加拿大数据隐私

概览

AWS 客户可以设计和实施 AWS 环境，并以履行加拿大联邦、省和地区隐私法规定的义务的方式使用 AWS 服务。

客户始终可以控制其如何管理和访问存储在 AWS 上的内容。因为 AWS 无法了解客户在其服务中上传的内容，也不确定这些数据是否受加拿大隐私法约束，所以客户应负责确保自己遵守任何适用法律。

AWS 数据处理附录（AWS DPA）（也称为数据传输协议）全球适用，并且包括具体的合同承诺，从而充分解决各方在个人数据隐私和安全性方面承担的角色及义务。

加拿大出台了多项与个人信息保护相关的法律。这些法律由联邦、省和地区各级的各个政府组织和机构负责执行。

在联邦层级，《个人信息保护和电子文档法案》（PIPEDA）可能适用于私营部门内个人信息的收集、使用和披露，《隐私法案》可能适用于公共部门内。加拿大隐私专员办公室（OPC）负责监督这两项法律的实施。

加拿大各省和地区还针对公共和私营部门制定了自己的隐私法，以及针对某些类型的个人数据（例如个人健康信息）的隐私法。OPC 网站提供了对这些省和地区法律及相关机构的概述。

对于希望在加拿大处理数据的客户，可以使用蒙特利尔附近的 AWS 加拿大（中部）区域和卡尔加里附近的加拿大（西部）区域。有关 AWS 区域和服务的完整列表，请访问全球基础设施页面。

常见问题

• 客户如何确定哪些加拿大隐私法适用于他们的适用案例？

  AWS 客户是否受 PIPEDA、《隐私法案》或任何其他加拿大隐私要求的约束以及受约束的程度可能会有所不同，具体取决于客户的业务和使用案例。客户应咨询其法律顾问，了解应该遵守哪些隐私法律。

• 客户如何在 AWS 上遵守加拿大隐私法？

  受加拿大隐私法约束的客户可能需要遵守与个人信息的收集、访问、使用、披露和保护相关的要求。AWS 允许客户在使用 AWS 服务时控制其内容的存储或处理方式，包括控制如何保护内容以及哪些人可以访问内容。AWS 提供客户可以配置和使用的服务，以帮助保护他们存储在 AWS 上的个人信息，而客户应负责构建符合适用隐私要求的解决方案。

  AWS 在 AWS 合规资源页面上提供了手册、白皮书和最佳实践指南，客户可以根据需要访问 AWS Artifact 中的 AWS 第三方审计报告。

• 是否有任何加拿大隐私法禁止 AWS 客户在加拿大境外传输或存储个人数据？

  客户应咨询自己的法律顾问，以确定可能适用于其组织和使用案例的加拿大隐私法或其他义务。

• 是否有任何加拿大隐私法要求对个人信息进行加密？

  受加拿大隐私法约束的实体必须采取措施保护个人信息，且每位客户都有责任确定是否需要加密以履行其安全和合规义务。

  作为最佳实践，AWS 建议客户对静态数据和传输中数据进行加密。有关其他指导，请参阅加密静态数据和传输中数据。

• 客户在保护其在 AWS 上的内容方面扮演着什么角色？

  评估云解决方案的安全性时，理解和区分以下内容对客户很重要：

  • AWS 实施和操作的安全措施 —“云本身的安全性”，以及
  • 客户实施和操作的安全措施，与他们使用 AWS 服务的客户内容和应用程序的安全相关 —“云中的安全性”。

  

  在 AWS 责任共担模式下，AWS 客户可以控制选择实施哪种安全措施来保护自己的内容、平台、应用程序、系统和网络，如同保护现场数据中心内的应用程序一样。除了 AWS 安全服务和 AWS Identity and Access Management（IAM）等功能之外，客户还可以使用加密和多重身份验证等熟悉的安全措施来保护自己的数据并满足合规性要求。

• 谁有权访问 AWS 上的客户内容？

  客户保留对其客户内容的所有权和控制，并且可以选择处理、存储和托管其客户内容的 AWS 服务。AWS 不会访问或使用客户内容，除非出于维护或提供客户选择的 AWS 服务，或者遵守法律或具有约束力的政府机构命令（如 AWS 客户协议中所述）之必要。

  使用 AWS 服务的客户在 AWS 环境中保持对其内容的控制。他们可以：

  • 确定内容的存储位置，例如通过选择存储环境的类型和存储的地理位置；
  • 使用 AWS 提供的加密或客户选择的第三方加密机制来控制其内容的格式，例如纯文本、掩码、匿名或加密；
  • 管理访问控制，如 AWS Identity and Access Management (IAM)；以及
  • 控制是否使用加密、Amazon Virtual Private Cloud（VPC）功能以及其他网络和数据安全措施来防止未经授权的访问。

  这允许 AWS 客户控制其内容在 AWS 上的整个生命周期，并根据他们的特定需求管理其内容，包括内容分类、访问控制、保留和删除。

• 客户内容存储在哪里？

  AWS 全球基础设施让您可以灵活地选择运行工作负载的方式和地点。作为客户，您可以选择存储您的客户内容的 AWS 区域，这样您就可以根据自己的特定要求，在自己选择的地点部署 AWS 服务。如果您想探索我们的灵活存储选项，请参阅 AWS 区域网页。

  您可以在多个 AWS 区域中复制和备份客户内容。未经您同意，我们不会将您的内容移到您所选择的 AWS 区域之外，除非法律要求或者政府部门发布有约束力的指令要求。但是请注意，并非所有 AWS 服务都可以在所有 AWS 区域中使用。有关哪些 AWS 区域可以使用哪些服务的更多信息，请参阅 AWS 区域服务网页。

• AWS 设置了哪些安全措施来保护系统？

  AWS 旨在成为最安全的全球云基础设施，可以在其基础上构建、迁移和管理应用程序和工作负载。我们的基础设施由运行 AWS 服务的硬件、软件、网络和设施组成，可以针对个人数据的处理为客户提供强大的控制，其中包括安全配置控制。

  AWS 可以提供由第三方审核机构出具的多种合规性报告，这些审核机构已经测试并审核过我们是否符合各种安全标准（包括 SOC 2 Type 2、ISO 27001、ISO 27017 和 ISO 27018）。在加拿大，AWS 服务还接受加拿大网络安全中心的评测。

  为了使这些措施的效果透明化，我们提供了在 AWS Artifact 中访问第三方审核报告的权限。这些报告向我们的客户表明，我们在保护他们用于存储和处理个人数据的底层基础设施。有关更多信息，请访问我们的合规性资源。

• AWS 如何保护其数据中心的安全？

  AWS 数据中心安全策略由可扩展的安全控制和多层防御组成，有助于保护您的信息。例如，AWS 小心地管理潜在的洪水和地震活动风险。我们使用物理屏障、安全警卫、威胁检测技术和深度筛选流程来限制对数据中心的访问。我们备份我们的系统，定期测试设备和流程，并持续培训 AWS 员工为意外做好准备。

  为了验证我们数据中心的安全性，外部审核机构全年对 2600 多项标准和要求进行测试。这种独立检查有助于确保始终符合或高于安全标准。因此，世界上监管最严格的组织信任 AWS 来保护他们的数据。

  如需详细了解我们如何通过设计保护 AWS 数据中心，请通过虚拟方式参观 AWS 数据中心。