企业数据分类分级保密协议2025年试行版.docxVIP

企业数据分类分级保密协议2025年试行版

本协议由以下双方于2025年[具体日期]签署：

保密方（以下简称“公司”）：[公司全称]，统一社会信用代码：[统一社会信用代码]，法定代表人：[法定代表人姓名]，注册地址：[注册地址]。

保密接收方（以下简称“接收方”）：[个人姓名]，身份证号码：[身份证号码]，住址：[住址]，或[组织全称]，统一社会信用代码/注册号：[统一社会信用代码/注册号]，法定代表人/负责人：[法定代表人/负责人姓名]，地址：[地址]。

（以下称双方）

鉴于公司拥有、控制或处理着不同敏感程度和重要性的数据（以下简称“数据”），包括但不限于商业秘密、客户信息、员工信息、财务信息、运营数据等，并已建立数据分类分级制度（以下简称“分类分级制度”）对数据进行管理；

鉴于接收方因[说明接收方与公司之间的关系，如：受雇、提供服务、合作项目等]需要接触、使用或处理公司部分数据；

鉴于双方希望明确在数据处理过程中的保密义务和责任，以保护公司的数据安全，根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》及相关法律法规，达成如下协议：

第一条定义

1.1数据：指公司拥有、控制或处理的任何形式的信息，无论其存储方式如何（电子、纸质、口头等），包括但不限于个人信息、商业秘密、经营信息、财务信息、技术信息、知识产权等。

1.2保密数据：指根据公司分类分级制度被认定为“内部”、“秘密”或“机密”级别的数据，以及所有未公开的公司数据，但公开数据或接收方在签署本协议前已合法知晓且无保密义务的数据除外。

1.3个人数据：指能够识别特定自然人的各种信息，包括直接识别和间接识别结合可以识别特定自然人的信息。

1.4敏感个人数据：指在个人信息中，一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，具体包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

1.5分类分级制度：指公司为识别、评估和管理数据风险而制定的数据分类分级标准、规范和流程。

1.6保密义务：指接收方依据本协议及分类分级制度，对保密数据承担的保密责任，包括保护、合理使用、防止泄露等。

1.7工作职责：指接收方为履行与公司约定关系（如雇佣、服务、合作等）所承担的具体职责。

第二条保密信息的范围

2.1接收方同意，在本协议有效期内及根据本协议约定期间，对在履行工作职责过程中接触、知悉、获取的任何保密数据，均负有保密义务。

2.2保密信息的范围包括但不限于：

(a)公司未公开的财务信息、经营策略、营销计划、客户名单、交易信息；

(b)公司的研发成果、技术秘密、设计图纸、工艺流程、计算机程序源代码及文档；

(c)公司的内部管理制度、员工信息（包括个人信息和人力资源信息）；

(d)法律法规要求保密的其他数据；

(e)根据公司分类分级制度被标记为“内部”、“秘密”或“机密”的数据，无论接收方是否认为其具有保密性质。

2.3不属于保密信息的情形包括：

(a)接收方在签署本协议前已合法拥有或知悉的信息；

(b)接收方从没有保密义务的第三方合法获取的信息；

(c)接收方公开披露且已进入公共领域的信息；

(d)接收方能够证明在披露给公司前已公开披露且非其过错导致的信息。

第三条接收方的保密义务

3.1接收方同意并承诺，将以不低于保护自身同等重要性保密信息的谨慎程度，且在任何情况下均不低于合理谨慎程度，保护所有保密数据。

3.2接收方仅能在为履行其明确的工作职责所“绝对必要”的范围内访问和使用保密数据，不得访问或处理与其工作职责无关的保密数据。

3.3接收方必须采取并保持充分的物理、技术和组织管理措施，确保保密数据的安全，措施的标准应至少符合公司现行的数据安全政策和根据数据敏感级别（如分类分级制度）所要求的保护级别。这些措施包括但不限于：

(a)对存储保密数据的设备（服务器、计算机、移动设备、硬盘、U盘、纸质文件等）进行安全保管，防止未经授权的访问、复制、修改或丢失；

(b)使用强密码、多因素认证等技术手段保护数据访问权限；

(c)对传输保密数据采取加密等措施；

(d)限制对保密数据的访问权限，遵循“按需知密”原则；

(e)对接触保密数据的员工进行必要的安全意识培训；

(f)确保第三方（如服务提供商）在处理保密数据时也遵守相应的保密要求；

(g)根据公司要求，及时记录和报告数据访问和安全事件。

3.4接收方不得以任何方式（口头、书面、电子等）向任何第三方披露任何保密数据，但下列情况除外：

(a)披露前已获得公司合法的书面同意；

(b)接收方有权根据法律法规、法院命令、政府要求等向有关当局披露，且接收方在合理范围内已事先通知公司，或法律法规禁止事先通知；

(c)接收方