SAS® Institute Inc. 托管服务隐私政策
隐私承诺
SAS（“SAS”、“我们”）提供托管服务，包括软件即服务 (SaaS)、企业托管、远程托管服务和其他分析解决方案，并有相应的主题专家负责管理这些解决方案。我们向世界各地的组织（“您”）以及您的员工、消费者、患者和学生（“数据主体”）提供这些解决方案。
我们高度重视数据主体的隐私。本政策描述并解释了 SAS 的相关实践以及我们如何保护用户隐私、遵守适用法律和履行自身义务。此外，本政策还说明了您在使用、访问和更正数据主体个人数据方面的选择，以便您更好地了解 SAS 的相关实践，并确保这些实践与您向数据主体提供的任何隐私声明相一致。
跨境数据传输
由于我们的业务遍布全球，某些数据接收方可能位于欧洲经济区 (EEA)、瑞士或英国以外的国家/地区，这些国家/地区无法提供欧洲经济区、瑞士和英国数据保护法规定的适当数据保护，因此在 SAS 关联方之间或向位于上述其他国家/地区的第三方传输数据时，将以允许的法定减损为基础，遵循欧盟标准合同条款 (SCC)（以及相应的瑞士附件和英国附录，视情况而定），或采用欧洲经济区、瑞士或英国当局发布或批准的任何其他有效数据传输机制。某些第三国已正式获得欧洲经济区、瑞士和英国当局认可，可以提供足够保护，因此无需采取进一步的保护措施。
SCC 是一个经欧盟委员会预先批准的合同条款模板，规定了合法的数据传输机制。SAS 依据欧盟委员会和欧洲数据保护委员会的指导准则使用这些 SCC 和采取补充措施。这些 SCC（已更新）以及相应的瑞士附件和英国附录是 SAS 与客户、子处理商和合作伙伴（如适用）签订的 SAS 数据处理协议 (DPA) 的组成部分。SAS 的 DPA 条款适用于将您（数据输出方）在欧洲经济区 (EEA)、瑞士和/或英国的个人数据传输至 SAS 及其位于第三国的关联方（数据输入方）的情况。
《欧盟-美国数据隐私框架英国扩展》和《瑞士-美国数据隐私框架》
SAS 的托管服务环境符合美国商务部制定的《欧盟-美国数据隐私框架》(EU-US DPF)、《欧盟-美国数据隐私框架英国扩展》和《瑞士-美国数据隐私框架》(Swiss-US DPF)。
- SAS 已向美国商务部证明，其托管服务环境在根据《欧盟-美国数据隐私框架》处理从欧盟收到的个人数据方面，以及根据《欧盟-美国数据隐私框架英国扩展》处理从英国（和直布罗陀）收到的个人数据方面，均遵守《欧盟-美国数据隐私框架》原则（EU-US DPF 原则）。
- SAS 已向美国商务部证明，其托管服务环境在根据《瑞士-美国数据隐私框架》处理从瑞士收到的个人数据方面，遵守《瑞士-美国数据隐私框架》原则（Swiss-US DPF 原则）。
如果本隐私政策中的条款与《欧盟-美国数据隐私框架原则》和/或《瑞士-美国数据隐私框架原则》有任何冲突，应以后者为准。要了解有关数据隐私框架计划的更多信息并查看我们的认证，请访问 https://www.dataprivacyframework.gov。
SAS 负责根据数据隐私框架在其托管服务环境中处理收到的个人数据，以及随后传输给第三方代理的个人数据。对于欧盟、英国和瑞士个人数据的所有再传输，SAS 托管服务环境均遵守数据隐私框架原则，包括再传输责任条款。
联邦贸易委员会对 SAS 托管服务环境是否符合《欧盟-美国数据隐私框架》、《欧盟-美国数据隐私框架英国扩展》以及《瑞士-美国数据隐私框架》具有裁判权。某些情况下，SAS 可能需要根据政府部门的合法要求，包括国家安全或执法要求，披露托管服务环境中的个人数据。
根据《欧盟-美国数据隐私框架》、《欧盟-美国数据隐私框架英国扩展》和《瑞士-美国数据隐私框架》，SAS 承诺将 SAS 在其托管服务环境中根据《欧盟-美国数据隐私框架》、《欧盟-美国数据隐私框架英国扩展》和《瑞士-美国数据隐私框架》处理个人数据有关的未解决投诉提交位于美国的替代争议解决提供商 TRUSTe 进行解决。如果您没能及时收到 SAS 有关您的数据隐私框架原则投诉的回执，或者如果我们没能对您的投诉给出令您满意的解决办法，请访问 https://feedback-form.truste.com/watchdog/request 了解更多信息或提出投诉。该等争议解决服务无需您支付任何费用。
对于其他任何数据隐私框架机制都无法解决的数据隐私框架合规性投诉，某些情况下，您可以请求强制仲裁。详细信息请访问数据隐私框架官方网站。
处理的数据和处理目的
SAS 托管服务会收集和处理两种个人数据：Customer 信息和 Client 信息。
Customer 信息指我们从您那里或您指示的第三方处收到的有关您的数据主体的信息。我们只会收集您提供给我们、指示我们收集或向您提供服务所需的 Customer 信息。Customer 信息可能包括不同类型人员的个人数据，包括：消费者、员工、患者、学生、捐赠者、志愿者、业务客户、供应商和其他业务合作伙伴。此类个人数据可能包括姓名、通信地址、电子邮件地址和电话号码等基本联系信息，以及财务信息、个人健康信息、临床试验数据、人口统计信息、购物信息、市场研究信息、员工绩效和学生成绩信息等较为敏感的个人数据。SAS 可按您的指示，获取您上传到我们产品、通过在线或离线机制发送给我们或指示我们从第三方信息收集机构（如 Dun & Bradstreet）收集的任何类型的个人数据。
我们假设，作为数据控制者，您有义务告知您的 Customer 信息中可能包含的个人数据所属的个人您所收集的个人数据和收集数据的目的，征得必要的许可，同意我们处理其个人数据，并确保这些个人数据对于预期用途而言可靠、准确、完整且为最新数据。我们与我们处理的 Customer 信息中包含的个人数据所属的个人没有直接关系。
我们仅会出于为您提供服务的目的收集和处理 Customer 信息，并遵守我们与您签订的协议。某些情况下，我们可能在您提供的 Customer 信息之外，使用其他来源的信息加以补充，但仅限于您明确要求且我们同意的情况。补充信息将仅用于为您提供服务。我们将在与您签订的协议中规定的期限内保留 Customer 信息，或在履行我们的法律义务、解决争议或执行我们的协议所需的更长期限内保留 Customer 信息。
Client 信息指贵组织中与 SAS 托管服务及其系统互动的人员（如客户经理和用户）有关的个人数据。Client 信息通常仅限于姓名、工作邮箱地址、工作电话号码和职位。我们通过在线表格、电子邮件、电话和您采用的其他书面方式收集 Client 信息。我们使用 Client 信息支持您的账户、维护我们与您的业务关系、回复您的询问并执行会计核算。
Client 信息也可能包括用户信息。用户信息指由与我们系统交互的计算机生成的信息。用户信息可通过以下方式收集：
- Web 服务器日志/网站分析。管理网站的过程中，我们通过 Web 服务器日志维护和跟踪网站使用情况，并可能使用网站分析工具查看日志信息。这些日志提供的信息包括：访问我们网站的浏览器类型、访问请求来自哪个国家/地区、哪些页面流量较高以及我们的服务器在一天中的哪些时间段负载较大。我们利用这些信息改进网站内容和导航功能。
- Cookies 及其他跟踪技术。包括“Cookie”在内，跟踪技术有很多种，我们可以利用这些技术在网站上提供定制信息。Cookie 是一种数据元素，网站可将其发送至您的浏览器，然后可将其存储到您的系统中。某些 SAS 托管服务系统可能会使用 Cookie 进行身份验证和安全保护，和/或者记住用户设置，以便在您再次访问这些系统时为您提供更好的服务。使用这些系统即表示您同意我们在您的系统中放置此类 Cookie。您可以设置浏览器发出 Cookie 提醒，以便您选择是否接受。您可以单独设置单个浏览器 Cookie 的使用。有关详细信息，请参阅您的 Web 浏览器提供的用户信息。如果拒绝接受 Cookie，您仍然可以使用 SAS 托管服务系统，但系统某些功能或区域可能受限。
我们还可能使用用户信息帮助我们预防和检测安全威胁、欺诈或其他恶意活动，根据使用情况管理订阅服务的收费，并确保我们产品和服务的正常运行。
此外，SAS 还可能将 Customer 信息和 Client 信息用于以下目的：
- 维护和升级系统。我们的技术人员可能需要定期访问服务数据，其中可能包含 Customer 信息或 Client 信息，用以监控系统性能、测试系统以及开发和实施系统升级。这一过程中出于需要而创建的此类服务数据的任何临时副本，仅在此种目的所需的合理期限内保存。
- 排除故障和修复问题。有时我们可能会为我们的程序和服务开发新版本、补丁、更新和其他修复程序，例如修复新发现漏洞的安全补丁。根据您所订购服务的条款，我们可能在用户监督的情况下远程访问用户的计算机，排除故障。
- 满足法律要求。如果 SAS 单方面认为，为保护我们的权利或满足政府要求，需要披露数据，可能会根据法律规定的报告、披露或其他法律程序要求提供个人数据。
第三方网站
如果您提出要求且 SAS 同意，可配置 SAS 托管服务系统，允许您和您的用户访问其他第三方网站，这些网站的隐私保护措施可能与 SAS 不同。如果您或您的数据主体向上述任何网站提供个人数据，则这些数据受此类网站的隐私声明管辖。建议您和您的数据主体仔细阅读您或您的数据主体通过我们的系统访问的任何其他网站的隐私声明。根据您所在的国家/地区，您可能拥有以下权利或选择权：(1) 限制或反对处理数据；(2) 接收数据并将其传输给其他公司；(3) 撤销任何同意；和/或 (4) 向监管机构投诉。
数据访问和更正；限制使用和披露
欧盟《通用数据保护条例》(GDPR)、瑞士《联邦数据保护法》和英国《通用数据保护条例》/《数据保护法》规定，数据主体有权访问组织持有的有关其本人的个人数据，具体而言，数据主体有权：(1) 确认有关其本人的个人数据是否被处理；(2) 获取数据，以便其核实数据的准确性和处理的合法性；以及 (3) 更正、修改或删除数据。
关于 Customer 信息，我们假设，作为数据控制者，您有义务为您的数据主体提供途径，供其访问他们的数据以及请求更正、修改或删除这些数据。在目前的业务模式下，我们与您的数据主体没有直接互动，因此，他们无法直接向我们提出此类请求。如果您是 SAS 托管服务的客户，收到了来自我们所托管个人数据的数据主体提出的此类请求，希望我们协助回复该请求，请联系我们的隐私办公室：privacy@sas.com 或 Legal Division/Privacy Officer, SAS Campus Drive, Cary, NC 27513。我们将在收到请求后 30 天内做出答复。
关于 Customer 信息，我们假设，作为数据控制者，您有义务获得数据主体的适当许可，允许将其数据传输给我们，并交由我们处理，向您提供约定的服务，以及根据本政策和我们与您签订的协议向第三方披露其数据。我们不会出于营销目的与第三方分享、出售、出租或交易我们收集的任何 Customer 信息，除非您指示并适当授权。如果数据主体不再希望您或 SAS 按您的指示与之联系，请通知数据主体直接与您（作为 SAS 客户）联系。
关于 Client 信息，某些 SAS 托管服务系统允许用户访问、修改或更正自己的个人数据。如果不允许，您或您的用户如果想要请求访问或更正 Client 信息，请联系我们的隐私办公室，电子邮件地址：privacy@sas.com；或法律部/隐私保护官，地址：SAS Campus Drive, Cary, NC 27513。我们将在收到请求后 30 天内做出答复。
您可以根据“欧盟内部原则”选择使用云环境。即您可以提出请求并经双方书面约定，使 SAS 为托管服务提供的云环境（物理和逻辑 IT 基础设施）位于欧盟境内。我们的标准设置（取决于所部署的云基础架构提供商）是利用法兰克福（德国）或都柏林（爱尔兰）周边的基础设施，在当地设立一个可用区 (AZ)。目前，当 SAS 为纯欧盟客户（要求提供“纯欧盟”资源的客户）提供客户云服务时，不会将客户数据转移或存储到欧盟和约定的可用区以外的地方。与可用区相关的备份设施也位于欧盟境内。
我们不会出于与本政策中所述目的存在重大差异的目的，或随后授权，未允许数据主体选择拒绝使用或披露的情况下，使用或披露 Client 信息。
数据安全性
我们会采取合理措施保护个人数据免遭丢失、滥用和未经授权的访问、披露、篡改和破坏。我们采取的部分安全措施如下：
- 安全政策。我们会根据记录在案的安全政策设计并支持我们的产品和服务。我们每年都会对政策合规性进行评估，并对政策和实践进行必要改进。
- 员工培训和责任。我们采取了一些措施来降低人为错误、盗窃、欺诈和我们设施遭到滥用的风险。我们会对员工进行隐私和安全政策培训，并要求员工签署保密协议。另外，我们指派专人负责管理我们的信息安全计划。
- 访问控制。我们仅限获得授权者访问 Customer 信息。如果发生工作变动或离职，我们会终止相关访问权限。
- 数据加密。SAS 要求您与 SAS 之间所有非公开 Customer 信息（包括敏感个人数据和登录凭证）的电子传输均通过加密连接完成。
有关我们安全措施的更多信息，请访问有关技术和组织安全措施 (TOMS) 的 SAS 信托中心网站：信托中心 - TOMS。
如果我们确认您的 Customer 信息遭到未经授权的个人访问或使用，我们将联系您的指定代表，协调应对。如果您对您的个人数据安全有任何疑问，可通过 privacy@sas.com 或法律部/隐私官（地址：SAS Campus Drive, Cary, NC 27513）与我们联系。
我们会在实现本政策目的所必要、我们的政策所规定，以及适用法律要求或允许的任何期限内保存您的个人数据。
再传输第三方
SAS 可能会在必要时向业务合作伙伴和分包商披露个人数据，以便其向我们提供服务和履行其他要求的服务，或满足其他适当的合法业务需求。这些公司仅会在向我们提供这些服务的必要情况下使用您的个人数据。我们还可能出于与本政策所述目的相符的目的，并根据我们与您签订的协议，向其他 SAS 实体和/或业务方披露您提供的个人数据。除非根据您的指示并经您授权，否则我们不会出于本政策所述目的以外的目的向第三方披露个人数据。个人数据的披露将依据 SCC 和数据再传输相关的数据保护法。我们不会向他人出售、出租或租赁您的个人数据。
必要时，我们还可能在出售或转让全部或部分业务时向第三方披露个人数据。这种情况下，我们将要求数据接收方按照本政策保护数据，或采取其他措施确保个人数据得到适当保护。如果 SAS 出售或转让全部或部分业务，我们将通过电子邮件和/或在我们网站的显著位置发出通知，告知您 SAS 对您个人数据的所有权或使用权的任何变更，以及关于您的个人数据您所拥有的选择权。
SAS 还可能在法律要求或允许的情况下披露个人数据，例如应政府部门的合法要求，包括满足国家安全或执法要求，或者我们单方面认为披露个人数据对于保护我们的权利或遵守司法程序、法院命令、执法要求或其他法律程序是必要或适当的。
作为一家跨国企业，SAS 在全球超过 80 个国家/地区拥有子公司和业务伙伴，技术系统遍布多国。SAS 托管服务收集的个人数据可能会跨州和跨境传输，在美国或 SAS 或其子公司、关联方或业务部门设有设施的任何其他国家/地区进行存储或处理，以便进行数据整合、存储和信息管理。使用我们的系统即表示贵组织同意将任何此类信息传输到贵组织所在国家/地区以外的地区。某些国家/地区对您个人数据的法律保护力度可能较弱，因此 SAS 及其子公司、关联方和业务部门将统一以此处所述的方式处理我们系统收集到的个人数据。我们的隐私保护措施旨在为您的个人数据提供全球保护。
咨询和投诉
如果您对本政策或我们对您个人数据的处理有任何问题或疑虑，请发送电子邮件至 privacy@sas.com 或寄送普通邮件至：
SAS Institute Inc.
Legal Division/Privacy Officer
SAS Campus Drive
Cary, NC 27513
我们将尽快给您答复。
本政策的变更
我们保留随时修改本政策的权利。如果只是细微修改，可能不会通知您。如果进行重大修改，我们将提前 30 天通知您指定的通知对象。您应随时更新我们存档的指定代表联系信息。
生效日期：2017 年 7 月 7 日
最新修订日期：2023 年 10 月 1 日