Data Processing Agreement (Controller-to-Processor)

This Data Processing Agreement, including its Exhibits and any supplements (collectively, the “DPA”), is entered into by and between the person and/or entity that purchases, accesses or uses the Services and has accepted this DPA, whether (i) electronically (by ticking a consent box, clicking to accept, or otherwise manifesting assent online) or (ii) by signing, or having this DPA attached to or incorporated by reference into, an Order or the Services Agreement executed by the Parties, irrespective of the platform, channel or means through which the Services are obtained or such acceptance is given (“Customer”), and Omnipath Pte. Ltd. (“Omnipath”), a Singaporean registered company with the address at 9 Raffles Place, #26-01, Republic Plaza, Singapore 048619, referred to collectively as the “Parties”, and shall become effective in accordance with Section 5.1.

WHEREAS

Customer has accepted the AMAP Platform Terms of Service (the “Services Agreement”), whether through the AMAP Platform (https://mapsplatform.opnavi.com) or otherwise (including by executing an Order or the Services Agreement), pursuant to which Omnipath, the operator of the Services (and an affiliate of AutoNavi Asia Limited, the selling party under the applicable Order), has agreed to provide certain services to Customer as more particularly described in the Services Agreement (“Services”). In providing the Services, Customer engages Omnipath, which is the operator of the Services, to Process certain Personal Data controlled by Customer. In accordance with the Services Agreement and for the purpose of providing the Services, the Parties hereby enter into this DPA, which constitutes a valid and integral part of the Services Agreement.

THE PARTIES AGREE AS FOLLOWS:

1.Definition

1.1  Personal Data means any information relating to an identified or identifiable natural person (“Data Subject”), including any information that falls within the scope of “Personal Data”, “personal information”, or “personally identifiable information”, as defined under Applicable Data Protection Laws.

1.2  Controller Data means the Personal Data that is controlled by Customer and is processed by Omnipath on behalf of Customer under the Services Agreement and this DPA in connection with its provision or use (as applicable) of the Services. The details of Controller Data are listed in Exhibit 1 of this DPA.

1.3  Processing means any operation or set of operations that are performed on Personal Data or on sets of Personal Data, whether or not by automated means, including for example, collection, use, transfer, disclosure and deletion of Personal Data.

1.4  Controller means a natural or legal person that determines the purpose and the means of the Processing of Personal Data.

1.5  Processor means a natural or legal person that Processes Personal Data on behalf of a Controller.

1.6  Sub-Processor means a natural or legal person engaged by Processor on behalf of Controller.

1.7  Data Breach means any loss or unauthorized use, copying, modification, disclosure, or access to, or destruction of Controller Data transferred under this DPA.

1.8  Applicable Data Protection Laws means any and all national, international, federal, state and other privacy and data protection laws and regulations of the Licensed Region(s), as defined under the Services Agreement, that apply to the Processing of Controller Data that is the subject of this DPA.

2.Relationship of the Parties

2.1 Customer (acting as a Controller) appoints Omnipath (as a Processor) to Process the Controller Data as listed in Exhibit 1 of this DPA in order to provide the Services pursuant to the Services Agreement. Each Party shall comply with the obligations and responsibilities applicable to Controller and Processor respectively under Applicable Data Protection Laws and this DPA relating to the Processing of Controller Data.

3.Obligations of the Parties

3.1  Purpose Limitation. Omnipath agrees to Process Controller Data as a Processor only as necessary to perform its obligations under the Services Agreement and strictly in accordance with the purpose as described in Exhibit 1 of this DPA.

3.2  Legitimacy of Data Source. Customer represents and warrants that Controller Data provided to Omnipath have been collected, used, disclosed or otherwise processed by Customer in compliance with Applicable Data Protection Laws, and will not infringe upon any legitimate rights and interests of any Data Subject or third party, including but not limited to privacy rights, intellectual property rights, and trade secrets. The Data Subject has given valid consent to the Processing of his/her Personal Data by Customer, or Customer has another legal basis under Applicable Data Protection Laws.

3.3  Data Accuracy. Customer ensures that any Controller Data that has been collected, used, transferred or otherwise processed is complete, accurate and up-to-date to the extent necessary for the purposes of the Services Agreement and this DPA.

3.4  Non-Disclosure to Third Party. Omnipath will not disclose or transfer Controller Data to any third party, unless such disclosure or transfer is made (i) to authorized Sub-Processors in accordance with Section 3.10, (ii) with Customer’s prior consent, or (iii) as permitted or required by applicable laws and regulations or governmental authorities that are not incompatible with Applicable Data Protection Laws. Any person authorized to Process such data will be subject to a strict duty of confidentiality and may Process it only as necessary for the permitted purpose listed in Exhibit 1.

3.5  Provision of Country Code. Customer shall provide Omnipath with a valid ISO 3166-1 Alpha-2 Country Code for each End User that enables Omnipath to determine the End User’s location and to take appropriate measures in compliance with local data protection laws. The details of the Country Codes are described at: https://mapsplatform.opnavi.com/api/policies/countrycode (the “Country Code List”). Customer will be responsible for the accuracy of the Country Codes and Omnipath will exclusively rely on the information submitted by Customer. If Customer fails to provide a Country Code for an End User, such End User shall be deemed to be located in Singapore, and Omnipath shall have no obligation to comply with data protection laws of any jurisdiction other than Singapore in respect of that End User’s Personal Data. If Customer submits a Country Code for an End User that is incorrect, invalid or not included in the Country Code List, Omnipath will reject the submission request. In such case, Omnipath shall assume no obligations or liability with respect to the Personal Data protection of such End User, nor shall it be deemed a breach of the Services Agreement. If, as a result of any Country Code provided (or omitted) by Customer being incorrect, invalid, inaccurate or otherwise erroneous, Omnipath incurs or suffers any loss, damage, liability, cost or expense (including any regulatory fines or penalties, third-party or Data Subject claims, and reasonable attorneys’ fees), Customer shall indemnify, defend and hold harmless Omnipath against any such loss, damage, liability, cost or expense.

3.6  Security Measures. Customer shall implement adequate technical and organizational safeguard measures to protect the security of Controller Data before and during transmission to Omnipath in accordance with Applicable Data Protection Laws. Omnipath shall have in place appropriate and adequate security measures as are necessary to protect Controller Data against unauthorized or unlawful Processing and against accidental loss or destruction, alteration or disclosure of, or damage. The detailed measures are described in Exhibit 2 of this DPA.

3.7  International Data Transfer. Omnipath will not transfer Controller Data to a third country or region (“recipient territory”) outside the territory in which the Controller Data is originally collected, unless it has obtained prior authorization from Customer and such transfer is for the purpose of providing Customer with the Services. In the event that such data transfer occurs, Customer acting as a Controller shall take safeguard measures as are necessary to ensure the transfer of Controller Data to the recipient territory is in compliance with Applicable Data Protection Laws. Such measures include but are not limited to obtaining Data Subjects’ informed consent for the international transfer, filing or obtaining approval from enforcement authorities if required, entering into Standard Contractual Clauses or similar data protection agreement, and implementing organizational and technical security measures.

3.8  Jurisdiction-Specific Terms. Both Parties acknowledge that Exhibit 3 of this DPA sets out certain jurisdiction-specific terms and conditions that reflect the requirements of local data protection laws that may apply to international data transfer of Controller Data. Accordingly, both Parties agree that they shall comply with the relevant part of Exhibit 3 that applies to the Processing of Controller Data pursuant to the Services Agreement and this DPA.

3.9  Individual Rights of Data Subjects. When Omnipath receives any requests from a Data Subject relating to the exercise of its data rights, it shall notify Customer and provide detailed information in due time. Omnipath shall provide Customer with reasonable assistance as required to respond to such requests in accordance with Applicable Data Protection Laws.

3.10  Data Breach. If Omnipath becomes aware that any Data Breach (including suspected Data Breach) has occurred, it shall notify Customer without undue delay, and shall provide assistance to investigate, remedy or mitigate the negative effects of the Data Breach as Customer may reasonably require for complying with its obligations under Applicable Data Protection Laws. In the event that any Data Breach occurs prior to the execution of this DPA, Customer agrees that it shall bear all legal and financial responsibility for any of its actions that result in such Data Breach prior to the execution of this DPA, regardless of whether the damage occurred thereafter.

3.11  Sub-Processing. Customer hereby consents to Omnipath’s use of Sub-Processor(s) for the purpose of providing the Services, published here: https://mapsplatform.opnavi.com/api/policies/sub-processor as amended from time to time. Customer shall be notified by Omnipath of new Sub-Processor(s). To the extent Controller Data is processed, Omnipath shall enter into a written agreement with the Sub-Processor and impose data protection obligations no less protective than those provided by this DPA.

3.12  Storage Limitation. Omnipath retains Controller Data for the period as necessary to provide the Services and to fulfil its obligations as a Processor. Upon the purpose of the Services Agreement being achieved or the Services Agreement otherwise terminating, Omnipath shall delete or anonymize the Controller Data in its possession or control.

3.13  Audit. Omnipath agrees, at the request of Customer, to cooperate with Customer to conduct an audit to ascertain Omnipath’s compliance with this DPA and Applicable Data Protection Laws, provided such audit shall be: (a) carried out no more than once in any 12-month period (unless otherwise required by Applicable Data Protection Laws); (b) for cause, with reasonable written notice, during regular business hours and in a manner which does not disrupt Omnipath’s business; (c) under a duty of confidentiality; and (d) conducted by auditing firms appointed by Customer and accepted by Omnipath. The scope of such an audit shall be agreed in advance and, where required by Applicable Data Protection Laws, may include an inspection where Omnipath makes available to Customer information necessary to demonstrate compliance with the obligations laid down in Applicable Data Protection Laws. Customer shall bear its own costs, the fees of any auditor, and any costs and expenses incurred by Omnipath (including but not limited to fees of third-party counsel, traveling and transportation expenses, document printing fees, translation fees, and other administrative costs) in complying with this Section.

4.Liability

4.1 If either Party (“Indemnifying Party”) breaches this DPA or any Applicable Data Protection Laws, or causes any Data Breach, it shall bear corresponding legal liability. If the breach causes losses or injury to the other Party (“Indemnified Party”), it shall indemnify and hold harmless the Indemnified Party against any and all losses, costs and expenses (including but not limited to reasonable litigation costs, arbitration fees, attorney fees, damages between the parties, and settlement payments) suffered or incurred as a result of any Data Breach involving the Indemnified Party’s data, breach of this DPA or of Applicable Data Protection Law. Without limiting liability that either Party may owe directly to the Data Subject, each Party’s and all of its affiliates’ liability, taken together in the aggregate, arising out of or related to this DPA is subject to the “Limited Liability” section in the Services Agreement.

4.2 Furthermore, (i) the Indemnified Party shall promptly notify the Indemnifying Party upon becoming aware of any circumstances that may give rise to indemnification under this DPA; and (ii) the Indemnified Party shall take reasonable measures and actions to mitigate any ongoing damages that may be suffered due to the Indemnifying Party’s breach.

5.Miscellaneous

5.1 Execution and Effectiveness. This DPA may be executed, and shall become effective, by either of the following means, each of which shall constitute valid and binding execution by the Parties: (i) Electronic acceptance — on the date on which Customer accepts this DPA by ticking the consent box (or clicking to confirm) on the AMAP Platform (https://mapsplatform.opnavi.com) when purchasing or using the Services, such electronic acceptance constituting valid execution of this DPA by Customer as if it were signed; or (ii) Written execution as an annex — where this DPA is attached to, or incorporated by reference into, an Order or the Services Agreement, on the date on which the Parties execute such Order or Services Agreement, this DPA forming an integral annex to and part of that document and being executed at the same time. If Omnipath has commenced to provide the Services under the Services Agreement prior to the date of execution of this DPA, the date on which the Personal Data are first being Processed in connection with the Services shall be deemed the effective date of this DPA. This DPA shall remain in full force and effect during the period in which the Controller Data is processed by either Party for the purposes of the Services Agreement.

5.2 This DPA shall be incorporated into and constitute an integral part of the Services Agreement. To the extent there is any conflict or inconsistency between this DPA and the Services Agreement, the terms of this DPA shall prevail. Issues that are not addressed in this DPA shall be governed by the terms of the Services Agreement.

5.3 Any amendment to this DPA shall be made in writing and agreed upon by both Parties. Otherwise, such amendment shall be null and void.

Exhibit 1: Controller Data Processing List

This list specifies the details of the Processing of Controller Data that Omnipath performs on behalf of Customer:

Exhibit 2: Data Security Measures

Omnipath ensures the following security and privacy controls are maintained and supported:

Security Governance and Management. Omnipath maintains a security and privacy management system in accordance with regional and global applicable data protection laws, inclusive of other industry-known privacy and security recommended practices and supporting security controls, including appropriate documentation (security policies, processes, procedures, guidelines and standards) and associated security controls to assure adequate protection of data assets throughout the Services’ lifecycle.

Access Control. Omnipath has policies and processes to manage who has access to what data and systems. All employees are assigned an individual and unique account; all access is designed and granted on the principle of least privilege, using SSO and MFA where applicable. All accounts and access are reviewed on a regular basis.

Encryption. Omnipath maintains appropriate encryption ciphers and protocols to protect data both at rest and in transit, including SSL/TLS encryption to secure data transmission, separate encryption or obfuscation of sensitive data, and identity verification and authentication mechanisms.

Firewall and Intrusion Detection. Omnipath has a firewall and intrusion detection system in place to prevent unauthorized access and detect potential breaches. Access to change firewall configurations is restricted to appropriate Global Network Services personnel; border router and firewall device security settings are reviewed regularly.

Anti-Malware Measures. Omnipath takes measures to protect against viruses, ransomware and other malware, including antivirus/malware protection on connected systems, endpoint agents checking a central console for policy/version updates, periodic antivirus status review, and proactive threat-intelligence gathering.

Logging. Omnipath maintains logging regarding certain systems and processes to track access and privileged-access activities, report on errors, and retain data centrally and in a standardized manner; log monitoring is carried out to identify potential security risks and incidents.

Network Security. Omnipath maintains procedures, including segmentation, secure configuration and wireless security, to protect the network infrastructure against disruption of service availability or a security breach.

Software Security and System Patch Management. Omnipath establishes a software update and patch management mechanism to keep systems secure and up-to-date, including vulnerability-management practices to remediate and mitigate vulnerabilities classified by an authoritative Vulnerability Database as “high-risk” or higher.

Security Incident Management. Omnipath establishes processes and procedures for detecting, identifying, responding to and recovering from actual and potential data security incidents, with clearly defined roles and responsibilities.

Data Backup and Disaster Recovery. Omnipath implements a data backup and disaster recovery mechanism specifying how data is backed up, how often, and the recovery procedure in the event of data loss.

Employee Training and Awareness. Omnipath maintains an appropriate security and privacy awareness training program for all employees on a regular basis.

Secure Software Development Lifecycle. Omnipath follows a secure software development lifecycle process as part of standard development of its systems and services.

Data Retention and Disposal. Omnipath has established a Data Retention Policy governing how long data is kept and how it is securely disposed of when no longer needed, and implements and follows the policy to support the data retention cycle.

Exhibit 3: Additional Terms for Applicable Data Protection Legislation

Part A: ASEAN Special Terms

This Exhibit 3 Part A will only apply to the extent that the law of an ASEAN Member State applies to the Processing of Controller Data. For the purpose of this DPA, the “ASEAN Member State” refers to any ASEAN Member State whose law applies to the Processing of Controller Data, and the AMS Law so applying is the Applicable AMS Law.

Definitions.

AMS Law means any and all written laws of an ASEAN Member State relating to data protection (or that are minimally relevant to the transfer of Personal Data) to which the Data Exporter or the Data Importer (or both) are subject.

Applicable AMS Law means the AMS Law of the ASEAN Member State whose law applies to the Processing of Controller Data, determined by reference to the location of the Data Subject (as identified by the Country Code provided by Customer pursuant to the Provision of Country Code clause of this DPA or, where no such Country Code is provided, by the law that objectively applies to such Processing).

AMS Controller Data means the Personal Data of Data Subjects located in an ASEAN Member State that is controlled by Customer and is processed by Omnipath on behalf of Customer under the Services Agreement and this DPA in connection with its provision or use (as applicable) of the Services.

Data Exporter means the Party which transfers Controller Data to the Data Importer under the DPA.

Data Importer means the Party that receives Controller Data from a Data Exporter under the DPA.

Data Sub-Processor means any person or legal entity which may be engaged by the Data Importer to assist in the Data Exporter’s Processing of Controller Data on behalf of the Data Exporter.

Enforcement Authority means any public authority empowered by applicable AMS Law to implement and enforce the applicable AMS Law.

Adequate Country means, for data processed subject to AMS Law, the country or international organization recognized by the Enforcement Authority as ensuring adequate protection under AMS Law.

AMS SCCs means the ASEAN Model Contractual Clauses for Cross Border Data Flows.

AMS Data Transfer Solution means a solution that enables the lawful transfer of Personal Data to a third country in accordance with AMS Law, other than the AMS SCCs, including any transfer to an Adequate Country.

AMS Data Transfer Solution.

The Data Exporter may carry out a cross-border data transfer of AMS Controller Data that are subject to AMS Law relying on an AMS Data Transfer Solution. In such a case, Section 3 (AMS SCCs) of this Exhibit will not apply to such transfer.

AMS SCCs.

To the extent that the Data Exporter transfers AMS Controller Data to the Data Importer, the Data Exporter will be deemed to have entered into the following AMS SCCs (Controller-to-Processor provisions) with the applicable Data Importer’s entity it executed the DPA with, and the transfers will be subject to the AMS SCCs (Controller-to-Processor provisions).

Obligations of Data Exporter.

• The Personal Data has been collected, used, disclosed and transferred to the Data Importer under this DPA in accordance with applicable AMS Law, or in the absence of such laws, where reasonable and practicable, the Data Subject has been notified of and given consent to the collection, use, disclosure and/or transfer of his/her Personal Data.

• Any Personal Data transferred under this DPA is accurate and complete to the extent necessary for the purposes identified by the Data Exporter in order to comply with Clause 3.1.1.

• The Data Exporter shall implement adequate technical and operational measures to ensure the security of the Personal Data during transmission to the Data Importer.

• The Data Exporter shall respond to enquiries from Data Subjects or Enforcement Authorities regarding the Processing of Personal Data by the Data Importer as required by applicable AMS Law, including requests to access or correct Personal Data, unless the Parties have agreed in writing that the Data Importer shall so respond and such delegation is permitted by applicable AMS Law.

Obligations of Data Importer.

• The Data Importer shall Process the Personal Data only in compliance with the Data Exporter’s instructions as set forth in the DPA and for the purposes described in Exhibit 1.

• The Data Importer shall not further disclose or transfer the Personal Data it receives from the Data Exporter to another person, legal entity or Enforcement Authority, unless it has notified the Data Exporter of such further disclosure or transfer and obtained the Data Exporter’s authorization. The Data Exporter acknowledges and agrees to the Data Importer’s use of Data Sub-Processors as listed at: https://mapsplatform.opnavi.com/api/policies/sub-processor and the transfer of Controller Data to them to fulfill the Services.

• Prior to any disclosure or transfer of Personal Data to third parties, including Data Sub-Processors, the Data Importer shall ensure that the third party is subject to and bound by the obligations of the Data Importer to the Data Exporter.

• The Data Importer shall communicate and refer to the Data Exporter any enquiries and requests from Data Subjects relating to the Personal Data transferred by the Data Exporter without undue delay, including requests to access or correct the Personal Data.

• Upon termination of this DPA or completion of Processing required under this DPA, the Data Importer shall either return to the Data Exporter the Personal Data held in its possession pursuant to this DPA, or cease to retain and delete or anonymize such Personal Data.

• The Data Importer shall have in place reasonable and appropriate technical, administrative, operational and physical measures, consistent with applicable AMS Laws, to protect the confidentiality, integrity and availability of Personal Data, in particular against risks of Data Breaches.

• If the Data Importer becomes aware that a Data Breach has occurred affecting Personal Data in its possession or control, or in the possession or control of an importer of an onward disclosure or transfer of the Personal Data, it shall notify the Data Exporter within a reasonable time period.

• The Data Importer shall promptly notify and consult with the Data Exporter regarding any investigation regarding the collection, use, transfer, disclosure, security, or disposal of the Personal Data transferred under this DPA, unless otherwise prohibited under law.

• The Data Importer shall provide reasonable assistance to the Data Exporter upon request for the purposes of clause 3.1.4; and where the Data Importer has agreed in writing, to respond to enquiries and requests from Data Subjects or Enforcement Authorities regarding its Processing of Personal Data when notified by the Data Exporter.

Individual Remedies.

The Parties acknowledge that, to the extent that the Applicable AMS Law confers a right on Data Subjects to enforce the data protection warranties and undertakings of this DPA as third-party beneficiaries, this DPA shall uphold such rights of Data Subjects under the Applicable AMS Law. Data Subjects can enforce against the Data Exporter Clauses 3.1.1 and 3.1.4 as third-party beneficiaries; against the Data Importer Clause 3.2.4; and against Sub-Processors Clauses 3.1.1, 3.1.4 and 3.2.4 when both the Data Exporter and Data Importer have ceased operations, ceased to exist in law, or transferred all or substantially all of their assets to a non-associated entity such that the non-associated entity has assumed the legal obligations of the Data Exporter by contract or operation of law. To the extent authorized by applicable AMS Law, Data Subjects may obtain compensation for breaches of this DPA by either the Data Importer and/or Data Exporter (as prescribed by applicable AMS Law or, if such law is silent on the allocation of compensation, then from both the Data Importer and Data Exporter in equal shares). The Parties do not object to a Data Subject being represented by another body if the Data Subject expressly wishes so and such representation is permitted by applicable law.

Miscellaneous.

If there is any conflict or inconsistency between the AMS SCCs, this Exhibit 3 Part A, and the remainder of the DPA, then the AMS SCCs will prevail. Nothing in the DPA and this Exhibit 3 Part A is intended to modify or contradict any AMS SCCs or any AMS Law.