本数据处理协议（“DPA”）构成规范使用 KWIGA 平台和服务（包括以下内容）的协议的一部分： KWIGA 条款与条件 （以下简称“协议”），由以下双方签订：
TUTERIA VCC，注册地址为保加利亚索非亚 1000，Vrabcha 街 17A 号，1 楼，3 号公寓（“KWIGA”、“TUTERIA”、“我们”或“处理者”），
以及
使用 KWIGA 服务，并通过 KWIGA 平台确定个人数据处理目的和方式的个人、公司、组织、学校、专家、课程创建者或其他实体（“客户”、“平台用户”或“控制者”）。
本 DPA 适用于 TUTERIA VCC 就提供 KWIGA 服务而代表客户处理个人数据的情形及范围。
本 DPA 是对协议的补充，应与 KWIGA 隐私政策 及其他适用的合同文件一并解释。
就本 DPA 而言：
“适用的数据保护法律” 指适用于本 DPA 项下个人数据处理的所有数据保护和隐私法律，包括在适用情况下的《欧盟条例 (EU) 2016/679》（“GDPR”）。
“控制者”, “处理者”, “数据主体”, “个人数据”, “处理”, “个人数据泄露” 及 “监管机构” 具有 GDPR 或其他适用数据保护法律赋予其的含义。
“客户” 指使用 KWIGA 服务并确定服务数据处理目的和方式的平台用户。
“服务数据” 指客户或代表客户因使用服务而上传至、通过或在 KWIGA 平台内生成，或以其他方式通过 KWIGA 平台处理的个人数据。
服务数据可能包括通过客户使用的 KWIGA CRM、LMS、课程、教育项目、学生和客户管理功能、通信工具、自动化、评估及其他平台功能处理的个人数据。
“次级处理者” 指由 KWIGA 聘用以代表客户处理服务数据的第三方。
客户确定服务数据处理的目的和方式时，客户作为该等个人数据的控制者。
客户应对其处理活动负责，并遵守适用数据保护法律中适用于控制者的义务。
当 TUTERIA VCC 代表客户并依照客户指示处理服务数据时，TUTERIA VCC 作为处理者。
TUTERIA VCC 应根据本 DPA、协议、客户的书面指示及适用数据保护法律处理该等服务数据。
TUTERIA VCC 可为其独立确定的目的开展某些处理活动。
此类目的可能包括（如适用）：
KWIGA 平台的管理和运营；
平台安全性和完整性；
预防欺诈和滥用；
检测和调查未经授权的访问及安全事件；
遵守法律或监管义务；
管理 TUTERIA VCC 自身的合同关系；
确立、行使或抗辩法律主张；以及
KWIGA 隐私政策中所述的其他目的。
如果 TUTERIA VCC 独立确定此类处理的目的和方式，则 TUTERIA VCC 就该处理而言作为独立控制者行事。
此类处理受 KWIGA 的约束 隐私政策 及适用数据保护法的约束，且不构成 TUTERIA VCC 根据本 DPA 作为处理者进行的处理。
客户与 TUTERIA VCC 可能处理与同一数据主体相关的某些信息这一事实，本身并不意味着双方作为共同控制者行事。
各方的角色应根据相关处理活动的目的和方式确定。
客户应就其对服务数据的收集、使用、披露及其他处理遵守适用数据保护法。
客户负责确保：
a. 其具有处理服务数据的适当法律依据；
b. 服务数据已被合法收集；
c. 服务数据已被合法披露或以其他方式提供给 KWIGA 进行处理；
d. 数据主体收到适用数据保护法所要求的任何隐私通知和信息；
e. 已有效获得客户处理活动所需的任何同意；
f. 客户向 KWIGA 发出的指示符合适用数据保护法；
g. 客户仅处理为其合法且正当目的所必需的个人数据；以及
h. 已为客户控制下的服务数据确定适当的保留期限。
除非客户已为该等处理确立有效的法律依据，并在需要时满足 GDPR 第 9 条规定的适用条件，否则客户不得使用服务收集或处理 GDPR 第 9 条所指的特殊类别个人数据。
如客户使用服务的问卷、表单、自定义字段、上传内容或其他功能收集或处理此类数据，客户作为控制者行事，并负责确定该等处理的合法性、目的和范围，向数据主体提供任何所需信息，在以同意为依据时获得明确同意，以及遵守适用数据保护法的所有其他适用要求。
KWIGA 代表客户并根据客户的书面指示及本 DPA 处理该等服务数据。
客户指示 KWIGA 在必要范围内处理服务数据，以便：
提供客户选择并配置的服务；
托管和维护服务数据；
提供 CRM、LMS 及其他平台功能；
提供课程及其他产品的访问权限；
管理客户选择的功能；
提供技术支持；
维护并保护服务；以及
以其他方式履行协议及客户的书面指示。
客户对 KWIGA 平台的使用和配置，包括客户启用的设置、操作和功能，以及客户使用平台创建和发布网页、表单、通知和其他材料，可被视为本 DPA 所指的书面指示。
客户自行确定其隐私政策、隐私通知、表单以及通过平台向数据主体提供的其他材料的内容，并负责确保此类材料符合适用的数据保护法律以及客户对个人数据的实际处理情况。KWIGA 无义务审查或批准此类材料的内容。
如果 KWIGA 合理认为客户的指示违反适用的数据保护法律，KWIGA 应毫不延迟地通知客户。
在指示被修改、澄清或确认合法之前，KWIGA 可在合理必要的范围内暂停相关处理活动。
除非适用的欧盟或成员国法律要求进行处理，否则 KWIGA 仅应根据客户的书面指示处理服务数据。
如果法律要求 KWIGA 以不同于客户指示的方式处理服务数据，KWIGA 应在处理前将该法律要求通知客户，除非该法律基于重要公共利益理由禁止提供此类信息。
KWIGA 应确保获授权处理服务数据的人员：
仅在履行其职责所必需的范围内处理该等数据；
受适当的保密义务约束；以及
仅在合理必要的情况下被授予访问权限。
KWIGA 应根据本 DPA 第 7 条和附录 B，实施旨在保护服务数据的适当技术和组织措施。
考虑到处理活动的性质及 KWIGA 可获得的信息，KWIGA 应在客户履行其在适用数据保护法律下的义务方面向客户提供合理协助，包括与以下事项相关的义务：
数据主体请求；
处理活动的安全性；
个人数据泄露；
数据保护影响评估；以及
在适用情况下，与监管机构进行咨询。
KWIGA 应在适用数据保护法律要求的范围内，保存与其处理活动相关的记录和信息。
客户作为控制者，主要负责响应数据主体就 KWIGA 代表客户处理的服务数据提出的请求。
KWIGA 向客户提供功能和/或适当机制，以访问、管理和导出由客户控制的服务数据；在相关功能支持的情况下，客户还可在遵守适用法律要求的前提下更正或删除该等服务数据。
考虑到处理活动的性质，KWIGA 应在可能的范围内通过适当的技术和组织措施，向客户提供合理协助，以履行客户响应数据主体请求的义务。
如果 KWIGA 收到的数据主体请求主要涉及客户作为控制者的服务数据，KWIGA 可将数据主体转介给客户，并在适当情况下将该请求通知客户。
除非出现以下情况，否则 KWIGA 不得代表客户独立响应此类请求：
经客户指示；
根据本协议获准；或
适用法律要求。
接受本 DPA，即表示客户向 KWIGA 提供一项持续有效的书面指示，授权并指示 KWIGA 在响应数据主体提出的删除请求时处理服务数据，并在适用情况下删除或匿名化相关服务数据。
如果 KWIGA 收到数据主体提出的请求，且该请求涉及由客户担任数据控制者的服务数据，KWIGA 应将该请求通知客户，并给予客户提供补充书面指示或与原指示相反的书面指示的机会。
如果客户未在 KWIGA 发出通知之日起十四（14）个日历日内提供与原指示相反的书面指示，则 KWIGA 有权并应按照本 DPA 及适用的数据保护法律删除或匿名化相关服务数据。上述十四（14）个日历日的期限是客户向 KWIGA 提供指示的合同约定期限，并不设立或修改适用的数据保护法律规定的任何适用于客户或 KWIGA 的法定期限，包括《通用数据保护条例》（GDPR）、经修订的《加利福尼亚州消费者隐私法》（California Consumer Privacy Act）或《得克萨斯州数据隐私与安全法》（Texas Data Privacy and Security Act）。
除非客户在适用的十四（14）个日历日内提供了与原指示相反的书面指示，否则 KWIGA 可以进行上述删除或匿名化处理。如果适用的数据保护法律或本 DPA 要求继续保留或处理个人数据，则在该要求所涉及的范围内，不得删除或匿名化该等个人数据。
客户作为控制者，负责确定为客户确定的目的而处理的服务数据的适当保留期限，但须遵守本 DPA 和本协议规定的保留及删除安排。
根据相关数据的性质、处理目的以及处理该等数据所使用的功能，服务数据可能适用不同的保留期限。
客户的订阅终止或到期后，与该客户相关的服务数据可自客户订阅期结束之日起保留最多九十（90）天，以便进行重新激活、数据检索以及有序终止对服务的使用。
上述90天期限届满后，相关账户和/或学校可能会被停用、隐藏或以其他方式通过KWIGA平台的常规界面变得无法访问，但不会删除或修改其中包含的服务数据。
相关服务数据可再保留最多九十（90）天，以便进行恢复、解决技术或合同问题，并确保有序完成服务的提供。
自订阅终止或到期之日起总计一百八十（180）天期限届满后，相关服务数据将根据适用的数据保留和删除程序从KWIGA平台的活动系统中删除。
上述程序应遵循相关控制者的书面指示、本DPA以及适用的数据保护法律。该程序不适用于TUTERIA VCC根据第5.7节以独立控制者身份独立且合法处理的个人数据。
服务数据通常在客户使用相关 KWIGA 服务期间保留，并遵守以下规定：
客户的书面指示；
本 DPA；
本协议；以及
适用的数据保护法律。
本节任何内容均不免除客户作为控制者所承担的责任，即确定特定服务数据是否仍有必要且是否应继续保留。
KWIGA 向客户提供功能和/或适当机制，以访问、管理和导出由客户控制的服务数据，并在相关功能支持的情况下，根据适用的法律要求删除该等服务数据。
如果客户通过 KWIGA 平台手动删除联系人或其他服务数据，相关数据最初将被软删除（soft deletion），并自删除之日起最多三十（30）天内可恢复。该期限届满后，相关个人数据将从 KWIGA 平台的活动系统中永久删除，但须遵守适用的法律要求，并保留处理者依法有权或有义务保留的数据。
客户的订阅终止或到期后，服务数据可按照第5.2节规定的期限和条件予以保留。
在最初的九十（90）天内，可根据相关服务的功能向客户提供合理的机会，以检索或导出服务数据。
上述期限届满后，相关账户和/或学校可能会被停用、隐藏或通过KWIGA平台的常规界面变得无法访问。根据第5.2节，服务数据可再保留最多九十（90）天。
自订阅终止或到期之日起总计一百八十（180）天期限届满后，相关服务数据将根据适用的删除程序、本DPA、控制者的书面指示以及适用的数据保护法律，从KWIGA平台的活动系统中删除。
若服务数据从活动系统删除后仍暂时保留在备份、灾难恢复或类似系统中，则该等数据应继续受到适当安全措施的保护，且除非出于灾难恢复、安全、法律合规或其他合法技术目的所必需，不得恢复或用于常规处理。
该等副本应根据 KWIGA 适用的备份保留程序删除或覆盖。
如果服务数据由客户手动删除，并随后从活动系统中永久删除，则在永久删除之前创建的备份系统中可能仍会保留该等数据的副本，保留期限最多为额外七（7）天。该期限届满后，该等副本将根据适用的备份保留程序予以删除或覆盖。
本节适用于 TUTERIA VCC 作为处理者处理的服务数据。
本节不要求 TUTERIA VCC 删除其作为控制者独立且合法处理的个人数据。
该等数据可在为 KWIGA 中所述目的所必需的情况下保留 隐私政策 并遵守适用的数据保护法律。
客户概括授权 KWIGA 在提供、维护、支持、运营或保障 KWIGA 服务所合理必要的情况下聘用分处理者。
在允许分处理者处理服务数据之前，KWIGA 应确保该分处理者受合同数据保护义务约束，该等义务为服务数据提供适当保护水平，并符合适用的数据保护法律中适用于分处理者的要求。
在适用的数据保护法律要求的范围内，KWIGA 应继续对其分处理者履行数据保护义务负责。
KWIGA 应通过适当机制向客户提供有关相关分处理者的信息。
如适用的数据保护法律要求，KWIGA 应就拟新增或替换分处理者的重大变更提供合理通知。
客户可就拟议分处理者引发的数据保护问题提出合理异议。
双方应秉持诚信，共同解决任何该等合理异议。
若客户使用其自身账户、凭证或 API 密钥独立启用或连接第三方集成，TUTERIA 将根据客户的书面指示处理并向该第三方传输服务数据。
客户负责确定其对该等第三方服务的使用是否符合适用的数据保护法律，包括与该第三方建立任何必要的合同安排和国际数据传输保障措施。
考虑到现有技术水平、实施成本以及处理的性质、范围、背景和目的，并考虑对个人权利和自由造成不同可能性及严重程度的风险，KWIGA 应实施并维持适当的技术和组织措施，以确保与风险相适应的安全水平。
根据相关处理的性质和风险，该等措施可包括：
a. 访问控制和授权机制；
b. 旨在维持客户环境和数据之间适当隔离及授权的措施；
c. 身份验证和访问管理措施；
d. 日志记录和监控；
e. 旨在检测可疑活动、滥用和未经授权访问的措施；
f. 流量和请求控制，包括在适当情况下的速率控制；
g. 漏洞管理；
h. 安全测试；
i. 事件检测和响应程序；
j. 备份和恢复措施；
k. 与承包商、服务提供商及其他获授权人员访问相关的控制措施；
l. 审查安全事件和事故的程序；以及
m. 定期审查和测试相关技术及组织安全控制措施。
有关 KWIGA 实施的技术和组织措施类别的更多信息载于 附录 B.
KWIGA 可不时更新其技术和组织措施，以反映：
技术发展；
已识别的风险；
服务的变更；
安全审查结果；
安全事件；以及
适用法律的变更。
此类变更不得实质性降低为服务数据提供的整体保护水平。
KWIGA 在知悉代表客户处理的服务数据发生个人数据泄露后，应在不无故拖延的情况下通知客户。
在相关信息可由 KWIGA 合理获取的范围内，通知应包括：
a. 对个人数据泄露性质的描述；
b. 受影响个人数据的类别；
c. 受影响数据主体的类别；
d. 已知情况下受影响数据主体的大致数量；
e. 已知情况下受影响个人数据记录的大致数量；
f. 在可合理确定的情况下，个人数据泄露可能造成的后果；
g. 已采取或拟采取的用于控制、调查和补救个人数据泄露的措施；以及
h. 可通过其获取更多信息的联系方式或其他适当联系渠道。
如在初始通知时无法获得所有相关信息，KWIGA 可先提供现有信息，并随着调查进展分阶段补充。
KWIGA 应采取适当措施：
调查该事件；
确定其性质和范围；
控制该事件；
减轻可合理预见的不利影响；
保留相关证据；
在适当情况下补救已识别的漏洞；以及
采取合理措施以降低再次发生的风险。
考虑到处理的性质以及 KWIGA 可获得的信息，KWIGA 应向客户提供合理协助，以履行与以下事项相关的适用义务：
向监管机构进行通知；
与受影响的数据主体进行沟通；
评估对个人权利和自由的风险；以及
记录个人数据泄露事件。
客户作为控制者，仍负责确定影响服务数据的个人数据泄露是否需要：
向监管机构进行通知；
与受影响的数据主体进行沟通；或
根据适用数据保护法律采取其他必要行动。
这不影响 TUTERIA VCC 就其作为控制者处理的个人数据所承担的任何独立法律义务。
对个人数据泄露事件进行通知或就此开展合作，本身不构成任何一方承认存在过错或责任。
如服务数据在欧洲经济区（“EEA”）内被处理，则该等处理就 GDPR 第 V 章而言不构成向第三国传输。
如 KWIGA 或获授权的子处理者将服务数据传输至 EEA 以外、且未被认可可根据适用法律提供充分保护水平的司法管辖区，KWIGA 应在需要时确保实施适当的传输机制。
此类机制可能包括：
欧盟委员会作出的充分性决定；
经欧盟委员会批准的标准合同条款；
具有约束力的公司规则（如适用）；或
适用数据保护法律认可的其他合法传输机制。
如适用数据保护法律要求，KWIGA 应实施适合相关传输及其关联风险的补充措施。
如适用数据保护法律要求，KWIGA 应在客户提出请求时提供有关适用国际传输保障措施的合理信息。
KWIGA 应向客户提供为合理证明 KWIGA 履行其作为处理者在适用数据保护法律下的义务所必需的信息。
经合理的书面请求，KWIGA 应提供与以下事项有关的相关信息：
其对服务数据的处理；
适用的技术和组织措施；
相关子处理者；以及
客户为评估 KWIGA 对本 DPA 的遵守情况而合理需要的其他事项。
如 KWIGA 提供的信息不足以合理证明合规性，且适用数据保护法律要求进行审计，KWIGA 应允许并配合对服务数据处理进行合理的审计或检查。
除非监管机构或适用数据保护法律另有要求，客户应：
就审计提前提供合理的书面通知；
将审计限于与本 DPA 下处理相关的事项；
在合理可行的情况下于正常营业时间进行审计；
避免对 KWIGA 的运营造成不必要的干扰；以及
确保审计人员受适当的保密义务约束。
审计不应使客户或其审计人员有权访问：
属于其他客户的个人数据；
其他客户的保密信息；
可能危及 KWIGA 系统安全的信息；
源代码或其他受保护的知识产权，除非适用法律明确要求；或
与客户处理活动无关的信息。
双方应就主管监管机构提出的合理审计请求本着诚信原则进行合作。
考虑到处理的性质以及 KWIGA 可获得的信息，如客户根据适用数据保护法律需要进行数据保护影响评估，KWIGA 应向客户提供合理协助。
如适用数据保护法律要求，KWIGA 应就通过服务开展的处理活动与主管监管机构进行事先咨询提供合理协助。
各方应保护因本 DPA 而收到的个人数据和保密信息，防止未经授权的披露。
KWIGA 应确保承包商、服务提供商及其他获授权处理服务数据的人员受适当的保密义务或适用的法定保密义务约束。
客户应确保通过 KWIGA 平台提供的凭证、访问权限和管理功能仅由获得适当授权的人员使用。
各方应在适用数据保护法律要求的范围内保留与其处理活动有关的记录。
在必要时，双方应相互合理合作，以回应监管机构就本 DPA 所规管的处理活动提出的合法请求。
本 DPA 的任何规定均不要求任何一方在适用法律禁止披露的情况下披露信息。
各方应对其自身遵守适用数据保护法律以及履行本 DPA 项下分配给其的义务负责。
双方之间因本 DPA 引起或与本 DPA 有关的责任，在适用数据保护法律允许的范围内，应受协议中规定的责任限制和责任排除条款约束。
本 DPA 的任何规定均不排除或限制适用法律禁止排除或限制的责任。
当客户受协议约束且 KWIGA 开始代表客户处理服务数据时，本 DPA 生效。
只要 KWIGA 代表客户处理服务数据，本 DPA 即持续有效。
协议的终止或到期不影响本 DPA 中依其性质旨在于终止后继续有效的条款，包括有关保密、删除或返还服务数据、责任和适用法律的条款。
本 DPA 构成客户与 TUTERIA VCC 之间规管使用 KWIGA 服务的协议的一部分。
如本 DPA 与协议中的其他条款就 TUTERIA VCC 作为处理者处理服务数据发生冲突，对于存在冲突的数据保护事项，应以本 DPA 为准。
KWIGA 隐私政策 规管 TUTERIA VCC 作为控制者的处理活动。
本 DPA 规管 TUTERIA VCC 作为处理者代表客户开展的服务数据处理活动。
本 DPA 应受适用于客户与 TUTERIA VCC 之间协议的法律管辖，但不影响适用数据保护法律的强制性规定。
在该等法律或管辖权适用的情况下，本 DPA 的任何规定均不限制 GDPR 的适用，亦不限制主管监管机构的权力和管辖权。
在合理必要的情况下，KWIGA 可更新本 DPA，以：
遵守适用数据保护法律的变更；
反映对 KWIGA 服务的变更；
更新技术或组织措施；
更新处理安排；或
明确双方的权利和义务。
如修订对服务数据的处理或客户的数据保护权利和义务产生重大影响，KWIGA 应在适用法律或本协议要求的情况下提供合理通知。
有关本数据处理协议或 KWIGA 代表客户处理服务数据的问题，可提交至：
TUTERIA VCC
Vrabcha 街 17A 号，1 楼，3 号公寓
保加利亚索非亚 1000
电子邮箱： support@kwiga.com
本附录构成数据处理协议的一部分。
KWIGA 为提供、维护、支持和保护客户选择并配置的 KWIGA 服务所必需而进行的服务数据处理。
在客户使用相关 KWIGA 服务期间。客户订阅终止或到期后，客户专属服务数据自客户订阅期结束之日起最多可保留九十（90）天，以便重新激活、数据检索及有序终止服务。
在该期限届满后，客户专属服务数据中包含的个人数据（包括相关订单数据）应根据本数据处理协议第 5 条及 KWIGA 适用的保留程序进行匿名化处理。在完成该等匿名化处理后再过九十（90）天，相关数据应根据适用的保留和删除程序从 KWIGA 平台的活动系统中永久删除，除非适用法律要求继续保留，或本数据处理协议另有允许。如 TUTERIA VCC 作为处理者代表客户处理个人数据，则该保留和删除流程应遵循客户的书面指示、适用的数据处理协议及适用的数据保护法律。
TUTERIA VCC 作为独立控制者处理的个人数据，适用该处理活动对应的保留期限。
根据客户选择并配置的服务，处理可能包括：
收集；
记录；
整理；
结构化；
存储；
托管；
调整；
检索；
查阅；
使用；
传输；
提供；
管理；
按照客户指示进行分析；
限制；
导出；
删除；
匿名化；以及
为提供所选服务所必需的其他处理。
为实现客户确定的目的而处理服务数据，包括根据客户对 KWIGA 的使用情况：
学生和客户管理；
CRM 功能；
LMS 功能；
课程和教育项目的交付与管理；
数字产品访问权限管理；
测试、测验和作业；
课程进度跟踪；
证书；
与学生和客户沟通；
电子邮件和通知功能；
自动化；
订单管理；
集成功能；
客户支持；
由客户选择的报告和分析；以及
由客户启用或配置的其他功能。
根据客户对服务的使用情况，数据主体可能包括：
学生；
学习者；
客户；
潜在客户；
订阅者；
课程参与者；
客户的员工和承包商；
讲师；
管理员；
助理；
客户的代表；以及
由客户或代表客户向 KWIGA 平台提交或通过 KWIGA 平台处理其个人数据的其他个人。
根据客户使用的服务，服务数据可能包括：
身份和个人资料信息
名字；
中间名；
姓氏；
个人资料图片；
账户或个人资料标识符。
联系信息
电子邮件地址；
电话号码；
客户或数据主体提交的其他联系详情。
教育和学习信息
课程和项目；
注册；
访问信息；
课程进度；
课程完成情况；
测验和考试答案；
考试结果；
分数；
作业；
评论；
证书；
成就；
积分和状态。
CRM 和客户管理信息
标签；
群组；
客户状态；
备注；
客户历史记录；
沟通历史记录；
由客户配置的自定义字段。
订单和交易相关信息
订单标识符；
产品；
金额；
货币；
折扣；
优惠券；
付款状态；
交易日期；
退款信息；
分期付款或订阅参数；
代表客户处理的其他订单信息。
KWIGA 不要求客户将完整卡号或 CVC 代码等支付卡安全数据提交到普通 CRM 或 LMS 服务数据字段中。
通信
消息；
电子邮件；
评论；
与支持相关的信息；
通过客户选择的功能处理的其他通信。
技术信息
在代表客户处理的范围内：
IP 地址；
登录/活动信息；
设备或浏览器信息；
技术标识符；
时间戳。
KWIGA 服务不要求客户处理特殊类别的个人数据。但是，如果客户选择通过问卷、表单、自定义字段、上传内容、通信或服务的其他可配置功能收集或以其他方式处理此类数据，服务数据可能包含特殊类别的个人数据。
客户决定此类处理的内容和目的，并负责确立适用的法律依据，以及在需要时确立 GDPR 第 9 条规定的适用条件。
在客户使用相关服务期间，处理可能持续或定期进行，具体取决于所选功能和客户的指示。
TUTERIA VCC 实施技术和组织措施，旨在提供与处理服务数据相关风险相适应的安全级别。
下述措施代表安全措施的类别，并可能会根据处理的性质、技术发展、已识别风险以及 KWIGA 服务的变化不时进行调整或补充。
KWIGA 实施相关措施，旨在将对个人数据和平台功能的访问限制为经授权的用户、人员和系统。
此类措施可能包括：
用户身份验证；
角色和权限管理；
授权控制；
基于相关用户或客户上下文的访问限制；
内部访问权限的管理和审查；以及
旨在防止客户环境之间未经授权访问的措施。
KWIGA 实施技术控制措施，旨在确保根据客户、账户、学校、项目或其他适用的授权上下文，适当限制对客户数据的访问。
根据相关功能的需要，对授权控制措施进行审查和测试。
KWIGA 使用适合服务运营和安全性的日志记录及监控机制。
这些措施可能包括：
应用程序和系统日志记录；
安全事件监控；
可疑活动检测；
错误监控；
流量监控；
对异常或可能构成滥用的活动进行分析；以及
维护相关安全事件记录。
KWIGA 实施旨在检测、限制和应对滥用、未经授权的访问以及对平台功能的自动化滥用的措施。
根据相关服务或端点，此类措施可能包括：
请求控制；
速率控制；
访问限制；
自动或手动拦截机制；
可疑活动检测；以及
额外的验证或授权控制。
KWIGA 维护用于识别、评估和修复安全漏洞的流程。
此类措施可能包括：
安全审查；
授权控制测试；
在适当情况下进行自动化测试；
漏洞修复；
安全发现审查；
回归测试；以及
纠正措施验证。
KWIGA 维护旨在检测、升级、调查、遏制和修复安全事件及个人数据泄露的流程。
此类流程可能包括：
事件升级；
技术调查；
保存和分析相关日志；
遏制措施；
修复；
风险评估；
监管机构和客户通知评估；
事件后审查；以及
实施纠正措施。
获授权访问服务数据的人员须承担适当的保密义务。
基于运营需求提供对个人数据的访问，并在合理可行的情况下加以限制。
KWIGA 维持适用于相关服务和基础设施的备份与恢复流程。
备份数据受到适当的访问和安全控制。
已删除的个人数据可能会暂时保留在备份系统中，直至根据适用的备份保留程序被删除或覆盖。
KWIGA 实施旨在支持服务可用性和韧性的措施，该等措施适合相关处理的性质和风险。
可根据以下因素审查和更新技术和组织措施：
平台的变更；
已识别的安全风险；
漏洞发现；
事件；
适用法律要求的变更；以及
技术发展。
更新不得实质性降低为服务数据提供的整体保护水平。