本数据处理附录（本“附录”）由 GoDaddy.com, LLC, a Delaware limited liability company 及其附属公司（“GoDaddy”）和您（”客户“）执行，并作为我们的通用服务条款的附件和补充、隐私政策，以及任何和所有管辖涵盖服务的协议（统称为“服务条款”）。

1.定义

1.1 除非本附录另有定义，否则本附录未定义的所有术语将具有服务条款中赋予它们的含义

“关联公司”是指受 GoDaddy 控制、控制或与其共同控制的任何实体。

“涵盖服务”指的是可能涉及我们处理个人数据的托管服务，受到以下协议条款和条件的约束：(1) 电子邮件营销服务、(2) 托管、(3) 在线商店/快速购物车、(4) 网站服务、(5) 工作区服务。

“客户数据”是指 GoDaddy 根据服务条款或与之相关的规定，在 GoDaddy 网络内代表客户处理的任何数据当事人的个人数据。

“数据保护法律”是指适用于根据协议进行个人数据处理的所有数据保护或隐私法律和法规，包括但不限于 (i) 澳大利亚隐私原则和澳大利亚隐私法案 (1988)，(ii) 巴西通用数据保护法 (LGPD)，(iii) 加州消费者隐私法案 (CCPA)，(iv) 加拿大联邦个人信息保护和电子文档 (PIPEDA)，(v) 欧盟 GDPR，(vi) 根据或依据 GDPR 制定的任何国家数据保护法律 (vii) 欧洲电子隐私指令（指令 2002/58/EC），(viii) 2012 年新加坡个人数据保护法案 (PDPA)，(ix) 1992 年 6 月 19 日颁布的瑞士联邦数据保护法案及其条例，及 (x) 英国 GDPR 或 2018 年数据保护法案；在每种情况下都可能被修改、废除或替换。

“EEA”是指欧洲经济区。

“EU GDPR”是指 2016 年 4 月 27 日欧洲议会和欧洲理事会颁布的第 (EU) 2016/679 号条例，旨在于个人数据处理及个人数据自由流动过程中保护自然人权益，同时宣布废除第 95/46/EC 号指令。

“欧盟标准合同条款”是欧盟委员会 2021 年 6 月 4 日第 2021/914 号决定批准的标准数据保护条款，以引用的方式并入本文。可登录 EUR-Lex 网站下载模块二（控制者到处理者）欧盟标准合同条款和模块三（处理者到处理者）欧盟标准合同条款。

“GoDaddy 网络”是指 GoDaddy 的数据中心设施、服务器、网络设备和主机软件系统（例如虚拟防火墙）；这些系统在 GoDaddy 的控制范围内并用于提供涵盖服务。

“安全事件”是指违反 GoDaddy 安全标准，导致意外或非法破坏、丢失、更改、未经授权披露或访问由 GoDaddy 管理或控制的系统上的任何客户数据。

“安全标准”是指本附录的附录 2 所附的安全标准。

“敏感数据”是指社会保险号、护照号、驾照号或类似标识符（或其任何部分）；(b) 信用卡或借记卡号（信用卡或借记卡的截断（最后四位数字）部分除外）、财务信息、银行账号或密码；(c) 就业、财务、遗传、生物识别或健康信息；(d) 种族、民族、政治或宗教信仰、工会会员身份或性生活或性取向相关信息；(e) 账户密码、母亲的婚前姓氏或出生日期；(f) 犯罪前科；或 (g) 属于 GDPR 或与隐私和数据保护相关的任何其他适用法律或法规中“特殊数据类别”定义范围内的任何其他信息或信息组合。

“副处理者”是指处理者聘请的代表控制者处理数据的任何处理者。

“UK GDPR”是指根据 2018 年英国欧盟（退出）法案以及根据该法案制定的适用二级立法，修订并纳入英国法律的欧盟 GDPR。

“英国国际数据传输附录”是指由英国信息专员发布的生效于 2022 年 3 月 21 日的欧盟标准合同条款的国际数据传输附录（B1.0 版），以引用方式并入本文。可登录英国信息专员网站下载英国国际数据传输附录。

1.2 本附录中使用的术语“个人数据”、“数据当事人”、“处理”、“控制者”和“处理者”具有欧盟 GDPR 所赋予的含义，而不论适用何种数据保护法。

2.数据处理范围和各方关系

2.1 GoDaddy 作为处理者。双方承认并就以下各点达成一致意见：(i) GoDaddy 是数据保护法规定的客户数据处理者；(ii) 客户是数据保护法规定的客户数据的控制者或处理者（如适用）；(iii) 各方将遵守适用的数据保护法规定的有关处理客户数据的相应义务。

2.2 数据处理详情。GoDaddy 处理客户数据的主题范围，是根据服务条款履行的涵盖服务。GoDaddy 仅应代表并按照客户的文件化说明处理客户数据，并限制用于以下目的：(i) 按照服务条款进行处理；(ii) 最终用户在使用涵盖服务时引起的处理；(iii) 遵守客户提供的其他记录在案的合理指示（例如通过电子邮件提供）进行处理，而此类指示必须与服务条款保持一致。GoDaddy 应保证：(a) 除非认定为依据服务条款或法律要求提供涵盖服务的必备条件，否则不得处理、保留、使用、出售或披露客户数据；(b) 不得将相关客户数据出售给任何第三方；(c) 不得保留、使用或披露超出 GoDaddy 与客户直接业务关系范围的客户数据。

为免生疑问，客户数据处理说明应遵守所有数据保护法。客户应对客户数据的准确性、质量和合法性以及客户获取客户数据的方式承担全部责任。如果客户是客户数据的控制者，则客户承认并在以下方面达成一致：(i) 您必须以商业合理的方式明确披露在任何涵盖服务上发生的任何数据收集、共享和使用行为，并获得同意；(ii) 您必须明确说明，由于您使用涵盖服务，最终用户数据可能会在其原籍国之外进行处理。如果客户是客户数据的处理者，客户保证客户关于客户数据的指示和操作，包括任命 GoDaddy 为另一位处理者，已获得相关控制者授权。如果此类指示违反数据保护法规定，则不应要求 GoDaddy 遵守或遵循此类指示。本附录所述的处理持续时间、处理的性质和目的、个人数据的类型以及处理的数据当事人类别在本附录的附件 1（“处理的详情”）中有进一步的说明。

3.客户数据的机密性

GoDaddy 不会向任何政府或任何其他第三方披露客户数据，除非有必要遵守法律或执法机构的有效和具有约束力的命令（例如传票或法院命令）。如果 GoDaddy 收到有效民事传票，在允许的范围内，GoDaddy 将竭力通过电子邮件或邮寄向客户发出合理的通知函，允许客户寻求保护令或其他适当的补救措施。

4.安全责任共担模型

4.1 GoDaddy 已经实施并将维护本节所述的 GoDaddy 网络技术和组织措施；相关条款详列于本附录安全标准部分的附件 2 中。GoDaddy 已特别实施并将继续采取以下技术和组织措施来解决 (i)GoDaddy 网络的安全问题；(ii) 设施的实体安全；(iii) 控制员工和承包商对 (i) 和/或 (ii) 的访问；(iv) 测试、评估和评定 GoDaddy 实施的技术和组织措施有效性的过程。如果我们无法履行此处规定的任何义务，我们将在实际可行的情况下尽快提供书面通知（通过我们的网站或电子邮件）。

4.2 GoDaddy 将提供许多客户可以选择使用并与涵盖服务有关的安全性能和功能。客户有责任（a）正确配置涵盖服务，（b）使用与涵盖服务有关的可用控制（包括安全控制），并确保处理系统和服务的持续保密性、完整性、可用性和灵活性，（c）使用与涵盖服务（包括安全控制）有关的可用控制措施，允许客户在发生实体或技术事故时及时恢复客户数据的可用性和访问权限（例如客户数据的备份和日常归档），（d）采取客户认为足以保持适当安全、保护和删除客户数据的步骤，包括使用加密技术保护客户数据免受未经授权的访问以及控制客户数据访问权限的措施。

5.数据当事人权利

考虑到涵盖服务的性质，GoDaddy 向客户提供某些控制措施，客户可选择使用该措施来检索、更正、删除或限制涵盖服务中所述的客户数据的使用和共享。客户可以将这些控制措施用作技术和组织措施，以协助其履行数据保护法规定的义务，包括对响应数据当事人请求相关的义务。在商业上合理且在合法要求或允许的范围内，GoDaddy 应立即通知客户 GoDaddy 是否直接收到数据当事人的请求以根据任何适用的数据保护法规行使此类权利（“数据当事人请求”）。此外，如果客户使用涵盖服务限制了其处理数据当事人请求的能力，则 GoDaddy 可在法律允许和适当的情况下并根据客户的具体要求提供商业上合理的帮助来满足该请求，相关成本（如有）则由客户负责。

6.副处理

6.1 授权的副处理者。客户同意 GoDaddy 可以使用副处理者履行其服务条款和本附录中的合同义务，或代表其提供某些服务，例如提供支持服务。客户特此同意 GoDaddy 如本节所述使用副处理者。

6.2 副处理者的义务。当 GoDaddy 如第 6.1 节所述使用任何授权的副处理者时，下列条款将适用：

(i) GoDaddy 将限制副处理者对客户数据的访问用于维护涵盖服务或根据涵盖服务向客户和任何最终用户提供涵盖服务。GoDaddy 将禁止副处理者基于任何其他目的访问客户数据；

(ii) GoDaddy 将与副处理者达成书面协议，并且在副处理者正在执行 GoDaddy 于本附录所提供的相同数据处理服务的范围内，GoDaddy 将向副处理者施加 GoDaddy 于本附录提供的基本相似的合同义务；以及

(iii) GoDaddy 将继续负责遵守本附录的义务以及副处理者的任何作为或不作为导致 GoDaddy 违反本附录规定的任何 GoDaddy 的义务。

6.3 新的副处理者。 我们可能会不时根据本附录的条款聘用新的副处理者。 在这种情况下，我们将在任何新的副处理者获得任何客户数据之前提前 30 天通过我们的网站或电子邮件通知。如果客户不批准新的副处理者，客户可在 10 天内或在收到我们的通知后提供书面终止通知（其中包括不批准的原因说明）来终止任何涵盖服务而不会受到处罚。如果涵盖服务是捆绑或捆绑购买的一部分，则所有终止都将适用于整体服务。

7.安全事故

7.1 安全事故。如果 GoDaddy 发现任何安全事故，GoDaddy 将不会无故拖延：(a) 通知客户安全事故；(b) 采取合理步骤减轻影响并尽量减少安全事故造成的任何损害。

7.2 GoDaddy 帮助。为了协助客户处理其根据数据保护法规作出的任何个人数据泄露通知，GoDaddy 将在 GoDaddy 能够合理向客户披露的范围下，在通知中纳入关于安全事故的信息。考虑事项包括涵盖服务的性质、向 GoDaddy 提供的信息以及披露信息的任何限制，例如机密性。

7.3 失败的安全事故。客户同意失败的安全事故将不受本附录条款的约束。失败的安全事故是指任何客户数据或 GoDaddy 的网络、设备或存储客户数据的设施遭到未经授权访问，并且可能包括但不限于对防火墙或边缘服务器的 ping 和其他广播攻击、端口扫描、不成功的登录尝试、拒绝服务攻击、数据包嗅探（或其他不超出标题以外、未经授权的流量数据访问）或类似事件。

7.4 通知。安全事件通知（如有）将通过 GoDaddy 选择的任何方式（包括通过电子邮件）发送给一位或多位客户的管理员。客户全权负责确保客户的管理员在 GoDaddy 管理控制台上始终保持准确的联系信息并随时保证传输安全。

7.5 非 GoDaddy 之失：根据本节，GoDaddy 根据本安全事故报告或回复安全事故的义务不会被视为 GoDaddy 对安全事故的任何过失或 GoDaddy 的责任承认。

8.客户权利

8.1 独立决定。客户负责审查 GoDaddy 提供的数据安全及其安全标准相关的信息，并独立确定涵盖服务是否符合客户的要求和法律义务以及客户在本附录中的义务。提供的信息旨在帮助客户遵守适用的数据保护法规定的客户义务。客户同意，GoDaddy 实施和维护的涵盖服务和安全标准提供了与个人数据风险相适应的安全级别（考虑最新技术、实施成本以及处理数据的性质、范围、背景和目的以及个人风险）。

8.2 客户审核权利。客户有权在合理的时间间隔内向服务条款中规定的地址发出具体的书面请求，以确认 GoDaddy 遵守适用于涵盖服务的本附录。如果 GoDaddy 拒绝遵循客户要求的关于适当要求和范围的审核或检查的任何指示，则客户有权终止本附录和服务条款。

9.客户数据的转移

9.1 美国基本处理。除非在服务条款中特别注明，客户数据将在英国或欧洲经济区以外转移并在美国进行处理。

9.2 欧盟标准合同条款的适用性。模块二（控制者到处理者）欧盟标准合同条款或模块三（处理者到处理者）欧盟标准合同条款将适用于在欧洲经济区以外传输的客户数据，可以直接或通过转发向任何未被欧盟委员会认可的国家/地区提供足够的客户数据保护。欧盟标准合同条款不适用于未在欧洲经济区以外直接或通过转发传输的客户数据。尽管有上述规定，但如果数据根据公认的合规标准传输，以便在欧洲经济区以外（如依据服务条款履行涵盖服务的必要条件或征得您的同意）合法传输个人数据，则欧盟标准合同条款将不适用。

1. 对于每个模块（如果适用）：
   1. 在欧盟标准合同条款第 7 条中，可选对接条款将不适用；
   2. 在欧盟标准合同条款的第 9 条中，选项 2 将适用，且副处理者更改的事先书面通知的时间段将列在本附录第 6.3 节（新的副处理者）中；
   3. 在欧盟标准合同条款第 11 条中，可选语言将不适用；
   4. 在第 17 条（选项 1）中，欧盟标准合同条款将受德国法律约束；
   5. 在欧盟标准合同条款第 18(b) 条中，争议将在德意志联邦共和国法院解决；
   6. 在欧盟标准合同条款附件 I A 部分中：
      • 缔约方列表
        
        数据输出者：数据输出者是在附录中标识为“客户”的实体
        签名和日期：自数据输出者以电子方式接收数据输入者的服务条款之日起，便将数据输出者视为已签署欧盟标准合同条款。
        角色：控制器（在模块二下）或处理者（在模块三下）
        
        数据输入者：GoDaddy.com, LLC
        联系详细信息：数据保护官办公室 – privacy@godaddy.com
        签名和日期：自数据输出者以电子方式接收数据输入者的服务条款之日起，便将数据输入者视为已签署欧盟标准合同条款。
        角色：处理者
   7. （欧盟标准合同条款附件 I B 部分中）：
      • 传输说明
        
        传输个人数据的数据当事人类别见本附录的附录 1 中所述。
        传输的个人数据类别见本附录的附录 1 中所述。转移的敏感数据见本附录的附录 1 中所述。
        传输频率是服务条款有效期的连续基础。
        处理的性质见本附录的第 2.2 节和附录 1 中所述。
        数据传输和进一步处理的目的见本附录的第 2.2 节和附录 1 中所述。
        本附录的附录 1 中描述了个人数据的保留期限。
        向（副）处理者的转移、主题内容以及处理的性质和期限如标准合同条款的附件 III 中所示。
   8. 在欧盟标准合同条款的附件 I C 部分中：
      • 主管监管机构
        北莱茵-威斯特法伦州数据保护和信息自由专员（“LDI NRW”）是主管监管机构。
   9. 在欧盟标准合同条款的附件 II 中：
      
      数据输入者实施的技术和组织安全措施如本附录的附录 2 中所示。
   10. 在欧盟标准合同条款的附件 III 中：
       
       副处理者列表见本附录的附录 3。

9.3 Application of UK International Data Transfer Addendum. The UK International Data Transfer Addendum will apply to Customer Data transferred via Covered Services from the United Kingdom, either directly or via onward transfer, to any country not recognized by the competent United Kingdom regulatory authority or governmental body as providing an adequate level of protection for Customer Data. The UK International Data Transfer Addendum will not apply to Customer Data that is not transferred, either directly or via onward transfer, outside the United Kingdom. Notwithstanding the foregoing, the UK International Data Transfer Addendum will not apply where the data is transferred in accordance with a recognized compliance standard for the lawful transfer of Customer Data outside the United Kingdom, such as when necessary for the performance of Covered Services pursuant to the Terms of Service or with your consent.

1. 对于受英国国际数据传输附录约束的来自英国的数据传输，英国国际数据传输附录将被视为已签订（并通过此引用方式并入本附录），具体情况如下：
   1. 在英国国际数据传输附录的表 1 中，各方的详细信息和主要联系信息位于本附录的第 9.2 (i)(f) 节。
   2. 在英国国际数据传输附录的表 2 中，有关随附于英国国际数据传输附录的欧盟标准合同条款、模块和选定条款的版本信息位于本附录的第 9.2 节（欧盟标准合同条款）。
   3. 在英国国际数据传输附录的表 3 中：
      1. 缔约方列表位于本附录第 9.2 (i)(f) 节。
      2. 本附录附录 1（处理细节）的第 1 节（处理的性质和目的）中对传输进行了描述。
      3. 附件 II 位于本附录的附录 2（安全标准）中
      4. 副处理者列表位于本附录的附录 3 中。
   4. 在英国国际数据传输附录的表 4 中，输入者和输出者均可根据英国国际数据传输附录相关条款终止英国国际数据传输附录。

10.附录的终止

本附录将继续有效，直至服务条款列明的处理终止日（“终止日期”）。  

11.退还或删除客户数据。

如涵盖服务中所述，客户可能会收取可用于检索或删除客户数据的控件。客户数据的删除将在终止日期后三十 (30) 天进行，具体取决于特定涵盖服务的条款。客户承认，客户有责任在终止日期之前导出您希望在终止日期之后保留的任何客户数据。

12.责任限制

本附录中各方的责任将受服务条款中规定的排除和责任限制约束。客户同意，GoDaddy 因客户未能遵守本附录及任何适用数据保护法规定的义务而产生的客户数据相关的任何监管处罚将计入并转移 GoDaddy 在服务条款下的责任予客户承担。

13.完整服务条款；争议

本附录取代并替代客户与 GoDaddy 之间的所有关于本附录主题的先前或同期的任何书面及口头的陈述、理解、协议或通信，包括 GoDaddy 与客户之间就处理个人数据和这些数据的自由移动而签订的任何数据处理附录。 如果欧盟标准合同条款或英国国际数据传输附录与本附录或服务条款中的任何其他条款之间存在任何冲突或不一致，则以欧盟标准合同条款或英国国际数据传输附录的规定（如适用）为准。除经本附录修订外，服务条款仍将完全有效。 如果服务条款和本附录之间存在冲突，则以本附录的条款为准。

---

附录 1

 处理的详情

 1.处理的性质和目的。根据服务条款以及客户在使用涵盖服务期间的进一步指示，GoDaddy 将根据需要处理客户数据以执行涵盖服务。

 2.处理持续时间。根据本附录第 10 节和第 11 节的规定，GoDaddy 将在服务条款生效日期内处理客户数据。尽管有上述规定，如果适用法律或法规（包括适用的数据保护法律）要求，GoDaddy 可保留客户数据或其任何部分，前提是此类客户数据根据本附录的条款和适用的数据保护法律始终得到保护。

3.数据当事人类别。客户可以在使用涵盖服务的过程中上传个人数据，其范围由客户自行决定和控制，并且可能包括但不限于与以下数据当事人类别有关的个人数据：

• 潜在客户、客户、业务合作伙伴和供应商（自然人）
• 客户的潜在雇员或联系人、客户、业务合作伙伴和供应商
• 客户、代理人、顾问、客户聘用的自由职业者（自然人）
• 客户授权使用涵盖服务的客户用户

4.个人数据转移。客户可以在使用涵盖服务的过程中上传个人数据，其类型和程度由客户自行决定和控制，其中可能包括但不限于以下几类数据当事人的个人数据： 

• 名称
• 地址
• 电话号码
• 出生日期
• 电子邮件地址
• 所收集并可以直接或间接识别数据当事人身份的其他数据。

5.敏感数据或数据的特殊类别。客户可以在使用涵盖服务的过程中上传敏感数据，其类型和范围由客户自行决定和控制。在通过涵盖服务传输或处理任何敏感数据之前，客户有责任在充分考虑数据性质和所涉及的风险的情况下应用限制或保障措施。

---

附件 2

安全标准

I. 技术和组织措施  

我们致力于保护客户的信息。  考虑到最佳做法，实施成本以及处理的性质、范围、情况和目的，以及不同的自然人的权利和自由风险的发生和严重程度，我们将采取以下技术和组织措施。  在选择度量时，将考虑系统的机密性、完整性、可用性和弹性。

II. 数据隐私计划。  

我们的数据隐私计划旨在维护全球数据治理结构并在其整个生命周期内保护信息安全。该计划由数据保护官办事处负责，该办事处负责监督隐私实践和安全措施的实施。 我们定期测试、评估和评估其数据隐私计划和安全标准的有效性。

1.保密。“保密”是指个人数据不受未经授权的披露。  

我们采用各种实体和逻辑措施来保护客户个人数据的机密性。这些措施包括：   

  实体安全  

• 实体访问控制系统（证件访问控制、安全事故监控等） 
• 监控系统，包括警报和闭路电视监控（适用情况下）
• 清理桌面政策和控制措施（锁定无人看管的电脑、锁柜等）  
• 访问者访问管理
• 销毁有形媒体和文件的数据（粉碎、消磁等）

  访问控制和防止未经授权的访问 

• 适用用户访问限制和基于职责分离原则提供/审查基于角色的访问权限
• 强大的身份验证和授权方法（多因素身份验证、基于证书的授权、自动停用/注销等） 
• 集中密码管理和强大/复杂的密码策略（最小长度、字符复杂度、密码到期等）   
• 受控的电子邮件和互联网访问
• 防毒管理
• 入侵防御系统管理

加密   

• 通过强稳加密协定处理，对外部和内部通信进行加密
• 静态加密个人数据和敏感数据（数据库、共享目录等）。   
• 公司电脑和笔记本电脑的全盘加密
• 储存媒介的加密
• 通过 VPN 对与公司网络的远程连接进行加密
• 确保加密密钥的生命周期

 数据最小化    

• 应用程序、调试和安全日志中的 PII/SPI 最小化
• 用于防止直接识别个人身份的个人数据假名化
• 按功能存储的数据分离（测试、预发布、正式发布）
• 按角色访问权限的数据逻辑隔离
• 定义个人数据的数据保留期

安全测试     

• 针对关键公司网络和平台托管个人数据的渗透测试
• 定期进行网络和漏洞扫描

2.诚信。“完整性”是指确保数据的正确性（整体性）和系统的正确功能。当术语“完整性”与“数据”一词结合使用时，表示数据完整且不变。  

除了访问控制之外，还有适当的变更和日志管理控制，以保持个人数据的完整性，例如：    

变更和发布管理    

• 更改和发布管理流程，包括（影响分析、审批、测试、安全评审、分期、监控等）  
• 基于角色和功能（职责分离）的访问配置生产环境

记录和监控

• 记录访问和数据更改
• 集中审计和安全日志
• 监测数据传输的完整性和正确性（端到端检查）

3.可用性。“如果用户按预期随时使用服务和 IT 系统、IT 应用程序和 IT 网络功能或信息，其可用性将获得保证。”    

我们实施适当的连续性和安全措施来维护其服务和驻留在这些服务中的数据的可用性：    

• 为关键服务应用常规故障转移测试
• 针对关键系统的广泛性能/可用性的监控和报告。
• 安全事故响应计划
• 重复或备份关键数据（云备份/硬盘/数据库复制等） 
• 计划中的软件、基础架构和安全维护（软件更新安全补丁等）   
• 位于异地和/或地理位置分散位置的冗余和弹性系统（服务器群集、镜像数据库、高可用性设置等）
• 使用不间断电源，失败备用硬件和网络系统
• 警示和安全系统到位
• 关键场所的实体保护措施（电涌保护、活动地板、冷却系统、火灾和/或烟雾探测器、灭火系统等） 
• 维持可用性的 DDOS 保护
• 负载和压力测试

4. 数据处理指令。“数据处理指令是指确保只按照数据控制者和相关公司措施的指示处理个人数据”  

我们制定了内部隐私政策和协议，并对员工进行定期隐私培训，以确保根据客户的偏好和指示处理个人数据。   

• 员工合同中的隐私和保密条款
• 定期为员工提供数据隐私和安全培训
• 与分包商签订协议的适当合同条款，以维持指示控制权。
• 定期对外部服务提供商进行隐私检查
• 为客户提供对其数据处理偏好的全面控制
• 定期安全审核

---

附录 3 - GoDaddy 副处理者

查看 GoDaddy 的子处理商列表