《通用数据保护条例》（GDPR）与数据保护框架
《通用数据保护条例》（GDPR）是欧盟的一项法律，适用于在向欧洲经济区（EEA，包括欧盟27个成员国以及冰岛、挪威和列支敦士登）境内的个人提供商品或服务或监控其行为时处理其个人数据的所有组织，无论这些组织位于何处。根据GDPR，组织必须确定处理个人数据的法律依据，告知个人收集了哪些数据及其使用方式，响应个人提出的访问、更正或删除其相关信息的请求，采用适当的安全控制措施保护个人数据免遭未经授权的访问，在发生数据泄露时通知相关个人和主管机构，任命数据保护官，并从活动开始之初就考虑隐私问题，而不是事后补救。GDPR还限制将个人数据传输到EEA以外的地区，除非已采取保障措施，确保接收司法管辖区提供实质上同等的保护。
F5遵守GDPR，具体说明请参阅我们的《隐私声明》。F5作为处理者向其作为控制者的Distributed Cloud Platform客户提供服务（如果客户是处理者，则F5作为次级处理者提供服务）。因此，F5的每项Distributed Cloud产品均符合第28条的规定。F5参与了欧盟—美国数据隐私框架。欧盟委员会已认定，该框架可为向美国境内参与企业传输数据提供充分保护。F5还使用标准合同条款，保护出于支持目的而传输至全球SOC所在地的个人数据。此外，F5建立了完善的隐私和安全计划，帮助客户履行GDPR规定的义务。请联系销售代表，申请获取F5每年发布的SOC 2 Type II报告副本。该报告仅在签署保密协议后提供，其中包含一份对照表，说明其控制措施与GDPR要求之间的对应关系。
常见问题
对于许多服务，F5作为提供服务所需个人数据的“处理者”（而非控制者）。有关F5所处理个人数据的详细信息，请参阅各项服务的隐私声明。所有服务专属隐私声明的链接均可在F5隐私通知的简介中找到：https://www.f5.com/company/policies/privacy-notice。
F5及其服务高度重视个人数据保护，并遵循严格的数据隐私标准。[TJ1] [AC2] F5为保护所收集的个人数据而采取的技术和组织控制措施，详见具体服务合同（例如，服务特定条款，适用于根据《最终用户服务协议》提供的服务）以及F5的SOC 2 Type II报告。F5 Global Support已通过ISO 27001认证，F5 Distributed Cloud Services已通过ISO 27001认证，并扩展至ISO 27017和ISO 27018。F5还作为F5 Distributed Cloud Services的1级服务提供商，符合PCI DSS要求。其他安全认证适用于特定F5服务和F5硬件。有关数据安全实践的更多详细信息，请访问https://www.f5.com/company/policies/privacy-notice。
主要营业地位于欧洲、中东或非洲（统称为EMEA）的客户，通过与F5 Networks, Ltd.签订合同获得服务。F5 Networks总部位于英国并依据英国法律注册成立，是F5在EMEA的运营中心。欧盟和瑞士主管机构已认可英国法律对个人数据提供的保护完全符合《通用数据保护条例》（GDPR）第五章及瑞士同等法律的要求。
总部位于亚太（APAC）地区的客户与新加坡的F5 Networks Singapore Pte Ltd.签订合同。所有其他客户（包括总部位于北美的客户）均与美国的F5, Inc.签订合同。对于所有F5服务，《数据保护附录》（DPA）（由《服务特定条款》补充）均包含标准合同条款，以及适用于依法向F5传输数据的所有情形的相关规定。对于向英国传输数据，这些标准合同条款还附有英国政府发布的国际数据传输附录；对于向瑞士传输数据，还附有瑞士联邦数据保护和信息专员发布的补充条款。对于相关服务，F5还持续获得欧盟—美国数据隐私框架、欧盟—美国数据隐私框架英国扩展以及瑞士—美国数据隐私框架的认证。
是。对于相关服务，F5已获得欧盟—美国数据隐私框架、欧盟—美国数据隐私框架英国扩展以及瑞士—美国数据隐私框架的认证。
不会。这两项美国法律条款是“Schrems II”判决关注的重点，但不会影响F5。无论如何，在“Schrems II”判决后，美国法律得到完善。欧盟委员会在其《根据欧洲议会和欧盟理事会第(EU) 2016/679号条例，于2023年7月10日就《欧盟—美国数据隐私框架》下个人数据保护充分性作出的实施决定》中认定，此前对这些条款的担忧已得到解决。欧洲数据保护委员会（EDPB）分析了欧盟委员会的决定，并在其《2023年7月10日充分性决定通过后，根据GDPR向美国传输数据的信息说明》中指出：“美国政府在国家安全领域实施的所有保障措施（包括救济机制）均适用于传输至美国的所有数据，无论使用何种传输工具。”（也就是说，无论数据是通过《数据隐私框架》、标准合同条款还是其他传输工具传输至美国。）
F5从未收到过依据《外国情报监视法》第702条提出的数据访问请求或任何其他类型的指令。许多F5服务并不属于可被FISA 702指令指定为目标的服务类型。此外，对于几乎所有F5服务客户，F5均不处理可被FISA 702指令指定为目标的数据类型。此类指令适用于涉及大规模杀伤性武器扩散、外国势力袭击美国的计划、外国间谍秘密活动的情报，或FISA所定义的其他“外国情报信息”的数据。
F5也不可能收到依据EO 12333提供客户数据的命令，因为并不存在所谓的EO 12333命令。EO 12333规定了美国情报界内部的部分职责分工，但并未对私营部门施加任何义务。F5对传输中的数据进行加密，并采取其他安全措施，以防范在上述欧盟委员会2023年充分性认定作出之前曾引起Schrems II案法院关注的理论性拦截活动。
《CLOUD法案》并未赋予美国政府新的权力，要求在美国开展业务的公司提供数据。美国政府不会签发所谓的“CLOUD法案命令”，F5也从未收到过此类命令。《CLOUD法案》明确规定，当美国政府遵循适当的现有法律程序（例如取得联邦地区法院法官签发的命令），要求公司提供由其持有、保管或控制的特定数据时，公司不得以数据所在地为由对该命令提出异议（但该命令与数据所在地现行法律存在冲突时，仍可据此提出异议）。《CLOUD法案》早在2020年Schrems II案判决之前就已生效。在Schrems II案判决之后，美国对政府访问数据的相关规则和实践进行了多项改进。随后，欧盟委员会评估了这些改进，并认定，根据《通用数据保护条例》（GDPR）的定义，目前适用于美国政府数据调取要求的美国法律能够提供充分的保护水平。请参阅欧盟委员会根据欧洲议会和欧盟理事会第(EU) 2016/679号条例于2023年7月10日通过的实施决定《关于欧盟—美国数据隐私框架下个人数据的充分保护水平》（https://eur-lex.europa.eu/eli/dec_impl/2023/1795/oj）。欧洲数据保护委员会（EDPB）对该决定进行了分析，并在《2023年7月10日充分性决定通过后，根据GDPR向美国传输数据的信息说明》中指出：“美国政府在国家安全领域实施的所有保障措施（包括救济机制）均适用于传输至美国的所有数据，无论使用何种传输工具”（即无论数据是通过数据隐私框架、标准合同条款还是其他传输工具传输至美国）。
鉴于F5与客户关系的性质，以及F5为客户处理的数据有限（且通常经过加密），此类要求极为少见。对于任何索取客户数据的要求，F5的政策是：（i）在法律允许的情况下，及时通知客户，并配合客户解决相关事宜；或（ii）如果通知客户属于违法行为，则尝试引导提出要求的主管机关直接联系客户。如果这些措施未能解决问题，F5将评估该要求的合法性，并提出一切合理的异议（例如提起上诉），包括审查遵从该要求是否会违反《通用数据保护条例》（GDPR）或其他相关法律。在此过程中，F5将请求暂停执行该要求，直至有管辖权的司法机关就其实质问题作出裁决，包括完成任何上诉程序。在这种情况下，除非且直至适用的程序规则要求F5披露数据，否则F5不会披露任何数据。如果最终必须披露，F5将仅披露为遵从原要求中仍然有效的部分所必需的最少数据。
F5服务的每份客户合同（即《最终用户服务协议（EUSA）》）均包含《特定服务条款》。这些条款纳入并补充了F5的《数据保护附录（DPA）》。该附录包含标准合同条款，以及针对受英国或瑞士法律管辖的数据传输所需的相关补充条款。在某些情况下，客户与F5会签订另一份包含相同保护措施的合同，例如针对特定F5支持服务的合同。客户还可参阅https://www.dataprivacyframework.gov/list。该页面显示，F5已通过欧盟与美国数据隐私框架、欧盟与美国数据隐私框架英国扩展以及瑞士与美国数据隐私框架的认证。
对于向包括英国在内的“第三国”的F5实体传输数据，F5及其客户依据《欧盟委员会标准合同条款国际数据传输附录》。该附录可在英国信息专员办公室网站上获取，并以引用方式纳入F5的DPA，适用于受英国法律管辖的相关数据传输。此外，对于某些服务，F5已通过《欧盟—美国数据隐私框架》英国扩展机制的认证。
