1.目的：

• 為落實個人資料之保護及管理並符合「個人資料保護法（以下簡稱個資法）」及「個人資料保護法施行細則」之要求，特訂定個人資料保護管理政策（以下簡稱本政策）。

2.個人資料之蒐集與處理：

• 2.1 本公司基於合法的目的，蒐集最少且必要之個人資料，並於必要的範圍內處理個人資料。
• 2.2 本公司僅處理相關且適當的個人資料。

3.個人資料之利用：

• 3.1 本公司於利用個人資料時，除需依個資法之特定目的必要範圍內為之外，如需為特定目的以外之利用時，將依據個資法第六條及第二十條第一項之規定辦理；倘有取得個人資料當事人書面同意之必要者，本公司應依法取得當事人之書面同意。
• 3.2 本公司所蒐集、處理之個人資料，應遵循個人資料保護法、個人資料保護法施行細則及本公司個人資料管理制度之規範，且於本公司業務所需之範圍內，方可為本公司承辦同仁利用。
• 3.3 利用之個人資料依規定告知當事人利用之對象及方式。

4.同意新目的：

• 4.1 如個人資料其蒐集、處理及利用有超出當初告知之目的範圍外時，應確保當事人是在自由意志且資訊充分的情況下，同意本公司在新目的之範圍內處理或利用其資料。
• 4.2 若有修正相關告知函需要，並應取得當事人之書面或電子文件同意。
• 4.3 新的特定目的外利用被核准，應進行個人資料鑑別、盤點及風險評估管理作業。

5.資料比對：

• 在將個人資料與其他個人資料比對以達到某種目的之情況，例如進一步辨識個人的特徵，應確保比對的個人資訊與告知函之目的相同。

6.資料分享：

• 6.1 本公司如與其他組織分享個人資料時，雙方當事人對於個人資料之責任須依照適當情況，正式載明於書面協議或合約，並應確保涉及與第三方分享個人資料的新業務符合本公司的告知程序。
• 6.2 如無法進行書面協議時，應確保有合法資料分享之法源依據，並經核准後，始可提供。

7.對第三方揭露：

• 7.1 本公司取得當事人的同意或其他法令之特別規定，始得將個人資料揭露予第三方或使用於蒐集目的以外之其他用途。
• 7.2 本公司對外公布個人資料時，應進行適當之遮蔽或僅公告適當之資訊，並經核准後，始可提供。

8.個人資料之例外應用：

• 8.1 本公司對業務上所擁有之個人資料負有保密義務，除當事人依個資法第三條行使相關權利或有下列情形外，應符合個資法第二十條第一項但書及相關法令規定，並以正式公文查詢，本公司始得對第三人揭露：
  • 8.1.1 法律明文規定。
  • 8.1.2 為增進公共利益所必要。
  • 8.1.3 為免除當事人之生命、身體、自由或財產上之危險。
  • 8.1.4 為防止他人權益之重大危害。
  • 8.1.5 經當事人同意。
  • 8.1.6 有利於當事人權益。

9.隱私權公告：

• 9.1 本公司在蒐集任何個人資料之前，將提供線上隱私權聲明給當事人，或讓當事人能取得此等公告或聲明。
• 9.2 隱私權公告及線上隱私權聲明內容須包含下列項目:
  • 9.2.1 本公司的名稱；
  • 9.2.2 向當事人說明資料使用期間、地區、對象及使用方式；
  • 9.2.3 個資類別及特定目的；
  • 9.2.4 將個人資料揭露給第三方之相關資訊；
  • 9.2.5 個人資料是否在充分保護下被進行國際傳輸；
  • 9.2.6 當事人可以行使之權利及方式，例如當事人可請求查詢、閱覽、製給複製本、補充、更正、刪除、停止蒐集、停止處理或利用，應如何聯絡本公司；
  • 9.2.7 向當事人說明可自行判斷是否提供個人資料，及拒絕提供時，讓當事人瞭解對其個人權益之影響；
  • 9.2.8 如在網站上蒐集個人資訊，其所使用的任何技術（例如cookies）之細節；
  • 9.2.9 其他（任何有關於處理過程合法的資訊，或如何防護其個人資料）。

10.個人資料之正確：

• 10.1 進行個人資料蒐集時，盡可能防止紀錄不正確或過時的個人資訊（可運用提供之資料進行比對，如填寫的資料與提供之相關證件進行確認）。
• 10.2 當事人如質疑其個人資料之正確性，並要求更正其個人資料時，應提供管道進行。
• 10.3 如提供給任何第三方的個人資料是不正確且過時的，應將此等情況告知該第三方，並告知第三方此等資訊不應被用來做出涉及該當事人的相關決定。並依實際狀況需求，將更正的個人資訊提供給第三方。

11.個人資料之當事人權利與義務：

• 11.1 確保當事人對其個人資料的相關權利受到尊重，且於當事人請求行使此等權利時，本公司會在法律規定的時間限制內回覆此等要求。
• 11.2 此等權利包括資料查詢 、請求閱覽、製給複製本、補充或更正、停止蒐集、處理或利用及刪除。
• 11.3 當事人權利申請之受理拒絕機制建立，以防不合情理法之申請，而外洩個資或侵犯他人隱私或他人權利。
• 11.4 當事人在行使權利時，其應配合執行之當事人義務之制訂。

12.個人資料之保留及處置：

• 12.1 規範個人資料有關之檔案與紀錄之保存期限及銷毀方式。
• 12.2 若法規有規定，依法規規定。
• 12.3 若法規未要求，由各單位依業務保存之必要自行訂定合理之保存期限。
• 12.4 定期將過期檔案與紀錄整理及銷毀。
• 12.5 個人資料由專人進行保管，並以適當安全維護措施保全之，以維護個資之機密性及完整性。

13.個人資料的安全控制：

• 13.1 傳輸：
  • 13.1.1 個人資料以電子方式進行傳輸時，採取資訊加密技術執行傳輸。
  • 13.1.2 以實體方式進行傳輸時，採取彌封或專人遞送等之傳遞方式進行。
• 13.2 存取控制措施：
  • 13.2.1 個人資料之存取應符合「個人資料保護法」及「個人資料保護法施行細則」等相關法令之要求與規定，或契約對資料保護及資料存取使用控管之權責規定。個人資料之存取應與本身業務範圍相關，任何人未經授權不得存取與個人業務無關之個人資料。
  • 13.2.2 針對下列項目進行存取控制措施：
    • A.作業系統
    • B.應用系統
    • C.資料處理系統
    • D.網路連線
  • 13.2.3 處理完之紙本個人資料檔案，若無需保留應立即絞碎或刪除，含有個人資料之報廢紙張不得回收及再利用。
  • 13.2.4 針對存有個人資料之紙本文件，於不使用或下班時，應遵守桌面淨空政策，放置於抽屜或儲櫃並上鎖，以避免外洩。

14.安全評估：

• 14.1 定期執行個資盤點，並維持最新之個人資料類別清單。
• 14.2 定期執行風險評鑑，以確認其可能之威脅及衝擊，並加以回應。
• 14.3 定期執行個人資料管理系統之內部稽核，以確認系統運作之符合性及落實狀況。
• 14.4 定期執行個人資料管理系統之管理審查，以審查系統運作狀況及需改善之處。

15.管理安全事件與建立緊急應變能力：

• 15.1 建立緊急事件應變流程，並設定事件等級及通報流程、通報對象。
• 15.2 納入 「個人資料保護委員會」在『個人資料事故通報及應變辦法』規範中，三大強制通報範圍標準。
• 15.3 加強事故抑制與排除能力。
• 15.4 個人資料安全事件加以記錄與保存，以作為追溯及事故學習、及主管機關查驗之用。
• 15.5 建立個人資料安全事件事故處理、調查評估及溝通協調責任 、對外發言事宜統籌人員，以即時反應處理各類安全事件。

16.委外處理：

• 16.1 委外管理之對象：除包括委外廠商、往來客戶，同時納入雲端服務廠商之管理。
• 16.2 在與委外廠商約定之前，進行適當安全性的評估。
• 16.3 備妥書面協議以提供具體指明的服務，並要求委外廠商提供適當的安全措施。
• 16.4 如委外廠商有使用複委託廠商蒐集、處理、利用個人資料之需求，其在合約下有義務先獲得本公司對此等需求之許可。
• 16.5 委外廠商與複委託廠商締結的合約，應要求複委託廠商至少要遵循與委外廠商相同的安全措施和其他規定。

17.個人資料保護組織：

• 17.1 設立個人資料保護組織，以健全本公司各單位內部控制，提升整體個人資料保護工作效能與達到符合法規要求。
• 17.2 規範個人資料保護組織之權責，並以適當方式公告。
• 17.3 個資保護組織對個人資料防護之施行、監督、矯正預防等責任之制訂。
• 17.4 個資保護組織對個資委外廠商個資防護程度之評估與監督責任之制訂。