数据合规与处理委托协议（GDPR个保法适用）.docxVIP

数据合规与处理委托协议（GDPR/个保法适用）

数据合规与处理委托协议（GDPR/个保法适用）

甲方（委托方/购买方）：

统一社会信用代码：

乙方（服务方/提供方）：

统一社会信用代码：

第一条定义与解释

除非本协议另有约定，下述用语在本协议中具有如下含义：

1.个人数据：是指任何已识别或可识别的自然人（“数据主体”）相关的信息；可识别的自然人指能够被直接或间接识别，特别是通过姓名、身份证号码、位置数据、在线身份识别码这类标识，或者是通过该自然人的身体、生理、遗传、心理、经济、文化或社会身份等一项或多项特定因素。

2.个人敏感数据：是指一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人数据。包括但不限于身份证件号码、个人生物识别信息、银行账户、行踪轨迹、交易信息、不满十四周岁未成年人的个人信息等。

3.数据处理：是指针对个人数据或个人数据文件执行的任何操作或一组操作，无论是否通过自动化手段，如收集、记录、组织、结构化、存储、改编或修改、检索、查阅、使用、通过传输、传播或提供进行披露、对齐或组合、限制、删除或销毁。

4.委托处理：是指甲方作为数据控制者，委托乙方作为数据处理者，为实现特定目的，根据本协议约定的范围、期限和方式处理甲方个人数据的行为。

5.控制者：是指单独或与他人共同确定个人数据处理的目的和方式的自然人、法人、公共机构、行政机关或其他非法人组织；如本协议未另作说明，本协议中的控制者指甲方。

6.处理者：是指为控制者处理个人数据的自然人、法人、公共机构、行政机关或其他非法人组织；如本协议未另作说明，本协议中的处理者指乙方。

7.双方：指甲方和乙方的合称。

8.协议：指本协议及其附件。

9.数据处理活动：指乙方为甲方提供的具体数据处理服务，其范围、目的、方式、个人数据类型、数据主体类型、处理期限等由双方在本协议附件一《数据处理活动明细》中具体约定。

10.中国法律：指中华人民共和国大陆地区现行有效的法律、行政法规、部门规章及规范性文件。

11.GDPR：指欧盟《通用数据保护条例》（Regulation(EU)2016/679）。

第二条合作内容与方式

1.甲方委托乙方处理个人数据的具体内容、处理目的、处理方式、个人数据类型、数据主体范围、处理期限等，详见本协议附件一《数据处理活动明细》。乙方应根据甲方书面指示处理个人数据。除中国法律、欧盟法律或任何其他适用法律另有规定外，如无甲方事先书面指示，乙方不得将个人数据用于除履行本协议约定之外的其他任何目的，或向任何第三方披露个人数据。

2.双方合作期限为年，自年月日至年月日。期限届满前30日内，若双方均未书面提出异议，则合作期限自动顺延一年，以此类推。

第三条权利与义务

（一）甲方权利义务

1.甲方应向乙方提供履行本协议所需的，且与数据处理活动相关的指示及个人数据。甲方保证，其向乙方提供的个人数据来源合法，其收集、使用个人数据已获得数据主体的充分授权或具备其他合法基础，并且其委托乙方进行的数据处理活动已获得数据主体的授权或具备其他合法基础，且未侵犯任何第三方的合法权益。

2.甲方有权要求乙方按照约定完成数据处理活动，并根据本协议及相关附件的约定检查、监督乙方的工作。

3.甲方应就乙方履行本协议提供必要的便利与协助，包括但不限于为乙方履行本协议及时、充分地提供其所需的个人数据、指示、资料等，以使乙方能够履行本协议项下的义务。

4.若甲方收到任何数据主体关于其个人数据的查询、访问、更正、删除、限制处理、可携带权、反对自动化决策等请求，或任何监管机构关于个人数据保护的通知、指令、质询、调查等，甲方应立即通知乙方，并提供相关请求或文件的副本。在适用法律允许的范围内，甲方应全权负责对数据主体及监管机构的请求作出回应。乙方应根据甲方的书面要求，在合理时间内协助甲方回应数据主体及监管机构的请求。

5.甲方有权按照本协议的约定对乙方处理个人数据的安全保护措施及义务履行情况进行监督，或委托双方认可的第三方审计机构对乙方进行审计。

（二）乙方权利义务

1.乙方应根据本协议、附件一《数据处理活动明细》以及甲方的书面指示处理甲方个人数据，并应采取适当的技术和组织措施，确保处理过程的安全，防止个人数据遭受未经授权的访问、泄露、损毁、灭失或滥用。

2.乙方应确保其处理个人数据的雇员、代理人和分包商（如有）受到保密义务的约束，并为其处理个人数据的行为负责。未经甲方书面同意，乙方不得将本协议项下的任何义务分包或委托给第三方。即使甲方同意分包或委托，乙方应确保分包商或受托方遵守本协议项下乙方的义务，并对分包商或受托方的行为承担责任。

3.乙方应在发现个人数据安全事件（包括但不限于未经授权的访问