《数字市场法案》（DMA）

主要营业地位于欧洲、中东或非洲（统称EMEA）的客户，通过与F5 Networks, Ltd.签订合同获得服务。F5 Networks总部位于英国并依据英国法律注册成立，是F5在EMEA的运营中心。欧盟和瑞士主管机构已认定，英国法律能够为个人数据提供保护，完全符合《通用数据保护条例》（GDPR）第五章及瑞士同等法律的要求。

总部位于亚太（APAC）地区的客户与新加坡的F5 Networks Singapore Pte Ltd.签订合同。所有其他客户（包括总部位于北美的客户）均与美国的F5, Inc.签订合同。对于所有F5服务，《数据保护附录》（DPA）及其《特定服务条款》补充内容均包含标准合同条款，以及适用于依法向F5传输数据的所有情形的相关规定。对于向英国传输数据，这些标准合同条款还附有英国政府发布的国际数据传输附录；对于向瑞士传输数据，还附有瑞士联邦数据保护和信息专员发布的补充条款。对于相关服务，F5还持续获得欧盟—美国数据隐私框架、欧盟—美国数据隐私框架英国扩展以及瑞士—美国数据隐私框架的认证。

是的。对于相关服务，F5已获得欧盟—美国数据隐私框架、欧盟—美国数据隐私框架英国扩展以及瑞士—美国数据隐私框架的认证。

不会。这两项美国法律规定是Schrems II案判决关注的重点，但不会影响F5。无论如何，Schrems II案判决后美国法律已有所完善。欧盟委员会依据《欧洲议会和欧盟理事会条例（EU）2016/679》，于2023年7月10日通过关于《欧盟—美国数据隐私框架》下个人数据保护充分水平的实施决定，认定此前对这些规定的担忧已得到解决。欧洲数据保护委员会（EDPB）分析了欧盟委员会的决定，并在《关于2023年7月10日通过充分性决定后依据GDPR向美国传输数据的信息说明》中指出：“美国政府在国家安全领域建立的所有保障措施（包括救济机制）均适用于传输至美国的所有数据，无论使用何种传输工具。”（即无论数据是通过《数据隐私框架》、标准合同条款还是其他传输工具传输至美国。）

F5从未收到过依据《外国情报监视法》第702条提出的数据访问请求或任何其他类型的指令。许多F5服务并不属于可被《外国情报监视法》第702条指令针对的服务类型。此外，对于几乎所有F5服务客户，F5均不处理可被《外国情报监视法》第702条指令针对的数据类型。该条款适用于与大规模杀伤性武器扩散、外国势力袭击美国的计划、外国间谍秘密活动情报有关的数据，或《外国情报监视法》所指的其他“外国情报信息”。

F5也不会收到依据第12333号行政命令要求提供客户数据的命令，因为并不存在所谓的第12333号行政命令项下命令。第12333号行政命令规定了美国情报界内部的部分职责分工，但并未对私营部门施加任何义务。F5对传输中的数据进行加密，并采取其他安全措施，以防范Schrems II案法院在上述欧盟委员会2023年充分性认定作出前所关注的理论性拦截活动。

《澄清境外合法使用数据法案》（CLOUD Act）并未赋予美国政府新的权力，要求在美国开展业务的公司提供数据。美国政府不会签发所谓的“CLOUD Act 命令”，F5也从未收到过此类命令。CLOUD Act明确规定，当美国政府遵循适当的现有法律程序（例如取得联邦地区法院法官签发的命令），要求公司提供其拥有、保管或控制的特定数据时，公司不得以数据所在地为由对该命令提出异议（但如果该命令与数据所在地的现行法律冲突，公司仍可据此提出异议）。CLOUD Act早在2020年Schrems II判决之前就已生效。Schrems II判决作出后，美国对政府访问数据的相关规则和实践进行了多项改进。随后，欧盟委员会对这些改进进行了评估，并认定，就《通用数据保护条例》（GDPR）而言，目前适用于美国政府数据调取要求的美国法律提供了充分的保护水平。参见《根据欧洲议会和欧盟理事会第(EU) 2016/679号条例，就欧盟—美国数据隐私框架下个人数据的充分保护水平作出的2023年7月10日实施决定》。欧洲数据保护委员会（EDPB）对该决定进行了分析，并在其《关于2023年7月10日通过充分性决定后依据GDPR向美国传输数据的信息说明》中指出：“美国政府在国家安全领域建立的所有保障措施（包括救济机制）均适用于传输至美国的所有数据，无论使用何种传输工具”（即无论数据是通过数据隐私框架、标准合同条款还是其他传输工具传输至美国）。

鉴于F5与客户关系的性质，以及F5为客户处理的数据有限（且通常经过加密），此类要求极为罕见。对于任何索取客户数据的要求，F5的政策是：（i）在法律允许的情况下及时通知客户，并配合客户解决相关事宜；或（ii）如果通知客户属于违法行为，则尝试引导提出要求的主管机关直接联系客户。如果这些措施未能解决问题，F5将评估该要求的合法性，并通过上诉等方式提出一切合理异议，包括审查遵从该要求是否会违反《通用数据保护条例》（GDPR）或其他相关法律。在此过程中，F5将请求暂停该要求的效力，直至有管辖权的司法机关就其实质问题作出裁决，包括完成任何上诉程序。在此类情况下，除非且直至适用的程序规则要求披露，否则F5不会披露任何数据。如果最终必须披露，F5将仅披露为遵从原要求中仍然有效的部分所必需的最少数据。

F5的每份客户服务合同（《最终用户服务协议》（EUSA））均包含《特定服务条款》，该条款纳入并补充了F5的《数据保护附录》（DPA）。DPA包含《标准合同条款》，并针对受英国或瑞士法律管辖的数据传输提供相关补充条款。在某些情况下，客户与F5会签订纳入相同保护措施的其他合同，例如针对特定F5支持服务的合同。客户还可访问https://www.dataprivacyframework.gov/list，查看F5已通过欧盟—美国数据隐私框架、欧盟—美国数据隐私框架英国扩展以及瑞士—美国数据隐私框架的认证。

对于向包括英国在内的“第三国”F5实体进行的数据传输，F5及其客户依据《欧盟委员会标准合同条款国际数据传输附录》。该附录可在英国信息专员办公室网站上查阅，并通过引用纳入F5的数据处理协议（DPA），适用于受英国法律管辖的相关数据传输。此外，对于某些服务，F5已通过欧盟—美国数据隐私框架英国扩展机制的认证。