2026年數據安全合作協議書

2026年數據安全合作協議書鑒于雙方（以下簡稱“甲方”和“乙方”）將在2026年期間就特定項目（以下簡稱“合作項目”）進行合作，涉及處理和傳輸個人數據及/或商業秘密等敏感信息，為明確雙方在數據安全方面的權利、義務和責任，依據《中華人民共和國網絡安全法》、《中華人民共和國數據安全法》、《中華人民共和國個人信息保護法》以及中華人民共和國締結或參加的國際條約所規定的義務（以下統稱“適用法律法規”），雙方經友好協商，達成如下協議，以資共同遵守。第一條數據定義與范圍1.1除非本協議另有約定，下列術語具有以下含義：(1)“個人數據”是指以電子或者其他方式記錄的與已識別或者可識別的自然人有關的各種信息，不包括匿名化處理后的信息。(2)“敏感個人信息”是指一旦泄露或者非法使用，容易導致自然人的人格尊嚴受到侵害或者人身、財產安全受到危害的個人信息，具體包括生物識別、宗教信仰、特定身份、醫療健康、金融賬戶、行蹤軌跡等信息，以及不滿十四周歲未成年人的個人信息。(3)“商業秘密”是指不為公眾所知悉、具有商業價值并經權利人采取相應保密措施的技術信息、經營信息等商業信息。(4)“數據處理”是指對個人信息和商業秘密進行收集、存儲、使用、加工、傳輸、提供、公開、刪除等操作。(5)“數據安全”是指采取技術和其他必要措施，確保個人信息和商業秘密的安全，防止其遭到未經授權的泄露、篡改、破壞或者丟失。1.2雙方同意，在合作項目進行過程中，根據各自承擔的角色，可能需要處理以下類型的數據：(1)甲方提供的與項目相關的個人數據/商業秘密（以下簡稱“來源數據”）。(2)在合作過程中產生或獲取的、由乙方處理的其他個人數據/商業秘密（以下簡稱“處理數據”）。(3)雙方共同掌握的其他需要保密的信息。1.3雙方應僅為本協議約定的合作項目目的處理本協議項下涉及的來源數據和處理數據，不得超出約定范圍。第二條數據安全義務2.1雙方應共同遵守適用法律法規及本協議關于數據安全的各項規定，采取充分的技術措施和管理措施，保障來源數據和處理數據的安全。2.2甲方義務：(1)確保其提供的來源數據符合適用法律法規的要求，并在提供前已獲得必要的個人授權（如適用）。(2)指定數據安全負責人，負責監督甲方在合作項目中的數據處理活動。(3)對其員工進行數據安全意識培訓，確保其了解并遵守數據安全要求。(4)對存儲其自身或共享基礎設施上來源數據的系統進行安全防護。(5)根據本協議約定，及時通知乙方個人數據泄露事件。2.3乙方義務：(1)僅在為履行本協議約定而必需的范圍內處理來源數據和處理數據，并確保處理活動符合適用法律法規及本協議要求。(2)指定數據安全負責人，并建立完善的數據安全管理制度和操作規程。(3)采取必要的技術措施，包括但不限于數據加密（傳輸中與存儲時）、訪問控制（基于最小權限原則）、安全審計、漏洞掃描和補丁管理等，防止數據泄露、篡改、丟失。(4)對接觸來源數據和處理數據的員工進行背景審查、保密協議簽署和數據安全培訓，并對其行為進行監督。(5)建立數據泄露應急響應機制，一旦發生數據泄露事件，立即采取措施控制損失，并在規定時限內（不超過24小時）通知甲方；根據甲方的指示和適用法律法規要求，配合進行后續處理。(6)確保其使用的第三方服務提供商（如云服務提供商、軟件供應商等）也遵守不低于本協議要求的數據安全標準，并承擔相應的監督責任。(7)根據本協議約定，及時通知甲方個人數據泄露事件。第三條數據主體權利履行3.1雙方確認，各自在處理個人數據時，承擔相應的數據控制者或處理者的法律責任。3.2任何一方在接到數據主體關于其個人數據訪問、更正、刪除等行權請求時，應根據適用法律法規的規定以及本協議約定，及時、準確地響應請求，并相互協作，確保請求得到妥善處理。3.3雙方應建立暢通的渠道，供數據主體聯系請求其個人數據權利的履行。第四條數據傳輸與跨境4.1雙方同意，任何一方在將本協議項下處理的個人數據或商業秘密傳輸至本協議主體以外的第三方（包括境外）時，應事先獲得另一方的事先書面同意。4.2數據傳輸至境外的，應確保接收方所在國家或地區提供與中華人民共和國個人信息保護法、數據安全法等法律法規相兼容的個人信息保護水平。接收方應承擔與其處理行為相關的數據安全保護責任。4.3為履行本協議目的，如需將數據傳輸至境外且未獲另一方事先同意的，應確保：(1)已采用有效的合同約束措施，如具有法律約束力的標準合同條款（SCCs）或經認證的保障措施；(2)獲得數據主體明確、單獨的同意；(3)符合適用法律法規規定的其他條件。4.4雙方應相互告知其計劃進行的、可能涉及跨境傳輸數據的重大活動，并確保該等傳輸活動符合本協議及適用法律法規的要求。第五條數據泄露通知5.1任何一方在發現或懷疑發生影響個人數據安全的事件（包括但不限于數據泄露、丟失、篡改、未經授權訪問等）時，應立即啟動應急響應機制，采取補救措施，防止損害擴大。5.2發生或可能發生個人信息泄露、篡改、丟失的，通知方應在事件發生后二十四小時內（以實際發生時間為準）通知另一方，通知內容應包括事件的基本情況（如時間、地點、涉及的數據類型和范圍、初步原因分析、已采取或擬采取的措施等）。5.3如根據適用法律法規的要求需要向監管機構或受影響個人通知數據泄露事件的，相關方應按照法律法規規定執行，并及時告知另一方。第六條審計與合規6.1雙方同意，在履行本協議過程中，應遵守所有適用的數據保護、網絡安全和商業秘密保護的法律、法規、規章及標準。6.2甲方有權對乙方的數據處理活動（包括數據安全措施、合規流程等）進行審計，審計范圍和頻次應合理，并應提前十日書面通知乙方。乙方應配合甲方進行審計，提供必要的文件、記錄和訪問權限，不得無理拒絕或拖延。6.3乙方有權對甲方的數據處理活動（特別是涉及乙方處理的數據）進行審計，審計安排參照前款執行。如甲方拒絕或拖延審計，乙方有權暫停相關數據傳輸或處理活動，直至甲方提供合理解釋并采取補救措施。第七條責任與賠償7.1雙方應各自對因違反本協議約定（尤其是違反數據安全義務）而直接導致的損失承擔責任。7.2因一方違反本協議約定導致另一方或第三方遭受損失的，違約方應在其違約行為造成的損失范圍內承擔賠償責任。7.3任何一方根據適用法律法規或本協議約定承擔賠償責任，不免除其因違反適用法律法規而應向監管機構繳納的罰款或其他行政處罰。7.4本協議約定的賠償責任上限為違約方在違反該具體條款前十二個月內因處理相關數據而產生的年收入總額的百分之十。對于因故意或重大過失導致的損失，或因違反保密義務、違反個人信息處理目的等造成的損失，此上限不適用。雙方可在簽署本協議時協商提高特定條款的賠償上限，但不得超過適用法律法規允許的上限。第八條保密條款8.1除非事先獲得對方書面同意，任何一方不得向任何第三方（包括關聯公司，但為履行本協議目的所必需的人員除外）披露本協議的全部或部分內容，以及在本協議履行過程中獲悉的對方的商業秘密、技術信息、個人數據（以與處理目的相關且必要的最小范圍提供）、商業計劃等非公開信息。8.2保密信息不包括：(1)披露時已為公眾所知的信息；(2)披露后非因一方過錯而為公眾所知的信息；(3)從有權披露的第三方合法獲得的信息。8.3雙方及其員工、代理人、顧問等均應遵守本保密義務，并確保其相關人員同樣遵守。保密義務不因本協議的終止而終止，對于商業秘密和涉及個人數據的保密信息，保密義務應持續有效五年，或直至該信息成為公開信息，以較長者為準。第九條協議期限與終止9.1本協議自雙方授權代表簽字蓋章之日起生效，有效期為三年，自2026年[具體日期]起至[具體日期]止。9.2協議期限屆滿前[具體期限，如三個月]，如雙方均有意繼續合作，應另行簽署續期協議。9.3任何一方可在協議有效期內，提前[具體期限，如一個月]以書面形式通知另一方終止本協議。提前終止不影響通知方根據本協議及適用法律法規應享有的權利和承擔的義務。9.4在本協議終止時或根據本協議終止后，雙方應：(1)立即停止處理所有個人數據，除非本協議另有約定或適用法律法規要求繼續處理。(2)在終止后[具體天數，如三十日]內，根據另一方書面要求，刪除或返還其持有的所有來源數據和已處理但歸甲方所有的處理數據；如需更長時間，應經另一方書面同意。(3)不得因本協議的終止而泄露或使用在合作期間獲悉的對方的保密信息。第十條其他條款10.1完整協議：本協議構成雙方就本協議標的事項達成的完整協議，取代雙方此前就此達成的所有口頭或書面協議、諒解或安排。10.2修訂：對本協議的任何修改或補充，均應以書面形式作出，并經雙方授權代表簽字蓋章后生效。10.3可分割性：本協議任何條款的無效或不可執行，不影響其他條款的效力。10.4轉讓：未經另一方事先書面同意，任何一方不得將其在本協議項下的權利或義務部分或全部轉讓給任何第三方。10.5通知：與本協議有關的任何通知或通訊應以書面形式按本協議首頁所示地址或雙方后續書面指定的地址發送，以郵戳日或電子郵件發送確認日為準。10.6法律適用與爭議解決：本協議的訂立、效力、解釋、履行及爭議解決均適用中華人民共和國法律。因本協議引起的或與本協議有關的任何爭議，雙方應首先通過友好協商解決；協商不成的，任何一方均有權將爭議提交[指定仲裁機構，如中國國際經濟貿易仲裁委員會]，按照申請仲裁時該會現行有效的仲裁規則進行仲裁。仲裁裁決是終局的，對雙方均有約束力。仲裁地點為[指定城市]。如在