准、实施成本、合作伙伴个人数据处理的性质、范围、背景和目的，以及数据主体面临的风险）附录 2（OPSWAT的安全措施）中所载的由OPSWAT 实施和维护的安全措施提供了与合作伙伴个人数据风险相适应的安全级别。

如果OPSWAT 收到数据主体关于合作伙伴个人数据的任何请求，在适用法律允许的范围内，OPSWAT 将立即通知合作伙伴任何此类请求。合作伙伴将负责回应任何此类请求。

OPSWAT 将（考虑到合作伙伴个人数据处理的性质）向合作伙伴提供必要的合理协助，以便合作伙伴履行数据保护立法规定的义务，回应数据主体的请求。合作伙伴应按照OPSWAT当时的专业服务费率，向OPSWAT 补偿与此类协助相关的任何费用或成本。

OPSWAT 可根据下文第8条的规定，在OPSWAT 、其关联公司或其次级处理者开展业务的任何地点存储和处理合作伙伴个人数据。对于受欧洲经济区（EEA）、瑞士和英国数据保护法规约束的合作伙伴个人数据的国际传输，应适用附录3第1.10条和/或第1.11条的规定。

合作伙伴授权OPSWAT 将其关联公司及其他第三方作为次级处理者。OPSWAT的次级处理者名单可查阅https://www.opswat.com/legal/subprocessors，合作伙伴可通过RSS订阅获取该名单的更新。 若合作伙伴签订《标准合同条款》（SCC）或其他类似协议，则合作伙伴签署该等协议即构成其事先书面授权，允许OPSWAT 将合作伙伴个人数据的处理业务分包给分包处理者（如《标准合同条款》或其他类似协议要求此类授权）。OPSWAT 应对分包给其分包处理者的所有义务，以及分包处理者的所有作为和不作为承担责任。

通过参与本计划，合作伙伴承认并同意，合作伙伴代表其自身，并在适用的数据保护法规要求的范围内，以其数据控制方关联公司的名义并代表其，在OPSWAT 处理合作伙伴个人数据的范围内（该等数据控制方关联公司有资格作为控制方），签订本 DPA，从而在OPSWAT 和每个数据控制方关联公司之间建立 DPA，并遵守奖学金条款和本 DPA 的规定。合作伙伴同意确保每个数据控制方关联公司同意接受本 DPA 义务的约束。但是，数据控制方关联公司不是也不会成为奖学金条款的一方，而只是本 DPA 的一方。数据控制方关联公司对服务的所有访问和使用都必须遵守奖学金条款，数据控制方关联公司对奖学金条款的任何违反都应被视为合作伙伴的违规行为。合作伙伴应继续负责协调根据本 DPA 与OPSWAT 进行的所有通信，并有权代表其数据控制附属机构进行和接收与本 DPA 有关的任何通信。

如果数据控制方关联公司成为OPSWAT 的 DPA 的一方，其应仅在数据保护立法要求的范围内这样做。除非数据保护立法明确要求数据控制方关联公司直接向OPSWAT 行使本 DPA 规定的权利或寻求补救，否则双方同意(a) 合作伙伴拥有代表数据控制方关联公司行使任何此类权利或寻求任何此类补救的唯一权利；以及 (b) 在数据保护立法未禁止的范围内，合作伙伴应以联合方式为其所有数据控制方关联公司共同行使本 DPA 下的任何此类权利。

OPSWAT 应回答合作伙伴向其提交的任何书面审计问题，但合作伙伴每年行使此项权利的次数不得超过一次。

如果OPSWAT 处理来自附录 3 所列司法管辖区的个人数据，则相应条款将适用于此类处理。

除非适用法律禁止，否则任何一方及其关联公司（包括数据控制关联公司）根据奖学金条款、本 DPA 和 SCC（如果签订）或与奖学金条款、本 DPA 和 SCC 有关的合同、侵权行为或任何其他责任理论而对另一方及其关联公司承担的全部合并责任，将以双方在奖学金条款中商定的责任限制或其他责任上限为限。OPSWAT 对于合作伙伴及其所有数据控制方关联公司因奖学金条款或 DPA 而提出的所有索赔，OPSWAT Affiliates 的总赔偿责任应合计适用于奖学金条款和 DPA 下的所有索赔，不得理解为单独和个别适用于合作伙伴或作为任何此类 DPA 合同方的任何数据控制方关联公司。

除本《数据处理附录》（DPA）所作的变更外，《奖学金条款》和/或与本服务相关的任何其他协议均保持不变，并继续完全有效。若《奖学金条款》与本《数据处理附录》之间存在冲突，则就相关事项而言，应以本《数据处理附录》的规定为准并予以适用。 若本《数据处理附约》（DPA）与《标准合同条款》（SCC）之间存在冲突，则就《标准合同条款》所涉事项而言，应以《标准合同条款》的规定为准并予以适用。本《数据处理附约》仅可通过由OPSWAT 及其合伙人签署的书面文件进行修订和/或修改。奖学金条款中未被本《数据处理附约》修订的所有其他条款和条件仍保持完全有效。

本 DPA 受与奖学金条款相同的司法管辖区的法律管辖，除非数据保护立法要求本 DPA 受另一司法管辖区的法律管辖。

1.1适用范围。以下规定仅适用于OPSWAT对受欧洲经济区（EEA）、瑞士和英国数据保护法规约束的合作伙伴个人数据的处理。

1.2定义。

(a) “数据控制者”、“数据处理者”和“监管机构”等术语的含义应以《通用数据保护条例》（GDPR）中的定义为准。

(b) “英国补充条款”是指由英国信息专员办公室发布的《标准合同条款》（SCC）国际数据传输补充条款（B1.0版）。

1.3处理者和控制者的责任。各方确认并同意：

(a) 根据《数据保护法》，OPSWAT 是合作伙伴个人数据的处理者或次级处理者（视具体情况而定）；

(b) 合作伙伴是数据保护法规所指的合作伙伴个人数据的控制者或处理者（视具体情况而定）；

(c) 合作伙伴应对合作伙伴个人数据的准确性、质量和合法性，以及合作伙伴获取该等个人数据的方式承担全部责任；以及

(d) 各缔约方在处理合作伙伴个人数据时，应遵守数据保护法规中适用于其的义务。

1.4第三方控制者的授权。如果合作伙伴是处理者，则合作伙伴向OPSWAT 声明并保证：合作伙伴针对合作伙伴个人数据所作出的指示和采取的行动（包括指定OPSWAT 作为处理者），均已获得相关控制者的授权。合作伙伴确认，OPSWAT 无需负责就合作伙伴个人数据的处理事宜征得同意或授权。

1.5 OPSWAT 为遵守适用法律而进行的处理。如果OPSWAT 必须违反合作伙伴的指示，或根据奖学金条款（包括本《数据处理协议》）的授权，为遵守适用法律而处理合作伙伴的个人数据，则OPSWAT 应在处理前将适用法律告知合作伙伴，除非适用法律基于重要的公共利益理由禁止此类通知。

1.6安全措施。OPSWAT 应当（在综合考虑技术发展现状、实施成本、处理活动的性质、范围、背景和目的，以及对数据主体权利和自由造成风险的可能性和严重程度的基础上）采取适当的安全措施，以确保达到与风险相适应的安全水平，包括附录 2 中详细列明的安全措施，并视情况酌情采取以下措施：

(a) 对合作伙伴个人数据进行化名和加密；

(b) 确保处理系统和服务的持续保密性、完整性、可用性和弹性的能力，包括以下具体措施和做法；

(c) 在发生实体或技术事故时，及时恢复合作伙伴个人数据的可用性和访问权限的能力；以及

(d) 定期测试、评估和评价技术和组织措施有效性的程序，以确保合作伙伴个人数据处理的安全性。

1.7合理协助。OPSWAT 将根据适用于OPSWAT作为数据处理者角色的适用法律的要求，向合作伙伴提供合理协助，以帮助合作伙伴履行其根据《通用数据保护条例》（GDPR）第 35 条进行数据保护影响评估的义务。 若合作伙伴对合作伙伴个人数据的处理导致数据主体的权利和自由面临高风险，OPSWAT 将向合作伙伴提供合理协助，以协助其根据《通用数据保护条例》（GDPR）第36条向监管机构寻求事先咨询。

1.8信息安全事件的详细信息。根据《数据保护法》（DPA）第5.3条（信息安全事件）发出的通知应：

(a) 描述信息安全事件的性质，包括（如有可能）相关数据主体的类别和大致数 量，以及相关个人数据记录的类别和大致数量；

(b) 告知数据保护官员或其他联系人的姓名和联系方式，以便获取更多信息；

(c) 描述信息安全事故可能造成的后果；以及

(d) 说明OPSWAT 已采取或拟采取的处理信息安全事件的措施，包括在适当情况下减 轻事件可能造成的不利影响的措施。

在无法同时提供信息的情况下，可分阶段提供信息，不得无故拖延。

1.9合规审计。

1.9.1 合作伙伴可在提前至少四十五（45）天提出合理书面请求并发出书面通知的情况下，在奖学金条款有效期内每十二（12）个月对OPSWAT履行本《数据处理协议》（DPA）项下义务的情况进行一次审计，以满足数据保护法规的要求。 合作伙伴必须在OPSWAT 的正常营业时间内进行所有审计，且不得对OPSWAT 的业务活动造成不合理的干扰。在数据保护法规要求的范围内，包括合作伙伴监管机构强制要求的情况下，合作伙伴或其监管机构可进行频繁的审计。

OPSWAT1.9.2 若由第三方进行审计，且OPSWAT 合理认为该审计师不具备适当资质或缺乏独立性，或属于OPSWAT 的竞争对手，则 可对该审计师提出异议。若OPSWAT 提出此类异议，则合伙人须另行委任一名审计师或自行进行审计。

1.9.3 如需申请审计，合作伙伴必须在拟定审计日期前至少两（2）周，向OPSWAT 提交一份详细的拟议审计计划。 该拟议审计计划必须说明审计的拟议范围、持续时间及开始日期。OPSWAT 将审查该拟议审计计划，并向合作伙伴提出相关关切或疑问（例如，任何可能危及OPSWAT 安全、隐私、雇佣或其他相关政策的信息请求）。OPSWAT 将与合作伙伴通力合作，共同商定最终审计计划。本第 1.9 节（合规性审计）中的任何内容均不得要求OPSWAT 违反保密义务。

OPSWAT 1.9.4 审计费用由合作伙伴承担。对于OPSWAT 或其次级处理者根据本第1.9条（合规性审计）开展的任何审计所耗费的时间，合作伙伴应按照OPSWAT当时适用的专业服务费率向其支付报酬。合作伙伴应支付其委任的任何审计师为执行此类审计而收取的所有费用。

1.9.5 双方同意，本第1.9条（合规审计）应满足OPSWAT根据SCC审计要求所承担的义务，该要求适用于第5(f)条规定的数据进口方以及第11条和第12(2)条规定的任何次级处理者。

1.10将数据转移至欧洲经济区（EEA）或瑞士境外。如果合作伙伴个人数据的存储和/或处理涉及将该等数据转移至欧洲经济区（EEA）或瑞士境外，且数据保护法规适用于此类合作伙伴个人数据的转移，则应适用附录4，OPSWAT 将根据其中提及的“控制者向处理者”标准合同条款（SCC）进行此类转移，除非该转移目的地国家已获得欧盟委员会的充分性决定。

1.11将数据转移出英国。如果合作伙伴个人数据的存储和/或处理涉及将该等数据转移出英国，且数据保护法规适用于此类合作伙伴个人数据的转移，则应适用附录5，OPSWAT 将根据该附录中提及的标准合同条款（SCC）进行此类转移，除非该转移目的地属于英国充分性法规所涵盖的国家。

1.12次级处理者协议。在根据《SCC》第9(c)条回应合作伙伴索取次级处理者协议副本的请求之前，OPSWAT 可对其与次级处理者签订的协议中的所有机密商业或法律条款进行遮盖处理。

1.13对次级处理者变更提出异议的机会。若在《数据处理协议》（DPA）有效期内聘请新的次级处理者，OPSWAT 应当在新次级处理者处理任何合作伙伴个人数据之前至少十五（15）天，通过更新其位于https://www.opswat.com/legal/subprocessors 的次级处理者列表，以书面形式通知合作伙伴。 合作伙伴可在收到OPSWAT通知之日起五（5）个工作日内，向OPSWAT 发送书面通知，对新的分处理方提出异议。若合作伙伴对新的分处理方提出异议，合作伙伴与OPSWAT 将本着诚意共同努力，寻求双方均可接受的解决方案以解决该异议。若双方无法在合理时间内达成双方均可接受的解决方案，合作伙伴可作为其唯一且排他的补救措施，通过向OPSWAT 发送书面通知，终止其对该计划的参与。

1.14处理记录。 合作伙伴确认，根据《通用数据保护条例》（GDPR）的规定，OPSWAT 有义务：(a) 根据《通用数据保护条例》第 30 条第 (2) 款收集并保存特定信息的记录，包括OPSWAT 所代表的每位处理者和/或控制者的名称及联系方式，以及在适用情况下该处理者或控制者的当地代表和数据保护官的名称及联系方式；以及 (b) 根据《通用数据保护条例》第 30 条 (4) 向监督机构提供此类信息。如果《通用数据保护条例》（GDPR）适用于合作伙伴个人数据的处理，合作伙伴应在收到请求时向OPSWAT 提供此类信息，并确保所提供的一切信息均准确且最新。

2.1适用范围。以下规定仅适用于OPSWAT对受《2018年加利福尼亚州消费者隐私法》（《加利福尼亚州民法典》第1798.100条及以下条款，经《加利福尼亚州隐私权法》修订）及相关法规（该等法规可能不时进一步修订，统称“CCPA”）约束的合作伙伴个人数据的处理。

2.2定义。“出售”、“共享”和“服务提供商”等术语的含义与《加州消费者隐私法案》（CCPA）中的定义相同。

2.3服务提供商。OPSWAT 是合作伙伴的服务提供商。OPSWAT 仅为提供该计划之目的处理合作伙伴的个人数据。除非《奖学金条款》或《加州消费者隐私法案》（CCPA）另有规定：

(a)OPSWAT 不得再出于商业目的，或出于除履行《奖学金条款》所规定目的以外的任何其他目的，收集、保留、使用或披露合作伙伴的个人数据；

(b)OPSWAT 不得在双方直接业务关系之外保留、使用或披露合作伙伴个人数据；且

(c)OPSWAT 不得将从合作伙伴处或代表合作伙伴收到的合作伙伴个人数据与其他人员的个人数据，或通过其与合作伙伴的互动所收集的个人数据进行合并，但为根据《奖学金条款》提供服务所必需的情况除外。

2.4禁止出售或共享。OPSWAT 不得出售或共享合作伙伴的个人数据。

2.5遵守《加州消费者隐私法案》（CCPA）。OPSWAT 应遵守《加州消费者隐私法案》（CCPA）的所有适用条款，包括针对根据本奖学金条款处理的合作伙伴个人数据，提供与 CCPA 要求同等水平的隐私保护。

2.6 《加州消费者隐私法案》（CCPA）审计。

2.6.1 合作伙伴可在提前至少四十五（45）天发出书面通知并提出合理请求的情况下，在奖学金条款有效期内每十二（12）个月对OPSWAT遵守本数据处理附录（DPA）项下义务的情况进行一次审计。 合作伙伴必须在OPSWAT 的正常营业时间内进行所有审计，且不得对OPSWAT 的业务活动造成不合理的干扰。在《加州消费者隐私法案》（CCPA）要求的范围内，包括经加州隐私保护局强制要求的情况下，合作伙伴可进行频繁的审计。

2.6.2 若由第三方进行审计，且OPSWAT 合理认为该审计师不具备适当资质或缺乏独立性，或系OPSWAT 的竞争对手，则 可对该审计师提出异议。若OPSWAT 提出此类异议，则合伙人须另行委任一名审计师或自行进行审计。OPSWAT

2.6.3 如需申请审计，合作伙伴必须在拟定审计日期前至少两（2）周，向OPSWAT 提交一份详细的拟议审计计划。 拟议的审计计划必须说明审计的拟议范围、持续时间及开始日期。OPSWAT 将审查拟议的审计计划，并向合作伙伴提出相关关切或疑问（例如，任何可能危及OPSWAT 安全、隐私、雇佣或其他相关政策的信息请求）。OPSWAT 将与合作伙伴通力合作，共同商定最终审计计划。本第 2.6 节（CCPA 审计）中的任何内容均不得要求OPSWAT 违反保密义务。

OPSWAT 2.6.4 审计费用由合作伙伴承担。对于OPSWAT 或其分处理者根据本第2.6条（CCPA审计）开展的任何审计所耗费的时间，合作伙伴应按照OPSWAT当时适用的专业服务费率向其支付报酬。合作伙伴应支付其委任的任何审计师为执行此类审计而收取的所有费用。

2.6.5 双方同意，本第2.6条（CCPA审计）应视为OPSWAT根据《加州消费者隐私法案》（CCPA）所承担的义务的履行，即赋予合作伙伴采取合理且适当措施的权利，以确保OPSWAT根据本奖学金条款对合作伙伴个人数据的处理符合OPSWAT根据CCPA所承担的义务。

2.7通知。若OPSWAT 认定其无法继续履行《加州消费者隐私法案》（CCPA）项下的义务，OPSWAT 应通知合作伙伴。在OPSWAT根据本第 2.7 条发出通知后，合作伙伴可通过向OPSWAT 发送书面通知，终止其对该计划的参与。

2.8对个人数据未经授权使用的补救措施。应合作伙伴的书面请求，OPSWAT 应停止处理，并根据《数据处理协议》（DPA）第4条（数据的删除或返还）的规定，删除或返还合作伙伴的个人数据。OPSWAT 应向合作伙伴提供一份证明书，证明OPSWAT已遵守合作伙伴的书面请求。 双方同意，本第2.8条应视为OPSWAT已履行其义务，即赋予合作伙伴采取合理且适当措施的权利，以制止并纠正OPSWAT对合作伙伴个人数据的未经授权使用。

2.9合理的安全保障。双方同意，第5条（数据安全）应满足OPSWAT根据《加州消费者隐私法案》（CCPA）在数据安全方面的义务。

2.10《加州消费者隐私法案》（CCPA）下的数据主体请求。双方同意，《数据处理协议》（DPA）第6条（数据主体权利）应满足OPSWAT根据《加州消费者隐私法案》（CCPA）就数据主体请求所承担的义务。

2.11次级处理者。双方同意，《数据处理附录》（DPA）第 8 条（次级处理者）应满足OPSWAT根据《加州消费者隐私法案》（CCPA）在次级处理者方面的义务。

A.缔约方名单

数据导出方：合作伙伴

角色（控制者/处理者）：控制者

数据导入方：OPSWAT

角色（控制者/处理者）：处理者

B. 转让说明

数据主体的类别：参见《数据保护法》附录1

转移的个人数据类别：见《个人数据保护法》附录 1

敏感/特殊类别数据：无

传输频率：根据提供服务的需要连续传输

数据传输的性质或处理方式及目的：见 DPA 附录 1

保留个人资料的期限：见《个人信息保护法》附录 1

C. 主管监管机构

数据出口方所在的欧盟成员国。如果数据输出国不在欧盟，则应为爱尔兰。

技术和组织措施，包括确保数据安全的技术组织措施

参见 DPA 附录 2。对于向次级处理者的转移，OPSWAT 应确保这些次级处理者在实质上遵守 DPA 附录 2 中列出的安全措施。