廣告商隱私條款

Last Update: November 14, 2025

生效日期： 二零二三年八月十四日

這些 Taboola 廣告客戶隱私條款（「廣告商隱私條款」）適用於 Taboola 的數字廣告服務，例如 Taboola 根據 Taboola 與廣告商之間的協議（「協議」）通過其分發平台發布廣告客戶內容時（以下簡稱「協議」），而這些廣告商隱私條款將被視為已納入任何該協議並構成其不可或缺的一部分。  這些廣告商隱私條款確定 Taboola 和廣告商對個人資料的角色和責任。

如果廣告客戶隱私條款與協議之間存在衝突，否則《廣告商隱私條款》與協議之間存在衝突的範圍內，除非本協議中的衝突條款明確引用這些廣告客戶隱私條款的衝突條款，並指明該條款優於該條款衝突的條款，除非該協議中有衝突的條文。

本節中定義的術語應具有下列的含義，同類術語應相應解釋。廣告商隱私條款中使用但未定義的大寫字詞應具有本協議中定義的含義。

      1. 「適用的資料保護法」指適用於本協議和本廣告商條款的主旨之處理的任何聯邦、國家、州或其他隱私權和資料保護法律，如有可能不時修改或取代。
      2. 「收集的資料」指各方透過其伺服器或網路上或透過資料主體收集的個人資料（包括所有被動收集或機器可讀數據，例如基於瀏覽器類型和裝置識別碼的資料）與提供或接收服務相關的個人資料。
      3. 「控制者」指：(i) 確定處理個人資料的目的和方法的實體，以及 (ii) 任何屬於適用資料保護法定義的「控制者」（或任何相似術語）範圍內的任何人士。
      4. 「加州隱私法」指 2018 年加州消費者隱私法，加州加州。民事法律 § 1798.100 及以下條。（「CCPA」），經修訂（包括加州隱私權法案），以及任何附屬法例和實施法規。
      5. 「資料主體」指：(i) 已識別或可識別的自然人（以及在這些目的下，可識別的自然人是可直接或間接識別的人，尤其是參考名稱、身分編號、位置資料、線上識別碼或該自然人的身體身分、生理、遺傳、心理、經濟、文化或社會身份等一個或多個因素），以及 (ii) 任何屬於「數據主體」，「消費者」（或任何一個詞）的範圍內根據數據保護法規定義的主要類似術語）。
      6. 「歐盟資料保護法」指：(i) 歐盟一般資料保護規例（規例 2016/679）（「歐盟 GDPR」）；(ii) 歐盟電子隱私指令（指令 2002/58/EC）；以及 (iii) 根據或根據 (i) 或 (ii) 制定的任何國家資料保護法，每項法律都可能不時修改或取代。
      7. 「允許目的」具有第 3 條所述的含義。
      8. 「個人資料」指與資料主體有關的任何資訊（包括在適用資料保護法規要求的情況下，唯一的瀏覽器或裝置識別碼），如附件 A 第 B 部所載。
      9. 「處理」指對個人資料或一組個人資料進行的任何操作或一組作業，無論是否以自動方式進行，例如收集、接收、記錄、組織、結構、使用、傳輸、訪問、共享、披露、轉移、儲存、調整或更改、檢索、散佈或其他方式提供、整合或組合、彙總、推論、衍生、分析、限制、刪除、銷毀或處置個人資料的其他處理，包括如何根據適用資料保護法定義該術語。
      10. 「處理者」指：(i) 代表控制人處理個人資料的實體，以及 (ii) 任何屬於適用資料保護法規定義的「處理者」(或任何相似術語) 範圍內的任何人士。
      11. 「限制轉移」指：(i) 在適用歐盟 GDPR 的情況下，從歐洲經濟區域經濟區以外的國家轉移個人資料，而且不受歐盟委員會確定足夠性的情況下（「歐盟限制轉移」）；及 (ii) 適用英國 GDPR 的個人資料，從英國傳輸至任何根據英國數據第 17A 條不受適當規定或根據英國數據適用法規的任何其他國家 2018 年保護法（英國受限制）轉移「）。
      12. 「銷售」和「出售」指交換個人資料以金錢或其他有價值的代價，並包括在適用資料保護法下該等條款的定義。
      13. 「服務」指 Taboola 根據與廣告商的協議提供的服務。
      14. 「安全事件」指違反安全性，導致意外或非法破壞、丟失、更改、未經授權披露或存取個人資料。
      15. 「標準合約條款」指：(i) 適用於歐盟 GDPR 的情況下，歐洲委員會根據歐盟議會及理事會規例 (EU) 2016/679（「歐盟 SCC」）向第三國傳輸個人資料標準合約條款的 2021 年 6 月 4 日實施決定 2021/914 附加的合約條款；以及 (ii) 在適用英國 GDPR 的情況下，歐盟委員會的「國際數據傳輸附錄資料發出的標準合同條款」根據《2018 年度 DPA》第 119a (1) 條的專員（下稱「英國附錄」）。
      16. 「第三方」是指在個人資料方面擔任控制者的企業，而該企業並非處理個人資料主體故意與其互動的業務；該術語包括在適用資料保護法下該術語的定義方式。
      17. 「英國資料保護法」指：(i) 英國資料保護法 2018、(ii) 英國 GDPR（如英國資料保護法 2018 年第 3 (10) 條定義）（「英國 GDPR」）、(iii) 英國私隱和電子通訊（歐盟指令）規例 2003 年），以及 (iv) 根據 (i)、(ii) 或 (iii) 根據或根據 (i)、(ii) 或 (iii) 制定的任何其他英國法律，各有可能不時修改或取代。

每一方應處理其從另一方收集或收到的收集數據，以便在附件 A 第 B 部（下稱「允許目的」）中所列的目的。  廣告商同意 Taboola 將按照 Taboola 隱私政策允許處理收集的數據（為了避免任何疑問，也將是 Taboola 的允許目的）。

在收集的數據符合適用資料保護法規或包含個人資料的範圍內，每一方都應以控制者身分處理其從另一方收集或接收的收集資料（在適用的情況下，可能包括在適用的情況下，作為第三方的身份）。  從一方向另一方向另一方披露收集的資料或個人資料（無論是轉移或透過一方提供資料給另一方），均為向第三方披露。

      1. 如果美國或美國州數據保護法適用於收集的數據，包括但不限於加利福尼亞隱私法，在 Realize Pixels（前稱為「Taboola Pixels」）與服務處理有關訪客的個人數據有關的範圍內使用的 Realize Pixels（前稱為「Taboola Pixels」）的範圍內，Taboola 會作為該等個人數據的廣告商的第三方。Taboola 應為允許的目的處理此類個人資料。此類個人資料僅供 Taboola 出於允許的目的。  Taboola 將提供與適用美國資料保護法律規定的企業所要求的隱私保護，包括如適用的加利福尼亞隱私法。如果 Taboola 判斷其無法再履行適用資料保護法規下的義務，Taboola 將在適用資料保護法規所規定的期間內通知廣告商。在向 Taboola 提供通知後，廣告商有權採取合理和適當的步驟來停止和修正其提供給 Taboola 的個人資料的未經授權使用。

雙方承認收集的部分或全部資料可能符合個人資料或包括個人資料，因此適用的資料保護法可能適用於每一方對收集資料的處理。  在這種情況下，並且在第 7 條另有規定下，每一方應個別負責自行遵守適用資料保護法律，包括：(i) 為資料主體提供透明度、(ii) 獲得同意或其他合法基礎進行處理，以及 (iii) 提供聯絡點，以便資料當事人行使其資料保護權利。

如果任何一方對收集數據進行限制轉移給另一方，則適用附件 C 的條文。

塔布拉使用實現像素來提供服務。  儘管第 5 條，在 Taboola 使用 Realize Pixels 從廣告商數字財產（例如網站、移動應用程序或其他方式）收集的數據的範圍內，廣告商應：(i) 向資料主體提供所有必要的透明性通知，有關 Taboola 使用 Realize Pixels 以收集的廣告商數字財產為允許目的收集數據，並 (ii) 獲得（並隨時根據 Taboola 的要求提供適當的證據）資料當事人同意使用 Realize Pixels 出於允許的目的，在每個案件都按照適用資料保護法規的要求。  廣告商在此方面的義務包括在透明度通知和廣告商向資料主體提供的同意提示中明確識別 Taboola 及其為允許目的使用 Realize Pixels 以及其他資料保護法規要求的資料，以便 Taboola 可以通過該等數位屬性合法提供其服務，並為允許目的處理收集的資料和個人資料處理收集的資料和個人資料。  根據書面要求，Taboola 應向廣告商提供有關 Realize Pixels 和 Taboola 通過廣告商的數字財產處理收集數據的必要信息，以確保廣告商的通知和同意機制符合適用的數據保護法。  除非提供任何必要的透明度並獲得適用資料保護法規所需的同意，否則廣告商不得解除任何 Realize Pixel。廣告商應進一步向資料主體提供有關他們如何根據適用資料保護法行使其資料保護權利的資訊，並提供聯絡點供資料主體聯絡，以行使其權利。如果廣告商收到任何有關 Taboola 作為控制人處理收集數據的資料保護權利要求，廣告商應立即通知 Taboola，以便 Taboola 可根據其適用資料保護法規下的義務履行要求。

如果 Taboola 根據廣告商的要求將個人資料傳遞給廣告商的歸因合作夥伴或廣告商作歸因目的，廣告商聲明並保證：(i) 其歸因合作夥伴代表廣告商處理商；(ii) 除非另有其他收集，否則廣告商和歸屬合作夥伴將僅用於歸因目的；及 (iii) 歸因合作夥伴和廣告商將刪除所有已傳遞的個人資料最後一次識別訪客來自 Taboola 的三十 (30) 天內的數據。

每一方應採取適當的技術和組織安全措施，以保護其處理的收集數據和/或個人數據免受安全事件的侵害。  這些措施須包括附件 B 所載的措施。

如果任何一方因其處理的收集數據和/或個人數據而遭受安全事故，該方應：(i) 履行適用的資料保護法規向資料保護機關及/或受影響的資料當事人的任何報告義務，(ii) 盡快通知另一方，並根據合理要求提供有關安全事件的資料由另一方或按原樣另一方須另一方判斷其是否可能根據適用資料保護法律就保安事件有報告義務，以及 (iii) 在不過延遲時間採取所有適當的行動和措施，以糾正及/或減輕安全事件的影響

在適用資料保護法例所規定的情況下，每一方均須遵守的範圍內，每一方應就其為允許目的處理收集資料及/或個人資料處理任何資料保護影響評估，及/或在必要時諮詢適用資料保護機關。  每一方均須提供對方合理要求的所有合理合理合作和資料，如有必要，以便對方完成資料保護影響評估及/或根據該對方根據本第 11 條所承擔的義務諮詢適用資料保護機關諮詢。

 

一.黨列表

每一方應：

      • 其向另一方披露或提供的收集數據的數據控制器（和數據輸出器），以及
      • 其從另一方收到的收集數據或由另一方提供訪問權限的資料控制人（和數據導入器）。

各方的詳細信息如下。

名稱:請參閱《合約》中所列明的廣告商詳細資訊。

地址: 請參閱《合約》中所列明的廣告商詳細資訊。

聯絡人姓名、職位及聯絡資料：請參閱本協議中列明的廣告商詳細信息或雙方書面協議。

與根據這些條款所傳輸的資料有關的活動：服務的收到，如本協議中所述。

簽名和日期：本附件 A 將在廣告商接受這些廣告客戶隱私條款後視為已完成。

角色（控制器/處理器）：控制人（如果它是數據輸出器）和控制器（如果它是數據導入器）

 

名稱:請參閱《協議》介紹中所載的 Taboola 詳情。

地址:請參閱《協議》介紹中所載的 Taboola 詳情。

聯絡人姓名、職位及聯絡資料：塔布拉的隱私團隊，privacy@taboola.com。

與根據這些條款所傳輸的資料有關的活動：本協議中規定的服務的提供。

簽名和日期：Taboola 接受這些廣告商隱私條款後，本附件 A 將視為已完成。

角色（控制器/處理器）：控制人（如果它是數據輸出器）和控制器（如果它是數據導入器）

 

B. 處理和轉移的描述

處理及/或轉移個人資料的資料主體類別：使用者

處理和/或轉移的個人數據類別：

裝置資料：操作系統，瀏覽器類型，瀏覽器版本，收集後的 IP 地址（在 30 天內截斷），郵遞區號（源自 IP 地址），哈希 Taboola 用戶 ID，哈希電子郵件，廣告商網站的初始和後續頁面訪問，用戶性別（根據興趣導出），參與信號（在網站上時間，滾動深度，會話深度），轉換數據。

有關用戶訪問的數字財產數據：訪問頁面的 URL，引薦網站

傳輸的敏感資料（如適用）及適用的限制或保護措施，完全考慮資料的性質和相關風險，例如嚴格的目的限制、存取限制（包括僅接受專業培訓的員工訪問）、保留存取資料的記錄、繼續傳輸的限制或額外安全措施： 不適用。

處理和/或轉移的頻率（例如，數據是一次性或連續處理和/或傳輸）：在協議有效期內持續。

處理性質：處理提供服務所需的個人資料，如本協議所述。

資料處理/傳輸及進一步處理的目的：本協議中規定的服務的提供。為避免疑問，允許用途包括：(i) 在設備上存儲和/或訪問信息；(ii) 選擇基本廣告；(iii) 建立個性化廣告個人化的個人化廣告；(v) 創建個性化內容；(vi) 選擇個性化內容；(vii) 測量廣告性能；(viii) 測量內容性能；(ix) 開發和改進產品；(x) 確保安全，防止欺詐和調試; (xi) 在技術上傳遞廣告或內容；(xii) 離線匹配和結合資料來源；(xiii) 連結不同裝置；(xiv) 接收及使用自動傳送的裝置特性進行識別；(xv) 使用有限數據選擇內容，以及 (xvi) 透過統計來評估受眾。

個人資料將保留的期間，或如果不可能，則用於確定該期間的標準：

      • 塔布拉：原始資料最多儲存 13 個月。
      • 廣告商：只要接收服務需要，或在協議中另有規定的情況下。

對於轉移給（子）處理器，另請指明處理的主體、性質和持續時間：不適用。

 

C. 主管主管機關

適用歐盟 GDPR 的主管機關：每一方的主管主管機關如下所述：

      • 塔布拉：有關監管機關須根據歐盟商務委員會第 13 條確定。
      • 廣告商：有關監管機關須根據歐盟商務委員會第 13 條確定。

適用英國 GDPR 的主管機關：資訊專員辦公室

 

說明各方所採取的技術和組織措施（包括任何相關認證），以確保適當的安全水平，並考慮到處理的性質、範圍、背景和目的，以及對自然人的權利和自由的風險。

個人資料的偽名化和加密措施：Taboola 僅收集匿名數據，這意味著我們不知道您是誰，因為我們不知道或處理用戶的姓名，電子郵件地址或其他可識別數據。我們收集的使用者資訊包括但不限於使用者裝置和作業系統的資訊、IP 位址、用戶在我們客戶網站內訪問的網頁、導向用戶前往客戶網站的連結、用戶訪問客戶網站的日期和時間以及其他網頁瀏覽數據。Cookie ID 使用 Bcrypt 進行匿名化，IP 地址被截斷。

確保處理系統和服務持續保密、完整性、可用性和彈性的措施：Taboola 使用多種級別的電子安全性（例如：端點安全性，服務器端安全性，檢測跟踪，定期滲透測試和深度情報收集來審查死後事件）。

在發生物理或技術事故時，確保能夠及時恢復個人資料的可用性和存取的措施：Taboola 在世界各地擁有 9 個資料中心。每個資料中心都用作彼此的複製，因此如果某個資料中心崩潰，則可以從其他資料中心提取資料。

定期測試、評估和評估技術和組織措施的有效性的流程，以確保處理的安全性：Taboola 維持嚴格的流程，以測試其控制項的有效性（技術和組織性）。我們有系統記錄和監控，每月（至少）DR 測試，季度滲透測試，防火牆保護網絡，以及在網絡中散佈的蜂窩以及發現任何惡意活動的蜂窩。此外，我們設有獎勵計劃，可幫助我們不斷監控我們的網絡。

用戶識別和授權的措施：Taboola 中的每個用戶都與專用的用戶名和密碼相關聯。每次訪問 Taboola 內部網絡都通過使用 Google 身份驗證進行 2FA。用戶僅由 IT 部門創建，在入職過程中，並且僅在收到人力資源部門的所有詳細信息和簽署合同後才創建。

傳輸過程中保護資料的措施：Taboola 支持通過安全傳輸協議（至少 HTTPS 和 TLS v1.2）的任何數據傳輸。此外，可能包含 PII 的系統受到保護，並將數據保持雜湊和匿名。

儲存期間保護資料的措施：存儲在我們數據庫中的數據會使用 Bcrypt 匿名化和哈希。使用資料庫的存取最小化，並根據「業務需要知道」原則為基礎。

確保處理個人資料的地點實體安全的措施：Taboola 的每個全球數據中心（位於美國、歐洲和亞洲）都有其所有伺服器位於鎖定的機櫃中，這些伺服器僅供 Taboola 使用。這些機櫃由已通過 SOC2 認證的公司維護，或 Taboola 已審查其安全措施。此外，任何對伺服器的存取都需要書面記錄的權限。所有 Taboola 辦公室也受到控制，並要求員工使用門禁卡進入。此外，只有有限數量的員工可以訪問 Taboola 的服務器，任何訪問都需要書面和記錄的權限。

確保事件記錄的措施：Taboola 實施了監控工具，並將日誌收集到我們的 SIEM 系統中，該系統會在任何可疑事件發出警告，並且也被 NOC 團隊監控。

確保系統組態的措施，包括預設組態：系統會掃描伺服器的組態偏移和修補程式等級。兩者都設定報告和/或警示，並確認相關修補程式等級。使用 Puppet 發佈新的修補程式。所有技術審查都通過研發應用程序管理，並通過編碼和 CI/CD 流程後通過正式審查（QA）獲得。

內部 IT 和 IT 安全管理和管理的措施：塔布拉通過 ISO 27001：2013 和 27701 認證。Taboola 制定了一項信息安全政策，其中指出 Taboola 的董事會和管理層致力於保護整個組織中所有實體和電子信息資產的機密、完整性和可用性。Taboola 為所有新員工舉辦安全培訓，為全球所有員工提供網絡釣魚培訓，定期為所有員工提供安全培訓，還為研發團體專門講座。

製程和產品的認證/保證措施：對多個流程和系統進行季度/半年/每年內部稽核，以驗證 Taboola 是否符合其定義的安全目標和措施。

確保數據最小化的措施：Taboola 故意限制我們收集的數據，作為 Taboola 全球數據最小化原則的一部分，這是僅處理我們特定業務目的所需的有限數據。此外，Taboola 沒有能力，也沒有任何業務需要「逆向工程」我們演算法中使用的任何數據點以提供我們的服務。更具體地說，Taboola 收集的數據點絕不代表用戶身份-因為 Taboola 不會收集或處理用戶名稱，電話號碼，電子郵件或實體地址等信息。相反，Taboola 僅收集偽名識別碼，這些識別碼僅僅識別有關用戶設備的特徵。這包括 IP 地址（在收集時被截斷，只能識別設備的一般郵遞區號位置，但絕不能確定精確的地理位置），以及在某些有限的情況下，雜湊的電子郵件地址（本質上是不可逆的，無法解密以顯示原始電子郵件地址）。此外，即使在集中使用時，我們收集的數據也永遠不能產生個人的姓名，電話號碼，電子郵件或實體地址，我們的工程師也不會以任何方式努力實現這一目標。此外，Taboola 會進行和記錄隱私影響評估，以盡量減少我們服務、流程和政策的隱私風險。

確保資料品質的措施：數據是直接從用戶那裡收集，並且用戶有機會通過 Taboola 主體訪問請求門戶更正與其 CookieID 相關的任何數據：https://accessrequest.taboola.com/access

確保數據保留有限的措施：我們保留用戶信息（這些用戶資訊是直接收集的用戶信息，最多為用戶與我們的服務的最後一次互動後十三（13）個月（通常為較短的時間），之後我們通過刪除唯一識別碼或彙總數據來消除數據的身份。這個過程是自動完成的。

確保責任的措施：Taboola 進行多次安全審核和滲透測試（但不適用於所有系統）。Taboola 還使用經過 ISO 認證且符合其他與雲端相關認證的雲端提供商，以維護伺服器的實體保護措施。

允許數據可移植性和確保刪除的措施：與媒體處置相關的 Taboola 對所有類型的媒體相同，因為它可能包含 PII。任何媒體必須在重複使用或處置之前完全擦拭。任何媒體處置都會記錄。指示員工不要列印任何可能包含個人信息的紙張。

  1. 在某一方向對方進行限制轉移收集數據的範圍內，標準合同條款將納入本廣告客戶隱私條款中，並適用如下：
    1. 如果限制轉移是歐盟限制轉移，歐盟 SCC 將在各方之間適用，如下所示：
      1. 單元一將適用；
      2. 第 7 條適用於選配對條款；
      3. 在第 11 條中，選擇性語言不適用；
      4. 在第 17 條中，選項 1 將適用，歐盟 SCC 將受愛爾蘭法律管轄；
      5. 在第 18 (b) 條中，爭議須在愛爾蘭法院解決；
      6. 附件 I 的 A、B 和 C 部分將視為已填妥本廣告商隱私條款附件 A、B 及 C 部分所載的資料；以及
      7. 附件 II 將視為已完成本廣告客戶隱私條款附件 B 所載的安全措施；
    2. 如果限制轉移為英國限制轉移，英國附錄將在各方之間適用，如下所示：
      1. 根據上述填寫的歐盟 SCC 應在各方之間適用，並須由英國附錄修改（如下文第 (ii) 款所載的填寫）；以及
      2. 英國附錄的表 1 至 3 應視為已填妥，其中包含歐盟商務委員會的相關資料，如上述填寫，而「出口商」和「進口商」的選項則視為已檢查於表 4。英國附錄的開始日期（如表 1 所載）將是這些廣告客戶隱私條款的生效日期。
  2. 進一步限制轉移：  任何一方都不會繼續限制傳輸他們從另一方收到的收集數據進行限制傳輸，除非該方已採取所有必要的行為和事項，以確保此後的限制轉移符合適用的資料保護法和其與另一方同意的任何標準合同條款。