Oracle 服务隐私政策

本 Oracle 服务隐私政策（下文简称为“服务隐私政策”）分为三个部分：

I.第一节（服务个人信息数据处理条款）描述了 Oracle Corporation 及其关联公司（“Oracle”）在处理服务个人信息（定义见下文）时所采用的隐私和安全惯例在贵方服务订购文件期限内向 Oracle 客户（“贵方”或“您”）提供技术支持、咨询、云或其他服务，包括通过移动应用程序提供的服务（“服务”）。

服务个人信息是贵方提供的个人信息，驻留在 Oracle、客户或第三方系统和环境中，并且由 Oracle 代表贵方处理以履行服务。服务个人信息可能包括以下内容，具体取决于服务：与家庭、生活方式和社会环境相关的信息、雇用详细信息、财务详细信息、诸如移动设备 ID 和 IP 地址、地理位置数据以及第一方在线行为和兴趣数据。服务个人信息可能与您的代表和最终用户相关，例如您的员工、求职者、承包商、合作者、合作伙伴、供应商、顾客和客户。

II.第二节（系统操作数据处理条款）介绍了适用于由我方服务（最终）用户（“用户”）与用于监控、保护和向我方客户群交付服务的 Oracle 系统和网络交互而生成的系统操作数据中可能意外包含的个人信息的隐私和安全实践。

系统操作数据可能包括日志文件、事件文件和其他跟踪和诊断文件，以及与使用和运行我们的服务以及运行这些服务的系统和网络相关的统计和聚合信息。

III.第三节（面向客户和用户的通信和通知）适用于系统操作数据中包含的服务个人信息和个人信息，说明 Oracle 如何处理合法要求的披露请求，以及通知贵方和用户如何与 Oracle 全球数据保护官沟通或提出投诉。

服务个人信息和系统操作数据的定义不包括从使用 Oracle 网站收集的贵方或用户联系人和相关信息，或在签约过程中与我方或用户之间的交互。Oracle 处理此信息受《 Oracle 一般隐私政策》的条款约束。

一。服务个人信息数据处理条款

Oracle 根据本政策的第 I 部分和第 III 部分以及您的服务订单中的条款处理所有服务个人信息。

如果本服务隐私政策的条款与您的服务订单（包括 Oracle 数据处理协议）中所含的任何隐私条款之间存在任何冲突，则以您的服务订单的相关隐私条款为准。

1. 处理服务个人信息的目的

Oracle 可能针对执行服务所必需的处理活动（包括创建用于访问 Oracle 产品和服务的 Oracle 服务帐户）处理服务个人信息，以便测试和应用新产品或系统版本、补丁程序、更新和升级，以及解决您向 Oracle 报告的错误和其他问题。

2. 客户指示

您可以控制 Oracle 为了开展服务而执行的服务个人信息处理。Oracle 将按照您的服务订单中的规定处理您的服务个人信息以及您在必要时记录的额外书面指示，以支持 Oracle 满足以下要求：(i) 遵守适用数据保护法规定的处理方义务，或 (ii) 根据与您使用服务相关的适用数据保护法规定，帮助您遵守您的控制方义务。如果我们有合理依据认为您的指示违反了适用的数据保护法，Oracle 将立即通知您。您认可并同意，Oracle 不负责开展法律研究和/或向您提供法律咨询。可能收取额外费用。

3. 个人权利

您可以控制您的最终用户对您服务个人信息的访问权限，而且您的最终用户应当将与其服务个人信息相关的任何请求都发送给您。如果您不具备此类访问权限，Oracle 将针对以下目的的个人请求提供合理帮助：访问、删除或清除、限制、纠正、接收和传输、阻止访问或反对处理 Oracle 系统上的服务个人信息。如果 Oracle 直接收到贵方最终用户将贵方指定为控制方的任何请求或查询，则我方将在不回应最终用户的情况下立即将此类请求传递给贵方。

如果您是最终用户，并且您对向 Oracle 提供的服务个人信息的披露和使用有疑问，请直接向收集您信息的组织咨询。

4. 安全性和保密性

Oracle 已实施并维护有效的技术和组织措施，旨在防止意外或非法破坏、丢失、更改、未经授权披露或访问服务个人信息。这些措施通常符合 ISO/IEC 27001:2013 标准，涵盖对服务适用的所有安全性领域，包括物理访问、系统访问、数据访问、传输、输入、安全监督和执行。

Oracle 员工需要维护个人信息的机密性。员工的义务包括签署书面保密协议、参加定期的信息保护培训，以及遵守与保密信息保护相关的公司政策。

有关适用于服务的特定安全措施的其他详细信息请参见这些服务的安全惯例（包括数据保留和删除），以供查看。

5. 事件管理和数据违规通知。

Oracle 会及时评估并响应导致疑似或明示未经授权访问或处理服务个人信息的事件。

如果 Oracle 确定涉及服务个人信息的事件被鉴定为安全违规的行为（这些行为可能导致盗用或意外或非法破坏、丢失、更改、未经授权披露或访问 Oracle 系统上存储或以其他方式处理的服务个人信息，进而影响此类服务个人信息的安全性、机密性或完整性），Oracle 将立即向您报告此类违规行为。

如果关于违规操作的信息被收集或以其他方式合理提供给 Oracle ，且在法律允许的情况下，Oracle 将向您提供关于将违规操作合理提供给 Oracle 或让其知晓的其他相关信息。

6. 分包处理方

如果 Oracle 允许 Oracle 关联公司和第三方分包处理方访问服务个人信息以协助提供服务，这些分包处理方应根据服务订单的条款受到与 Oracle 相同级别的数据保护和安全约束。Oracle 负责确保其分包处理方遵守贵方服务订购文件的条款。

Oracle 将维护关于可能处理服务个人信息的 Oracle 关联公司和下属处理方列表。可通过 My Oracle Support (https://support.oracle.com ) 文档 ID 2121811.1 或为服务提供的其他适用主要支持工具向贵方提供其他信息。

7. 跨境数据传输

Oracle 是一家全球性公司，在 80 多个国家/地区开展业务，我们会在必要情况下根据本政策在全球范围内处理服务个人信息。如果服务个人信息被传输到未对个人信息提供充分保护的国家/地区的 Oracle 接收方，Oracle 将采取适当措施以保护服务个人信息，例如确保此类传输遵守欧盟标准条款或相关数据保护要求的其他适当传输机制的条款。

如果贵方与 Oracle 之间的服务协议提及了《 Oracle 服务的 Oracle 数据处理协议》（“DPA”），则适用于贵方 Oracle 服务订购文件的相关数据传输机制进一步详见 DPA。特别是，对于从欧洲经济区 (EEA) 或瑞士传输的服务个人信息，此类传输必须遵守 Oracle 具有约束力的处理方公司规则 (BCR-P) 或欧盟标准合同条款的条款。对于从英国 (UK) 传输的服务个人信息，此类传输受英国附录或其他适当的传输机制的约束。

Oracle 还遵守欧盟 - 美国的要求。数据隐私框架（EU-U.S.DPF），英国对欧盟 - 美国 数据隐私框架的延伸，以及瑞士 - 美国数据隐私框架（Swiss-U.S.DPF）（统称为“DPF”），如美国商务部规定，在贵方和 Oracle 通过合同约定将此类信息从欧洲经济区，英国（和直布罗陀）或瑞士的传输和处理时，有关服务的收集、使用和保留个人信息的问题将根据适用的 DPF 进行相关服务传输和处理。然后，Oracle 将负责确保第三方作为代表我们的分包处理方也这样做。如果 Oracle 的分包处理方以不符合 DPF 原则的方式处理服务个人信息，则 Oracle 将根据 DPF 原则承担责任，除非 Oracle 证明其不对导致损害的事件负责。

Oracle 已通过美国商务部认证，就从欧盟、英国（和直布罗陀）、和/或瑞士转移到美国的服务个人信息（如上所述），其遵守DPF原则。如果本服务隐私政策中的条款与 DPF 原则之间存在任何冲突，DPF 原则将适用。要了解有关 DPF 计划的更多信息并查看 Oracle 的认证，请访问数据隐私框架网站。

请参阅数据隐私框架网站，或参阅 Oracle DPF 自我认证所涵盖的美国实体列表。对于根据 DPF 接收或传输的服务个人信息，联邦贸易委员会对 Oracle 遵守 DPF 具有管辖权。

8. 审计权利

如果贵方的服务订购文件中提供，贵方可在提议的检查日期前至少提前六周向 Oracle 发送书面请求（包括详细检查计划），以完全自费审核 Oracle 遵守本服务隐私政策条款的情况。您与 Oracle 将合作协定最终审计计划。

受 Oracle 现场政策和法规约束，十二 (12) 个月期间内不得超过一次的检查，不得对业务活动造成不合理的影响。如果您希望第三方执行审计，则第三方审计员应由双方共同协定，并且第三方审计员必须执行 Oracle 可接受的书面保密协议。审计完成后，您需要向 Oracle 提供审计报告的副本，该报告将根据您与 Oracle 之间的协议条款归类为机密信息。

Oracle 将通过向贵方提供审计所需的信息和合理帮助来帮助贵方开展审计，包括适用于服务的处理活动的任何相关记录。如果已在 SOC 1 或 SOC 2、ISO、NIST、PCI DSS、HIPAA 或由合格第三方审计员在过去十二个月内发布的类似审计报告中规定了请求的审计范围，Oracle 将会向您提供此类报告，确认已审计的控制中没有已知的材料变更，您应该同意接受第三方审计报告中提供的结果，而不要请求对报告所涵盖的相同控制进行审计。附加审计条款可能包括在您的服务订单中。

9. 删除或返还服务个人信息

除非服务订购文件中另有规定或法律要求，服务终止后，Oracle 将返回或删除您生产客户数据的任何剩余副本，包括位于 Oracle 系统或服务环境中的任何服务个人信息。适用服务说明中提供了有关数据删除功能的其他信息。

二。系统操作数据处理条款

1. 关于处理个人信息的责任和目的

Oracle Corporation 及其附属实体负责根据本政策的第 II 部分和第 III 部分处理可能偶然包含在系统操作数据中的个人信息。请参见 Oracle 实体列表。请选择地区和国家/地区，以查看位于该国家/地区的 Oracle 实体的注册地址和联系方式。

我们可能出于以下目的收集或生成系统操作数据：

• a) 帮助确保我们的服务安全，包括安全监控和身份管理；
• b) 调查和预防涉及我们系统和网络的潜在欺诈或非法活动，包括预防网络攻击和检测机器人；
• c) 管理我们的备份灾难恢复计划和政策；
• d) 确认符合许可和其他使用条款（许可证合规性监控）；
• e) 用于研发目的，包括分析、开发、改进和优化我们的服务；
• f) 遵守适用的法律和法规以及经营我们的业务，包括遵守法律规定的报告、披露或其他法律程序请求，用于合并和收购、财务和会计、存档和保险目的、法律和商业咨询以及争议解决上下文。

对于在欧盟收集的系统操作数据中包含的个人信息，我们将根据合法利益处理此类信息，以一种有效且适当的方式执行、维护和保障我们的产品和服务以及经营业务。为了遵守此类法律义务，个人信息也可能根据我们的法律义务或合法利益进行处理。

2. 分享个人信息

系统操作数据中包含的个人信息可能在整个 Oracle 全球组织中共享。可按上述所示获得 Oracle 实体列表。

我们还可能与以下第三方共享此类个人信息：

• 第三方服务提供商（例如 IT 服务提供商、律师和审计员），以便于这些服务提供商代表 Oracle 执行业务功能；
• 我们的全部或任何部分业务、资产或股票进行重组、合并、出售、合资、转让、转移或其他处置（包括与任何破产或类似诉讼有关的情况）时涉及的相关第三方；
• 根据法律要求，例如遵守传票或其他法律程序，在我们出于国家安全和/或执法目的真诚认为有必要披露信息以保护我们的权利、保护您或他人的安全、调查欺诈或回应政府请求时所涉及的第三方，包括您所居住国以外的公共和政府机构。

当第三方获得访问系统操作数据中包含的个人信息的访问权限时，我们将采取适当的合同、技术和组织措施，确保仅在需要时、与本隐私政策相符时并且符合适用法律要求时才能处理个人信息。

3. 跨境数据传输

如果将系统操作数据中所含的个人信息转交给 Oracle 接收人但该接收人所在的国家/地区不对个人信息提供足够程度的保护，Oracle 将采取适当措施为用户的信息提供足够的保护，例如确保此类转交受到欧盟标准条款的约束。

4。 安全

Oracle 已根据 Oracle Corporate 安全做法实施相应的技术、物理和组织措施，专门用于防止个人信息受到意外或非法破坏或发生意外丢失、损坏、更改、未经授权的泄露或访问，以及所有其他形式的非法处理（包括但不限于不必要的收集）或进一步处理。

5. 个人权利

如果有关您的个人信息包含在系统运营数据中，在某些情况下，您可能会要求访问、更正、更新或删除系统运营数据中包含的个人信息，或者通过填写查询表以其他方式行使您对您的个人信息的选择权。我们将根据适用法律回应您的请求。

如果您是加利福尼亚（“加州”）居民，根据修订后的《加州消费者隐私法》 (“CCPA”) 项下，您可要求 Oracle：

1. 向您（加州居民）披露以下信息：

• 我们收集的关于您的个人信息的类别和具体内容，以及我们出售的个人信息的类别（如果适用）；
• 我们收集此类个人信息的来源类别；
• 收集或销售个人信息的商业或商业目的；以及
• 我们向其出售或以其他方式披露个人信息的第三方的类别（如果适用）。

2. 删除我们收集的关于您的个人信息，或更正关于您的不准确的个人信息，除非仅出于法律和合规目的保留，并如 CCPA 另有规定

3. 满足您选择退出任何未来销售有关您的个人信息的请求（如果适用）。

如果贵方是代表加州居民提出访问或删除请求的授权代理人，请通过查询表格联系我们并表明贵方是授权代理人。我们将为您提供说明，介绍如何作为授权代理人，代表加州居民提交请求。

如果您提交请求，请具体说明您主张的权利（例如，访问、更正等）以及您的请求范围内哪些特定的个人信息。在某些情况下，为了遵守适用法律或法律义务，Oracle 可拒绝您的请求或向您寻求更多信息以回应您的请求。

如果您是加州居民，您可以拨打 1-800-633-0748 与我们联系，获取有关行使上述权利的信息。有关 Oracle 在上一个日历年收到、遵守或拒绝的 CCPA 请求的信息，请访问 Oracle 年度消费者隐私报告页面，可从这里访问该页面。

III.面向客户和用户的通信和通知

1. 法律要求。

Oracle 可能会被要求按照法律要求提供对服务个人信息和系统操作数据中包含的个人信息的访问，例如遵守传票或其他法律程序（如果我们相信披露具有诚意），为国家安全和/或执法目的，保护贵方或用户的安全或他人安全、调查欺诈或响应政府请求（包括贵方或用户所居住国家/地区以外的公共和政府机构）所必需。

除非法律另有规定，否则只要有关于提供对服务个人信息的访问权限的请求，Oracle 就会及时通知您。

2. 全球数据保护官

Oracle 已任命了一名全球数据保护官，该官员也是 Oracle 的首席隐私官。如果您或用户认为个人信息的使用方式与本隐私政策不一致，或者如果您或用户有进一步的问题，有关 Oracle 处理服务个人信息或系统运营数据中包含的个人信息的评论或建议，请填写查询表单与数据保护官联系。

对全球数据保护官的书面询问可发送至：

Oracle Corporation
Global Data Protection Officer
Willis Tower
233 South Wacker Drive
45th Floor
Chicago, IL 60606
U.S.A.

对于在 欧盟/欧洲经济区内收集的个人信息，发给欧盟数据保护官的书面咨询请发至以下电子邮箱：

Robert Niedermeier
Hauptstraße 4
D-85579 Neubiberg / München
Germany

对于在巴西境内收集的个人信息，可以向巴西数据保护官提出书面询问，地址为：

Alexandre Sarte
Rua Dr. Jose Aureo Bustamante, 455
Vila São Francisco
São Paulo, BR

3. 提出投诉

如果贵方或用户对我方遵守我方隐私和安全做法方面有任何投诉，请通过我方调查表联系我们。我们将展开调查并尝试解决有关我们隐私实践的任何投诉和争议。如果用户是欧盟成员国的居民，他们还有权向有能力的数据保护机构提交投诉。我们承诺将有关我们处理基于 DPF 收到的服务个人信息的未解决投诉提交给位于美国的替代性争议解决提供商 TRUSTe。如果您未及时收到我们对您的 DPF 原则相关投诉的确认，或者我们未解决您对 DPF 原则相关投诉的满意度，请访问 TRUSTe 以了解更多信息或提出投诉。这些争议解决服务是免费提供给您的。

在某些情况下（在 DPF 网站上指定），在其他争议解决程序用尽后，用户可以调用有约束力的仲裁。

4. 本服务隐私政策的变更

本隐私政策上次更新于 2024 年 2 月 21 日。但是，本服务隐私政策会随着时间的推移而改变，例如，为了遵守法律要求或满足不断变化的业务需求。可以在此网站上查看最新版本。如有重大更改，我们还将在更改生效之前以其他适当方式（例如，通过弹出通知或网站上的更改声明）通知您。

先前版本： 2022 年 12 月 23 日 | 2022 年 8 月 5 日 | 2021 年 4 月 9 日 | 2021 年 1 月 19 日 | 20 月 10 日 | 19 年 3 月 7 日 | 19 年 2 月 14 日