通过

隐私和数据管理概述

  • 项目

Microsoft如何为客户隐私？

Microsoft致力于保护客户数据，如 产品条款 和 数据保护附录 (DPA) 中所述。 Microsoft商业客户 隐私方法 的基础是以下原则：控制数据，了解数据的位置及其使用方式，静态和传输中的数据的安全性，以及保护数据免受第三方访问。

Microsoft如何实现其隐私承诺？

Microsoft通过Microsoft公司隐私策略和Microsoft隐私标准来维护其隐私承诺。 为确保一致和合规地采用这些要求，Microsoft建立了治理委员会、委员会和委员会。 我们的隐私计划使用“中心辐射型”治理模型，其中合规性责任由整个公司共同承担。 “中心”是 CELA (公司、外部和法律事务) 组，其中包括负责隐私治理的首席隐私官。 此外，我们还有一个指定的欧盟 (欧盟) 数据保护官 (DPO) ，以满足欧盟特定的隐私要求。 “辐射”在我们的工程和功能组中，负责实施隐私要求。

Microsoft通过第三方审核和认证（如 ISO 27018 和 ISO 27701）来满足其隐私要求。

Microsoft如何收集和处理客户数据？

DPA 定义了三个数据类别：客户数据、个人数据和专业服务数据。

Microsoft处理这些类别中的数据，以按照客户记录的说明提供产品和服务，并用于业务运营。 简单地说，Microsoft处理服务交付、故障排除、维护和改进数据。 这些数据不用于用户分析、广告或市场研究。

这些活动的详细说明位于 DPA 部分“处理以向客户提供产品和服务”和“处理业务运营事件以向客户提供产品和服务”部分。

Microsoft如何确保客户数据的机密性？

Microsoft的隐私治理模型可确保隐私控制保护客户数据的机密性。 我们的第三方报告（如 ISO 27001 和 27701）中详细介绍了这些控制措施，可通过服务信任门户访问。 这些报告涵盖有关数据最小化、保留/删除、位置和传输以及共享等的控制。

需要注意的一些关键措施包括：

  • 访问数据：Microsoft假定所有客户数据包括个人数据，并在不访问数据的情况下应用适当的安全措施来验证其内容。
  • 数据处理：Microsoft假名化和聚合数据，以保护机密性。 有关更多详细信息，请参阅 DPA 。
  • 数据隔离：Microsoft使用数据隔离技术来分隔云租户，确保客户只能访问自己的数据。 若要了解如何隔离或隔离客户内容，请访问 体系结构概述 一文。 此外，Microsoft禁止在测试环境中使用客户数据。

Microsoft如何保护客户数据？

如 DPA 中所述，Microsoft具有保护客户数据的安全措施。 服务保障中的几篇文章概述了这些安全措施。 请参阅加密、访问管理、数据中心和网络安全、人员和供应商管理以及漏洞管理等部分。

Microsoft如何处理第三方数据共享？

第三方共享是指与第三方共享或向其公开数据。 Microsoft仅在客户授权或适用法律要求的情况下共享数据。 Microsoft 不会授予任何政府（包括执法部门或其他政府实体）直接或不受限制访问客户数据的权限。 有关详细信息，请参阅执法请求报告和美国国家安全秩序报告，了解Microsoft如何响应政府访问数据的请求。

Microsoft是否使用分包商或分包商？

有关Microsoft如何管理供应商的信息，请参阅 供应商管理 页面。

谁有权访问Microsoft内的客户数据？

若要了解Microsoft如何管理对客户数据的访问权限，请参阅 标识和访问管理 页。

客户数据位于何处？

对于 Core Online Services，请参阅 产品条款 和 DPA 中概述的承诺，以查找有关客户数据位置的最新信息。

如核心在线服务的 DPA 中所述，Microsoft将客户数据存储在某些主要地理区域内， (每个地理区域（产品条款中所述的地理) ）。 对于Microsoft 欧盟数据边界范围内的商业服务，Microsoft按照产品条款中所述在欧盟内部存储和处理客户数据。 Microsoft不控制或限制客户或客户的最终用户可以访问或移动客户数据的区域。

请访问 Microsoft隐私 - 你的数据位于何处 ，了解详细信息。

对于 Azure 和 M365 服务，请访问 Azure 数据驻留 和 M365 数据位置。

其他服务数据位置：

什么是Microsoft欧盟数据边界？

欧盟数据边界是Microsoft在线服务的承诺，它为欧盟和欧洲自由贸易联盟的客户提供了对其数据的存储和处理位置的更大控制和透明度。 从 2023 年 1 月 1 日起，Microsoft将为客户提供在欧盟数据边界内存储和处理客户数据的能力，这些数据适用于 Microsoft 365、Azure、Power Platform 和 Dynamics 365 服务。 在此版本中，Microsoft扩展了现有的本地存储和处理承诺，大大减少了流出欧洲的数据，并基于行业领先的数据驻留解决方案进行构建。

在欧盟数据边界的下一阶段，Microsoft将扩展欧盟数据边界解决方案，以包括存储和处理其他类别的个人数据，包括接收技术支持时提供的数据。

有关详细信息，请参阅：

Microsoft客户离开服务时如何删除客户数据？

当客户结束其订阅时，Microsoft在受限功能帐户中保留客户数据 90 天，以便客户提取数据。 在此期限过后，Microsoft删除数据，除非法律授权或要求保留。 订阅结束后不超过 180 天，Microsoft禁用帐户并删除所有数据，使其不可恢复。

Microsoft还会删除系统生成的日志中的个人数据。 对于任何订阅，订阅者可以联系 Microsoft 支持并请求加速订阅预配取消。 当客户使用此过程时，在管理员输入Microsoft提供的锁定代码 3 天后，将删除所有用户数据。 此删除包括 SharePoint Online 和 Exchange Online 中处于保留状态或存储在非活动邮箱中的数据。

Microsoft遵循 NIST SP-800-88 销毁能够保留数据的设备的准则，如 数据承载设备销毁 一文中所述。

Microsoft是否为客户提供符合 GDPR 的指导？

Microsoft维护指导文档，以帮助客户充当数据控制者的角色。 下面是需要注意的一些关键 GDPR 资源：但是，客户应咨询自己的法律和合规专业人员，以了解和执行其 GDPR 义务。

相关的外部法规 & 认证

Microsoft的在线服务定期接受外部法规和认证的合规性审核。 有关与隐私相关的控件的验证，请参阅下表。

Azure 和 Dynamics 365

外部审核 Section 最新报告日期
ISO 27018

适用性声明
证书		 A-2.1：公有云 PII 处理器的用途 2024 年 4 月 8 日
ISO 27701

适用性声明
证书		 所有控件 2024 年 4 月 8 日
SOC 1 DS-15：客户订阅终止/过期
SDL-1：安全开发生命周期 (SDL) 方法
LA-4：保护机密客户数据		 2024 年 5 月 20 日
SOC 2
SOC 3		 DS-15：客户订阅终止/过期
SDL-1：安全开发生命周期 (SDL) 方法
LA-4：保护机密客户数据
SOC2-1：资产分类
SOC2-7：已发布的保密和安全义务		 2024 年 5 月 20 日

Microsoft 365

外部审核 Section 最新报告日期
ISO 27018

适用性声明
证书		 A-2.1：公有云 PII 处理器的用途 2024 年 3 月
ISO 27701

适用性声明
证书		 所有控件 2024 年 3 月
SOC 2 CA-12：服务级别协议 (SLA)
CA-17：Microsoft安全策略
CA-25：控制框架更新		 2024 年 1 月 23 日

资源