2025年基因治疗药物数据隐私保护合同.docxVIP

2025年基因治疗药物数据隐私保护合同

本合同由以下双方于[签署日期]签署：

数据控制者（以下简称“控制者”）：

公司名称：[控制者公司全称]

注册地址：[控制者公司注册地址]

法定代表人/授权代表：[姓名]

职务：[职务]

联系方式：[邮箱/电话]

数据处理者（以下简称“处理者”）：

公司名称：[处理者公司全称]

注册地址：[处理者公司注册地址]

法定代表人/授权代表：[姓名]

职务：[职务]

联系方式：[邮箱/电话]

鉴于：

1.控制者因[说明处理基因数据的具体目的，例如：基因治疗药物研发、临床试验、患者管理等]需要处理基因数据（以下简称“基因数据”），并已确定处理目的和方式；

2.处理者同意在控制者的指令下，按照本合同约定的条款和条件，处理控制者提供的基因数据；

3.双方希望依据适用的数据保护法律法规（包括但不限于欧盟通用数据保护条例（GDPR）、中华人民共和国个人信息保护法及相关法规），明确双方在基因数据处理活动中的权利和义务。

据此，双方达成如下协议：

第一条定义与范围

1.1基因数据：指与自然人的基因特征或者基因表达谱直接相关的个人数据，包括但不限于基因组、外显子组、基因表达谱、单核苷酸多态性（SNP）数据，以及与基因数据紧密关联的个人身份信息（PII）和个人健康信息（PHI）。

1.2个人数据：指任何与已识别或可识别的自然人相关的信息，即可识别的自然人，无论通过直接或间接方式，或与其他数据结合使用，能够被识别。

1.3数据控制者：指决定基因数据处理目的和方式的组织、机构或个人。

1.4数据处理者：指在控制者的指令下处理基因数据的组织、机构或个人。

1.5数据主体：指基因数据的提供者或与其相关的自然人。

1.6合同范围：本合同适用于控制者提供的、由处理者处理的全部基因数据，以及处理者因履行本合同而获取的相关个人数据。本合同涵盖数据处理活动的所有方面，包括收集、存储、使用、访问、更新、传输、共享、披露、删除、匿名化等，以及相关的安全措施、合规性保证和责任承担。

第二条基本原则

双方处理基因数据应遵循以下基本原则：

2.1合法、正当、必要、诚信原则：数据处理活动必须有明确、合法的法律依据，以公平、透明的方式对待数据主体，仅处理为实现处理目的所必需的基因数据，并确保处理行为是诚实守信的。

2.2目的限制原则：基因数据的处理目的应当是明确的、合法的，并且处理活动不得超出事先声明的目的进行，除非获得数据主体的额外同意或法律另有规定。

2.3最小化原则：收集和处理基因数据的范围和程度应限于实现处理目的所必需的最小范围。

2.4公开透明原则：控制者应向数据主体提供清晰、易于理解的隐私通知，说明基因数据的处理规则，包括本合同约定的内容。

2.5确保安全原则：双方必须采取充分的技术和组织措施，包括加密、访问控制、安全审计、员工培训等，确保基因数据的安全，防止未经授权或非法的访问、泄露、篡改、丢失或破坏。

2.6质量保证原则：应采取适当措施，确保基因数据的准确性、完整性和可靠性。

2.7存储限制原则：基因数据的存储期限不应超过实现处理目的所必需的合理时间，并在存储期限届满后或处理目的达成后，进行安全删除或不可逆的匿名化处理。

2.8问责原则：控制者作为数据控制者，应能够证明其遵守了上述基本原则，并承担相应的法律责任。处理者应协助控制者履行其责任。

第三条数据主体的权利与义务

3.1数据主体权利：数据主体对其基因数据享有以下权利，控制者应建立机制保障数据主体行使其权利：

3.1.1知情权：要求控制者提供关于基因数据处理活动的清晰信息，包括处理目的、方式、数据接收方、存储期限、安全措施、数据主体权利等。

3.1.2决定权/同意权：对于涉及基因数据的处理活动（特别是用于敏感目的如治疗、遗传风险预测等），数据主体有权给予明确同意，并有权撤回其同意。撤回同意不影响撤回前基于同意进行的处理的合法性，但可能影响后续处理的继续进行。

3.1.3访问权：有权访问其提供的基因数据以及相关处理记录，控制者应在收到访问请求后合理期限内响应。

3.1.4更正权：有权要求控制者更正其基因数据中不准确或不完整的信息。

3.1.5补充权：有权在基因数据不完整时，补充提供相关信息。

3.1.6删除权（被遗忘权）：在特定情况下（如同意撤回、数据处理不再需要、违反合同约定、数据主体死亡且无反对等），有权要求删除其基因数据。

3.1.7限制处理权：在特定情况下（如数据准确性质疑、反对处理、数据用于司法诉讼等），有权要求限制对其基因数据的处理。

3.1.8数据可携权：在特定条件下，有权要求以结构化