台灣個資法委外處理個資合約條款教學：逐條撰寫實作

1# data-flows/vendor-registry.yaml
2vendors:
3  - vendor_id: LOG-001
4    name_internal: "第三方倉儲物流商 A"
5    role: "受託者"            # 受託者 / 共同控制
6    purpose: "出貨配送與退貨處理"
7    data_subjects: ["消費者"]
8    data_fields:
9      - 姓名
10      - 行動電話
11      - 配送地址
12    special_category: false
13    transfer_method: "REST API over TLS 1.3"
14    storage_region: "TW"
15    sub_processors: ["區域配送車隊 A1"]
16    retention_days: 180
17    contract_ref: "CT-2026-014"
18  - vendor_id: MKT-003
19    name_internal: "行銷自動化 SaaS"
20    role: "受託者"
21    purpose: "EDM 發送與開信追蹤"
22    data_fields: ["Email", "姓名", "開信紀錄"]
23    storage_region: "US-EAST"   # 觸發國際傳輸條款
24    sub_processors: ["AWS", "SendGrid"]
25    retention_days: 730
26    contract_ref: "CT-2025-089"

1第一條（委託範圍與指示）
21.1 受託者僅得於甲方（委託機關）書面指示之範圍內，為本附件附表一所列
3    之特定目的，蒐集、處理或利用個人資料，不得為自身或第三人之目的
4    利用之。
51.2 受託者認甲方之指示違反個人資料保護法或其他法令者，應立即以書面
6    通知甲方，並於甲方確認前暫停相關處理行為。
71.3 本條所稱書面，包含經雙方指定窗口之電子郵件及工單系統紀錄。

1第二條（安全管理措施）
22.1 受託者應採取附件二所列之技術與組織措施，其水準不得低於個人資料
3    保護法施行細則第十二條所定之標準。
42.2 附件二之修訂，得經雙方書面同意後為之，無須變更本合約其他條款。
5    受託者單方降低安全措施水準者，視為重大違約。

1【附件二 技術與組織措施】
2A. 傳輸加密：TLS 1.2 以上，禁用 SSLv3、TLS 1.0/1.1。
3B. 儲存加密：靜態資料採 AES-256 加密；金鑰以 KMS 管理，
4   金鑰輪替週期不超過 365 日。
5C. 存取控制：最小權限原則，採角色為基礎之存取控制（RBAC）；
6   具個資存取權限之帳號應啟用多因素驗證。
7D. 日誌：個資存取紀錄保存不少於 180 日，且日誌本身不得含
8   未遮罩之個人資料。
9E. 弱點管理：每季執行一次弱點掃描，高風險（CVSS ≥ 7.0）
10   項目應於 30 日內修補。
11F. 人員：接觸個資之人員應簽署保密切結書，並每年接受個資
12   教育訓練不少於 2 小時。

1第三條（複委託）
23.1 受託者非經甲方事前書面同意，不得將本委託事項之全部或一部
3    複委託第三人。
43.2 甲方同意之複委託對象，列於附表二。受託者擬新增或變更複委託
5    對象者，應於預定生效日前三十（30）日以書面通知甲方；甲方得
6    於十四（14）日內以正當理由拒絕。
73.3 受託者應與複委託對象簽訂不低於本附件義務水準之書面契約，並
8    就複委託對象之行為對甲方負全部責任。

1第四條（個人資料事故通報）
24.1 受託者知悉個人資料遭竊取、竄改、毀損、滅失或洩漏（以下稱
3    「個資事故」）時，應於知悉後二十四（24）小時內以電話及電子
4    郵件通知甲方指定窗口。
54.2 受託者應於知悉後七十二（72）小時內提交初步書面報告，載明：
6    (a) 事故發生時間與發現時間
7    (b) 受影響之個人資料種類與筆數（含估計值）
8    (c) 可能造成之影響
9    (d) 已採取及擬採取之應變措施
104.3 受託者應配合甲方依個人資料保護法第十二條對當事人為通知，
11    及依主管機關要求提交之說明，所生費用由受託者負擔。

1第五條（稽核）
25.1 甲方或其委任之第三方稽核人員，得於事前十（10）個工作日書面
3    通知後，於正常營業時間內進行書面稽核或實地稽核，每年以一次
4    為限。發生個資事故或主管機關要求時，不受次數及預告期間限制。
55.2 受託者得以最近十二個月內之 ISO/IEC 27001 驗證證書、SOC 2
6    Type II 報告或等同之第三方稽核報告，替代實地稽核；惟甲方認
7    該報告未涵蓋本委託事項者，仍得要求實地稽核。

1第六條（國際傳輸）
26.1 受託者將個人資料傳輸至中華民國領域外者，應事前取得甲方書面
3    同意，並告知接收國家或地區、接收者及其安全維護措施。
46.2 受託者應確保該傳輸符合個人資料保護法第二十一條及主管機關就
5    特定行業所為之限制令。
66.3 若受託者同時處理受歐盟一般資料保護規則（GDPR）規範之個人資料，
7    雙方應另行簽署歐盟標準契約條款（SCCs）作為本附件之附件三，
8    其效力優先於本附件相牴觸之約定。

1第七條（契約終止後之處置）
27.1 本合約終止或屆期後三十（30）日內，受託者應依甲方指示返還或
3    刪除全部個人資料及其備份，並出具經權責主管簽署之銷毀證明書。
47.2 受託者依法令須保存者，應以書面載明法令依據及保存期限，並於
5    保存期間內停止一切其他處理行為。
67.3 備份媒體之刪除，應符合 NIST SP 800-88 之清除（Clear）或
7    清洗（Purge）標準。

1第八條（責任）
28.1 受託者違反本附件義務致甲方受有損害（含對當事人之損害賠償、
3    主管機關罰鍰、法律費用及事故應變費用）者，應負賠償責任。
48.2 本附件所生之賠償責任，不適用主約所定之責任上限。

1import re
2
3PATTERNS = {
4    "TW_ID": re.compile(r"\b[A-Z][12]\d{8}\b"),          # 身分證字號
5    "TW_MOBILE": re.compile(r"\b09\d{2}-?\d{3}-?\d{3}\b"),
6    "EMAIL": re.compile(r"\b[\w.+-]+@[\w-]+\.[\w.]+\b"),
7}
8
9def redact(text: str) -> tuple[str, dict]:
10    mapping = {}
11    for label, pattern in PATTERNS.items():
12        for i, m in enumerate(pattern.findall(text)):
13            token = f"[{label}_{i}]"
14            mapping[token] = m
15            text = text.replace(m, token)
16    return text, mapping
17
18sample = "客戶 A123456789 來電，手機 0912-345-678，信箱 [email protected]"
19redacted, mapping = redact(sample)
20print(redacted)
21# 客戶 [TW_ID_0] 來電，手機 [TW_MOBILE_0]，信箱 [EMAIL_0]

1# scripts/check_vendor_compliance.py
2import sys, yaml
3from datetime import date, timedelta
4
5REQUIRED = ["role", "purpose", "data_fields", "storage_region",
6            "retention_days", "contract_ref", "dpa_signed_on",
7            "last_audit_on"]
8
9def main(path: str) -> int:
10    data = yaml.safe_load(open(path, encoding="utf-8"))
11    today, issues = date.today(), []
12
13    for v in data["vendors"]:
14        vid = v.get("vendor_id", "UNKNOWN")
15        for field in REQUIRED:
16            if not v.get(field):
17                issues.append(f"{vid}: 缺少必填欄位 {field}")
18        audit = v.get("last_audit_on")
19        if audit and (today - audit) > timedelta(days=365):
20            issues.append(f"{vid}: 稽核逾期，上次稽核 {audit}")
21        if v.get("storage_region", "TW") != "TW" and not v.get("cross_border_approval"):
22            issues.append(f"{vid}: 境外儲存但無國際傳輸核准紀錄")
23        if v.get("sub_processors") and not v.get("sub_processor_approved_on"):
24            issues.append(f"{vid}: 複委託對象未經核准")
25
26    for i in issues:
27        print(f"[FAIL] {i}")
28    print(f"\n檢查 {len(data['vendors'])} 家廠商，發現 {len(issues)} 項問題")
29    return 1 if issues else 0
30
31if __name__ == "__main__":
32    sys.exit(main(sys.argv[1]))

1[FAIL] MKT-003: 境外儲存但無國際傳輸核准紀錄
2[FAIL] MKT-003: 複委託對象未經核准
3
4檢查 2 家廠商，發現 2 項問題

1# .github/workflows/vendor-compliance.yml
2name: vendor-compliance
3on:
4  schedule:
5    - cron: "0 1 1 * *"   # 每月 1 日 UTC 01:00
6  workflow_dispatch:
7jobs:
8  check:
9    runs-on: ubuntu-latest
10    steps:
11      - uses: actions/checkout@v4
12      - uses: actions/setup-python@v5
13        with:
14          python-version: "3.12"
15      - run: pip install pyyaml
16      - run: python scripts/check_vendor_compliance.py data-flows/vendor-registry.yaml

1pandoc templates/dpa-core.md templates/addendum-tw.md \
2  --reference-doc=templates/legal-style.docx \
3  -o build/DPA-TW-vendorA.docx