个人敏感信息去标识化处理协议.docVIP

个人敏感信息去标识化处理协议

甲方（委托方）：____________________

统一社会信用代码/身份证号：____________________

地址：____________________

联系人：____________________

联系电话：____________________

乙方（受托方）：____________________

统一社会信用代码：____________________

地址：____________________

联系人：____________________

联系电话：____________________

鉴于：

1.甲方系依法持有特定个人敏感信息的主体，已取得相关个人信息主体的合法授权或符合法律规定的收集使用条件；

2.乙方系具备个人信息处理资质及技术能力的主体，能够按照甲方要求及法律法规规定开展个人敏感信息去标识化处理工作；

3.双方拟就甲方委托乙方处理其持有的个人敏感信息事宜达成一致，以明确双方权利义务。

第一条定义

1.1个人敏感信息：指根据《中华人民共和国个人信息保护法》等法律法规认定的，一旦泄露、非法提供或滥用可能危害自然人的人格尊严或人身、财产安全的信息，包括但不限于：身份证号、银行卡号、生物识别信息、健康医疗信息、行踪轨迹、金融账户信息等（具体以甲方提供的信息清单为准）。

1.2去标识化处理：指通过对个人敏感信息进行匿名化、脱敏（如隐藏、替换、不可逆加密等）处理，使处理后的信息无法单独或者结合其他信息识别特定自然人，且不可逆的处理行为。

1.3原始信息：指甲方委托乙方处理前的个人敏感信息。

1.4处理成果：指乙方按照本协议约定完成去标识化处理后的信息集合。

第二条协议标的

2.1甲方委托乙方对其持有的【具体信息范围，如：甲方旗下APP注册用户的身份证号、手机号、银行卡号等敏感字段】进行去标识化处理。

2.2处理要求：

（1）采用【具体处理方法，如：身份证号隐藏第7-14位、手机号隐藏第4-7位、银行卡号隐藏前12位后4位保留、生物识别信息不可逆哈希处理】等不可逆脱敏方式；

（2）处理后的信息不得包含任何可识别特定自然人的字段；

（3）处理过程需符合《中华人民共和国个人信息保护法》《数据安全法》等法律法规要求。

第三条双方权利义务

3.1甲方权利义务

（1）权利：有权要求乙方按照本协议约定完成去标识化处理；有权对处理成果进行验收；有权要求乙方对处理过程中的信息保密。

（2）义务：

①保证其提供的原始信息来源合法，已取得个人信息主体的授权或符合法律规定的收集使用条件，无侵犯他人合法权益的情形；

②向乙方明确具体的处理要求、信息范围及验收标准；

③配合乙方提供必要的信息结构说明、数据接口等资料；

④按照本协议约定及时支付处理费用；

⑤处理成果交付后，不得将处理成果与原始信息进行关联，不得重新识别特定自然人。

3.2乙方权利义务

（1）权利：有权要求甲方提供合法的原始信息及必要资料；有权按照本协议约定收取处理费用。

（2）义务：

①具备开展本协议项下业务所需的资质（如数据安全能力成熟度认证等），并向甲方提供相关证明文件；

②严格按照本协议约定的处理方法及要求开展去标识化处理，确保处理后的信息无法识别特定自然人；

③采取符合国家数据安全标准的技术措施（如加密传输、存储，访问权限控制，数据备份，入侵检测等），防止原始信息及处理成果泄露、篡改、丢失；

④不得擅自留存、使用、泄露、向第三方提供原始信息及处理成果，不得将原始信息用于本协议约定以外的任何用途；

⑤处理完成后，按照甲方要求将原始信息返还或销毁（销毁需记录销毁时间、方式，并向甲方提供销毁证明）；

⑥若在处理过程中发现原始信息泄露、篡改等安全事件，应立即停止处理并在24小时内通知甲方，同时采取补救措施减少损失；

⑦对处理过程中涉及的甲方商业秘密及个人信息严格保密。

第四条处理成果归属

4.1去标识化处理后的成果归甲方所有，乙方不得主张任何权利（包括但不限于所有权、使用权、知识产权等）。

4.2乙方不得将处理成果用于本协议约定以外的任何用途，也不得向任何第三方提供处理成果（经甲方书面同意除外）。

第五条费用及支付

5.1本协议项下处理费用共计人民币【大写金额】元（小写：￥______元）。

5.2支付方式：甲方通过银行转账方式支付至乙方指定账户（账户信息：开户行______，账号______）。

5.3支付时间：甲方在收到乙方交付的处理成果并验收通过后【5】个工作日内支付全部费用。

第六条验收标准及方式

6.1验收标准：

（1）处理后的信息符合本协议第二条约定的处理要求；

（2）处理后的信息无法单独或者结合其他信息识别特定自然人；

（3）无原始敏感信息泄露、篡改等情形；

（4）乙方提供处理过程的安全审计报告。