TAAP 隐私条款 – 控制方到控制方协议（包括 SCC）

附表 4 (TAAP)

本 C2C 协议的英文原始版本可能已翻译成其他语言。如果本协议的英文版本与任何其他语言译本之间存在不一致或矛盾的情况，应以英文版本为准。

范围：当 Expedia 和贵方各自根据与另一方签订的协议（可能采用在线点击生效条款的形式）处理个人数据（根据该协议，贵方已被指定为 TAAP 下的营销合作伙伴），以及开展与该活动相关的所有相关活动（在此称为“相关活动”）时，本全球控制方到控制方协议（以下简称“C2C 协议”）是对双方就相关活动达成的此类协议（以下简称“协议”）的补充并适用于此类协议，还规定了 Expedia 和贵方各自处理与协议相关的个人数据时应遵循的附加条款、要求和条件。在本 C2C 协议中，“Expedia”、“我们”和“我方”是指 Expedia, Inc. 和/或协议涉及的任何其他 Expedia Group 旗下公司。“贵方”是指协议中所述的 App 中声明的指定实体（在协议要求的范围内，凡提及 Expedia 或贵方，均应解释为具有复数含义）。

1. 定义与解释

1.1 本“C2C 协议”受“协议”条款约束，并纳入协议。除非本“C2C 协议”另有规定，否则“协议”中规定的解释及定义的术语适用于本“C2C 协议”的解释；并且：

1. 适当的技术和组织措施、控制方、个人数据、个人数据泄露、处理、监管机构（或合理对等术语）各应具有适用数据保护法律赋予其的含义；
2. 适用数据保护法律是指任何相关司法管辖区中与个人数据的使用或处理有关的任何适用的法律和法规；
3. CBPR 国家/地区是指 CBPR 体系的正式成员或准成员国家/地区；
4. CBPR 实体是指根据 CBPR 体系持有当前有效认证的组织；
5. CBPR 体系是指由全球 CBPR 论坛建立的全球跨境隐私规则体系；
6. 获准用途是指下述用途：(i) 履行预订；(ii) 为预订提供支持；(iii) TAAP 注册和帐户管理；(iv) 根据协议支付佣金和其他款项；(v) 为贵方生成报告以及与履行协议相关的对账、投诉处理和类似活动所需的任何进一步处理；(vi) TAAP 帐户支持；(vii) 与 TAAP 成员和子用户的通信；(viii) 方便提供我们可能提供的任何附加服务或增值服务，但前提是您选择了启用此类服务或增值服务；(ix) 改进我方的服务，包括底层技术和优化端到端流程，以及预订或服务体验，或者我们提供且您选择使用的任何其他可选服务或增值服务；(x) 为分析、商业智能和业务报告创建报告；(xi) 预防欺诈；(xii) 回应执法协查要求和税务机关审计要求；(xiii) 促成业务资产交易（该等交易可能延伸至任何合并、收购或资产出售）；(xiv) 以其他方式遵守我方在协议、Expedia 隐私政策和适用法律下的义务，以及 (xv) 用于确定、计算、申报旅行税和其他可能不时要求的适用税务用途；
7. DPF 指欧盟-美国数据隐私框架和/或瑞士-美国数据隐私框架，或由美国商务部运营、经欧盟委员会不时批准且未被宣告无效的任何后续自认证计划（在每种情况下，均包括欧盟-美国数据隐私框架的英国扩展，以及旨在将欧盟-美国数据隐私框架的适用范围延伸至该国家/地区的任何其他国别扩展）；
8. DPF 国家/地区是指欧洲经济区国家/地区、英国、瑞士以及任何其他相关机构已同意将 DPF 的适用范围扩大到本地的国家或地区；
9. EEA 是指欧洲经济区；限制转移国家/地区是指欧洲经济区内的任何国家/地区、瑞士、英国、巴西、泰国和沙特阿拉伯；
10. 限制转移数据是指与通过我方供限制转移国家/地区的个人访问的销售网站进行的预订相关的 TAAP 个人数据；
11. 标准合同条款/SCC 是指于 2021 年 6 月 4 日发布的、经批准的欧盟委员会关于从欧盟向第三国家/地区传输个人数据的标准合同条款，并不时修订、替换、补充或取代，其完整的最新版本可以通过以下链接找到：https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en；
12. TAAP 个人数据是指贵方通过 TAAP 网站提供给我方的个人数据，或其他与 TAAP 本身相关或便于使用 TAAP 网站进行预订而处理的个人数据。

双方关系

1.2 贵方和我方将各自收集和处理客户数据，以行使贵方和我方根据“协议”分别具有的权利并履行相关的义务，以及贵方和我方根据适用法律各自应承担的责任。因此，各方应：(i) 作为独立自主的控制方处理个人数据；(ii) 遵守适用数据保护法律；且 (iii) 对自身违反适用数据保护法律的任何作为或不作为负责。

贵方的责任

1.3 具体来说，贵方必须：

1. 满足法律依据，以便贵方能够为我方提供任何 TAAP 个人数据以用于获准用途；
2. 通过贵方隐私政策以及任何其他适当途径，确保终端客户知悉其个人数据将分享给我方用于获准用途；
3. 引导终端客户查阅我方隐私政策，以了解关于我方处理其个人数据的更多信息；
4. 配合我方并向我方提供合理协助，以协助我方在处理与协议相关的 TAAP 个人数据的过程中遵守适用数据保护法律；
5. 满足向客户发送任何营销信息的法律依据。

我方的责任

1.4 我方（及我方集团成员，视情况而定）应： 

1. 仅处理与获准用途有关的 TAAP 个人数据；
2. 不得向任何人泄露全部或任何一部分 TAAP 个人数据，但与获准用途有关的泄露除外；
3. 配合贵方并向贵方提供合理协助，以协助贵方在处理 TAAP 个人数据的过程中遵守适用数据保护法律；
4. 在 TAAP 网站上显示并遵守合法且最新的 cookie 通知（如需要）和我方的隐私政策。

客户和第三方

1.5 贵方确认，我方：

1. 可向终端客户发送预订相关的电子邮件；
2. 可出于以下目的向我方的第三方服务提供商传输 TAAP 个人数据（包括银行数据）：
   1. 提供、管理和支持贵方的 TAAP 帐户、贵方代表的 TAAP 帐户和贵方子用户的 TAAP 帐户；
   2. 提供预订支持；及
   3. 根据协议支付佣金和其他款项。

数据安全与泄露

1.6 贵方和我方各自作为数据控制者，同意我方将：

维护适当的技术和组织措施，以保护贵方及我方各自处理的 TAAP 个人数据免于发生个人数据泄露；且

1. 在一方拥有或控制的系统中，如果确认个人数据已泄露，且个人数据泄露涉及以下两种情况，则及时通知另一方：(i) 影响到根据“协议”还会由另一方处理的 TAAP 个人数据；并且 (ii) 应向监管机构报告，并提供该数据泄露的完整详情。在此类情况下，双方应当合理善意地相互配合以补救或减轻个人数据泄露的影响，且此类配合的合理费用应由遭遇个人数据泄露的一方承担。

跨境数据传输

1.7 跨境数据传输。

双方同意并确认，在本第 1.7 条中，凡使用“传输”一词，均包括一控制方/处理方向另一控制方/处理方提供访问权限，并且：

1. 一般规定：任何一方均不得（且不得允许任何其他方）将 TAAP 个人数据传输到数据原始所在地以外，除非该方采取任何必要的合规措施，以根据适用数据保护法律合法地进行此类传输。
2. 亚太地区和 CBPR：

   1. 双方同意并确认：

      1. CBPR 实体受可依法执行的一系列义务的约束，必须提供与适用数据保护法律程度相当的保护；
      2. Expedia 是 CBPR 实体。

      如果合作伙伴同时也是 CBPR 实体，则此第 (b) 款的规定将被解释为双向适用。

   2. 在遵循下文第 (iii) 款规定的前提下，双方同意，如果：

      1. TAAP 个人数据正从一个 CBPR 国家/地区传输到另一个 CBPR 国家地区；且
      2. 数据导入方是 CBPR 实体，

      那么，在相关监管机构认可且持续认可 CBPR 体系作为数据传输方式的范围内，CBPR 体系应作为向该 CBPR 实体跨境传输 TAAP 个人数据的约定机制。

   3. CBPR 体系仅适用于至少一方位于亚太地区且同时也是 CBPR 国家/地区的传输。

   4. Expedia 确认，它将为 TAAP 个人数据提供至少与 CBPR 体系要求同等程度的保护；如果其确定无法再提供此等程度的保护，将立即通知另一方。在此类情况下，或如果另一方另有合理理由认为 Expedia 未按照 CBPR 体系要求的标准保护 TAAP 个人数据，则另一方可以采取以下措施之一：

      1. 指示 Expedia 采取合理且适当的措施，停止任何未经授权的处理活动并进行补救。在这种情况下，双方将及时本着善意合作原则，确认、商定并实施此类措施；
      2. 商定一项适用于根据适用数据保护法律处理个人数据的替代保障措施；或
      3. 如果 (A) 和 (B) 均无法解决问题，则通知 Expedia 终止本 C2C 协议和协议（或由另一方选择终止协议中任何受影响的部分），而无需承担任何违约责任。

      如果另一方还持有有效的 CBPR 体系认证，则应视为双向义务适用上述规定。

3. DPF：双方同意，如果双方之间的限制传输数据传输至美国或根据原始限制传输国家/地区适用的数据保护法律未被视为“提供充分保护”的国家/地区：
   1. 只要 DPF 是相关机构认可的传输方式，则 DPF 应作为将数据从限制传输国家/地区跨境传输至美国 Expedia 的约定机制；
   2. 只要 DPF 不是有效的传输方式（包括将限制传输数据传输至根据原始限制传输国家/地区适用的数据保护法律未被视为“提供充分保护”的国家/地区），则 SCC 应适用于此类传输，并且我方将基于下文第 (h) 款的规定订立这些条款。如果公司还持有当前有效的 DPF 认证，则同样可以根据 DPF 将限制传输数据传输至公司，并按本款所述将 SCC 作为备选机制，且所有 DPF 相关条款均应解释为双向适用。
4. 对于 DPF，我方同意其将提供与 DPF 要求同等程度的保护。如果贵方合理地认为我方未能按照 DPF 要求的标准保护限制传输数据，则我方可以采取以下行动之一：
   1. 依据下文第 (h) 款所述依赖 SCC；
   2. 如果 SCC 并非可行或合适的解决方案，则向贵方提出合理且适当的建议措施，以停止任何未经授权的处理活动并进行补救，并且我们将尽商业上合理的努力诚意实施这些措施；或者
   3. 如果上述第 (i) 或 (ii) 款中的备选机制不可行，则终止本 C2C 协议和协议，且不承担任何违约责任。
5. 如果贵方通过了 DPF 认证，贵方将遵守 DPF 的“通知”和“选择”原则（如欧盟-美国 DPF 中所定义）。为避免疑义，如果贵方未通过 DPF 认证，或并非在欧盟委员会认定为“提供充分保护”的国家/地区访问或接收限制传输数据，则从我方向贵方传输限制传输数据将依照 SCC 进行。
6. 双方同意可以应美国商务部、联邦贸易委员会、任何欧洲数据保护机构或任何其他美国或欧盟司法或监管机构的要求，向其披露本 C2C 协议和协议中的任何相关隐私条款，并且任何此类披露均不应被视为违反保密规定。
7. 将 SCC 的适用范围扩展至非限制传输国家/地区：如果双方之间从非限制传输国家/地区传输 TAAP 个人数据，但根据适用数据保护法律，在将该 TAAP 个人数据传输至原始所在国家/地区（均称为非限制传输国家/地区）之外前必须采取保障措施，则双方同意：
   1. 下文第 (h) 款所述的 SCC 的适用范围应扩展至此类额外传输，但前提是该等适用范围的扩展能够满足该特定国家/地区的保障要求；和/或
   2. 如果下文第 (h) 款所述措施不足或需要补充措施，双方同意采取进一步措施，包括诸如签署相关文件、征求同意、完成必要备案等，以随时满足适用数据保护法律的要求。
8. SCC：在遵循第 1.7 条前述各款的前提下，双方同意签订 SCC 并将其以引用方式纳入协议，且除以下选定内容外，其余条款保持不变：
   1. 如果合作伙伴位于 EEA 或根据 GDPR 第 45 条被视为“提供充分保护”的国家/地区（“提供充分保护的国家/地区”），则 SCC 模块一 (1) 仅单向适用于从贵方传输到我方的情况。在其他情况下，模块一 (1) 适用于从贵方到我方和从我方到贵方的双向传输。
   2. 依据 SCC 第 11 (a) 条，删除了可选语言。
   3. 依据 SCC 第 13 条，相关条款为“主管监管机构应为在欧盟条例 2016/679 第 27 (1) 条的含义范畴内设立了代表的成员国的监管机构，如附录 I.C 所示。”
   4. 依据 SCC 第 17 条，管辖法律是爱尔兰法律。
   5. 依据 SCC 第 18(b) 条，所选国家/地区是爱尔兰。

   6. 限制传输数据。SCC 中新增第 19 条，涵盖从英国、瑞士、巴西、沙特阿拉伯或泰国向根据其适用数据保护法律既不被视为提供充分保护，也不以其他方式豁免订立标准合同条款的国家/地区传输个人数据的情况，具体如下：

      “第 19 条

      英国、瑞士、巴西、沙特阿拉伯和泰国传输

      双方同意，这些条款在相关范围内将延伸适用于基准隐私法律管辖范围内的域外传输（在本条款中称为基准传输）。对于此类基准传输，管辖法律应视为相关基准管辖法律，选择法院应为基准国家/地区的法院，基准监管机构应为主管监管机构。双方进一步同意，此类进一步变更应解释为对该监管机构认为有必要为遵守基准隐私法律而对基准传输的相关条款进行此类变更，并且这些条款应根据这些法律对基准传输的要求或基准监管机构发布的指南中规定的其他要求进行解释，双方无需签订专门为其基准传输单独准备的标准合同条款。双方应进一步采取一切可能必要的行动和措施，以确保在进行基准传输时遵守基准隐私法律。

      国家/地区	基准隐私法律	基准传输	基准管辖法律	基准国家/地区	基准监管机构
      英国	英国 GDPR 和《2018 年数据保护法》	英国传输	英国	英国	信息专员办公室 (ICO)
      瑞士	联邦数据保护法案 (FADP)	瑞士传输	瑞士	瑞士	联邦数据保护和信息专员 (FDPIC)
      巴西	巴西通用数据保护法（第 13,709/18 号法律） (Lei Geral de Proteção de Dados)	巴西传输	巴西	巴西	巴西国家数据保护局 (ANDP)
      沙特阿拉伯	个人数据保护法 (PDPL)	沙特传输	沙特阿拉伯	沙特阿拉伯	沙特数据和人工智能管理局 (SDAIA)
      泰国	个人数据保护法 B.E. 2562 (2019) (PDPA)	泰国传输	泰国	泰国	个人数据保护委员会 (PDPC)

      以及：

      1. 凡提及基准隐私法律，均指经不时修订、补充或替代后的隐私法律。
      2. 凡提及基准监管机构，均指被提及的监管机构或其任何继任机构。
      3. 对于英国，应适用欧盟委员会标准合同条款跨国数据传输附录的规定，具体内容见附录表格。”

   7. 来自第三国家/地区的传输：新增了第 20 条，以涵盖来自本文件中暂未指定的任何其他国家/地区的个人数据传输。可以将 SCC 扩展到这些国家/地区，以确保从该等国家/地区向位于其他国家/地区的实体传输个人数据时提供适当的保障，具体如下：

      “第 20 条

      其他来自第三国家/地区的传输

      双方同意，这些条款在相关范围内将延伸适用于任何相关司法管辖区与个人数据的使用或处理有关的任何其他适用法律法规（适用数据保护法律）所管辖，需要采取与这些条款大体等效的条款和保护才能将个人数据从该国家/地区（在本条款中称为第三国家/地区）传输至另一个国家/地区的跨境传输（在本条款中称为来自第三国家/地区的传输）。对于此类来自第三国家/地区的传输，管辖法律应为相应第三国家/地区的法律，所选法院应为相应第三国家/地区的法院，且该国家/地区的数据保护机构或相关监管机构应为主管监管机构。双方进一步同意，此类进一步变更应解释为对该监管机构认为有必要为遵守第三国家/地区适用的数据保护法律而对来自第三国家/地区的传输的相关条款进行此类变更，并且这些条款应根据这些法律对来自第三国家/地区的传输的要求或相关监管机构发布的指南中规定的其他要求进行解释，双方无需签订专门为其来自第三国家/地区的传输单独准备的标准合同条款。双方应进一步采取一切可能必要的行动和措施，以确保在进行第三国家/地区传输时遵照适用的数据保护法。”

   8. 上述 SCC 将按以下方式适用于处理活动：
      1. 根据 SCC，作为数据导出方或数据导入方的各方均应视为以其自身名义并代表其自身订立 SCC。
      2. 本“C2C 协议”的附录 1（SCC 处理概述）构成 SCC 的附录 1。
      3. 本“C2C 协议”的附录 2（技术和组织措施）构成 SCC 的附录 2，且仅在以下情况下适用于 Expedia：(a) 仅在适用于贵方向我方传输限制传输数据的单向 SCC 的情况下；或 (b) 合作伙伴已提供，且 Expedia 已接受符合合作伙伴 SCC 附录 2 要求的充分的技术和组织措施。如未满足上述条件，则附录 2 应被解释为同时适用于双方，并且凡提及 Expedia 和 Expedia Group，均应相应地被解释为指代任一方。
      4. 对于 SCC 而言，本“C2C 协议”的附录构成英国附录。 如果本协议的任何条款与 SCC 之间存在任何冲突，则以 SCC 为准。

1.8 PCI。:

贵方保证并声明，贵方应：

1. 仅在履行贵方在本协议和本 C2C 协议项下义务所需的限度内获取、使用、传输和存储终端客户持卡人数据；
2. 在贵方获取、使用、传输、存储或处理终端客户持卡人数据时，贵方将遵守 PCI 安全标准委员会发布并不时更新的 PCI DSS；
3. 向我方提供一份贵方的年度合规证明；及
4. 及时通知我方任何 PCI DSS 违规情况，或任何影响终端客户持卡人数据的个人数据泄露。

我方确认，我方对自身拥有、存储、处理或传输的持卡人数据的安全性负责，并应遵守 PCI 安全标准委员会发布且不时更新的 PCI DSS。一经要求，我方将向您提供一份我方的年度合规证明。

1.9 通知。:

根据本 C2C 协议发出的任何通知，如果按照本协议中的通知规定，通过电子邮件递送至对方为此目的提供的任何联系人，则视为有效。对于 Expedia，需要不时向客户/关系经理发送电子邮件，并抄送至不时提供的 Expedia 隐私邮箱。

附录 I – SCC 处理概述

模块一：控制方到控制方（贵方到我方）

A. 缔约方名单

数据导出方： 

G数据导入方：

A. 传输说明

B. 主管监管机构

爱尔兰数据保护局

模块一：控制方到控制方（我方到贵方）

A. 缔约方名单

数据导出方： 

上述模块一 (1)（贵方到我方）中指明为数据导入方的缔约方。请参阅上文了解更多详情。

数据导入方：

上述模块一 (1)（贵方到我方）中指明为数据导出方的缔约方。请参阅上文了解更多详情。

B. 传输说明

C. 主管监管机构

遵照模块一 (1) 的要求

附录 II - 技术和组织措施 

针对附录一 (1) 第一部分 (1) 的目的适用于我方/Expedia 的技术和组织措施如下。根据 C2C 协议，在合作伙伴就任何相关个人数据传输作为 SCC 项下的数据导入方，并且合作伙伴未提供另一套已被 Expedia 接受的替代措施的情况下，上述条款也适用于合作伙伴。

欧盟委员会标准合同条款的跨国数据传输附录（附录）

本附录由进行限制传输的各方的信息专员发布。信息专员认为，当本附录作为具有法律约束力的合同签订时，可为限制传输提供适当的保障措施。

第 1 部分：表格

第 2 部分：强制性条款

已批准附录的强制性条款是 ICO 发布的模板附录 B.1.0，并根据《2018 年数据保护法》119A 部分的规定，于 2022 年 2 月 2 日提交议会，还根据这些强制性条款的第 18 条进行了修订。

最后更新日期：2026 年 3 月 31 日