我们提供此注释的目的是回答客户询问我们的有关 GDPR 的常见问题。  它并非（而且不打算）授予法律建议 － 您应始终咨询自己的独立法律顾问来了解 GDPR 下的法律责任。

1. 数据保护法律是什么？
2. 《一般数据保护条例》是什么？
3. GDPR 适用于何人？
4. 什么是数据控制人和数据处理人？
5. 艾利丹尼森是否遵守 GDPR？
6. 艾利丹尼森收集哪些类型的个人数据？
7. 艾利丹尼森是否是控制人或处理人？
8. 艾利丹尼森处理个人数据的合法基础是什么？
9. 数据主体拥有哪些数据保护权利？
10. 是否会在欧洲以外传输客户个人数据？
11. 艾利丹尼森实施了哪些数据传输解决方案？
12. 艾利丹尼森应用哪些安全措施来保护个人数据？
13. 如有其他问题，我可以联系何人？

1.    数据保护法律是什么？

○      1.1   数据保护法律是支配企业收集、使用和分享个体个人数据的方式的一组法律。  除了其他方面，这些法律要求企业公平、合法地处理个体的个人数据，允许个体行使有关个人数据的合法权利（例如访问、纠正或删除个人数据），以及实施相应的安全保护措施，以便保护他们处理的个人数据。

2.    《一般数据保护条例》是什么？

○      2.1   一般数据保护条例（“GDPR”）（条例 (EU) 2016/679）是从 2018 年 5 月 25 日起适用的欧洲最新数据保护法律。  GDPR 是按照指令对现行数据保护规则进行的重大调整，艾利丹尼森与许多组织一样，正在采取措施确保新法律生效时 GDPR 相关工作准备就绪。

○      2.2   GDPR 旨在更新欧洲的现有数据保护规则，确保适应二十一世纪。  除了其他方面，它协调整个欧盟成员国的数据保护规则、介绍对数据处理人的新要求（现行法律仅适用于数据控制人）、增强个体的隐私权利（推出被遗忘的新权利和数据可移植性），并且针对不合规制定了严厉惩罚措施（包括高达全球每年营业额 4% 的潜在罚款）。

3.    GDPR 适用于何人？

○      3.1   GDPR 适用于在欧盟范围内成立的任何组织（例如在欧盟拥有子公司或分支机构）。  它同样适用于以下任何非欧盟组织：

■      (a)   向欧盟的个体提供商品或服务（包括免费商品和服务）；

■      (b)   监控欧盟个体的行为（例如，通过使用广告或分析技术）。

4.    什么是数据控制人和数据处理人？

○      4.1   数据控制人是决定“处理目的和手段” － 或者通俗地说，处理个人数据的方式和原因 － 的实体。  数据处理人仅代表数据控制人和按照数据控制人的指示处理个人数据。

5.    艾利丹尼森是否遵守 GDPR？

○      5.1   与任何负责任的组织一样，艾利丹尼森旨在遵守适用的数据保护法律。  艾利丹尼森在欧盟拥有设施，因此直接服从 GDPR 约束。

6.    艾利丹尼森收集哪些类型的个人数据？

○      6.1   我们主要处理有关员工的个人数据和与我们存在业务关系的客户、供应商和其他个体的相关业务联系数据。 我们还通过网站收集个人信息，有关更多信息，请参阅网站隐私声明。 我们处理的信息可能包括有限数量的敏感个人数据，我们按照法律谨慎保护我们掌握的所有个人信息。

7.    艾利丹尼森是否是控制人或处理人？

○      7.1   在向客户提供服务时，艾利丹尼森同时作为数据控制人和数据处理人处理数据。

8.    艾利丹尼森处理个人数据的合法基础是什么？

○      8.1   艾利丹尼森只能在可以证明具有合法处理理由时（例如依据合法利益）才能处理个人数据，在此情况下，处理数据需要遵守法律义务或者征得个人信息被处理的个体的同意。

9.    数据主体拥有哪些数据保护权利？

○      9.1  按照 GDPR，个体可以针对数据控制人行使以下权利：

■      (a)  请求访问所处理的相关个人信息和要求提供副本的权利；

■      (b)  纠正所处理的有关他们的任何不准确或过期个人信息的权利；

■      (c)  反对处理个人信息的权利；

■      (d)  请求擦除个人信息的权利 － 例如，最终用户可能希望删除他们的数据；

■      (e)  请求限制处理个人信息的权利 － 例如可以借助浏览器中的“不跟踪”选项支持此项权利；

■      (f)   不受显著影响他们或者在法律上影响他们的自动决策约束的权利。

○      9.2  艾利丹尼森实施各种程序，确保作为数据控制人按照 GDPR 处理向其提出的所有此类请求。 请单击此处提交您的请求。  对于艾利丹尼森作为数据处理人的数据，艾利丹尼森将把收到的任何此类请求转发给相关控制人进行答复。

10.  是否会在欧洲以外传输客户个人数据？

○      10.1  如果我们的客户位于欧洲以外地区，则为“是”－ 理所当然！

○      10.2  除此之外，请注意艾利丹尼森是一家总部位于美国的公司，在欧盟设有附属机构。  客户个人数据可能在欧洲以外（包括美国）传输，并且按照 GDPR 要求执行数据传输。  我们还与帮助我们管理和提供服务的国际服务提供商合作；但是，他们遵照严格的合同条款，确保保护客户个人信息的隐私和安全。

11.  艾利丹尼森实施了哪些数据传输解决方案？

○      11.1  艾利丹尼森目前正努力实施企业约束规则，组织各个艾利丹尼森实体之间的数据流。

12.  艾利丹尼森应用哪些安全措施来保护个人数据？

○      12.1  艾利丹尼森承诺确保个人数据安全。  艾利丹尼森实施相应的技术和组织安全措施来保护个人数据，防止以下情况发生： (i) 意外或非法销毁；(ii) 丢失、篡改、未经授权披露或访问。

13.  如有其他问题，我可以联系何人？

○      13.1  如果您对艾利丹尼森遵守欧盟数据保护要求或 GDPR 存有任何其他问题，请联系 GDPR.info@averydennison.com。