个人信息出境标准合同.docxVIP

个人信息处理者与境外接收方依据本合同附录一“个人信息出境说明”所列约定开展与个人信息出境有关的活动，与此活动相关的商业行为，双方【已】/【约定】于 年 月 日签署 关于XX 的 商业合同，如有 。 本合同正文系根据《个人信息出境标准合同规定》的要求拟定，双方如有其他约定可在附录二中详述，附录构成本合同的组成部分。 第一条 定义 在本合同中，除上下文另有规定外： （一）个人信息处理者或境外接收方单称“一方”，合称“双方”。 （二）“个人信息”和“敏感个人信息”与《中华人民共和国个人信息保护法》所规定的含义相同。 （三）“个人信息主体”是指个人信息所标识或者关联的自然人。 （四）“个人信息处理者”与《中华人民共和国个人信息保护法》所规定的含义相同。 （五）“境外接收方”是指位于中华人民共和国境外并自个人信息处理者处接收个人信息的组织或个人。 （六）“监管机构”是指中华人民共和国省级以上网信部门。 （七）“相关法律法规”是指《中华人民共和国民法典》《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《个人信息出境标准合同规定》等中华人民共和国法律法规和部门规章，以及对前述法律法规和部门规章作出修订、修改或补充的法律法规和部门规章，包括取代原法律法规和部门规章 的后续法律法规和部门规章。 （八）本合同其他未定义术语的含义应与相关法律法规规定的含义保持一致。 第二条 个人信息处理者的义务 个人信息处理者在此陈述、保证、承诺如下： （一）个人信息系按照相关法律法规进行收集、使用等处理；出境个人信息范围仅限于实现处理目的所需的最小范围。 （二）已向个人信息主体告知境外接收方的名称或姓名、联系方式、附录一“个人信息出境说明”中的相关情况，以及行使个人信息主体权利的方式和程序等事项，并已取得个人单独同意，但相关法律法规规定不需要取得个人单独同意的除外。如涉及敏感个人信息，已向个人信息主体告知传输敏感个人信息的必要性及对个人的影响；涉及不满十四周岁未成年人个人信息的，已取得未成年人的父母或者其他监护人的同意；法律、行政法规规定应当取得书面同意的，已取得书面同意，相关法律法规规定无需取得书面同意的除外。 （三）已向个人信息主体告知其与境外接收方通过本合同约定个人信息主体为第三方受益人，如果个人信息主体未在三十天内明确拒绝，则可以依据该合同享有第三方受益人的权利。 （四）已尽合理的努力确保境外接收方能够履行本合同规定的义务并采取如下技术和管理措施（综合考虑个人信息的类型、数量、范围及敏感程度、传输的数量和频率、个人信息传输及境外接收方保存 的期限、个人信息处理目的等可能带来的个人信息安全风险）： （如加密、匿名化、去标识化、访问控制等技术和管理措施） （五）经境外接收方要求，向境外接收方提供相关法律规定和技术标准的副本。 （六）将答复来自监管机构关于境外接收方的个人信息处理活动的询问，但双方均同意由境外接收方作出答复的除外；在此情况下，若境外接收方在要求答复的期限内未答复，个人信息处理者仍将根据其合理掌握的信息在合理期限内作出答复。 （七）已经按照相关法律法规对拟向境外接收方提供个人信息的活动开展了个人信息保护影响评估。评估已考虑： 个人信息处理者和境外接收方处理个人信息的目的、范围、方式等的合法性、正当性、必要性； 出境个人信息的数量、范围、类型、敏感程度，个人信息出境可能对个人信息权益带来的风险； 境外接收方承诺承担的责任义务，以及履行责任义务的管理和技术措施、能力等能否保障出境个人信息的安全； 个人信息出境后泄露、损毁、篡改、滥用等的风险，个人维护个人信息权益的渠道是否通畅等； 按本合同第四条评估当地个人信息保护政策法规对遵守本合同条款可能造成的影响； 其他可能影响个人信息出境安全的事项。保存个人信息保护影响评估报告至少 3 年。 （八）根据个人信息主体要求向个人信息主体提供本合同的副本。在为保护商业秘密或其他机密信息（例如受保护的知识产权内容等）所必需的范围内，可以在提供副本之前对本合同相关内容进行适当遮蔽，但承诺向个人信息主体提供有效摘要以助其理解合同内容。 （九）承担证明本合同义务已履行的举证责任。 （十）根据相关法律法规要求向监管机构提供第三条第（十）款 所述的信息，包括所有审计结果。 第三条 境外接收方的义务 境外接收方在此陈述、保证、承诺如下： （一）按照附录一“个人信息出境说明”所列约定处理个人信息，除非取得个人信息主体的事先同意。 （二）根据个人信息主体要求向个人信息主体提供本合同的副本。在为保护商业秘密或其他机密信息（例如受保护的知识产权内容等）所必需的范围内，可以在提供副本之前对本合同相关内容进行适当遮蔽，但承诺向个人信息主体提供有效摘要以助其理解