依照相关法规 ，道达尔（TOTAL）集团（或称“道达尔”）推动保护个人数据的文化和行为。为此，道达尔制定并执行《约束性公司规则》（BCRs）。

本文件总结了根据BCR予以适用的个人数据保护原则以及BCR授予的权利。

我们的BCR是一套有内部约束力规则，适用于集团旗下所有采纳的公司。这些规则经由欧洲数据保护机构批准。

依据这些规则，集团及其下属公司可以依照相关法规，向欧洲经济区（EEE） 以外的下属公司传输源自欧洲经济区公司的个人数据。

我们的BCR适用于集团旗下公司处理源自欧洲经济区的所有个人数据，包括员工、应聘者、客户、潜在客户、供应商、分包商和代理集团旗下公司的第三方公司员工以及利益相关方（以下称“相关人员”）的数据。

BCR下述原则必须得到遵守：
合法性
实施的所有处理 须以相关法律规定的合法性为基础。
处理个人数据只能是出于正当、必要、合法的目的。处理个人数据的方式必须与这些目的相符。
相关性
个人数据必须准确且正当，数据质量和数量的处理要与目的一致。
透明性
个人数据必须以正当、合法方式获取。必须告知相关人员处理的特征以及他们的权利，除非证明情况不允许或需要付出的努力过高。
安全性
个人数据必须被采取适当的安全措施加以保护，以限制未经授权的获取、销毁、篡改或丢失的风险。
为此，一套有助于确保个人数据安全和保密的内部规范予以适用：
• 《信息与通信资源使用章程》，要求依照保密规章和规则行事；
• 《信息系统安全政策》，确定了信息系统安全管理模式；
• 《信息系统安全基准体系》，按照19个细分主题，详细列举了集团对信息系统安全方面的要求；
• 《信息保护政策》，阐释了保护集团内部持有和交换的信息之保密性、完整性、可获得性的相关要求。
如果集团委托第三方处理个人数据，集团旗下公司确保该第三方提供数据安全与保密方面的充分保证。
保存
个人数据只在与数据处理目的相符的合理期限内保存。
保存期限到期后，数据将被销毁、匿名化处理或归档。
个人数据的跨国传输
如果道达尔集团旗下公司所在的国家保护水平不足，则集团不会将源自欧洲经济区的个人数据直接传输向该公司，除非该公司正式签认BCR，或使用欧盟委员会认可的其他法律文件。
对于道达尔集团外的公司（数据负责人或处理商），若其所在的国家提供的保护水平不足、且没有相关法律提供合法依据并且没有确立充分保证机制（比如标准合同条款），则集团不会将源自欧洲经济区的个人数据直接传输向该公司。
同样地，如果数据引进方随后将源自欧洲经济区的个人数据传输至集团外的公司（数据负责人或处理商），且该公司所在国家提供的数据保护水平不足，则数据引进方必须与该第三方公司签订合同，要求该第三方公司承诺遵守BCR的条例。

BCR主要赋予处理个人数据的相关人员以下权利：
• 访问数据权
• 数据更正、删除或锁定权
• 反对数据处理权
• 限制数据处理权
[详细的权利列表附于正文后附件1]。
如对个人数据处理有任何疑义，可通过法律文件中提供的联系方式发送请求以维护权益。道达尔集团旗下公司在收到欧洲经济区以外地区信息处理申诉后，须在法定期限内予以回应。
此外，如认为集团旗下公司没有遵守BCR，其有权通过以下方式投诉：
- 发送电子邮件至：data-protection@total.com
或
- 致信：TOTAL – DATA PROTECTION, Tour Coupole, 2 place Jean Millier, Arche Nord Coupole/Regnault, 92078 PARIS LA DEFENSE CEDEX。
道达尔将告知当事人投诉的处理状态或其它进一步的举施。
投诉管理内部程序参见下述附件2。
向道达尔发起投诉并不影响其向欧洲经济区内有能力处理相关事宜的机构投诉或向负责传输个人数据的集团公司所在欧洲经济区国家所在法院起诉。

内部《个人数据保护网络》负责监督和管控集团内部BCR的实施。
其组成有：。
• 集团数据隐私保护负责人，负责监督和管控集团范围内的合规措施；
• 各分区数据隐私保护负责人，负责引导和协调所属分区范围内的合规措施；
• 数据隐私保护联络员，负责引导和协调所属组织内的合规措施。

为确保BCR的顺利实施，集团执行内部管控和审计机制。
年度内部管控计划由个人数据保护网络制定，以评估集团数据处理与BCR的合规情况。并组织报告，以定期汇报基于评估的后续行动方案。
另外，集团内部审计部门还将个人数据保护机制的控制纳入定期审计计划中。

如有需要， BCR规则可能会有补充或更新。

BCR的完整版副本以及集团旗下已采纳BCR的公司列表可通过发送电子邮件至data-protection@total.com获取