GDPR 和 CCPA 的 Microsoft 支援服務與專業服務資料主體要求

Microsoft 專業服務簡介

Microsoft 專業服務包含各式各樣的技術架構師、工程師、顧問和支援專業人員群組，他們致力於履行 Microsoft 的任務，讓客戶能夠執行更多任務並達成更多目標。 我們的專業服務小組包含超過 21,000 位顧問、Digital Advisor、Unified Support、工程師，以及跨 191 個國家/地區的銷售專業人員。 我們的小組支援 46 種不同的語言、每月管理數百萬次參與，以及透過內部部署、電話、Web、社群和自動化工具參與客戶和合作夥伴互動。 組織使用廣泛的合作夥伴、技術社群、工具、診斷和管道網路，將我們與企業客戶連線，為整個 Microsoft 組合帶來廣泛的專業知識。

若要深入瞭解 Microsoft 專業服務，請前往 Microsoft 專業服務信任文件網頁。 Microsoft 專業服務很認真看待其在一般資料保護規定 (GDPR) 下所需承擔的責任。 本文件中的資訊旨在回答客戶對於 Microsoft 支援與諮詢供應專案如何回應及協助客戶響應數據主體要求的問題， (DSR) GDPR 的義務。

DSR 簡介

GDPR 提供許可權給法規中 (稱為 數據主體 的人員，) 管理僱主或其他類型的機構或組織所收集的個人資料， (稱為 數據控制者 或控制 者) 。 依據 GDPR，個人資料的定義很廣泛，舉凡與已識別或可識別自然人相關的任何資料皆屬之。 GDPR 為數據主體提供其個人資料的特定許可權。 這些許可權包括存取、更正、對處理的誤解，以及刪除。 由資料主體向控制者提出以對其個人資料採取行動的正式要求，稱為資料主體要求或 DSR。 此外，公司必須代表稱為 數據處理器 或處理器 (的控制 器) ，以合理地協助控制器履行 DSR。

同樣地，加州消費者隱私法 (CCPA) 為加州消費者提供隱私權和義務，包括與 GDPR 資料主體權利相似的權利，例如，刪除、存取和接收 (可攜性) 其個人資訊的權利。 CCPA 也提供特定揭露、針對選擇行使權時的歧視提供保護，以及特定資料傳輸的「選擇退出/選擇加入」需求分類為「銷售」。 銷售的廣泛定義，包括出於有價值的考量而共用資料。 如需 CCPA 的詳細資訊，請參閱加州消費者隱私法和常見問題集。

本指南說明如何尋找、存取及處理存在 Microsoft IT 系統的個人資料，這些資料經收集用以提供支援和其他專業服務產品。

在開發 DSR 的回應時，Microsoft 的客戶必須瞭解專業服務數據與其在線服務租使用者中的客戶數據，或其或其數據主體可能提供給 Microsoft 的其他數據不同。 如在線服務或 Microsoft 隱私權儀錶板所提供的工具和程式，無法用來回應 DSR，以取得 Microsoft 支援服務 或其他專業服務所持有的個人資料。

所有要求都必須透過支援代表提出，如本文稍後所述。 目前沒有任何自助工具可供客戶存取專業服務組織內的個人資料。

本指南中所述程序的概觀

• 探索：使用搜尋和探索工具，更輕鬆地尋找可能成為 DSR 主體的客戶資料。 收集到可能的回應文件之後，您就可以執行下列步驟中所述的一或多個 DSR 動作來回應要求。 或者，您可能判定該要求不符合組織回應 DSR 的方針。
• 存取：擷取在 Microsoft 雲端中常駐的個人資料，並在要求時製作可供資料主體使用的副本。
• 修正：在適用情況下，對個人資料進行變更或實行其他要求的動作。
• 限制：藉由盡可能移除各種 Azure 服務的授權或關閉所需的服務，以限制個人資料的處理。 您也可以從 Microsoft 雲端移除資料，並將它保留在內部部署或另一個位置。
• 刪除：永久移除 Microsoft 雲端中常駐的個人資料。
• 匯出/接收 (可攜性)：將個人資料或個人資訊以電子複本 (以電腦可讀取的格式) 提供給資料主體。 CCPA 中的個人資訊是任何與已識別或可識別個人相關的資訊。 個人的私人、公開或工作角色之間沒有區別。 定義的「個人資訊」一詞大致與 GDPR 下的「個人資料」對應。 不過，CCPA 也包含家庭和家用資料。 如需 CCPA 的詳細資訊，請參閱加州消費者隱私法和常見問題集。

術語

以下是本指南中 GDPR 的一些相關詞彙定義：

• 控制者：自然人或法人、公家機關、公司或其他主體，不論單獨或與其他單位聯合，會判斷處理個人資料的用途以及方式，其中此類處理的用途以及方式的判斷是根據聯盟與成員國法律，控制者人選或提名控制者的特定準則可由聯盟與成員國法律提供。
• 處理者：代表控管者處理個人資料的自然人或法人、公務機關、局處或其他機構。
• 個人資料和數據主體： 任何與已識別或可識別自然人相關的資訊， ( 數據主體『) 。 可識別的自然人是可直接或間接識別的自然人，特別是透過參考標識碼，例如名稱、標識碼、位置數據、在線標識符，或是該自然人之實體、物理、基因、身心、經濟、文化或社交身分識別的一或多個特定因素。

有助於了解本指南的其他術語和定義

• 專業服務數據： 客戶 (或客戶授權 Microsoft 從產品) 取得，或透過與 Microsoft 合作取得專業服務，或代表 Microsoft 取得或代表 Microsoft 取得或代表 Microsoft 取得的所有數據，包括所有文字、音效、視訊、圖像檔或軟體。
• 客戶聯繫人數據： 可能是您與 Microsoft 商務關係一部分的個人資料，例如客戶聯繫人資訊中包含的個人資料。 客戶聯繫人數據可能包含您的姓名、電子郵件或電話號碼，包括頂級合約 Service Manager (CSM) 、在線服務的全域或 IT 系統管理員，或類似的角色。
• 假名化資料當您對 Microsoft 企業產品和服務使用 Microsoft 支援時，Microsoft 會產生一些資訊，其連結至 Microsoft 數字識別碼以提供支援。 這項資訊通常稱為「化名數據」。 雖然在未使用其他信息的情況下，此數據無法歸屬於特定數據主體，但在GDPR對個人資料的廣泛定義下，某些數據可能會被視為個人資料。 在專業服務中，達成或協助達成 DSR 的要求一律會自動包含處理假名化資料。

如何使用本指南

本指南包含若客戶使用 Microsoft 專業服務可能會遇到的四個案例。

• 客戶聯繫人 Microsoft 的 DSR： 說明 Microsoft 如何回應客戶聯繫人或 IT 系統管理員的要求，以執行其數據主體許可權。
• 適用於 End-User Microsoft 的 DSR： 說明 Microsoft 如何回應客戶員工或其他數據主體的要求，以執行其權利。
• 客戶所提供數據的 DSR：商業支援：當客戶收到員工或其他數據主體的要求來執行其權利，且該數據主體的個人資料在支持約定期間由 Microsoft 支援服務 收集時，如何接收 Microsoft 協助的資訊。
• 客戶所提供數據的 DSR：諮詢服務，包括 FastTrack 移轉服務： 當客戶收到員工或其他數據主體的要求來執行其權利，且該數據主體的個人資料在諮詢參與期間由 Microsoft 收集時，如何接收 Microsoft 協助的資訊。

Microsoft 客戶連絡人的 DSR

Microsoft 會如何回應客戶連絡人或 IT 系統管理員的要求來執行資料主體權利。

當客戶與 Microsoft 接洽以接收支援或諮詢服務時，Microsoft 支援服務 會自動從帳戶記錄收集或擷取客戶聯繫人 (的個人資料，例如 CSM、全域 管理員、IT 管理員) 。 這可能包括名稱、電子郵件、電話和尋求支援或諮詢服務的個體之其他個人資料。

客戶聯繫人的個人資料是 Microsoft 與客戶商務關係的一部分，而 Microsoft 是數據控制者，除非在提供技術支持的過程中收集此數據。 Microsoft 會回應客戶聯繫人關於其個人資料的 DSR，無論其是否仍在組織中。

當客戶連絡人的個人資料在提供技術支援的情況下收集時，Microsoft 就是資料處理者。

客戶應該瞭解 DSR 只涵蓋客戶聯繫人的個人資料，而且不會變更或刪除任何在參與過程中提交的客戶數據 (例如文字記錄、案例描述、檔案、工作產品) ，因為 Microsoft 是數據處理者。 此外，為維護約定的歷程記錄，不會對已結束的約定進行任何變更，包括開啟約定者的記錄。

從客戶聯繫人收到有關 Microsoft 是數據控制者之 DSR 的查詢時，Microsoft 人員會將客戶聯繫人參考隱私 權回應中心。 這是 Microsoft 的主要輸入機制，以供隱私權查詢和投訴。 收到查詢時，隱私權回應中心會識別這是商業或組織帳戶的一部分，並據此回應。

Microsoft 是數據處理者，請參閱下方 的客戶提供數據的 DSR：商業支援 。

客戶可以選擇透過與此 DSR 不同的一般支援或諮詢管道，變更專業服務參與期間所收集的數據。 例如，Microsoft 可在要求 (時協助展開支持約定，請參閱客戶 提供數據的 DSR 指南 一節) 。

Microsoft 使用者的 DSR

Microsoft 會如何回應客戶員工或其他資料主體的要求來執行其權利。

如果客戶的員工或其他數據主體連絡 Microsoft，對 Microsoft 以數據處理者身分收集的數據執行其許可權，數據主體會收到通知，他們需要連絡 Microsoft 的客戶，作為數據控制者，才能執行這些許可權。 Microsoft 不會採取任何進一步的動作。

如果數據主體也連絡 Microsoft，瞭解如何在 Microsoft 是數據控制者 (的情況下，為 Microsoft 所收集的數據行使其權利，例如取用者支援) 則 Microsoft 會分別回應個人對該個人資料的數據主體權利要求。

客戶所提供資料的 DSR：商業支援

當客戶收到員工或其他資料主體的要求要執行權限，且該資料主體的個人資料在支援約定期間由 Microsoft 支援服務所收集，在此情況下如何接收 Microsoft 的協助。

當客戶與 Microsoft 支援服務 互動時，Microsoft 會向客戶收集支持數據，以解決任何需要支持參與的問題。 這項支援資料包含 Microsoft 與客戶的互動 (例如聊天、電話、電子郵件、網頁提交)，加上客戶傳送給 Microsoft，或 Microsoft 經客戶同意從客戶 IT 環境或線上服務租用戶擷取的任何內容檔案，用以解決支援問題。 在統一支持的情況下，這也會包含我們從客戶收集的任何數據，以主動防止未來發生問題。 不過，這會排除 Microsoft 與客戶商務關係 (例如帳單記錄) 的其他資訊。

針對在提供支援的過程中所收集的所有支援資料和連絡人資料，Microsoft 是資料處理者。 因此，Microsoft 不會響應數據主體在與 Microsoft 商業客戶相關聯時所提供支持數據的直接要求。 客戶應連絡其客戶成功帳戶管理員 (CSAM) 以取得協助。

步驟 1：探索

取得 Microsoft 的協助以回應 DSR 的第一個步驟，是先找出個人資料，也就是 DSR 的主體。 第一個步驟 (尋找並檢閱上述的個人資料)，可協助客戶判斷 DSR 是否符合貴組織的需求，以便接受或拒絕。第一個步驟 (尋找並檢閱上述的個人資料)，可協助您判斷 DSR 是否符合用於遵循資料主體要求的貴組織原則，以便接受或拒絕。

在客戶找到數據之後，客戶就可以執行特定動作來滿足數據主體的要求。 識別客戶嘗試執行的動作將決定客戶需要參與的探索層級。

在 Microsoft 協助客戶解決 DSR 時，這是商務功能，而要求是透過您的一般支援通道提出。

在探索相關資料及取得 Microsoft 的協助方面，對於如何達到 DSR 客戶有數種選項：

選項 A：跨 Microsoft 支援客戶 DSR。 將 DSR 套用至 Microsoft 支援環境中的所有客戶支持數據。 若要這樣做，客戶可以只要求 Microsoft 將 DSR 套用至所有收集的支持數據。

選項 B：特定客戶參與。 使用線上系統檢閱工單，然後找出特定的約定，其中包含相關的個人資料並向 Microsoft 報告。 如果客戶無法在預訂之間搜尋 (票證) ，Microsoft 會嘗試提供協助來執行搜尋。

識別出約定之後，要求將 DSR 套用於記錄的特定部分，或 Microsoft 中與該約定相關的所有項目。

若要識別特定參與專案，客戶必須搜尋其參與專案。 針對整合客戶，客戶的成功帳戶 (「CSAM」) 可在客戶的合約排程下建立的所有支援要求 (SR) 中看到。 針對非整合，可使用對等的支持參與入口網站，例如透過在線服務支持區域。

CSM 可移至 服務中心 入口網站，然後選取 [管理所有支援要求]。

當客戶已找出所選支援工單中的所有相關資料時，客戶可決定是否要求刪除與工單相關的所有項目，或選擇性將 DSR 套用到個人資料的個別執行個體。

步驟 2：存取

在客戶找到包含可能回應 DSR 之個人資料的支持數據之後，客戶必須決定要在回應中包含哪些個人資料。 例如，客戶可以選擇移除其他數據主體和任何機密資訊的個人資料。

DSR 的回應可能包含實際文件的複本、適當修訂的版本，或客戶認為適合共用的部分螢幕快照。 對於每個存取要求的回應，客戶必須擷取檔複本或其他包含回應數據的專案。

使用者個人資料的存取權可能來自不同類型內容文件中的相關記錄或註解。 由於客戶可能會存取約定工單和內容，因此客戶可以自己提供個人資料摘要，而不需要 Microsoft 進一步的協助。

在罕見的情況下，客戶可能需要取得 Microsoft 代表與客戶代表之間的支援互動資料 (例如電子郵件、電話記錄的謄寫複本、聊天文字記錄) 複本。 在所需範圍內，Microsoft 會根據需求、機密性和困難度，提供這些文字記錄經刪減過的複本。

步驟 3：修正

如果數據主體要求客戶修正其組織支持數據中的個人資料，客戶必須判斷是否適合接受要求。 如果客戶選擇接受要求，則客戶可能會要求 Microsoft 進行變更。 Microsoft 可能會修正數據，或從支援系統刪除客戶的數據，並要求客戶以更正格式重新提交給 Microsoft。

步驟 4：限制

客戶隨時可能會結束約定，或連絡 Microsoft 要求結束約定。 封閉式參與會防止執行任何工作。

步驟 5：刪除

從組織的支援資料中移除其個人資料的「抹除的權利」，是 GDPR 中的關鍵保護機制。 移除個人資料包括刪除整個約定、文件或檔案，或刪除約定、文件或檔案內的特定資料。

當客戶調查或準備刪除個人資料，以回應 DSR 時，以下是一些重要事項，讓您了解如何在 Microsoft 支援服務進行刪除。

Microsoft 的所有資料都有套用保留期與刪除原則，這些會根據風險及其他因素而有所不同。

要求跨支援系統刪除數據主體個人資料的客戶，可以透過您的客戶成功帳戶管理員 (CSAM) ，或在 Services Hub 或對等系統中提出支援要求 (SR) 來執行此動作。 您必須指出此要求是協助您在 GDPR 下的 DSR。

選項 A：跨 Microsoft 支援客戶 DSR。 針對跨系統 DSR，客戶必須提供 Microsoft 識別所需數據所需的個人資料 (例如電子郵件位址;電話號碼) 。 Microsoft 不會相互關聯或研究記錄，且只會直接搜尋客戶所提供的標識碼。 找到數據時，Microsoft 會刪除所有參與專案和所有相關聯的數據。

重要注意事項：這可能會導致遺失對客戶組織很重要的歷程記錄。

選項 B：特定客戶參與。 針對客戶已識別並想要刪除的特定預訂，請勿從 Services Hub 刪除票證。 這會導致個人資料留在記錄檔和下游系統中，而這些數據可能無法在所需的時間範圍內刪除。 相反地，找出必須刪除的工單或工單內的個人資料，並連絡 Microsoft 支援服務，以協助您刪除資料。

Microsoft 支援服務資料傳輸和管理工具 (DTM) 指示

針對所有這些搜尋，Microsoft 不會跨 DTM 搜尋，因為檔案中的內容可能很敏感。 不過，如果客戶想要，Microsoft 會刪除與客戶帳戶相關聯之 DTM 中包含的所有檔案。 由於可能會對客戶造成嚴重影響，Microsoft 需要與指定刪除 DTM 檔案的客戶分開要求。

• 對於未在90天前關閉的開啟案例或案例，客戶聯繫人可以進入 DTM 並刪除檔案。
• 根據預設，檔案會在案例關閉 90 天后自動刪除。
• 客戶也應該要求 Microsoft 跨系統檢查個人資料，因為檔案偶爾會從 DTM 複製到其他系統，以便透過其 CSAM 或 透過隱私權回應中心進行診斷。

步驟 6：匯出

「數據可移植性許可權」可讓數據主體以電子格式要求其個人資料的複本，並要求您的組織將其傳輸至另一個控制者。 在支持數據的案例中，Microsoft 擁有的任何可用信息都會以參與資訊或檔案的形式傳回給您，以便重新通訊或上傳至另一個控制器。

附註：匯出的資料不包含 Microsoft 的智慧財產或可能危及服務安全性或穩定性的任何資料。

諮詢服務中客戶所提供資料的 DSR 指南包括移轉服務

當客戶收到員工或其他資料主體的要求要執行權限，且該資料主體的個人資料在諮詢約定期間由 Microsoft 所收集，在此情況下如何接收 Microsoft 的協助。

產業解決方案

針對產業解決方案，在 [Microsoft 產品和服務數據保護增補 (DPA) ] 下 () https://www.microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA 。

Microsoft 是客戶聯繫人與參與小組合作的數據控制者。 這些人員應連絡 隱私權回應中心 ，以履行數據主體許可權。

Microsoft 是 DSR 的數據處理者，位於諮詢參與期間所提供的數據內。 客戶應連絡客戶成功帳戶管理員 (CSAM) ，以根據所收集的數據，然後提供特定類型的諮詢服務，協助回應 DSR。 就您的要求構成一種通常在產業解決方案中看到的投入量而言，可能需要額外的工作順序。 此外，在時間範圍內的每個諮詢參與之後，個人資料都會根據諮詢參與的類型刪除。 客戶可以要求更快刪除數據，並要求證明刪除。

Microsoft FastTrack 服務

Microsoft FastTrack 向組織提供 IT 諮詢服務，協助組織上線及使用 Microsoft 雲端服務，如 Microsoft 365、Azure 和 Dynamics 365。

Microsoft 是公司客戶聯繫人的數據控制者，可使用 FastTrack 來部署和移轉至上述 Microsoft 雲端服務。 如果您是公司組織，在部署時使用 Microsoft FastTrack，而且您想要從 Microsoft 的 FastTrack 記錄存取、修改或移除連絡資訊，您可以將要求傳送至適用於 Microsoft 365 的 FastTrack - 公司 GDPR 要求收件匣 () ，以提交數據主體要求 (O365ftgdpr@microsoft.com DSR) 。

對於 FastTrack 移轉服務，Microsoft 是數據處理器。 根據我們的Fast Track其他隱私權洩漏聲明，移轉中的所有數據都會被視為「移轉數據」。如果您在組織參與FastTrack移轉專案時需要執行DSR，則需要特別小心。

如果您需要在透過 FastTrack 移轉系統處理使用者數據時處理任何存取、修正或匯出 DSR 要求，客戶必須負責透過儲存使用者數據的現有來源系統來履行這類 DSR。 一旦使用者的移轉完成且資料已移轉到目的地 Microsoft 雲端服務後，就會套用 Microsoft 針對客戶如何使用 Microsoft 產品、服務及系統管理工具來找出並處理個人資料，進而回應資料主體要求所提供的指引。 若要檢視此指引，請參閱 GDPR 資料主體要求。

如果您在組織進行進行中的 FastTrack 移轉專案時，需要刪除使用者帳戶以回應 DSR 刪除要求，您應該注意，移轉系統可能會在使用者移轉完成後保留使用者移轉數據的複本一段時間，而刪除用戶帳戶並不會自動刪除儲存在 FastTrack 移轉系統中的這類使用者移轉數據。 如果您希望 Microsoft FastTrack 小組刪除使用者移轉數據，您可以提交要求。 在一般的商務過程中，Microsoft FastTrack 在組織移轉完成後刪除所有數據複本。

其他諮詢服務

透過 Microsoft 接收其他諮詢服務的客戶應該透過參與小組合作，以滿足所有 GDPR 需求。 如果參與小組無法提供 GDPR DSR 履行的明確指示，客戶應該連絡其 CSAM 或提交技術支援要求。