隐私：数据隐私原则与合规

2021 年 6 月

技术改变了我们的生活方式和商业模式。我们在网上交流、购物和娱乐，所有这些都是通过工作流、供应链和媒体的数字化来实现的。每次新交易都会生成数据，从而创建一个在互联网上漫游的数字身份。但是，就像我们在现实环境中也需要有所防护一样，我们也需要保护我们的数字身份。

全球数据隐私法律对处理个人信息（包括用于构建数字身份的数据）的公司提出了各种具体要求。作为混合云数据管理领域的权威企业，NetApp 长期致力于保护每个 NetApp 用户的隐私权。我们全面的方法使客户能够控制数据的收集、使用和存储。我们秉承旨在保护数据隐私权利的企业政策、程序和标准。我们提供的技术使客户能够保护其员工、合作伙伴和顾客的隐私并遵守全球众多数据保护法律。

NetApp 的数据隐私始于我们的隐私原则，而隐私原则以我们的行为准则为基础，并有合同承诺和约束性企业规则作为后盾。我们的原则建立在普遍接受的隐私原则之上，例如透明度、法律合规性、安全保障和问责制。这些原则规定了我们的产品和服务如何管理和保护个人数据。我们力求在处理数据跨境移动的方式以及用于确保履行承诺的服务控制方面保持透明。

数据隐私和保护以基本原则为基础，这些原则又是全球隐私法律的基础。按照设计，NetApp 的产品和服务遵守数据保护和隐私法律法规，例如 GDPR 和 CCPA。

NetApp 的隐私原则以我们的行为准则为基础，以我们的约束性企业规则和合同承诺为后盾，用于规范我们的产品和服务如何管理和保护个人数据。NetApp 将隐私原则建立在 GDPR 等数据隐私法律的基本原则的基础上，并与经济合作与发展组织 (OECD) 等组织制定的原则保持一致。通过以数据隐私的基本原则为首要目标，NetApp 设计了一个可扩展的隐私计划来满足不断发展的全球法律环境的要求。

NetApp 承诺遵守约束性企业规则 (BCR) 中的数据隐私与保护的通用原则。我们的 BCR 定义了处理个人信息的企业惯用方法，这些规则明确规定了数据如何跨境移动，包括从欧盟向其他国家/地区传输数据。

BCR 需要全面数据隐私与安全计划（从政策和培训到治理和审计）的支持。在 GDPR 生效后，我们修改了我们的 BCR 以满足 GDPR 对 NetApp 作为控制者的要求，并针对我们作为客户数据处理者所进行的活动提出了新的 BCR。

加州消费者隐私法案 (CCPA) 规规定了加州居民（在法律上称为消费者）控制其个人信息的权利。于 2023 年 1 月生效的加州隐私权法案 (CPRA) 扩大了消费者的个人权利，包括创建一类新的敏感个人信息。它还为处理个人信息的实体规定了新的义务。

这两项法律的许多要求与 GDPR 有着共同的基本原则，在遵守 CCPA 和 CPRA 的同时，NetApp 也实施了 GDPR 合规性实践。但是，在我们的隐私政策中所述的某些必需披露方面存在明显差异。

NetApp 产品和服务的功能要么具有内置功能，要么启用了使我们的客户能够遵守这两项加州法律的配置。例如，在某些情况下，消费者访问、删除和修改 NetApp 所收集信息的权利可以通过自助访问 NetApp 服务来实现。 

数据隐私是数据驱动型环境中保障措施的主要驱动因素之一，作为混合云数据管理领域的权威企业，我们始终秉承全面的 GDPR 合规战略。NetApp 提供一套强大的产品和服务，并且有相应的功能来帮助遵守 GDPR 或者为客户提供有关如何实施这些产品和服务来遵守该规定的选项。例如，GDPR 针对跨境数据传输设定了限制和条件。如果客户确定其数据不能离开给定的司法管辖区，NetApp 将启用一些功能，帮助确保仅在指定区域内处理数据。

现代跨国企业希望无论企业位于何处、员工或客户身在何处，都能获得数据。在不同地理位置之间从容地传输数据的能力对于建立和维护全球业务至关重要。但是，如果所传输的数据是个人信息，则必须采取额外的保护措施以确保数据主体的隐私得到充分保护。

NetApp 产品和服务为保护数据隐私和管理其地理位置提供了许多选项。我们将保护个人信息的承诺纳入约束性企业规则中，我们对该规则进行了更新以反映 GDPR 要求。此外，我们还提供标准合同条款以进一步保证数据的传输方式。这些条款中的每一项都有行政、技术和运营保障措施作为后盾，这些保障措施会定期进行合规性评估。