合规条款
与框架
我们在涵盖数据保护、行业法规和国际标准的严格合规框架下运营。以下是我们对您的承诺，以及我们需要您配合的事项。
范围与目的
本合规条款（“合规条款”）构成 Exponent Solutions Pvt. Ltd.（“Exponent”）与其客户之间协议的组成部分。本条款界定了规范 Exponent 服务交付的监管合规义务、框架和责任。
本条款适用于涉及数据处理、云基础设施、软件开发、AI/ML 实施和托管服务的所有服务合作。双方确认，合规是一项持续义务，而非一次性认证事件。
本条款的目的
合规框架
Exponent 的合规计划以国际公认框架为基础，并经第三方审计独立验证。我们现有的认证和合规状态包括：
SOC 2 Type II
AICPA 信任服务准则
年度审计，涵盖安全性、可用性、处理完整性、保密性和隐私信任服务准则。报告可在签署保密协议后提供给客户。
ISO 27001:2022
信息安全管理
完整的 ISMS 认证，涵盖信息安全政策、风险管理、资产管理、访问控制和事件管理流程。
PCI DSS 一级
支付卡行业标准
在代表金融服务客户处理、存储或传输支付卡数据的服务中，达到最高级别的 PCI DSS 合规。
HIPAA 就绪
健康保险流通与责任法案
为医疗客户提供符合 HIPAA 的基础设施和流程。所有涉及受保护健康信息的合作均可签署 BAA（业务伙伴协议）。
GDPR & PDPA
欧盟与印度数据保护
对欧盟数据主体完全符合 GDPR，对印度数据主体符合 2023 年《数字个人数据保护法》（PDPA）。可应要求提供 DPA。
ISO 9001:2015
质量管理体系
质量管理认证，确保服务交付流程一致、客户满意度可衡量并持续改进。
数据隐私法律
Exponent 作为数据处理者代表客户处理个人数据。我们在适用数据保护法律下的义务通过数据处理协议（DPA）正式确定，DPA 可与您的服务协议一并签署。
《通用数据保护条例》（GDPR）
我们依据 GDPR 第 28 条担任数据处理者。所有跨境数据传输均签署标准合同条款（SCC）。数据主体权利请求在 30 天内处理。所有欧盟客户合作均须签署 DPA。
《2023 年数字个人数据保护法》（DPDPA）
Exponent 遵守 DPDPA 下适用于数据受托人和数据处理者的全部义务。我们保存处理活动记录，并按要求实施适当的技术和组织措施。
CCPA / 州隐私法
对于涉及加州居民数据的客户，我们作为服务提供商遵守 CCPA/CPRA 要求。我们不出售个人信息，并提供限制我们使用个人数据的必要合同条款。
跨境数据传输保障
所有跨境数据传输均受适当传输机制约束，包括 SCC、约束性公司规则或充分性认定。服务开始前，我们会告知客户数据驻留选项。
共同责任
共享服务模式下的合规需要明确划分责任。以下矩阵明确了每项合规活动的主要责任方：
| 合规活动 | Exponent | 客户 | 共同 |
|---|---|---|---|
| 基础设施安全控制 | 主责 | — | — |
| 数据接入前的分类 | — | 主责 | — |
| 向监管机构报告 | — | 主责 | — |
| 终端用户访问管理 | — | 主责 | — |
| 履行数据主体权利 | 协助角色 | 主责 | — |
| 泄露通知（致监管机构） | 协助角色 | 主责 | — |
| 泄露通知（致 Exponent） | — | 主责 | — |
| 供应商风险管理 | — | — | 共同 |
| 员工合规培训 | — | — | 共同 |
| 审计配合与证据提供 | — | — | 共同 |
| 平台与应用安全 | 主责 | — | — |
| 客户端设备安全 | — | 主责 | — |
重要：客户作为数据控制者
行业法规
对于受监管行业的客户，Exponent 还保持与特定行业要求相符的额外合规状态，并根据合作性质启用：
🏭 行业专属合规状态
金融服务
RBI IT 框架、SEBI 指南、巴塞尔协议 III 控制支持、AML/KYC 集成标准，以及支付处理的 PCI DSS。
医疗健康
可签署 HIPAA/HITECH BAA，支持 HL7 FHIR R4 互操作性、临床数据安全标准及 NABH 数字健康框架。
政府与公共部门
符合 MEITY 云政策、NIC 安全标准，与 GeM 采购保持一致，并支持 GovStack 框架要求。
零售与电商
符合《2019 年消费者保护法》，遵守电商规则，支付处理采用 PCI DSS，并支持数据本地化。
制造业
OT 网络安全合规、了解 IEC 62443 标准、产品安全数据处理及供应链合规文档。
电信与科技
了解 TRAI 法规，符合《2000 年信息技术法》，并遵守 CERT-In 要求，包括按规定在 6 小时内报告事件。
合规报告
Exponent 为客户提供支持其自身合规计划、监管审计和尽职调查所需的文档和证据。
- ✓SOC 2 Type II 报告可在书面申请后依据保密协议提供
- ✓ISO 27001 证书可从我们的合规门户下载
- ✓每年一月向企业客户提供年度合规摘要函
- ✓渗透测试执行摘要可应客户要求提供
- ✓维护分处理方清单，变更提前 30 天通知
- ✓针对高风险处理活动提供数据保护影响评估（DPIA）支持
- ✓按印度法规要求，在 6 小时内向 CERT-In 报告适用事件
合规门户访问
泄露与违规处理流程
如发生合规违规——无论是数据泄露、监管不合规还是违反政策——双方均须遵循以下通知与补救流程。
Exponent 在发现合规违规时的义务：
- ✓在获悉影响客户数据的任何个人数据泄露后 72 小时内通知客户
- ✓提供初步事件评估，包括范围、受影响的数据类别以及大致涉及人数
- ✓为客户自行向监管机构通报提供合理配合与协助
- ✓实施遏制措施并记录所采取的补救步骤
- ✓在事件关闭后 15 个工作日内提交完整的事后报告
客户在发现合规问题时的义务：
- ✓发现涉及 Exponent 系统的任何潜在泄露或合规问题后，24 小时内通知 Exponent
- ✓全面配合 Exponent 的调查，不在 Exponent 管理的环境中采取单方面补救行动
- ✓就监管通报决策聘请独立法律顾问——Exponent 无法提供法律意见
CERT-In 强制报告
分处理方合规
Exponent 为处理客户数据而委托的所有分处理方，均须承担与 Exponent 在本条款下相同的合规义务。Exponent 设有正式的分处理方管理计划，包括：
- ✓对所有处理客户数据的新分处理方进行合作前合规评估
- ✓对所有在用分处理方进行年度合规复评
- ✓与所有分处理方签署数据处理协议，提供与客户 DPA 同等的保护
- ✓在适用法规要求时，享有审计分处理方的合同权利
- ✓在委托可访问客户数据的新分处理方前，提前 30 天通知客户
监管变更
监管环境在不断变化。Exponent 设有监管变更管理流程，用于监测、评估和应对影响我们服务的新法律、标准和指南及其修订。
当发生影响客户义务或 Exponent 服务交付的重大监管变更时，Exponent 将在变更生效后 30 天内（或在变更立即生效时尽快）通知受影响的客户。Exponent 将就对您服务的影响提供合理指导，但不能提供法律意见——如有影响您业务的监管变更，请咨询您的法律顾问。
合规联系方式
如有任何合规相关咨询、审计文档申请、DPA 签署或与 Exponent 服务相关的监管问题，请联系：
合规团队
审计报告、DPA、认证相关事宜
compliance@exponentsolutions.ai 5 个工作日内回复
法务团队
合同条款、DPA 谈判相关事宜
legal@exponentsolutions.ai 5 个工作日内回复
数据保护官
数据主体权利、GDPR 相关咨询
dpo@exponentsolutions.ai 5 个工作日内回复
事件热线
正在发生的泄露或安全事件
security@exponentsolutions.ai +91 01234 4333534 (24/7)
我们依据 GDPR 登记的数据保护官： compliance@exponentsolutions.ai。注册地址：A-33, Raheja Vedaanta, Sector 108, Gurugram, Haryana 122017, India。