-
概觀
在 AWS，客戶信任是我們最優先的考量。我們提供各種服務給數百萬位有效客戶，包括位於 190 多個國家的企業、教育機構及政府機構。我們的客戶包含金融服務提供者、醫療保健提供者及政府機構，這些客戶信任我們並將一些極敏感資訊交由我們管理。
我們深知客戶非常在乎隱私權與資料安全。這就是為何 AWS 要設計簡單但功能強大的工具，讓客戶能夠決定內容的存放位置、保護傳輸中或靜態的內容，以及管理 AWS 服務和其使用者資源的存取權，藉此提供客戶對其內容的擁有權和控制權。我們也實作可信賴和複雜的技術與實體控制措施，旨在防止未經授權的存取或揭露客戶內容。
維持客戶信任感是持續不斷的承諾，我們致力於讓客戶了解我們實行的隱私權及資料安全政策、實務和技術。這些承諾包括：
- 存取：客戶管理其客戶內容與 AWS 服務與資源的存取權限。我們提供一組進階的存取權、加密和記錄功能，可協助您有效地管理 (例如 AWS CloudTrail)。除了法規所需，以及為維護 AWS 服務並提供服務給客戶和其最終使用者所必須，我們不會針對其他用途而存取和使用客戶內容。
- 儲存：客戶選擇要將其客戶內容存放在哪個區域。除了法規所需，以及為維護 AWS 服務並提供服務給客戶和其最終使用者所必須，我們不會將客戶內容移動或複製到客戶選擇的區域外。
- 安全性：客戶選擇保護其客戶內容安全的方式。針對傳輸中或靜態的客戶內容，我們為客戶提供強式加密，並提供讓他們管理自己加密金鑰的選項。
- 客戶內容的揭露：除非為遵守法律或有效及具有法律約束力的政府或監察機構命令所需，否則我們不會揭露客戶內容。除非法條禁止，或有和使用 Amazon 產品或服務相關的明確法律行為指示，否則 Amazon 會在揭露客戶內容前先通知客戶，使他們能在揭露前採取保護措施。
- 安全保證：我們使用全球隱私權與資料保護最佳實務開發了一個安全保證計劃，目的是協助客戶建立、操作和使用我們的安全控制環境。這些安全防護與控制程序是經由多重的第三方獨立評估進行獨立驗證。
AWS 將客戶資料分為兩類：客戶內容與帳戶資訊。
我們將客戶內容定義為客戶或任何最終使用者傳送給我們以交由 AWS 服務處理、儲存或託管的軟體 (包括機器映像)、資料、文字、音訊、視訊或映像，以及客戶或任何最終使用者經由使用 AWS 服務而從前述項目衍生的客戶帳戶及任何計算結果。例如，客戶內容包含客戶或任何最終使用者存放在 Amazon Simple Storage Service 中的內容。客戶內容不包含以下描述的帳戶資訊。AWS 客戶協議或其他與我方簽訂與 AWS 服務使用規範相關的客戶協議條款，均適用於您的客戶內容。
我們將帳戶資訊定義為客戶提供給我方與建立或管理客戶帳戶相關的客戶資訊。例如，帳戶資訊包含與客戶帳戶相關的名稱、使用者名稱、電話號碼、電子郵件地址及帳單資訊。AWS 隱私權聲明中描述的資訊實務適用於帳戶資訊。
客戶保有其客戶內容的擁有權，並可選取由哪些 AWS 服務處理、存放和託管其客戶內容。除了法規所需，以及為維護 AWS 服務並提供服務給客戶和其最終使用者所必須，我們不會針對其他用途而存取和使用客戶內容。我們絕不會將客戶內容或從中衍生的資訊使用在行銷或廣告用途。
客戶控制其客戶內容。使用 AWS，客戶可以：
• 決定存放其客戶內容的位置，包括儲存的類型與該儲存的地理區域。
• 選擇其客戶內容的安全狀態。針對傳輸中或靜態的客戶內容，我們為客戶提供強式加密，並提供讓他們管理自己加密金鑰的選項。
• 透過客戶控制的使用者、群組、許可及登入資料，管理其客戶內容、AWS 服務及資源的存取權。
我們知道客戶在乎帳戶資訊的使用方式，並且感謝客戶信任我們將會謹慎且明智地使用。AWS 隱私權聲明描述我們如何收集和使用帳戶資訊。
我們極為重視客戶的隱私權。除非為遵守法律或有效及具有法律約束力的政府或監察機構命令所需，否則我們不會揭露客戶內容。政府與監察機構必須遵守適當的法律程序以取得有效和具有法律約束力的命令，而我們會審核所有命令，反對過於廣泛或不恰當的部分。除非法條禁止，或有和使用 Amazon 產品或服務相關的明確法律行為指示，否則 Amazon 會在揭露客戶內容前先通知客戶，使他們能在揭露前採取保護措施。值得一提的是，客戶可以加密自己的客戶內容，而且我們為客戶提供管理自己的加密金鑰選項。
我們深知客戶在乎公開透明，因此會定期在此發佈關於收到的資訊要求類型和數量報告。
客戶可選擇存放其客戶內容的區域，能夠根據其特定的地理需求，在其選擇的位置部署 AWS 服務。AWS 資料中心建置於全球多個區域的叢集中。
例如，英國的 AWS 客戶可以選擇只將 AWS 服務部署在歐洲 (倫敦) 區域，並將其內容存放在英國境內。如果客戶這樣選擇，其客戶內容將位於英國。客戶可以在多個區域複製和備份其客戶內容，而除了法規所需，以及為維護 AWS 服務並提供服務給客戶和其最終使用者所必須，我們不會將客戶內容移動或複製到客戶選擇的區域外。
*並非所有區域均提供所有 AWS 服務。
當評估雲端解決方案的安全時，客戶需要特別了解下列項目並分辨其中的差別：
• AWS 實作和操作的安全方法 –「雲端本身的安全」
和
• 客戶實作和操作的安全方法，這與利用 AWS 服務的內容與應用程式安全有關 –「雲端內部的安全」
有關核心 AWS 雲端基礎設施、平台和服務內建的所有安全措施的完整清單，請參閱安全程序概觀白皮書。
我們使用額外的全球隱私權與資料保護最佳實務開發了一個安全保證計劃，目的是協助客戶建立、操作和使用我們的安全控制環境。這些安全防護與控制程序是經由多重的第三方獨立評估進行獨立驗證。
AWS 經獨立的第三方評估機構驗證為符合 ISO 27018。ISO 27018 是第一個專門保護雲端個人資料的國際作業標準。它的根據是 ISO 資訊安全標準 27002，並提供公有雲端服務提供者處理的個人識別資訊 (PII) 適用的 ISO 27002 控制實作指導。其向客戶展現 AWS 擁有一套控制系統，專門處理其內容的隱私權保護。如需詳細資訊，請瀏覽 AWS ISO 27018 常見問答集。
AWS 資料中心是建置在全球不同國家的叢集中。我們將位於特定國家的每個資料中心叢集稱為「區域」。客戶可以存取全球十六個 AWS 區域，包含歐洲的三個區域：愛爾蘭 (都柏林)、英國 (倫敦) 以及德國 (法蘭克福)。客戶可以選擇使用一個區域、所有區域或是任意區域組合。
AWS 客戶選擇要將內容存放在哪個 AWS 區域。這讓有特定地理位置需求的客戶將環境建立在自己選擇的位置。例如，歐洲的 AWS 客戶可以選擇只將 AWS 服務部署在歐洲的其中一個區域 (德國、英國或愛爾蘭)。如果客戶選擇這樣做，內容將依照他們的選擇存放在德國、英國或愛爾蘭，除非客戶明確選擇要將內容移動或複寫到不同的 AWS 區域。
客戶可以在多個區域複寫或備份內容，但 AWS 不會將客戶內容移動到客戶所選區域之外，除非根據客戶要求提供服務或是為了遵守適用的法律。
AWS 保有與穩健安全標準相關的多項認證，例如 ISO 27001、SOC 1/2/3 以及 PCI DSS 第 1 級。我們在雲端操作共同的責任模型，AWS 根據此模型負責基礎雲端基礎設施的安全 (雲端本身的安全)，而客戶負責其資料與應用程式的安全 (雲端內部的安全)。AWS 擁有由歐盟針對雲端安全與合規特別訓練的解決方案架構師、客戶經理、顧問、訓練人員及其他成員所組成的團隊，以協助 AWS 客戶按照雲端安全最佳實務在雲端達成高度的安全與合規。AWS 也協助客戶符合當地安全標準。例如，AWS 連同 TÜV TRUST IT 稽核者已經發佈客戶認證工作手冊，以提供如何在雲端達成德國 BSI IT Grundschutz 合規的指導。
-
歐盟行政命令
歐盟資料保護行政命令 (也稱為 95/46/EC 行政命令) 係指有關個人資料處理及此類資料移動的法規。此行政命令概括規定了在處理個人資料時需要遵守的一些資料保護需求。
-
GDPR
在 2016 年，歐盟委員會已核准並採用新的一般資料保護規則 (GDPR)。GDPR 是歐洲自 1995 年頒布歐盟資料保護行政命令 (也稱為 95/46/EC 行政命令) 以來，在資料保護法上最重大的變革。GDPR 的目標是增強歐盟的個人資料安全和保護，並協調歐盟資料保護法。GDPR 將取代歐盟資料保護行政命令及其相關的所有當地法律。
AWS 歡迎 GDPR 的制定。它可保護歐洲公民個人資料隱私和保護的基本權利。它納入了健全的要求，藉此提高資料保護、安全和合規的標準，而且能夠迫使產業實行嚴格控管。我們確認在 2018 年 5 月 25 日 GDPR 施行之日，所有的 AWS 服務都將符合 GDPR 的規範。
除了我們自己的規範之外，AWS 還致力於為我們的客戶提供各項服務與資源，協助其客戶符合營運適用的各項 GDPR 要求。
