金融客户数据安全协议.docxVIP

金融客户数据安全协议

鉴于甲方（金融机构）需要收集、存储、使用和传输其客户（以下简称“数据主体”）的个人数据，并需采取必要措施保障数据安全；乙方（客户）作为数据主体，授权甲方在约定范围内处理其个人数据。为明确双方在数据安全方面的权利与义务，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等相关法律法规，双方经友好协商，达成如下协议：

第一条定义

除非本协议另有明确约定，下列词语具有以下含义：

1.1个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

1.2敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

1.3数据主体是个人信息所指向的自然人。

1.4数据控制者是指确定个人信息处理目的、处理方式，并决定和处理个人信息的组织或者个人。

1.5数据处理者是指依照约定处理个人信息的组织或者个人。

1.6数据安全是指采取必要的技术和管理措施，保障个人信息在收集、存储、使用、加工、传输、提供、公开等处理活动中的保密性、完整性、可用性。

1.7第三方是指与甲方或乙方没有直接合同关系，但可能接触或处理个人数据的组织或个人。

第二条适用范围

2.1本协议适用于甲方在为其客户（数据主体）提供金融产品或服务过程中收集、存储、使用、加工、传输、提供、公开其个人信息的所有活动。

2.2本协议同样适用于甲方因履行本协议约定而委托第三方处理个人信息，甲方对第三方具有知情权、监督权和管理权，并对第三方的行为承担连带责任。

2.3本协议不适用于以下情形：

2.3.1法律、行政法规规定应当公开的个人信息；

2.3.2经数据主体同意公开的个人信息；

2.3.3从公开渠道获取且无法识别到具体个人的个人信息；

2.3.4为订立、履行合同所必需，且已取得数据主体明确同意的个人信息处理活动，但公开披露前已取得数据主体同意的除外。

第三条数据收集与告知

3.1甲方仅在为实现提供金融产品或服务所必需的目的，并已取得数据主体同意或法律、行政法规规定的前提下收集其个人信息。

3.2甲方通过其官方网站、移动应用程序、业务办理场所等渠道，以显著方式向数据主体告知以下事项：

3.2.1甲方或其委托的第三方作为数据处理者的身份信息；

3.2.2收集个人信息的种类、目的、方式、存储期限；

3.2.3数据主体的权利以及行使权利的途径；

3.2.4采取的数据安全保护措施；

3.2.5法律、行政法规规定的其他事项。

第四条数据安全措施

4.1甲方承诺采取必要的技术措施和管理措施，保障个人信息的合法、安全处理，防止个人信息泄露、篡改、丢失。

4.2具体安全措施包括但不限于：

4.2.1采取加密技术存储和传输个人信息；

4.2.2采取访问控制措施，确保只有授权人员才能访问个人信息；

4.2.3建立严格的内部管理制度和操作规程，规范个人信息的处理活动；

4.2.4对接触个人信息的员工进行背景审查、保密教育和培训；

4.2.5对委托第三方处理个人信息的，签订数据处理协议，明确双方责任，并对第三方的处理活动进行监督；

4.2.6建立数据备份和恢复机制，确保个人信息在发生意外情况时能够得到恢复；

4.2.7定期进行安全风险评估，并根据评估结果采取相应的安全保护措施；

4.2.8对系统进行安全防护，部署防火墙、入侵检测/防御系统等，防止网络攻击；

4.2.9对处理个人信息所使用的计算机信息系统进行维护，并采取防病毒、防篡改等措施。

第五条数据使用与共享

5.1甲方仅能按照本协议约定的目的及法律法规的规定使用个人信息。

5.2未经数据主体同意，甲方不得将个人信息用于本协议约定目的之外的用途。

5.3甲方因履行本协议约定或法律法规规定，确需与第三方共享个人信息的，应事先获得数据主体的明确同意，或基于法律规定进行。甲方应要求第三方对该个人信息承担保密义务，并采取与甲方同等的安全保护措施。

5.4甲方不得将个人信息出售或以其他形式非法转让给任何第三方。

第六条客户权利保障

6.1数据主体依法享有查阅、复制其个人信息的权利。甲方应在接到数据主体行使查阅、复制权利的请求后，及时采取必要措施响应，除非法律、行政法规另有规定或基于维护公共利益、商业秘密等合理事由。

6.2数据主体有权要求甲方更正其提供的错误个人信息，甲方应在接到更正请求