2025年生物识别信息安全合同.docxVIP

2025年生物识别信息安全合同

本合同由以下双方于______年______月______日在______签订：

委托方（以下简称“甲方”）：_________（名称/姓名）

法定代表人/负责人：_________

注册地址/住址：_________

联系方式：_________

处理方（以下简称“乙方”）：_________（名称/姓名）

法定代表人/负责人：_________

注册地址/住址：_________

联系方式：_________

根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》及相关法律法规（以下统称“适用法律法规”），甲乙双方本着平等、自愿、公平和诚实信用的原则，就甲方委托乙方处理其生物识别信息的相关事宜，达成如下协议：

第一条定义与解释

除非本合同上下文另有明确说明，下列词语具有以下含义：

（一）“生物识别信息”是指能够识别特定自然人身份的人体生理或行为特征信息，包括但不限于指纹、人脸、虹膜、视网膜、声纹、手形、步态、DNA等及其模板。

（二）“生物识别特征”是指从生物识别信息中提取的、具有唯一性的生理或行为特征。

（三）“生物识别模板”是指经过处理、用于识别目的的生物识别特征。

（四）“数据处理者”是指为委托方处理生物识别信息的主体（即乙方）。

（五）“数据处理指令”是指委托方发出的关于处理生物识别信息的具体指示。

（六）“信息安全”是指为保护生物识别信息所采取的技术措施和管理措施，包括但不限于加密、访问控制、安全审计、漏洞管理、数据备份、应急响应、人员管理等。

（七）“数据泄露”是指未经授权的访问、披露、丢失、篡改或破坏生物识别信息的事件。

（八）“高风险处理活动”是指适用法律法规规定的对个人信息进行处理时，可能对个人权益产生重大影响的活动，如大规模处理、处理敏感个人信息、利用生物识别信息进行自动化决策等。

第二条适用法律法规

双方同意，本合同的订立、效力、解释、履行及争议解决均适用中华人民共和国法律。双方均应遵守所有适用法律法规，包括但不限于《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》及其配套法规（如针对生物识别信息的专门规定或指南）、《中华人民共和国刑法》中关于侵犯公民个人信息罪的规定，以及涉及跨境传输的法律法规。

第三条委托方与处理方的角色与义务

（一）甲方的权利与义务：

1.甲方作为生物识别信息的控制者，负责决定处理生物识别信息的目的、方式、范围和存储期限。

2.甲方有义务在收集生物识别信息前，以显著方式、清晰易懂的语言向信息主体告知处理生物识别信息的以下事项：

(1)处理的目的和依据；

(2)处理的生物识别信息类型；

(3)生物识别信息的存储期限；

(4)采取的信息安全保障措施；

(5)信息主体的权利行使方式；

(6)信息主体拒绝提供生物识别信息可能产生的后果。

3.对于上述告知，对于处理目的、方式和范围等发生变更的，甲方应重新履行告知义务，并获得信息主体的单独同意（如适用）。

4.甲方有权监督乙方的处理活动，要求乙方按照本合同约定及处理指令进行操作。

5.甲方应确保提供给乙方的生物识别信息来源合法，并已获得信息主体的有效授权（如适用）。

6.甲方应指定专门联系人，负责与乙方就数据处理事宜进行沟通。

（二）乙方的权利与义务：

1.乙方作为数据处理者，应严格按照甲方合法的数据处理指令处理生物识别信息，不得擅自变更处理目的、方式或范围。

2.乙方应建立并维护充分的信息安全措施，确保生物识别信息在收集、存储、使用、传输、删除等全生命周期的安全，具体措施包括但不限于：

(1)对生物识别信息及包含生物识别信息的系统进行加密存储和传输；

(2)实施严格的访问控制策略，仅授权人员可访问生物识别信息，并记录访问日志；

(3)对生物识别信息进行去标识化或匿名化处理，在技术和场景允许的情况下降低风险；

(4)定期进行安全风险评估、渗透测试和安全审计；

(5)建立完善的漏洞管理和应急响应机制；

(6)对接触生物识别信息的员工进行保密教育和背景审查，并签订保密协议；

(7)根据甲方要求，提供数据安全状况的证明材料。

3.未经甲方事先书面同意，乙方不得将生物识别信息用于本合同约定的目的之外，也不得向任何第三方提供（法律法规另有规定的除外，但应提前通知甲方）。

4.乙方应根据甲方合法的处理指令，使用其掌握的技能和资源，安全、可靠地完成数据处理任务。

5.乙方不得擅自委托第三方处理生物识别信息，如确需委托，应事先获得甲方的书面同意，并对子处理者的行为承担连带