文档
最后更新时间：2024年2月14日（见旧版本）。
在访问或使用以下订阅服务（定义如下）之前，请仔细阅读以下条款和条件。
本协议（定义如下）的条款和条件适用于订阅服务（除非您和 Metabase, Inc.（“Metabase”）已签署一项单独的协议，该协议规定订阅服务的使用）。
Metabase 只在您接受本协议中包含的所有条款的条件下，才愿意向您提供订阅服务。通过在注册页面上点击标有“订阅”的复选框或访问或使用订阅服务，您表明您已了解本协议并接受其所有条款。如果您代表公司或其他法律实体接受本协议的条款，则您代表并保证您有权将该公司或其他法律实体绑定到本协议的条款，在这种情况下，“您”和“您的”将指该公司或其他法律实体。如果您不接受本协议的所有条款，则您不得接受本协议，并且您不得使用订阅服务。
1. 定义。
“客户应用程序数据” 指您和您的授权用户输入到订阅服务中的数据。客户应用程序数据包括每个授权用户的登录凭证和您的授权用户提交的查询。
“客户业务数据” 指您在使用订阅服务的过程中从外部数据库检索或访问的数据。
“客户数据” 指客户应用程序数据、客户业务数据和客户元数据的总称。
“客户元数据”指描述客户数据的资料。客户元数据可能包括如下数据：数据库中的数据集数量、数据集的平均大小、用户连接的数据库软件或Metabase生成的特定数据集的描述。
2. 订阅服务。
2.1 订阅服务。在您遵守本协议的条款和条件的前提下，自服务开始日期起并在订阅期限内（如下定义）：(i) Metabase 将提供订阅服务，您可以在订单中指定的使用限制内仅用于您的内部业务目的访问和使用订阅服务；并且 (ii) Metabase 将根据Metabase不时制定的政策，向您提供适用于您已订阅的服务层级的支持服务。
2.2 授权用户。订阅服务只能由您的雇员和独立承包商访问和使用，他们只能为执行其工作职能或服务（适用）而访问和使用订阅服务（“授权用户”），并且数量不超过订单中指定的授权用户数。每个授权用户的登录凭证仅适用于单个个人，不能共享或供多于一人使用。您对授权用户账户下采取的所有行动负责，无论这些行动是否由授权用户采取或授权。
2.3 第三方利益。如果订单授权“客户使用”，则在本协议的条款和条件（包括根据第4节支付适用费用）下，Metabase 授予公司非独家、不可转让、不可再许可、全球性的有限许可，在公司的应用程序（在订单表单上识别）内运营服务，并允许公司的客户（“客户”）作为公司应用程序的一部分访问服务。客户的任何使用都必须受一个最终用户许可协议的约束，以保护Metabase的程度与该协议保护Metabase的程度相同（“许可协议”）。
分发许可。如果订单授权“分发权”，则在本协议的条款和条件（包括根据第3节支付适用费用）下，Metabase 授予您非独家、不可转让、不可再许可、全球性的有限许可，将软件分发给客户（仅限以下情况）:(a)作为公司应用程序的一部分嵌入（前提是客户与公司签订协议，以保护Metabase和软件的程度与本协议相同），(b)由客户使用和操作公司应用程序，不得进一步分发，以及(c)由公司应用程序的最终用户（“最终用户”）使用，前提是最终用户执行了许可协议。
2.5 限制。您代表自己和您的授权用户同意不得：（1）复制、修改、篡改、反编译或逆向工程订阅服务（包括其源代码、目标代码、底层结构和算法）；（2）转售或以其他方式将订阅服务提供给任何第三方；（3）直接或间接使用订阅服务支持任何非法活动或侵犯他人专有权利的活动；（4）干扰或破坏订阅服务或尝试访问连接到订阅服务的任何系统或网络（除非需要访问和使用订阅服务）；（5）停用、损害或规避订阅服务的任何安全或身份验证措施；（6）使用订阅服务或其输出以全部或部分培训、校准或验证任何其他系统、程序或平台，或用于基准测试、软件开发或其他竞争目的；或（7）允许任何第三方进行上述任何行为。您对授权用户使用订阅服务及其遵守本协议负全部责任。
3. 客户数据。
3.1 客户数据。在您与Metabase之间，您拥有所有客户数据的全球权利、所有权和利益。您授予Metabase非独占许可，以访问和使用客户数据，为您及其授权用户提供订阅服务。此外，您还授予Metabase非独占许可，以访问和使用客户应用程序数据和客户元数据（但不包括客户商业数据），以开发和完善Metabase的产品和服务（包括订阅服务），具体细节请参阅Metabase隐私政策：metabase.com/hosting/privacy_policy。您承认并同意，您使用订阅服务受Metabase隐私政策的约束。您对所有客户数据的内容负有唯一责任。您声明并保证（1）在协议有效期内，您拥有并将继续拥有访问和使用客户数据、软件和系统以及您要求我们提供服务的必要权利、权力和许可；以及（2）Metabase根据本协议使用客户数据不会违反任何适用的法律或法规，或造成您与任何第三方之间的协议或义务的违约。本协议附件B中规定的数据处理附加协议现予以纳入。
3.2 安全；备份。Metabase将维护（并将要求其第三方服务提供商维护）合理的行政、物理和技术保障措施，旨在根据适用的行业标准，保护客户数据免受意外损失和未授权访问或泄露。Metabase将遵循其标准的客户数据归档程序。在客户数据丢失或损坏的情况下，Metabase将尽其商业上合理的努力，从Metabase维护的最新备份中恢复丢失或损坏的客户数据。Metabase不对因您或任何授权用户或第三方造成的客户数据丢失、损坏、变更、未授权披露或损坏负责。根据本条第3.2款恢复丢失或损坏的客户数据的努力构成Metabase的唯一责任，也是您在订阅服务中发生任何客户数据丢失或损坏的唯一和排他性补救措施。
4. 订阅费及付款。
4.1 订阅费用。您将支付订单中规定的费用和费用（“订阅费用”）以使用订阅服务。每个订阅期限的基本订阅费用将在订单中指定（“基本订阅费用”）并在每个订阅期限开始时支付和收费。
4.2 验证；调整。如果订单中指定，订阅费用将基于订阅服务的使用单位计算（例如用户数量或处理的数据量）（每个，称为“单位”）。适用时，基本订阅费用包括订单中为每个订阅期限指定的单位数量。Metabase可以创建和维护反映您的账户下订阅服务使用情况的日志。Metabase可能不时访问和审查此类日志，以验证您遵守适用的使用限制和本协议的其他条款，并且Metabase可以使用此类日志防止或限制未经授权的订阅服务使用。在不限制Metabase的其他权利或补救措施的情况下，如果您的实际订阅服务使用量超过您为订阅期限预先支付的基本订阅费用所覆盖的单位数量，Metabase将向您收取基本订阅费用覆盖的单位数量与您在该订阅期限期间实际使用的单位数量之间的差额（“额外单位费用”）。
4.3 付款条款。如果您向我们提供了信用卡详情，我们将对该信用卡进行以下收费：（i）每个订阅期限开始时，为基本订阅费用；（ii）在收到我们的任何额外单位费用发票后的三十（30）天内（如果有）。我们将就我们对您的信用卡所收取的任何费用向您发出付款确认。如果我们向您开具发票，所有发票都应按订单中付款条款部分规定支付（或如果未规定，在收到后三十（30）天内支付）。所有金额均以美元表示，并不包括税费、关税、摊派、关税和其他政府费用（统称为“税费”）。您负责支付所有税费以及任何由此产生的利息和/或罚款，但基于Metabase净收入的税费除外。所有逾期未付的金额将按每月1%的利率收取利息，或按法律允许的最高利率，两者中以较低者为准。除非本协议明确规定，所有已支付的费用均不可退还。
5. 期限和终止
5.1 订阅期限。本协议自生效日起开始，除非任何一方根据本协议的条款提前终止，否则将持续至订单中指定的初始订阅期限。在上述初始订阅期限结束以及随后的每个续订订阅期限结束时，只要及时支付订阅费用，本协议将自动续订，续订的订阅期限将持续至订单中指定的期限（或如果订单中没有规定续订期限长度，则与初始订阅期限相同），除非任何一方提前15天书面通知对方不续订。本协议中分别单独提及此类初始订阅期限和每个续订订阅期限为“订阅期限”。
5.2 违约终止。任何一方若违约并未能在收到书面通知后10天内纠正该违约行为，另一方有权终止本协议。如因违约终止本协议，Metabase将退还您支付未使用部分的订阅费用，该费用是您为剩余的当前订阅期限（如果有的话）所支付的。
5.3 其他补救措施在不限制其他可用补救措施的情况下，Metabase保留在以下情况下暂停或禁用您及其授权用户对订阅服务的访问的权利：任何根据本协议应支付而未付的款项超过30天未付。此外，如果Metabase（在其自行决定的情况下）认定以下情况之一，Metabase也保留暂停或禁用访问订阅服务的权利：（1）您或任何授权用户的使用行为干扰、损害或对Metabase、订阅服务或任何第三方造成安全风险，或可能造成损害；（2）您或任何授权用户违反本协议使用或正在使用订阅服务。
5.4 终止的影响本协议的任何到期或终止，您（及您的授权用户）访问和使用订阅服务的权利将自动终止，但授权用户在终止后30天内仍可访问订阅服务以下载存储在其中的客户数据。Metabase对因行使本协议下的终止权而产生的任何成本、损失、损害或责任不承担任何责任。到期或终止时的任何支付义务将继续有效。第2.3节、第3节、第4节、第5.4节以及第6节至第13节（含）的义务和条款在本协议到期或终止后仍有效。
6. 保密。
各方理解，在披露时标记或被认定为“机密”的、与披露方业务相关的某些非公开信息，或者在此协议中被描述为机密信息（“机密信息”），与订阅服务的使用和/或执行相关。Metabase的机密信息包括订阅服务的非公开部分以及任何相关的文档和定价信息。在本协议有效期内及之后的三年内，各方同意采取合理预防措施，保护披露方的机密信息不被未经授权的披露，不得使用此类机密信息，除非经授权或为履行本协议项下的义务所必需，不得向任何第三方披露此类机密信息（除非在知悉基础上，向受保密义务约束的、受雇于接收方、顾问和供应商，且其保密义务至少与本协议对披露方机密信息的保护同等，或根据本协议特别允许的情况下），除非根据本协议明确允许。机密信息不包括接收方能够证明的信息：（1）非因接收方过失，成为公众普遍可获取的，或者（2）在收到披露方之前已处于其占有或已知的状态，或者（3）由第三方无限制地合法披露给其的，或者（4）独立开发，未使用披露方任何机密信息。如果披露是为了遵守有效的法院命令或传票（在这种情况下，除非法律或法律程序禁止，接收方将立即通知披露方，并在披露方选择抗辩披露要求、寻求对要披露的信息保密处理或限制要披露信息的性质或范围时与披露方合作），接收方可以披露机密信息。在本协议终止后，接收方将立即将其占有的或受其控制的所有披露方机密信息的副本退还给披露方或销毁，但接收方可以保留一份披露方机密信息的副本，仅用于监控其遵守本协议的情况。尽管有上述规定，但在终止后，Metabase不会保留客户数据，除非根据第5.4条履行必要义务。
7. 所有权。
7.1 Metabase知识产权。在Metabase和您之间，Metabase拥有订阅服务和使用数据在全球范围内的全部权利、所有权和利益，包括其中的所有知识产权。本协议的目的在于，“知识产权”是指专利权（包括专利申请和披露）、版权、商业秘密、专有技术和任何其他国家或司法管辖区承认的知识产权。
7.2 反馈。如果您就订阅服务（以下简称“反馈”）提供任何想法、建议或推荐，Metabase 将有权自由使用、披露、复制、许可或以其他方式分发此类反馈，并按其认为合适的方式利用此类反馈，而不承担任何形式的义务或限制。通过提供反馈，您授予 Metabase 全球性、永久性、不可撤销的、完全付费的、免版税的非独占许可，以任何方式使用和利用此类反馈。
7.3 使用数据。您承认并同意 Metabase 可能会生成关于订阅服务使用和性能的去标识化数据，并可能保留和使用此类去标识化的使用和性能数据，用于其内部商业目的，例如开发和完善 Metabase 的产品和服务（包括订阅服务）。
8. 无任何保证。
订阅服务按“现状”提供，不提供任何形式的保证。Metabase 拒绝所有明示或暗示的保证，包括但不限于任何关于适销性、特定用途适用性和不侵犯第三方专利、版权或商业秘密的暗示保证，以及任何基于交易习惯或贸易惯例而产生的保证。无论口头或书面，从 Metabase 或其他地方获得的任何建议或信息都不会创建这些条款中未明确陈述的任何保证。Metabase [不保证订阅服务将无错误或中断，或者所有错误都将被纠正。您对使用订阅服务获得的结果和从这种使用中得出的结论承担唯一责任和责任。Metabase 对因任何客户数据中的错误或遗漏或基于客户数据由订阅服务产生的任何结果造成的任何索赔、损失或损害不承担任何责任。
9. 赔偿。
9.1 Metabase 的赔偿。Metabase 将对您因最终非上诉判决或经和解同意的任何损害赔偿、费用和支出（包括合理的律师费和其他专业费用）进行辩护、赔偿并保护您免受损害，前提是此类损害赔偿、费用和支出是基于第三方索赔，即 Metabase 向您提供的订阅服务侵犯了任何第三方的专利、版权或侵犯了任何第三方的商业秘密；前提是： (a) 您必须及时以书面形式通知 Metabase 任何此类索赔； (b) 您授予 Metabase 对索赔的辩护和和解的独家控制权； (c) 您必须根据 Metabase 的费用，向 Metabase 提供为辩护和和解索赔所合理要求的全部协助、信息和权限。您有权自行承担费用聘请律师参与任何索赔的辩护或和解。Metabase 对您未经 Metabase 事先书面同意达成的任何和解或妥协不承担任何责任。
9.2 免责条款。根据第9.1节，Metabase 对您的赔偿义务不适用于以下情况：任何索赔是由于或基于：（i）与Metabase未提供的产品、系统、设备、方法或数据相结合、操作或使用订阅服务，如果这种索赔本可以通过此类结合、操作或使用避免；（ii）除Metabase外任何人对订阅服务的修改，如果此类索赔本可以通过此类修改避免；（iii）您未能安装和使用Metabase提供的任何升级，如果此类索赔本可以通过此类安装和使用避免；（iv）未按本协议使用订阅服务。您将赔偿、辩护并使Metabase免受任何第三方索赔，如果此类索赔是由于本节9.2中任何上述活动造成的，前提是Metabase（a）及时书面通知您此类索赔；（b）授予您对索赔的辩护和解决的控制权；（c）在您的费用下，向您提供为辩护和解决索赔所合理要求的全部协助、信息和权限。
9.3 禁令。如果您的使用订阅服务的情况或Metabase认为有可能被禁令，是由于第9.1节中指定的索赔类型，那么Metabase将自行选择并承担费用：（i）为您获取在协议条款下继续使用订阅服务的权利；（ii）替换或修改订阅服务，使其不侵权并具有等效功能；（iii）如果Metabase无法完成（i）或尽管已尽合理努力但仍无法完成，则Metabase可以终止您的权利和Metabase根据本协议对相关订阅服务的义务，并退还您预付的相应部分许可费用。
9.4 客户赔偿。客户同意在客户的费用下，对Metabase进行辩护和赔偿，以应对第三方对Metabase提起的法律诉讼，该诉讼基于客户数据或客户应用程序，或订阅服务与客户使用的任何其他软件、硬件、材料或技术的组合侵犯了第三方的专利、版权或商标，或非法使用该方的商业秘密。如果此类诉讼的和解或终审判决可归因于此类索赔，客户应支付此类索赔或诉讼中的任何和解金或终审判决。然而，此类辩护和付款受以下条件的约束：Metabase必须（i）及时书面通知客户此类索赔，（ii）允许客户对辩护、和解或此类索赔的解决拥有唯一控制权，包括任何上诉，（iii）在客户的费用下，在辩护或解决此类索赔中与客户充分合作。
9.5 唯一补救措施。本节9规定了Metabase的唯一和排他性义务，以及您的唯一和排他性补救措施，涉及任何类型的知识产权侵权或不当使用。
10. 责任限制。
在任何情况下，Metabase 都不对任何特殊、偶然、示范性、惩罚性或后果性损害负责，也不对任何使用损失、数据丢失、利润损失或商誉损失负责，或获取替代产品的成本负责，无论这种责任是否可预见，无论是否与该协议或订阅服务的使用或性能有关，无论这种责任是否基于合同、保证、侵权（包括疏忽）、产品责任或其他，无论 Metabase 是否已被告知此类损失或损害的可能性。根据本协议，Metabase 的总累计责任，无论基于何种诉讼原因和何种责任理论，均不得超过您在责任首次主张之前 12 个月内支付给 Metabase 的订阅服务费用。双方同意，本节第 10 条以及其他本协议中的限制和排除规定（a）不适用于任何赔偿要求，并且（b）即使本协议中规定的任何专属补救措施被发现未能实现其基本目的，也将继续适用。
11. 美国政府部门用户。
根据 FAR 12.212 和 DFARS 227.7202 中的定义，“订阅服务”分别是“商业计算机软件”和“商业计算机软件文档”。如果美国政府或代表美国政府获取对订阅服务的访问权限，那么根据适用的 FAR 12.212 和 DFARS 227.7202-1 至 227.7202-4 的规定，美国政府对订阅服务的权利将仅限于本协议中规定的权利。
12. 不可抗力。
如果 Metabase 的履行因超出其合理控制的情况而受阻或延迟，包括但不限于自然灾害、恶劣天气、洪水、闪电或火灾、罢工或其他劳工纠纷或工业行动、政府或其他有权机构的作为或不作为、恐怖主义、战争、骚乱或民变、供应不可用或停电、黑客、病毒、传输中断或电信服务中断，则 Metabase 不会违反本协议。
13. 一般。
本协议受加利福尼亚州法律管辖和解释，不考虑或不适用冲突法规则或原则。联合国国际货物销售合同公约不适用。因本协议而产生的任何法律诉讼或程序应仅在美国加利福尼亚州北部地区联邦或州法院提起，并且各方不可撤销地同意其个人管辖权和诉讼地点。未经Metabase事先书面同意，您不得通过法律或任何其他方式转让本协议或据此授予的任何权利，任何此类尝试都将无效。Metabase可以自由地转让本协议。除非本协议明确规定，否则任何一方行使本协议项下的任何救济措施，均不影响其根据本协议或任何其他方式行使的其他救济措施。本协议项下要求的或允许的所有通知或批准均应以书面形式发送，并通过确认的电子邮件传输、速递服务或认证邮件送达，并在每种情况下，收到时视为已送达。所有通知或批准均应发送至订单中载明的地址或本节规定的任何一方指定的其他地址。任何一方未能执行本协议的任何规定，不应构成放弃将来执行该规定或任何其他规定的权利。任何对本协议任何规定的放弃、修改或修正，仅当以书面形式并由双方授权代表签署时才有效。如果本协议的任何规定被认为不可执行或无效，则该规定应在最大程度上执行，而其他规定仍将完全有效。本协议是双方就其主题的完整和排他的理解与协议，取代了双方就其主题事项的所有提议、理解或口头或书面沟通。本协议的各方是独立承包商，本协议不会在各方之间建立合伙、合资、雇佣、特许经营或代理关系。未经另一方事先书面同意，任何一方均无权约束另一方或代表另一方承担义务。本协议可以以副本形式签署，每个副本均视为原件，但所有副本合在一起构成一个单一文件。
本数据处理附加协议（“DPA”）是您（“客户”）与Metabase之间附带的订阅服务协议（“协议”）的一部分。
1.1 主题。本DPA反映了双方遵守有关在履行协议义务的过程中处理客户个人数据的《数据保护法》的承诺。本DPA中未明确定义的任何首字母缩略词的含义与协议中的定义相同。如果本DPA中的语言与协议冲突，则以本DPA为准。
1.2 期限和存续。本DPA自协议生效之日起具有法律约束力。Metabase将在协议规定的终止关系之前处理客户个人数据。Metabase在本DPA下的义务和客户的权利将在Metabase处理客户个人数据期间继续有效。
2.1 “客户个人数据”是指Metabase代表客户处理的客户业务数据中的个人数据。
2.2 “数据保护法”指适用于客户个人数据的所有适用的数据隐私、数据保护及网络安全法律、规则和法规。 “数据保护法”应包括但不限于2018年《加州消费者隐私法案》（“CCPA”）和2016/679号《欧盟通用数据保护条例》（“GDPR”）；在适用范围内。
2.3 “个人数据”指根据数据保护法中对“个人数据”和/或“个人信息”的定义。
2.4 “处理”或“数据处理”指对个人数据或个人数据集进行的任何操作或一系列操作，无论是否通过自动化手段，例如收集、记录、组织、结构化、存储、适应性或变更、检索、咨询、使用、通过传输、传播或以其他方式使信息可用、调整或组合、限制、删除或销毁。
2.5 “安全事件”指由Metabase引起的导致客户个人数据意外或非法破坏、丢失、变更、未经授权披露或访问的事件。
2.6 “服务”指Metabase根据协议提供的任何和所有服务。
2.7 “第三方”指Metabase的授权承包商、代理人、供应商和第三方服务提供商（即分包商），他们处理客户个人数据。
3.1 书面指令。Metabase及其第三方只能根据客户或本DPA、协议或任何适用订单的具体授权处理客户个人数据。除非法律禁止，Metabase将书面通知客户，如果它合理地认为客户的指令与适用法律之间存在冲突，或者寻求以与客户指令不一致的方式处理客户个人数据。
3.2 使用第三方的授权。为了履行协议下Metabase的合同义务，客户在此授权（i）Metabase雇佣第三方，（ii）第三方雇佣分包商。
3.3 Metabase和第三方合规。Metabase同意（i）与第三方签订书面协议，规定此类第三方处理客户个人数据的行为，并对其施加符合数据保护法要求的数据保护和安全要求；（ii）对于Metabase的第三方未能履行其处理客户个人数据的义务，对客户承担责任。
3.4 反对第三方的权利。根据数据保护法的要求，在Metabase通过更新其分包商名单（在：metabase.com/hosting/subprocessors）之前，Metabase将事先通知客户，并允许客户有十（10）天的时间提出反对。如果客户对任何新的第三方有关隐私或数据保护的任命有合法的反对意见，双方将本着诚信的原则共同努力，至少在三十（30）天内解决反对的理由。
3.5 保密。任何有权处理客户个人数据的个人或第三方必须签订合同同意维护此类信息的保密性，或者处于适当的法定保密义务之下。
3.6 个人数据查询与请求。根据数据保护法律的要求，Metabase 同意提供合理协助，并遵守客户关于任何个人在数据保护法律下授予他们的客户个人数据权利（例如，访问、更正、删除、数据可移植性等）的请求的合理指示。如果请求直接发送给 Metabase，Metabase 将在不迟延的情况下通知客户。
3.7 禁止出售客户个人数据。Metabase 不得根据 CCPA 中“出售”的定义出售客户个人数据。Metabase 不得披露或转移客户个人数据给第三方或其他构成 CCPA 中定义的“出售”的当事人。
3.8 数据保护影响评估和预先咨询。根据数据保护法律的要求，Metabase 同意在客户承担费用的前提下，在客户判断 Metabase 执行的处理类型需要数据保护影响评估和/或与相关数据保护当局进行预先咨询的情况下，向客户提供合理协助。
3.9 可证明的合规性。Metabase 同意在合理请求的情况下提供信息，以证明其符合本 DPA 的合规性。
Metabase 同意实施符合数据保护法律的技术和组织措施，以保护客户个人数据。
一旦 Metabase 发现安全事件，Metabase 将在不迟延的情况下，并在数据保护法律规定的时限内，通过电子邮件向与您的账户关联的电子邮件地址发送书面通知给客户。在可能的情况下，此类通知将包括数据保护法律要求的所有必要详细信息，以便客户遵守其对监管机构或受安全事件影响的人员的告知义务。
如果数据保护法律赋予客户审计权，客户（或其指定的代表）可以每年不超过一次，通过 Metabase 完成合理长度的数据保护问卷，对 Metabase 处理客户个人数据进行审计。此类审计应受 Metabase 的安全和保密条款及指南的约束。
在协议到期或终止时，Metabase 将根据客户的选择，删除或返回所有客户个人数据（不包括任何备份或归档副本，这些副本将按照 Metabase 的数据保留计划删除），除非 Metabase 根据适用法律需要保留副本，在这种情况下，Metabase 将将此类客户个人数据隔离并保护，不得进行进一步处理，除非适用法律要求。
处理主题]：处理的主题是协议项下的服务。
期限：处理将持续至协议到期或终止。
数据主体类别：根据协议将处理其个人数据的个人数据主体。
处理性质和目的：Metabase 处理客户个人数据的目的是为了执行服务。
客户个人数据类型：根据协议处理的客户个人数据。
本附录I是DPA的一部分。本附录I未定义的加粗术语的含义见DPA或协议。
1. 转移到欧洲经济区、瑞士和/或英国的客户个人数据将存储在哪些国家或从哪些国家访问？如果按地区有所不同，请为每个地区指定每个国家。
a. 答案：客户个人数据可能存储在美国或从美国访问。
2. 什么类型的数据主体（其客户个人数据将转移到欧洲经济区、瑞士和/或英国）？
a. 答案：根据协议处理客户个人数据的数据主体，包括但不限于客户的员工、承包商、临时工和最终用户。
3. 转移到欧洲经济区、瑞士和/或英国的客户个人数据类别是什么？
a. 答案：根据协议处理的客户个人数据类别，包括但不限于姓名、地址、电子邮件地址、IP地址等。
4. 是否将转移任何揭示种族或民族起源、政治观点、宗教或哲学信仰、工会会员资格、遗传数据或用于唯一识别自然人的生物识别数据，或涉及健康或个人的性生活或性取向的数据，或与犯罪记录和犯罪有关的数据到欧洲经济区、瑞士和/或英国？如果是这样，是否存在任何考虑数据性质和涉及风险（例如，严格的用途限制、访问限制（包括仅限于接受过专门培训的员工访问））、记录数据访问、后续转移限制或额外安全措施的约束或保护措施？
5. Metabase从事哪个行业？
a. 答案
6. 从广义上讲，将提供哪些服务以及客户个人数据转移到欧洲经济区、瑞士和/或英国的目的？
a. 答案：Metabase提供开源商业智能工具。为了提供服务，个人数据转移到欧洲经济区、瑞士和/或英国。
7. 客户个人数据保留的期限是多久，或者如果不可能，用于确定该期限的标准是什么？
a. 答案：Metabase将根据协议保留客户个人数据。
8. 客户个人数据转移到欧洲经济区、瑞士和/或英国频率如何？例如，客户个人数据是一次性转移还是持续转移？
a. 答案：客户个人数据通过客户将客户个人数据上传到服务的方式转移。
9. 当客户个人数据转移到Metabase的欧洲经济区、瑞士和/或英国时，它是如何传输到Metabase的？客户个人数据是明文、匿名化、加密还是其他？
a. 答案：所有传输到Metabase的客户个人数据都按照DPA进行保护。
10. 请列出将有权访问转移到欧洲经济区、瑞士和/或英国的客户个人数据的子处理器。
a. 答案：Metabase的子处理器列表包括所有Metabase的关联公司和以下URL中列出的各方：metabase.com/hosting/subprocessors
11. Metabase在存储或从欧洲经济区、瑞士和/或英国之外的国家访问客户个人数据时，是否受到任何法律的约束，这些法律会干扰Metabase履行其根据欧盟标准合同条款的义务？例如，FISA 702或美国行政命令12333。如果是，请列出这些法律。
a. 答案：截至DPA生效日期，没有法院认定Metabase有权接收根据第11题所述法律发出的程序，包括FISA第702条，也没有此类法院诉讼正在进行。
12. Metabase是否曾根据上述第11题所述法律（如果有）从公共当局收到信息请求？如果是，请解释。
a. 答案：没有。
13. Metabase是否曾根据公共当局收到位于欧洲经济区、瑞士和/或英国的个人数据的请求？如果是，请解释。
a. 答案：没有。
14. Metabase将在传输过程中以及在欧洲经济区、瑞士和/或英国之外且根据适用数据保护法未发现提供充分保护水平的国家处理客户个人数据时采取哪些保障措施？
a. 答案：这些保障措施在DPA中规定。
本附录二构成DPA的一部分。
第一部分
条款1
(a) 本标准合同条款的目的是确保遵守欧洲议会和理事会2016年4月27日关于个人数据处理以及此类数据自由流动的第2016/679号法规（通用数据保护条例）的要求，以将个人数据转移至第三国。
(b) 当事人
(i) 列于附件I.A中的自然人或法人（以下简称“实体”）、公共当局/机构或其它主体（以下简称“其它主体”），作为数据出口商，转移个人数据，
(ii) 列于附件I.A中的实体，从数据出口商直接或通过也是本条款当事人之一的另一实体间接接收个人数据，作为数据进口商。
已同意这些标准合同条款（以下简称：“条款”）。
这些条款适用于附件I.B中规定的个人数据转移。
本条款的附录包含的附件构成了本条款的组成部分。
在适用范围内，本条款亦适用于当事人处理受瑞士联邦数据保护法约束的个人数据。在适用的情况下，对欧盟成员国法律或欧盟监管机构的提及应修改为包括瑞士法律中关于受瑞士联邦数据保护法约束的个人数据转移的适当提及。
在适用范围内，本条款，经附件III补充，亦适用于当事人处理受英国通用数据保护法规约束的个人数据，该法规经2018年数据保护法条款补充。
条款2
(a) 本条款规定了适当的保障措施，包括可执行的数据主体权利和有效的法律救济手段，依据《欧盟条例》2016/679第46条第1款和第46条第2款(c)项，以及关于控制者向处理者以及/或处理者之间的数据传输，依据《欧盟条例》2016/679第28条第7款的标准合同条款，只要它们未被修改，除非选择适当的模块或更新附录中的信息。这并不妨碍各方将这些条款中规定的一般合同条款纳入更广泛的合同，或增加其他条款或额外保障措施，只要它们不直接或间接违反这些条款，也不损害数据主体的基本权利和自由。
(b) 本条款不影响数据出口商依据《欧盟条例》2016/679所承担的义务。
第3条
(a) 数据主体可以作为第三方受益人，针对数据出口商和/或数据进口商执行和执行这些条款，以下情况除外
(i) 第1条、第2条、第3条、第6条、第7条；
(ii) 第8.1款(b)、8.9款(a)、(c)、(d)和(e)；
(iii) 第9款(a)、(c)、(d)和(e)；
(iv) 第12款(a)、(d)和(f)；
(v) 第13款；
(vi) 第15.1款(c)、(d)和(e)；
(vii) 第16款(e)；
(viii) 第18款(a)和(b)。
(b) 第(a)款不影响数据主体依据《欧盟条例》2016/679享有的权利。
第4条
(a) 当这些条款使用在《欧盟条例》2016/679中定义的术语时，这些术语应具有该条例中的相同含义。
(b) 应根据《欧盟条例》2016/679的规定来阅读和解释这些条款。
(c) 这些条款不应以与《欧盟条例》2016/679中规定的权利和义务相冲突的方式解释。
第5条
在发生这些条款与各方在同意或签订这些条款时存在的相关协议的规定相冲突的情况下，这些条款应优先适用。
第6条
转让的详细信息，特别是转移的个人数据类别以及转移的目的，在附件I.B中规定。
第7条 – 可选
第二部分 – 各方的义务
第8条
数据出口商保证它已尽合理努力确定数据进口商能够通过实施适当的技术和组织措施，满足这些条款下的义务。
模块二：控制者向处理者的转让
8.1 指令
(a) 数据进口商应仅根据数据出口商的书面指令处理个人数据。数据出口商可以在合同期间随时提供此类指令。
(b) 如果数据进口商无法遵循这些指令，应立即通知数据出口商。
8.2 目的限定
数据进口商应仅处理根据附件I.B中规定的转让的具体目的的个人数据，除非根据数据出口商的进一步指令。
8.3 透明度
在数据主体请求的情况下，数据出口商应免费提供这些条款的副本，包括由各方完成附录。在保护商业秘密或其他机密信息（包括附二所述的措施和个人信息）的必要范围内，数据出口商在共享副本之前可以删除附录中的一部分文本，但应提供有意义的摘要，以便数据主体能够理解其内容或行使自己的权利。在可能的情况下，并尽可能不透露被删除的信息，各方应提供删除原因。本条款不影响数据出口商根据《欧盟条例》（EU）2016/679第13条和第14条规定的义务。
8.4 准确性
如果数据进口商意识到其收到的个人信息不准确或已过时，应立即通知数据出口商。在这种情况下，数据进口商应与数据出口商合作，删除或更正数据。
8.5 数据处理的持续时间、删除或归还数据
数据进口商的处理活动仅限于附表I.B中指定的持续时间。在数据处理服务提供结束后，数据进口商应根据数据出口商的选择，删除代表数据出口商处理的所有个人数据，并向数据出口商证明已删除，或者将其代表处理的所有个人数据归还给数据出口商并删除现有副本。在数据被删除或归还之前，数据进口商应继续确保符合这些条款。如果适用数据进口商所在地的法律禁止归还或删除个人数据，数据进口商保证将继续确保符合这些条款，并且仅在该当地法律要求的范围内和时间内处理个人数据。这不妨碍第14条，特别是第14(e)款对数据进口商的要求，在整个合同期间，如果数据进口商有理由相信其或已受到不符合第14(a)款要求的法律或做法的影响，应通知数据出口商。
8.6 处理的安全性
(a) 数据导入方，在传输过程中也包括数据导出方，应实施适当的技术和组织措施以确保数据的安全，包括防止数据因安全漏洞导致意外或非法破坏、丢失、更改、未经授权披露或访问（以下简称“个人数据泄露”）。在评估适当的安保级别时，各方应充分考虑技术现状、实施成本、处理性质、范围、背景和目的以及处理过程中涉及的风险。各方特别应考虑在处理目的可以通过这种方式实现的情况下，采取加密或匿名化措施，包括在传输过程中。在匿名化情况下，将个人数据归因于特定数据主体的附加信息，在可能的情况下，应保持仅由数据导出方独家控制。数据导入方在履行本段规定的义务时，至少应实施附件II中指定的技术和组织措施。数据导入方应进行定期检查，以确保这些措施继续提供适当的安保级别。
(b) 数据导入方应仅授权其员工根据合同实施、管理和监控，严格必要的范围内访问个人数据。它应确保有权处理个人数据的个人已承诺保密或处于适当的法定保密义务之下。
(c) 在涉及根据本条款处理个人数据的数据导入方发生的个人数据泄露的情况下，数据导入方应采取适当措施处理该泄露，包括减轻其不利影响的措施。数据导入方还应在不迟于得知泄露后通知数据导出方。此类通知应包含可获取更多信息的联系点详情、泄露性质描述（包括，如可能，受影响的类别和大约数据主体及个人数据记录数量）、其可能后果以及采取或提议的措施以处理该泄露，包括，如适当，减轻其可能不利影响的措施。如果不可能一次性提供所有信息，则初始通知应包含当时可用的信息，随后应在不迟于得知的情况下提供进一步信息。
(d) 数据导入方应与数据导出方合作，协助数据导出方履行《欧盟条例》（EU）2016/679项下的义务，特别是在通知有权监督机构及受影响的个人方面，考虑处理性质和数据导入方可获取的信息。
8.7 敏感数据
在涉及涉及种族或民族起源、政治观点、宗教或哲学信仰、工会会员资格、基因数据或用于唯一识别自然人的生物识别数据，或涉及健康或个人的性生活或性取向的数据，或涉及刑事定罪和犯罪的数据（以下称为“敏感数据”）的转移时，数据导入方应应用附件I.B中描述的具体限制和/或额外保障措施。
8.8 转移
数据导入方仅在获得数据导出方书面指示的情况下，向第三方披露个人数据。此外，如果第三方位于欧洲联盟之外（与数据导入方在同一国家或另一个第三方国家，以下称为“转出转移”），则只能向第三方披露数据，如果该第三方受这些条款的约束，在适当的模块下，或者如果
(i) 转移至根据《欧盟条例》（EU）2016/679第45条受益于充分性决定的国家的；
(ii) 第三方确保按照《欧盟2016/679号法规》第46条或第47条的规定，对所涉处理采取适当的保护措施；
(iii) 后续转移对于在特定行政、监管或司法程序中建立、行使或捍卫法律主张是必要的；或
(iv) 后续转移对于保护数据主体或另一个自然人的重大利益是必要的。
任何后续转移均需数据导入方遵守本条款下的所有其他保护措施，特别是目的限制。
8.9 文档和合规性
(a) 数据导入方应迅速且充分地处理与这些条款下处理相关的数据导出方的询问。
(b) 双方应能够证明符合这些条款。特别是，数据导入方应保存有关代表数据导出方进行的处理活动的适当文档。
(c) 数据导入方应根据数据导出方的请求提供所有必要信息以证明符合本条款规定的义务，并在数据导出方的请求下，在合理间隔或存在不合规迹象的情况下，允许并协助对这些条款涵盖的处理活动进行审计。在决定审查或审计时，数据导出方可以考虑到数据导入方持有的相关认证。
(d) 数据导出方可以选择自行进行审计或委托独立审计师。审计可能包括对数据导入方场所或物理设施进行检查，并且应合理提前通知。
(e) 双方应将第(b)段和第(c)段所指的信息，包括任何审计结果，根据请求提供给有权监督的当局。
第9条
模块二：控制者向处理者的转让
(a) 数据导入方已获得数据导出方的普遍授权，允许从约定名单中聘请子处理程序。数据导入方应至少提前十(10)天以书面形式具体通知数据导出方任何对该名单的预定更改，包括通过添加或替换子处理程序，从而给予数据导出方足够的时间在子处理程序被聘请之前对这种更改提出异议。数据导入方应向数据导出方提供必要的信息，以使数据导出方能够行使其提出异议的权利。
(b) 当数据导入方聘请子处理程序代表数据导出方执行特定的处理活动时，它应以书面合同的方式进行，实质上提供与这些条款下约束数据导入方的相同数据保护义务，包括对数据主体的第三方受益人权利。双方同意，通过遵守本条款，数据导入方履行了第8.8条的义务。数据导入方应确保子处理程序遵守根据这些条款对数据导入方施加的义务。
(c) 数据导入方应根据数据导出方的请求提供此类子处理程序协议的副本以及任何后续的修订。为了保护商业秘密或其他机密信息（包括个人信息），在共享副本之前，数据导入方可以对协议的文本进行编辑。
(d) 数据导入方应对其与数据导入方签订的合同下分包处理方的义务履行承担全部责任。数据导入方应通知数据导出方分包处理方未能履行该合同下义务的情况。
(e) 数据导入方应与分包处理方协商一个第三方受益人条款，即——如果数据导入方实际上消失、法律上不再存在或已破产——数据导出方有权终止分包处理方合同并指示分包处理方删除或归还个人数据。
第10条
模块二：控制者向处理者的转让
(a) 数据导入方应立即通知数据导出方其收到的任何数据主体请求。除非数据导出方授权，否则它不得自行回应该请求。
(b) 数据导入方应协助数据导出方履行其根据《欧盟条例》（EU）2016/679第4章对数据主体请求作出回应的义务。为此，各方应在附件II中规定适当的技術和组织措施，考虑处理性质，以及提供协助的范围和程度。
(c) 在履行第(a)和(b)款规定的义务时，数据导入方应遵守数据导出方的指示。
第11条
(a) 数据导入方应通过个别通知或在其网站上，以透明和易于获取的方式通知数据主体一个有权处理投诉的联系点。它应迅速处理其从数据主体收到的任何投诉。
模块二：控制者向处理者的转让
(b) 在数据主体与一方就遵守这些条款发生争议的情况下，该方应尽最大努力及时友好解决该问题。各方应相互通报此类争议，并在适当情况下合作解决它们。
(c) 如果数据主体根据第3款行使第三方受益人权利，数据导入方应接受数据主体作出的以下决定：
(i) 在其习惯居所国或工作地成员国向监督机构提出投诉，或根据第13款向有权监督的监督机构提出投诉；
(ii) 将争议提交根据第18款意义上的有权法院。
(d) 各方承认数据主体可能根据《欧盟条例》（EU）2016/679第80条第1款规定的条件由非营利机构、组织或协会代表。
(e) 数据导入方应遵守根据适用的欧盟或成员国法律具有约束力的决定。
(f) 数据导入方同意数据主体的选择不会损害其根据适用法律寻求补救的实质性和程序性权利。
第12条
模块二：控制者向处理者的转让
(a) 每一方应因其违反这些条款而对另一方/他方承担任何损害责任。
(b) 数据导入方应承担对数据主体的责任，并且数据主体有权获得赔偿，对于数据导入方或其分包处理方因违反这些条款下的第三方受益人权利而造成的数据主体造成的任何物质或非物质损害。
(c) 尽管有第(b)款，数据导出方应承担对数据主体的责任，并且数据主体有权获得赔偿，对于数据导出方或数据导入方（或其分包处理方）因违反这些条款下的第三方受益人权利而造成的数据主体造成的任何物质或非物质损害。这不妨碍数据导出方的责任，以及当数据导出方是代表控制器的处理器时，根据适用的《欧盟条例》（EU）2016/679或《欧盟条例》（EU）2018/1725的规定，控制器的责任。
（d）各方同意，如果数据出口商根据第（c）款因数据进口商（或其 subprocessor）造成的损害而被追究责任，则有权向数据进口商索赔，索赔金额应与数据进口商对损害的责任部分相对应。
（e）如果因违反本规定造成数据主体任何损害，责任不止一方的，所有责任方应共同和个别承担连带责任，数据主体有权对任何一方提起诉讼。
（f）各方同意，如果一方根据第（e）款被追究责任，则有权向另一方/各方索赔，索赔金额应与其/他们的损害责任部分相对应。
（g）数据进口商不得以 subprocessor 的行为来规避其自身的责任。
第13条
模块二：控制者向处理者的转让
（a）如果数据出口商设在欧盟成员国，则适用以下规定：负责确保数据出口商遵守（欧盟）2016/679号法规关于数据转移的规定（如附件I.C所示），的监督机构应作为有权监督机构。如果数据出口商不在欧盟成员国，但根据其第3条第2款属于（欧盟）2016/679号法规的适用范围，并且根据该法规第27条第1款指定了代表，则适用以下规定：在（欧盟）2016/679号法规第27条第1款意义上设立的代表的成员国的监督机构，如附件I.C所示，应作为有权监督机构。如果数据出口商不在欧盟成员国，但根据其第3条第2款属于（欧盟）2016/679号法规的适用范围，但无需根据该法规第27条第2款指定代表，则适用以下规定：负责监督根据本规定将个人数据转移给在附件I.C中指明的提供商品或服务或行为被监控的数据主体的成员国的监督机构应作为有权监督机构。
（b）数据进口商同意接受有权监督机构的司法管辖，并在此类程序中与之合作，以确保遵守本规定。特别是，数据进口商同意回答询问，接受审计，遵守监督机构采取的措施，包括补救和赔偿措施。它应向监督机构提供书面确认，证明已采取必要措施。
第三部分 – 公共机构访问时的当地法律和责任
第14条
模块二：控制者向处理者的转让
(a) 各方保证，他们没有理由相信，第三国法律和惯例（包括对个人数据进行处理的任何要求披露个人数据或允许公共当局访问的措施）会阻止数据导入方履行本条款下的义务。这是基于以下理解：尊重基本权利和自由的本质，不超过在民主社会中为保护《欧盟条例》2016/679第23(1)条所列目标之一所必需且成比例的法律和实践，与这些条款不矛盾。
(b) 各方声明，在提供第(a)段中的保证时，特别考虑了以下要素：
(i) 转移的具体情况，包括处理链的长度、涉及的参与者数量和使用的传输渠道；后续转移；接收者的类型；处理的目的；转移的个人数据的类别和格式；转移发生的经济部门；转移数据的存储位置；
(ii) 第三国法律和惯例（包括要求向公共当局披露数据或允许此类当局访问的）——根据转移的具体情况，以及适用的限制和保护措施；
(iii) 任何相关的合同、技术或组织保障措施，以补充本条款下的保障措施，包括在传输过程中以及目的地国处理个人数据时采取的措施。
(c) 数据导入方保证，在执行第(b)段中的评估时，已尽最大努力向数据出口方提供相关信息，并同意将继续与数据出口方合作，以确保遵守这些条款。
(d) 各方同意记录第(b)段中的评估，并在请求时向有资格的监督机构提供。
(e) 数据导入方同意，如果在同意这些条款和合同期间，有理由相信其或已成为不符合第(a)段要求的法律或惯例的受影响方，包括由于第三国法律的变化或措施（如披露请求）表明在实践中应用此类法律的方式不符合第(a)段的要求，应立即通知数据出口方。
（f）根据第（e）款的规定发出通知，或者如果数据出口商有理由相信数据进口商无法再履行本条款下的义务，数据出口商应立即确定适当的措施（例如，确保安全和机密性的技术或组织措施）由数据出口商和/或数据进口商采取以应对这种情况。如果数据出口商认为无法确保此类转移的适当保障，或者根据有权监督的机构的要求暂停数据传输。在这种情况下，数据出口商有权终止合同，只要它是关于这些条款下处理个人数据的行为。如果合同涉及两个以上的当事人，数据出口商只能针对相关当事人行使终止权，除非当事人另有约定。根据本条款终止合同的情况下，应适用第16款（d）和（e）项。
第15条
模块二：控制者向处理者的转让
15.1 通知
（a）数据进口商同意在可能的情况下，如果它
（i）根据目的地国家的法律，从公共机构（包括司法机构）收到对根据这些条款转移的个人数据的披露的具有法律约束力的请求；此类通知应包括有关请求的个人数据、请求机构、请求的法律依据和提供的答复的信息；或者
（ii）根据目的地国家的法律，得知公共机构直接访问根据这些条款转移的个人数据；此类通知应包括进口商可用的所有信息。
（b）如果根据目的地国家的法律，数据进口商被禁止通知数据出口商和/或数据主体，数据进口商同意尽最大努力获得解除禁止的通知，以便尽可能快地传达尽可能多的信息。数据进口商同意记录其最大努力，以便在数据出口商的要求下证明其努力。
（c）在目的地国家的法律允许的情况下，数据进口商同意在合同持续期间，定期向数据出口商提供尽可能多的关于收到的请求的相关信息（特别是，请求的数量、请求的数据类型、请求机构、请求是否受到挑战以及挑战的结果等）。
（d）数据进口商同意根据第（a）至（c）款保留信息，并在合同持续期间以及根据请求向有权监督的机构提供这些信息。
（e）第（a）至（c）款不影响数据进口商根据第14款（e）和第16款义务，在无法遵守这些条款时，应立即通知数据出口商。
15.2 合法性审查和数据最小化
(a) 数据导入方同意审查披露请求的法律性，特别是该请求是否仍在请求的公共当局授予的权力范围内，并在仔细评估后，如果得出结论认为有合理理由认为请求违反了目的地国家的法律、国际法下的适用义务和国际礼让原则，则对请求提出质疑。数据导入方应在相同条件下，追求上诉的可能性。在质疑请求时，数据导入方应寻求临时措施，以暂停请求的效果，直到有权司法当局就其合法性作出决定。除非根据适用的程序规则需要披露，否则不得披露所请求的个人数据。这些要求不影响数据导入方根据第14条(e)款的义务。
(b) 数据导入方同意记录其法律评估和任何对披露请求的质疑，并在目的地国家的法律允许的范围内，将文件提供给数据出口方。根据要求，还应将其提供给有权监管当局。
(c) 数据导入方同意根据对请求的合理解释，在回应披露请求时提供最小限度的信息。
第四部分 – 最后条款
第16条
(a) 如果数据导入方因任何原因无法遵守这些条款，则应立即通知数据出口方。
(b) 如果数据导入方违反这些条款或无法遵守这些条款，则数据出口方应暂停向数据导入方转移个人数据，直到再次确保遵守或终止合同。这不妨碍第14条(f)款。
(c) 如果以下情况发生，数据出口方有权终止合同，只要它是关于这些条款下个人数据处理的部分：
(i) 数据出口方根据第(b)款暂停向数据导入方转移个人数据，并且在合理的时间内，在任何情况下在暂停后一个月内没有恢复遵守这些条款；
(ii) 数据导入方重大或持续违反这些条款；或
(iii) 数据导入方未能遵守有权法院或监管当局就其根据这些条款的义务作出的具有约束力的决定。
在这种情况下，它应通知有权监管当局此类不遵守情况。如果合同涉及两个以上的当事人，数据出口方仅在相关当事人方面行使终止权，除非当事人另有约定。
(d) 根据第(c)款在合同终止前已转移的个人数据，应按数据出口方的选择立即归还数据出口方或完全删除。对数据的任何副本也应适用。数据导入方应向数据出口方证明已删除数据。在数据被删除或归还之前，数据导入方应继续确保遵守这些条款。如果数据导入方适用的当地法律禁止归还或删除已转移的个人数据，数据导入方保证将继续确保遵守这些条款，并且仅在该当地法律要求的范围内和期间处理数据。
（e）在任何一方可以撤销其受这些条款约束的协议的情况下，一方可以撤销其协议，条件如下：（i）欧洲委员会根据《欧盟条例》（EU）2016/679的第45(3)条作出决定，涉及这些条款适用的个人数据转移；或者（ii）《欧盟条例》（EU）2016/679成为个人数据转移目的国的法律框架的一部分。这并不损害根据《欧盟条例》（EU）2016/679规定的其他义务。
第17条
模块二：控制者向处理者的转让
这些条款受欧盟成员国之一的法律管辖，前提是该法律允许第三方受益人权利。各方同意这是爱尔兰的法律。
第18条
模块二：控制者向处理者的转让
（a）这些条款引起的任何争议应由欧盟成员国的法院解决。
（b）各方同意这是爱尔兰的法院。
（c）数据主体也可以在其习惯居所的成员国对数据出口商和/或数据进口商提起法律诉讼。
（d）各方同意将自己提交给此类法院的管辖权。
附件I
A. 当事人清单
模块二：控制者向处理者的转让
数据出口商
1. 名称：客户。
地址：如适用订单所述。
联系人姓名、职位和联系方式：如适用订单所述。
与这些条款下转移的数据相关的活动：如DPA附录I所述。
角色（控制者/处理器）：控制者。
数据进口商
1. 名称：Metabase。
地址：如适用订单所述。
联系人姓名、职位和联系方式：如适用订单所述。
与这些条款下转移的数据相关的活动：如DPA附录I所述。
角色（控制者/处理器）：处理器。
B. 转移描述
模块二：控制者向处理者的转让
转移个人数据的数据主体类别
如DPA附录I所述。
转移的个人数据类别
如DPA附录I所述。
转移的敏感数据（如适用）以及完全考虑数据性质和所涉风险的限制或保障措施，例如严格的用途限制、访问限制（包括仅限于接受过专门培训的员工的访问）、记录对数据的访问、后续转移的限制或额外的安全措施。
如DPA附录I所述。
转移的频率（例如，数据是否一次性转移或持续转移）。
如DPA附录I所述。
处理性质
如DPA附录I所述。
数据转移和进一步处理的目的
如DPA附录I所述。
保留个人数据的期限，或者如果不可能，确定该期限的准则
如DPA附录I所述。
对于向（子）处理者的转移，还须指定主题、性质和处理期限
如DPA附录I所述。
C. 有权监督的机构
模块二：控制者向处理者的转让
第13条指定的监督机构。如果第13条未指定监督机构，则爱尔兰数据保护委员会（DPC），如果不可能，则根据第13条规定的条件，由各方一致同意的其他方式。
附件II
技术和组织措施，包括确保数据安全的技术和组织措施
模块二：控制者向处理者的转让
描述数据进口商（包括任何相关认证）实施的技术和组织措施，以确保适当的保护水平，考虑到处理的性质、范围、背景和目的，以及自然人的权利和自由的风险。
数据导入方应实施和维护适当的技术和组织措施，以符合DPA（数据保护法）的规定来保护个人信息。
根据第10(b)条，数据导入方将在DPA（数据保护法）的指导下协助数据出口方处理数据主体请求。
附件III
根据2018年数据保护法第119A(1)条，专员将发布的标准数据保护条款
英国对欧盟委员会标准合同条款的补充
本附件的日期
1.这些条款的日期与DPA（数据保护法）的日期相同。
背景
2.信息专员认为，本附件为将个人数据转移到第三国或国际组织提供了适当的保障，依据的是英国通用数据保护条例第46条，以及从控制器到处理器以及/或从处理器到处理器的数据传输。本附件是附件条款的一部分，并对其进行了补充。如果客户在英国产生的个人数据被客户转移到未在《英国数据保护法》下被认为提供充分保护水平的国家，则双方同意，该传输将由附件条款以及本附件的补充条款进行管辖。
对本附件的解释
3.当本附件使用附件中定义的术语时，这些术语应具有与附件中相同的意义。此外，以下术语具有以下含义
| 本附件 | 附件条款的补充本附件 |
| 附件 | 欧盟执行决定（EU）2021/914号附件中规定的标准合同条款 |
| 英国数据保护法 | 适用于英国的数据保护、个人数据处理、隐私和/或电子通信的所有现行法律，包括英国通用数据保护条例和2018年数据保护法。 |
| 英国通用数据保护条例 | 根据2018年欧盟（脱离）法第3条，英国通用数据保护条例作为英格兰、威尔士、苏格兰和北爱尔兰法律的一部分。 |
| 英国 | 大不列颠及北爱尔兰联合王国 |
4.本附件应根据英国数据保护法的规定进行阅读和解释，以便其能够满足根据英国通用数据保护条例第46条要求的适当保障。
5.本附件不应以与英国数据保护法规定的权利和义务相冲突的方式解释。
6.任何对立法（或立法的具体条款）的提及均意味着立法（或具体条款）在时间上可能发生变化。这包括在此附件签署或签署后，该立法（或具体条款）已合并、重新制定和/或替换的情况。
层级
7.在出现本附件与条款或双方之间在签署或签署后存在的其他相关协议之间的冲突或不一致时，应优先考虑为数据主体提供最大保护的规定。
条款的纳入
8.本附件纳入的条款，在必要范围内视为已修改，以便它们能够
(a)在数据出口方向数据导入方进行的数据传输中，在适用英国数据保护法的情况下；
(b)根据英国通用数据保护条例提供适当的保障。
9.第8条以上所需进行的修改包括（但不限于）
（a）对“条款”的提及指本补充协议，因为它包含了这些条款
（b）将第6条“转让的描述”替换为
“转让的详细情况以及特别是被转移的个人数据的类别和转移的目的，如附件I.B中规定的，在执行该转让时，英国数据保护法适用于数据出口者的处理。”
（c）对“欧盟法规（EU）2016/679”或“该法规”的提及替换为“英国数据保护法”，对“欧盟法规（EU）2016/679”的具体条款的提及替换为英国数据保护法的等效条款或部分。
（d）删除对法规（EU）2018/1725的提及。
（e）将“联盟”、“欧盟”和“欧盟成员国”的所有提及替换为“英国”。
（f）第13(a)条和附件II的C部分不予使用；“有权监督的当局”是信息专员。
（g）第17条被替换为声明“本条款受英格兰和威尔士法律管辖”。
（h）第18条被替换为声明
“任何因本条款产生的争议应通过英格兰和威尔士的法院解决。数据主体还可以在英国任何国家的法院对数据出口者和/或数据进口者提起法律诉讼。各方同意服从此类法院的管辖权。”
