服务提供商数据保护标准 (SPDPS)
最后更新日期：2021 年 5 月
在希尔顿，我们非常重视保护与客户、员工、独立承包商和服务商相关的个人信息。向希尔顿国内运营公司（特拉华州公司）、或其任何直接或间接子公司、拥有或管理酒店、合伙企业或合资企业（单独的或者合称为“希尔顿”），或通过希尔顿为其特许经营商的利益，提供商品或服务的所有个人或组织（“服务商”），必须信守和履行本服务提供商数据保护标准中阐明的原则（“标准”）。希尔顿与服务商之间的协议（“协议”）引用了该标准或者标准被附加或纳入协议，标准构成协议的一部分。如果标准与协议之间存在冲突，则应以标准的内容为准，除非协议规定了更严格的标准。
1.定义。
- “生物识别数据”是指与个人的物理、生理或行为特征相关的特定技术处理产生的个人信息，该信息承认或确认该个人的唯一身份。
2. “持卡人数据”指：(i)就支付卡而言，账户持有人的姓名、账号、安全码、卡片验证码/值、服务码（即，磁条上跟特定的接受要求有关的，以及对磁条读取交易进行限制的三或四位数字码），PIN码或PIN数据块，有效起止日期，和磁条数据；以及(ii)可识别特定账户的、与支付卡交易相关的信息和数据，无论该交易是否是使用实体卡片进行的。
3. “数据保护要求”统指与数据隐私、数据安全、个人数据、跨境数据流和数据保护有关的所有适用于服务商处理个人信息的法律和法规，包括但不限于欧洲议会和2016年4月27日理事会（欧盟）2016/679号条例（一般数据保护条例（“GDPR”））。
4. “数据保障”系指本标准第9条所述（可根据本标准修改）的行政管理、运营、组织、技术和物理保障。
5. “基因数据”系指与个人遗传或获得的遗传特征有关的个人信息，该遗传或获得的遗传特征能提供有关该个人生理或健康的独特信息，特别是通过对该个人的生物样本进行分析而得到的信息。
6. “健康数据”系指与自然人的身体或精神健康有关的个人信息，包括提供医疗保健服务，这些信息会透露自然人的健康信息。
7. “恶意软件”是指计算机软件、代码或指令：(a)通过更改、破坏、干扰或阻止计算机、电信或其他数字运行或处理系统或环境的运行、安全性、可用性或完整性，包括但不限于其他程序、数据、数据库、计算机库、计算机和通信设备的运行、安全性或完整性，对其产生不利影响；(b)没有人工干预的自我复制，而这种自我复制缺乏功能目的；(c)声称执行有用的功能，但实际上执行破坏性、有害或未经授权的功能，或不执行有用的功能，并使用大量计算机、电信或内存资源；或(d)未经授权，收集和/或向第三方传输任何信息或数据，包括通常称为病毒、木马、逻辑炸弹、蠕虫和间谍软件的软件、代码或指令。
8. “个人信息”是指(i)可（单独或结合其他服务商控制范围内的信息）识别、定位或联系特定个人的任何信息，或者(ii)与已知身份或可识别身份的个人关联的信息。个人信息包括明显的个人身份数据元素，如姓名、住址、电子邮件地址，还包括不太明显的信息，如个人喜好、酒店住宿相关信息和来宾帐户信息、位置数据和线上识别符（这里只是举例说明，而非局限于此类信息）。个人信息还包括（但不限于）特定于个人的身体、生理、遗传、心理、经济、文化或社会身份的因素。个人信息可能涉及到客户、员工或其他人。个人信息可以存储于任何介质或采用任何格式，包括计算机化或电子记录以及纸质文件，其中又包括所有副本、片段及摘录，而且无论此类个人信息是否已混杂于其他信息或材料。就本标准而言，个人信息只包括如下信息：(i)由希尔顿或代表希尔顿提供给服务商的个人信息；或(ii) 与提供服务相关的、由服务商获得、使用、访问、拥有或以其他方式处理的个人信息。
9. “PCI 标准”是指支付卡公司集体或单独要求商户遵守的保护支付卡信息的数据安全标准，包括但不限于当前有效的和在协议期限内修改的支付卡业内数据安全标准。
10. “处理”系指对个人信息进行的任何操作或一组操作，无论是否通过自动方式进行，如收集、记录、组织、制定、存储、改编或修改、检索、咨询、使用、通过传输、传播或以其他可获取方式提供披露、校准或关联、限制、删除或销毁。
11. “服务商处理记录”指与服务相关的所有处理类别的书面记录，包括以下内容：(i)服务商和任何分包商的名称和联系方式，以及（如适用）服务商数据保护工作人员的名称和联系方式；(ii)服务商为希尔顿提供的处理类别；(iii)服务商传输个人数据的国家/地区列表（如果有）；(iv)服务商数据保护措施的说明。
12. “安全漏洞”是指(i)根据适用的数据保护要求，对于此类情况应当采取行动的任何情况，包括但不限于向受影响方、监管机构或数据保护机构发出此类泄露通知；或者(ii)任何实际、试图、怀疑、威胁或合理可预见的情况下威胁,或可以合理预期的威胁物理安全或系统安全（术语定义如下）的方式,或可以合理地预期允许未经授权地处理、使用、披露、获取或访问任何个人信息。“物理安全”系指由服务商或其代理或分包商维护的与服务相关的所有位置房屋系统的实体安全，或在服务商或其代理或分包商执行服务时使用的资产或物理媒体的物理运输过程中的实体安全。“系统安全”系指任何种类的计算机、电子或电信系统（包括数据库、硬件、软件、存储、交换和互连设备和机制）的安全；作为该等系统的一部分或与该等系统通信网络的安全性；服务商、其代理或分包商与服务相关的直接或间接使用的网络安全性。
13. “敏感个人信息”是指由于其性质已被适用的数据保护要求分类为应受额外隐私和安全保护的个人信息，包括（但不限于）：(i)与个人姓名相结合的该个人的：(A)社会保障号码、纳税人识别号码、护照或者其他旅行证件上的信息、驾驶证号码、或者政府、公共机构签发的其他身份号码，或者(B)财务账号；(ii)与个人的用户名相结合的密码、PIN或网上账户的访问码；(iii)持卡人数据；(iv)有关种族或族裔出身的资料；(v)有关政治观点、宗教或哲学信仰或工会成员资格的数据；(vi)基因数据；(vii)生物识别数据；(viii)健康数据；及(ix)有关自然人性生活或性取向的资料。
14. “服务”系指服务商提供给希尔顿的商品或服务，或通过希尔顿为其特许经营者的利益提供的商品和服务，如协议中进一步所述。
15. “分包商”系指由服务商聘请为服务商提供有关涉及个人信息处理的服务的实体，包括任何服务商关联方。
2.主旨事项和处理时间；个人信息的类型及性质。
在遵守数据保护要求和本协议的前提下，服务商将在本协议期限内处理与本协议中描述的服务相关的个人信息。服务商处理的个人信息的类型在协议中有所描述。如本协议所述，处理可能涉及希尔顿员工、客户和客人的个人信息，以及希尔顿公司客户、服务商和其他业务合作伙伴的业务联系信息。
3.处理的性质和目的；个人信息的所有权。
希尔顿有专有权利决定处理个人信息的目的。服务商处理个人信息的唯一目的是根据本协议提供服务。服务商在任何时候都不会获得任何个人信息的所有权、许可、权利或其他利益。正如GDPR中的术语定义，在希尔顿和服务商之间，个人信息始终是希尔顿的专有信息，希尔顿应是“控制者”，服务商应是“处理者”。
4.个人信息的使用与处理
服务商仅代表希尔顿处理个人信息，且仅按照希尔顿的书面明确指示处理，包括关于向第三方国家或国际组织传输个人信息，除非服务商受数据保护要求的指示；在这种情况下，服务商应在处理之前将该法律要求告知希尔顿，除非该数据保护要求基于重要的公共利益理由禁止提供此类告知。希尔顿在此指示服务商仅在提供本协议项下服务的必要时处理个人信息，并遵守本协议、本标准和数据保护要求。在任何情况下，服务商均不得：(a)使用个人信息推销其服务或其关联方或第三方的服务；(b)出售或出租个人信息；或者(c)另外为服务商、其关联方或任何第三方的自身目的处理任何个人信息。如果服务商认为指示违反了任何数据保护要求，则应立即通知希尔顿。
5.使用分包商
- 除非根据协议另有明确许可，否则在未经希尔顿书面同意的情况下，服务商不得在执行服务时使用分包商。
2. 如果本协议明确规定了服务商使用分包商的一般授权，则服务商应: (i)在服务开始前，应希尔顿的要求，及时向其提供参与提供服务的分包商名单，包括各分包商的身份、该分包商提供的服务、该分包商提供服务的地点以及希尔顿可能合理要求的其他信息；并且(ii)如拟增加或更换任何该等分包商（均为“分包商变更”），请书面通知希尔顿。希尔顿应有合理的一段时间反对任何分包商的变更。如果出现任何此类异议，除非服务商能够满足希尔顿的合理要求，否则服务商不得实施分包商变更。如果分包商的变更涉及“软件即服务”或多租户环境中提供的服务，而分包商的变更不能为单个客户单独实施，且提供方无法满足希尔顿的合理要求，希尔顿可终止本协议或适用的服务，无需承担任何责任（或支付任何终止或其他费用）。一旦终止，服务商将立即退还希尔顿在协议或服务剩余期限内的所有预付费用。
3. 如果服务商委托分包商代表希尔顿进行特定的处理活动，服务商应强制分包商履行希尔顿和服务商之间的数据保护义务。这些义务应根据适用的数据保护要求通过合同或其他法律行为强制执行，要求分包商提供足够的保证，使处理过程以符合适用的数据保护要求的方式实施恰当的技术和组织措施。服务商将始终对其分包商遵守这些标准负责。
6.个人信息披露
服务商将根据数据保护要求、本标准和协议对个人信息保密。除非是提供服务所必需，服务商不得向其任何关联方或任何第三方（包括但不限于任何分包商）披露个人信息。在向任何分包商或其他第三方披露任何个人信息之前，服务商应与该分包商或其他第三方签订书面协议，其中包括至少与本标准中规定具有同样限制性的义务。服务商还同意，应希尔顿的要求，提供服务商已经披露个人信息的所有关联方和第三方名单。服务商将始终对服务商、服务商关联方以及服务商向其披露任何个人信息的第三方在以上标准的遵守情况负责。服务商应确保其从事个人信息处理的人员获知个人信息的机密性，并已签署书面保密协议（或负有适当的法定保密义务）。服务商应确保该保密义务在该等人员的雇佣终止后继续有效。
7.法律程序下的披露
如果服务商被请求或要求（通过口头提问、询问、要求法律程序、传唤、民事调查要求或其他类似过程中的信息或文件）向第三方披露任何个人信息，若不符合适用法律，服务商不得披露个人信息。除非适用法律禁止，服务商应在收到请求的七十二(72)小时内向希尔顿提供请求或要求向第三方披露个人信息的书面通知，但在任何情况下，在信息披露之前，希尔顿可自费行使法律规定的权利，以阻止或限制此类披露。尽管有上述规定，服务商将行使商业上合理的努力阻止或限制任何个人信息的披露并保护个人信息的机密性，包括但不限于通过与希尔顿合作获得恰当的保护令或其他合理的保证，以确保对于服务商需要披露的任何个人信息，将给予保密处理。
8.个人信息的跨境转移
如第4条所述，服务商仅可在希尔顿事先书面同意并符合数据保护要求的情况下，将个人信息从一个国家转移到另一个国家。希尔顿可酌情决定，服务商将要求其任何代理商和/或分包商与希尔顿签订数据处理协议，其中应包含标准和与跨境数据传输有关的任何必要合同条款。如果代理商和/或分包商不同意数据处理协议，则服务商不得使用该代理商或分包商，而必须进行“分包商变更”。此类更改将受这些标准的第 5(b) 节约束。
1. 如果服务商将获得或访问源自欧洲经济区（“EEA”）、英国或瑞士的个人信息，则适用以下条款：
1. 如果服务商将来自英国的个人信息存储在英国或 EEA 之外，则服务商同意控制者和处理者之间的欧洲委员会标准合同条款（SCC）。如第 8（b）款所进一步论述的，SCC 通过引用而被纳入这些标准。
2. 如果服务商将源自 EEA 或瑞士的个人信息存储在 EEA 或瑞士之外，则服务商同意控制者和处理者之间的欧洲委员会标准合同条款（SCC）。如第 8(b) 款中进一步论述的，SCC 通过引用而被纳入这些标准。
1. 当第 8(a) 款适用时，控制者和处理者之间传输的 SCC 通过引用而被纳入（SCC 可在这里找到）。希尔顿和服务商同意 SCC，具体如下：
1. 希尔顿是控制者/数据输出者。服务商是处理者/数据输入者。
2. 根据 SCC 的第 5 条（数据输入者的义务）第 (c) 项，服务商作为数据输入者同意其已实施这些标准的第 9款（数据保障）中规定的技术和组织安全措施。“数据保障”构成了的技术和组织安全标准，作为 SCC 附录 2。
• 根据 SCC 的第 2 条（传输的详细信息），希尔顿和服务商同意协议和本标准的第 2-4 款中描述了传输的详细信息。传输的详细信息构成了 SCC 的附录 1。
1. 希尔顿和服务商同意，通过签署协议，他们也将签署根据本第8(b)款通过引用而被纳入并完善的 SCC。
1. 如果具有适用管辖权的法院令使用 SCC 作为传输个人信息的机制无效，希尔顿和服商将同意迅速实施合同语言和/或技术变更，以确保个人信息的传输是合法的。
1. 如果除 EEA、英国和瑞士以外的其他国家/地区采用类似于 SCC 的跨境数据传输条款，希尔顿和服务商将在必要时同意执行此类条款。
9.数据保障
- 服务商将采取、实施和保持适当的安全程序和行为，以防止未经授权的访问、获取、销毁、修改、使用或披露个人信息。这些程序和行为将至少符合本协议、标准和数据保护要求。所有此类程序和行为将考虑到个人信息的性质以及与此类个人信息相关的对应风险。
2. 与前述一致，服务商同意：
1. 采取、实施、保持和监控包含行政管理、技术和物理保护措施的书面信息安全程序，以(A)防止未经授权的访问、获取、销毁、修改、使用或披露个人信息；(B)确保处理系统和服务的持续机密性、完整性、可用性和回弹性；(C)确保在发生物理或技术事故时，能够及时恢复个人信息的可用性和可访问性；
2. 定期进行风险评估，以确定和评估可合理预见的内部和外部风险，以确保电子、纸质和其他包含个人信息的记录的安全性、保密性和完整性，并在有需要时评估及改善其保障措施的成效，以限制此类内部及外部风险；
3. 采取合理措施，确保所有获取个人信息的服务商雇员、代理商和分包商的信誉；
4. 确保其信息安全程序包括行业标准密码、防火墙、操作系统、防病毒和恶意软件保护，以保护存储或其他在计算机系统上处理的个人信息；
5. 使用行业标准加密工具对所有包含如下信息的记录和文件进行加密：(A)包含服务商通过无线或公共网络传输或发送的个人信息；以及(B)包含服务商的敏感个人信息：(1)储存在笔记本电脑或存储媒体上；(2)存储在便携设备上；及(3)存储在传输到服务商物理或逻辑访问控制之外的任何设备上；并保护与加密个人信息相关的所有加密密钥的安全性、机密性和完整性；
6. 维护应急事件响应程序，该程序载明在有理由相信可能已经存在或已经发生安全漏洞时，服务商应采取的行动；
7. 执行数据保护要求或协议中规定的其他安全措施。
8. 如果服务商处理与服务相关的持卡人数据，则应遵守与持卡人数据相关的PCI标准。根据本协议中规定的服务商义务，服务商承认其有责任保护与履行服务有关的持卡人数据的安全。服务商进一步声明并保证其不会采取任何损害希尔顿遵守PCI标准的行为。
9. 如果服务商直接或通过其任何代理或分包商连接到希尔顿的计算系统和/或网络，则：(A)所有服务商与希尔顿计算系统和/或网络的互连，以及所有尝试都将仅通过希尔顿的安全网关/防火墙进行；(B)未经希尔顿授权，服务商不得访问，也不得允许任何其他人或实体访问希尔顿的计算系统和/或网络；(C)如果希尔顿允许提供方访问其计算系统和/或网络，服务商只能访问希尔顿授权的计算系统和/或网络；以及(D)服务商的系统连接到希尔顿的系统或网络，以及那些服务商系统，如果受到威胁，可能会影响希尔顿计算系统或网络的安全性、保密性、完整性或可用性，在访问希尔顿的任何计算系统和/或网络之前和访问时，将受到行业标准恶意软件检测/扫描程序的积极保护，该程序具有最新的防病毒定义。服务商同意希尔顿可以对其网络进行定期评估。如果对服务商网络的任何评估显示服务商或其代理或分包商的安全性不足，希尔顿除了可能采取的其他补救措施外，还可以暂停服务商、其代理或分包商访问希尔顿的计算系统和/或网络，直到安全问题得到希尔顿满意的解决。
3. 服务商同意: (i)作为雇佣或保留的条件，其员工和代理将被要求保护服务商持有的、或服务商通过其他方式获得的或服务商可访问的所有个人信息；(ii)有权获取或以其他方式接触个人资料的雇员及代理人将接受有关保障个人信息的适当培训；(iii)保持适当的访问控制，包括但不限于将访问个人信息的权限限制在为希尔顿提供商品和/或服务而需要访问个人信息的服务商员工和代理的最低数量；以及(iv)将对违反其信息安全政策和程序的行为采取适当的纪律处分措施。
4. 如果服务商处理任何包含个人信息的纸张或电子记录，服务商将根据信息的敏感性以适当的方式处理，以防止在处理过程中未经授权访问此类信息。根据要求，服务商将被要求向希尔顿证明所有形式的个人信息已按照本标准销毁。如果服务商无法证明，服务商应就其无法证明其遵守本处置要求提供书面解释。
5. 服务商应审查并酌情修订数据保障措施：(i)至少一年一次，或当服务商的商业行为发生重大变化，可能合理影响个人信息的安全性、保密性或完整性时；(ii)符合现行行业惯例；(iii)根据任何新的、修订的或重新解释的数据保护要求，以及(iv)按照希尔顿的合理要求。服务商同意不以削弱或损害个人信息的安全性、保密性或完整性的方式更改或修改其数据保障措施。
10.安全漏洞
如果可能，服务商同意在发现安全漏洞（包括存在恶意软件）后立即通过ISC@Hilton.com通知希尔顿。如果服务商未能在发现安全漏洞（包括存在恶意软件）后立即通知希尔顿，服务商应在发现安全漏洞后七十二 (72) 小时内通知希尔顿。在提供此类通知后，服务商应(i)立即调查安全漏洞，包括采取根本原因分析，并向希尔顿报告其发现，(ii)向希尔顿提供由希尔顿自行决定批准的补救计划，以解决安全漏洞并防止任何进一步的事故发生；(iii)根据希尔顿批准的补救计划对此类安全漏洞进行补救；(iv)进行取证调查，以确定哪些系统、数据和信息受到了安全漏洞的影响；(v)配合希尔顿执行其安全事故响应计划，并对安全漏洞进行调查；(vi)遵守希尔顿对服务商的要求，与执法或监管官员、信用报告公司或信用卡协会合作，调查此类安全漏洞，并且(vii)随时向希尔顿通报此类安全漏洞的状况及所有相关事宜。服务商还同意提供所有希尔顿请求的合理协助和/或希尔顿指定的代表促进任何调查、修正和/或希尔顿对任何此类安全漏洞进行的补救，并应根据希尔顿的要求，补偿希尔顿所有因该等安全漏洞导致的或者相关的安全漏洞相关费用。如果根据数据保护要求或根据任何希尔顿的隐私或安全政策，需要向个人发出通知，则对受同一事件影响的所有个人（由希尔顿酌情确定）发出通知应被视为法律要求。安全漏洞相关费用包括希尔顿处理和应对安全漏洞相关的内部和外部费用，包括但不限于: (i)准备和邮寄或以其他方式发送法律要求的通知；(ii)准备、邮寄或以其他方式向受影响的个人、代理人或希尔顿认为合理适当的其他人发送此类通信；(iii)根据适用的数据保护要求或酌情合理的情况下，设立最长可达十二(12)个月或更长时间的呼叫中心；(iv)针对此类安全漏洞建立沟通程序（例如，客户服务常见问题解答、谈话要点和培训）；(v)公共关系及其他类似危机管理服务费用；(vi)与希尔顿调查和应对此类安全漏洞或存在的恶意软件相关的法律、取证和会计费用；以及(vii)商业上合理的信用报告、信用监视、身份保护、身份补救费用以及与法律要求的通知相关的类似服务费用，或根据适用的数据保护要求或酌情判断为合理的在十二(12)个月或更长时间内是可取的类似服务的费用。除非适用的数据保护要求另有要求，否则希尔顿应作出通知希尔顿的员工、客人、服务商、监管机构和/或公众此类安全漏洞，以及实施补救计划的最终决定。
11.投诉；调查
如果服务商收到任何直接或间接与提供方处理个人信息或希尔顿或服务商遵守与个人信息相关的适用法律或法规有关的投诉、通知或通信，服务商应立即通知希尔顿。应希尔顿的请求，如果此类投诉或调查与服务商处理个人信息有关，则服务商将在监管机构或数据保护机构或类似机构进行此类投诉或调查的情况下，向希尔顿提供协助和支持。该等协助将由希尔顿承担全部费用，除非投诉或调查源自对服务商行为或不作为的指控或调查，在这种情况下，该等协助将由服务商承担全部费用。
12.数据主体关于个人信息的请求
服务商应在收到任何要求访问、更正、修订或删除数据当事人（或声称为数据当事人）个人信息的请求后，应立即以书面通知希尔顿(“数据当事人要求”)。除非法律或法规另有要求或协议中另有规定，除非希尔顿明确授权，否则服务商不得直接响应此类请求，除非需要确认该请求与希尔顿有关。作为服务的一部分，服务商应配合并向希尔顿提供所有合理的协助，以响应和执行数据当事人的请求。
13.数据保护官
根据数据保护要求，服务商任命数据保护官
14.对希尔顿的其他协助
除了且不限于服务商在本标准下的其他义务，以及适用于服务和处理的其他义务，服务商应根据希尔顿的要求，并作为服务的一部分协助并与希尔顿合作：(i)在希尔顿实施适用于个人信息的安全措施时；(ii)就须向数据保护当局或客户作出的任何安全漏洞的通知；(iii)涉及处理的任何私隐影响评估有关；以及(iv)与希尔顿就处理事宜与数据保护当局进行的任何磋商有关。
15.对本标准的违反
服务商同意立即通知希尔顿任何实质性违背或违反本标准的行为。在不限制希尔顿针对违反本标准的其它补救措施的情况下，服务商同意，如果服务商违反本标准的任何要求，则希尔顿可自行决定立即终止服务商与希尔顿之间的任何或所有协议或安排下提供的货物和/或服务，且不受惩罚。此外，服务商同意就其控制范围内的任何未经授权的个人信息处理，以及代理、分包商或第三方对任何未经授权的个人信息的访问、获取或使用，向希尔顿赔偿全部成本、费用、索赔或相关诉讼。
16.记录、审计和检查
在本协议期限内，应希尔顿的要求，服务商应始终保留并向希尔顿提供完整、准确的记录及合理的支持文件包括数据保障、业务连续性和恢复设备、资源、计划和程序，以及证实服务商遵守本标准所需的其它记录和文件，包括服务商处理记录，且不收取附加费用。在合理通知服务商后，服务商应允许希尔顿、其审计人员、指定的审计代表和监管机构，包括数据保护机构，在正常营业时间内进行审计和检查: (i)处理个人资料的设备；(ii)用于处理个人信息的计算机系统；以及(iii)服务商的安全实践和程序、数据保护实践和程序、业务连续性和恢复设备、资源、计划和程序。本协议项下的审计和检查权利至少将用于以下目的(i)核实服务商是否符合本标准和数据保护要求，(ii)核实个人信息的完整性，以及(iii)协助希尔顿遵守数据保护要求。
17.个人信息的返还
希尔顿有权随时自行决定限制、中止、暂停、取消、终止或修改服务商处理个人信息的权利。在本协议或服务商提供的服务终止或期满时，或应希尔顿的请求,服务商及其代理和分包商应以希尔顿合理要求的方式和格式返回，或在希尔顿明确指示的情况下，销毁其持有、在其权力范围内或控制的任何或所有个人信息，并删除任何现有副本，服务商应证明按此执行，如上第9(d)款所述，除非适用的数据保护要求要求其存储个人信息。
18.对本标准的更改
希尔顿可随时自行决定更改本标准。对本标准的任何更改将在发布于http://www.hiltondistribution.com/privacyanddataprotectionstandards.htm时对服务商具有约束力；但是，前提是该服务商将有合理的时间来实施政策的任何变更（不得超过适用法律、法规或规章规定的实施此类变更的时间期限）。服务商有义务定期检查此URL以了解任何更改。本标准的最新变化将出现在标准的底部，标题为“希尔顿服务提供商数据保护标准的实质性修订”。
- 继续有效；第三方受益人
服务商在这些标准下的义务将在其服务或任何相关协议终止或到期后继续有效，并将在服务商或其任何代理或分包商保留或有权访问个人信息的情况下继续有效。服务商承认并同意，上述“希尔顿”定义中提及的每个实体都是服务商在这些标准下义务和责任的预期第三方受益人，包括但不限于服务商在个人信息方面的义务，因此，每个实体都有权执行这些标准。
希尔顿服务提供商数据保护标准的实质性修订
最新更新：2021 年 5 月 2021 年 5 月更改：
• 更新了“个人信息的跨境转移”，仅当需要时，通过引用纳入“欧洲委员会的标准合同条款”。 2020 年 8 月更改：
• 修订了有关“个人信息的跨境转移”的条款，以解释欧洲法院令“隐私盾”条约失效的原因。
• 将术语“通知相关费用”更改为“安全漏洞相关费用”，并进一步修订了“安全漏洞”条款。