服务提供商数据保护标准 (SPDPS)

最近更新时间：二月2022

在希尔顿，我们非常重视与客户、员工、独立承包商和服务提供商相关的个人信息保护。所有向希尔顿国内运营公司（Hilton Domestic Operating Company Inc.，一家特拉华州公司）或其任何直接或间接子公司、拥有和管理的酒店、合伙企业或合资企业（单独或统称为“希尔顿”）提供商品或服务的个人或组织（“供应商”），或通过希尔顿为其特许经营商提供服务的个人或组织，必须遵守并符合这些服务供应商数据保护标准（“标准”）中规定的原则。这些标准构成希尔顿与提到这些标准的供应商之间的任何协议的一部分，或附加或纳入这些标准的协议（“协议”）。如果这些标准与协议之间存在冲突，则在其主题范围内，这些标准应优先适用，除非协议中规定了更严格的标准。

供应商将在协议中描述的服务中处理个人信息，并在该协议的期限内，遵守数据保护要求和协议。供应商处理的个人信息类型在协议中描述。处理可能涉及希尔顿员工、希尔顿客户和宾客的个人信息，以及希尔顿企业客户、供应商和其他业务合作伙伴的业务联系信息，具体如协议中进一步描述。

希尔顿将拥有确定个人信息处理目的的专有权利。提供方将仅为根据协议提供服务的目的处理个人信息。提供方在任何时候都不会获得个人信息的所有权、许可、权利或其他利益。在希尔顿和提供方之间，个人信息将始终是希尔顿的专有信息，希尔顿应为“控制者”，而提供方应为“处理者”，这些术语在GDPR和LGPD中有定义。

提供商将仅代表希尔顿处理个人信息，并且仅按照希尔顿的书面具体指示进行处理，包括涉及将个人信息转移到第三国或国际组织的情况，除非数据保护要求要求提供商这样做；在这种情况下，提供商应在处理之前通知希尔顿该法律要求，除非该数据保护要求基于重要的公共利益理由禁止提供此类信息。希尔顿特此指示提供商仅在必要时处理个人信息，以便根据协议提供服务，并遵守协议、这些标准和数据保护要求。在任何情况下，提供商不得：(a) 使用个人信息来推广其服务或关联公司或第三方的服务；(b) 出售或出租个人信息；或 (c) 为供应商、其关联公司或任何第三方的自身目的处理任何个人信息。如果供应商认为某项指令违反任何数据保护要求，应立即通知希尔顿。

A部分: 除非协议中另有明确许可，供应商在提供服务时不得在未经希尔顿书面同意的情况下使用分包商。

B部分: 在协议明确规定允许供应商使用分包商的情况下，供应商应：(i) 在服务开始前以及希尔顿要求时，向希尔顿提供参与服务提供的供应商分包商名单，包括每个分包商的身份、该分包商执行的服务、分包商执行服务的地点，以及希尔顿可能合理要求的其他信息；并且 (ii) 在计划增加或更换任何此类分包商时（每个称为“分包商变更”），以书面形式通知希尔顿。希尔顿将有合理的时间对任何分包商变更提出异议。如果有任何此类异议，除非供应商能够解决希尔顿的顾虑并使希尔顿合理满意，否则供应商不得实施分包商变更。如果在“软件即服务”或多租户环境中涉及服务的分包商变更，而分包商变更无法单独为单个客户实施，并且供应商无法以希尔顿合理满意的方式解决希尔顿的顾虑，希尔顿可以因故终止协议或相关服务，并且不承担责任（或支付任何终止或其他费用）。在此类终止的情况下，供应商将及时退还希尔顿已支付的涵盖该协议或服务剩余期限的费用。

C部分: 当供应商聘请分包商代表希尔顿进行特定处理活动时，供应商应对分包商施加与希尔顿和供应商之间规定的相同数据保护义务。这些义务应通过合同或其他法律行为根据适用的数据保护要求施加，并要求分包商提供足够的保证，以便其实施适当的技术和组织措施，从而使处理符合适用的数据保护要求。提供商将始终对其分包商遵守这些标准负责和承担责任。

提供商将根据数据保护要求、这些标准和协议对个人信息保密。提供商不会向其任何关联公司或任何第三方（包括但不限于任何分包商）披露个人信息，除非为提供服务所必需。在向任何分包商或其他第三方披露任何个人信息之前，供应商将与该分包商或其他第三方签订一份书面协议，其中包含的义务至少与这些标准中的义务同样严格。供应商进一步同意，应希尔顿的要求，提供一份供应商已向其披露个人信息的所有关联公司和第三方的名单。提供方将始终对提供方、提供方的关联公司以及提供方向其披露任何个人信息的第三方的合规性负责。提供方将确保其从事个人信息处理的人员知晓个人信息的机密性质，并已签署书面保密协议（或受适当的法定保密义务约束）。提供方将确保此类保密义务在此类人员的雇佣关系终止后仍然有效。

如果提供方被要求或需要（通过口头问题、询问、法律程序中的信息或文件请求、传票、民事调查要求或其他类似程序）向第三方披露任何个人信息，提供方将在遵守适用法律的情况下进行披露。除非适用法律禁止，提供方将在收到请求后不超过七十二（72）小时内向希尔顿提供书面通知，告知任何向第三方披露个人信息的请求或要求，但无论如何应在进行任何披露之前，以便希尔顿可以自费行使其在法律下可能拥有的权利，以防止或限制此类披露。尽管有上述规定，提供方将尽商业上合理的努力防止或限制任何个人信息的披露，并维护个人信息的机密性，包括但不限于通过与希尔顿合作以获得适当的保护令或其他可靠保证，确保提供方被要求披露的任何个人信息将得到机密处理。

如第4节所述，供应商只有在获得希尔顿的事先书面同意并遵守数据保护要求的情况下，才能将个人信息从一个国家转移到另一个国家。根据希尔顿的决定，供应商将要求其任何代理和/或分包商与希尔顿签订数据处理协议，该协议包含标准和任何与跨境数据传输相关的必要合同条款。如果代理和/或分包商不同意数据处理协议，供应商不得使用该代理或分包商，并且必须进行分包商更换。此类更换将受这些标准第5(b)节的约束。

A部分: 如果供应商将获取或有权访问源自欧洲经济区（“EEA”）、英国或瑞士的个人信息，则适用以下规定：

B部分: 当第8部分A适用时，控制者和处理者之间的转移（模块二）的SCCs通过引用并入（SCCs可以找到）。希尔顿和供应商同意 SCCs 如下：

第C部分 如果具有适用管辖权的法院判定使用SCCs作为传输个人信息的机制无效，希尔顿和供应商同意迅速实施合同语言和/或技术更改，以确保个人信息的传输合法。

第D部分： 如果除欧洲经济区、英国和瑞士以外的国家采用类似于SCCs的跨境数据传输条款，希尔顿和供应商同意在必要时执行此类条款。

A部分: 提供商将采用、实施并维护适当的安全程序和措施，以防止未经授权访问、获取、破坏、修改、使用或披露个人信息。这些程序和措施至少应符合协议、这些标准和数据保护要求。所有这些程序和措施将考虑个人信息的性质以及与此类个人信息相关的相应风险。

B部分: 与上述内容一致，提供商同意：

C部分: 供应商同意：(i) 其员工和代理将被要求作为雇佣或留用的条件，保护提供者所持有或以其他方式获得或可访问的所有个人信息；(ii) 其员工和代理将被提供访问或以其他方式接触个人信息的机会，并将接受有关个人信息保护的适当培训；(iii) 它将维持适当的访问控制，包括但不限于将访问个人信息的提供者员工和代理的数量限制在提供希尔顿商品和/或服务所需的最低数量；(iv) 它将对违反其信息安全政策和程序的行为采取适当的纪律措施。

第D部分： 如果提供者处理任何包含个人信息的纸质或电子记录，提供者将根据信息的敏感性以适当的方式进行处理，以防止在处理过程中未经授权访问该信息。根据要求，供应商需向希尔顿证明所有被处理的个人信息已按照这些标准被销毁。如果供应商无法证明，供应商应提供书面解释说明其未能证明已遵守此销毁要求的原因。

第E部分: 供应商应审查并在适当时修订数据保护措施：(i) 至少每年一次，或在供应商的业务实践发生可能合理影响个人信息的安全性、保密性或完整性的重大变化时；(ii) 根据现行行业惯例；(iii) 根据任何新的、修订的或重新解释的数据保护要求；以及 (iv) 根据希尔顿的合理要求。供应商同意不以任何方式更改或修改其数据保护措施，以至于削弱或损害个人信息的安全性、机密性或完整性。

供应商同意在发现安全漏洞时立即通知希尔顿，包括可能存在的恶意软件，若可能的话，发送至ISC@Hilton.com。如果供应商无法在意识到安全漏洞时立即通知希尔顿，包括恶意软件的存在，供应商将在意识到安全漏洞后的七十二（72）小时内通知希尔顿。在提供此类通知后，供应商将 (i) 迅速调查安全漏洞，包括进行根本原因分析，并将调查结果报告给希尔顿，(ii) 向希尔顿提供一份补救计划，该计划需经希尔顿自行决定批准，以解决安全漏洞并防止任何进一步事件；(iii) 根据希尔顿批准的补救计划修复此类安全漏洞；(iv) 进行法证调查，以确定哪些系统、数据和信息受到安全漏洞的影响；(v) 在希尔顿执行其安全事件响应计划并调查安全漏洞时与希尔顿合作；(vi) 遵守希尔顿的任何要求，与调查此类安全漏洞的执法或监管官员、信用报告公司或信用卡协会合作，以及 (vii) 随时向希尔顿通报此类安全漏洞的状态及所有相关事宜。提供方进一步同意提供希尔顿和/或希尔顿指定代表要求的所有合理协助，以协助希尔顿对任何此类安全漏洞进行调查、纠正和/或补救，并应在希尔顿要求时，偿还希尔顿因任何此类安全漏洞而产生或与之相关的所有合理的安全漏洞相关费用。如果根据任何数据保护要求或根据任何希尔顿的隐私或安全政策需要向个人发出通知，则向所有受同一事件影响的个人（由希尔顿合理确定）发出的通知应被视为法律要求。安全漏洞相关费用应包括希尔顿为应对和处理安全漏洞而产生的内部和外部费用，包括但不限于：(i) 准备和邮寄或其他传送法律要求的通知；(ii) 准备和邮寄或其他传送希尔顿认为合理适当的其他通信给受影响的个人、代理或其他人；(iii) 建立一个呼叫中心，时间最长为十二（12）个月或根据适用的数据保护要求或在情况下合理的更长时间；(iv) 建立通信程序以应对此类安全漏洞（例如，客户服务常见问题解答、要点和培训）；(v) 公共关系和其他类似危机管理服务的费用；(vi) 与希尔顿对该安全漏洞或恶意软件存在的调查和响应相关的法律、取证和会计费用和开支；以及 (vii) 与法律要求的通知相关或在情况下建议的商业上合理的信用报告、信用监控、身份保护、身份修复和类似服务的费用，最长为十二（12）个月或根据适用的数据保护要求或在情况下合理的更长时间。除非适用的数据保护要求另有规定，希尔顿应对是否通知希尔顿的员工、客人、服务提供商、监管机构和/或公众有关此类安全漏洞，以及实施补救计划作出最终决定。

如果提供商收到任何直接或间接与提供商处理个人信息或希尔顿或提供商遵守与个人信息相关的适用法律或法规有关的投诉、通知或通信，提供商将立即通知希尔顿。应希尔顿的要求，提供商将在此类投诉或由监管机构或数据保护机构或类似机构进行的调查中协助并支持希尔顿，前提是此类投诉或调查与提供商处理个人信息有关。此类协助将由希尔顿全额承担费用，除非投诉或调查是由于对提供商行为或疏忽的指控或调查引起的，在这种情况下，此类协助费用将由提供商全额承担。

提供商在收到任何个人提出的访问、更正、修改或删除个人信息的请求（“数据主体请求”）时，将立即以书面形式通知希尔顿。除非法律法规另有要求或协议中另有规定，提供商不得直接回应这些请求，除非希尔顿明确授权这样做，必要时可确认请求与希尔顿有关。作为服务的一部分，提供方应配合并为希尔顿在响应和实施数据主体请求时提供所有合理的协助。

提供方已根据数据保护要求的规定任命了一名数据保护官。

除了提供方在这些标准下的其他义务外，并且在适用于服务和处理的情况下，提供方应在希尔顿的要求下，作为服务的一部分，协助并配合希尔顿：(i) 在希尔顿实施适用于个人信息的安全措施时；(ii) 与任何需要向数据保护机构或客户发出的安全漏洞通知有关；(iii) 与处理相关的任何隐私影响评估有关；以及 (iv) 与希尔顿就处理进行的任何与数据保护机构的咨询有关。

供应商同意在任何重大违反或违反这些标准的情况下立即通知希尔顿。在不限制希尔顿因违反这些标准而可能获得的其他补救措施的情况下，供应商同意，如果供应商违反这些标准的任何要求，希尔顿可自行决定立即终止供应商在供应商与希尔顿之间的任何或所有协议或安排下的商品和/或服务的提供，且不承担任何责任。此外，供应商同意对希尔顿进行全面赔偿，涵盖所有与供应商控制范围内的个人信息未经授权处理相关的成本、费用、索赔或行动，以及代理人、分包商或第三方对个人信息的任何未经授权的访问、获取或使用。

在协议期限内，供应商应始终维护，并在希尔顿要求时免费向希尔顿提供完整准确的记录和合理的支持文件，涉及数据保护措施以及业务连续性和恢复设施、资源、计划和程序，以及验证供应商遵守这些标准所需的其他记录和文件，包括供应商处理记录。在合理通知供应商的情况下，供应商将允许希尔顿、其审计员、指定的审计代表和监管机构，包括数据保护机构，在正常工作时间内进行审计和检查：(i) 供应商处理个人信息的设施；(ii) 用于处理个人信息的任何计算机系统；以及 (iii) 供应商的安全实践和程序、数据保护实践和程序、业务连续性和恢复设施、资源、计划和程序。此处的审计和检查权利至少用于以下目的：(i) 验证供应商对这些标准和数据保护要求的合规性，(ii) 验证个人信息的完整性，以及 (iii) 促进希尔顿对数据保护要求的合规性。

希尔顿有权在任何时间自行决定限制、中止、暂停、取消、终止或修改供应商处理个人信息的权利。在协议终止或到期时，或在供应商提供服务时，或根据希尔顿的要求，供应商将会并促使其代理和分包商以希尔顿合理要求的方式和格式返还，或者如果希尔顿明确指示，则销毁其拥有、掌控或控制的任何或所有个人信息，并删除任何现有副本，除非适用的数据保护要求要求存储个人信息，供应商将对此进行证明，如上文第9部分D节所述。

希尔顿可以在任何时间自行决定更改这些标准。对这些标准的任何更改将在https://www.hilton.com/en/p/service-provider-data-protection-standards/发布后对供应商具有约束力；但供应商将有合理的时间来实施政策中的任何更改（不得超过适用法律、规则或法规规定的实施此类更改的时间段）。提供商有义务定期检查此URL以获取任何更改。政策的最新更改将出现在政策底部，标题为“希尔顿服务提供商数据保护标准的重要修订”部分。

提供商在这些标准下的义务将在其服务或任何相关协议终止或到期后继续有效，并将在提供商或其任何代理或分包商保留或访问个人信息的情况下继续有效。提供者承认并同意，上述“希尔顿”定义中提到的每个实体都是提供者在这些标准下义务和责任的预期第三方受益人，包括但不限于提供者关于个人信息的义务，因此，每个实体都有权自行执行这些标准。

最近更新时间：二月2022

2022年2月的变更：

2021年5月的变更：

2020年11月变更：

2018年3月变更：