跨国企业数据跨境传输协议.docVIP

跨国企业数据跨境传输协议

跨国企业数据跨境传输协议

甲方（数据传输方）：[甲方注册名称]

注册地址：[甲方注册地详细地址]

法定代表人/授权代表：[姓名]

联系邮箱：[官方邮箱]

乙方（数据接收方）：[乙方注册名称]

注册地址：[乙方注册地详细地址]

法定代表人/授权代表：[姓名]

联系邮箱：[官方邮箱]

鉴于：

1.甲乙双方为[关联企业/合作方]，因[具体业务场景：如集团内部运营协同、客户服务支持、产品研发迭代等]需要，需开展跨境数据传输；

2.双方均承诺遵守各自管辖地的数据保护法律法规（包括但不限于中国《个人信息保护法》《数据安全法》、欧盟《通用数据保护条例》（GDPR）、乙方所在国/地区相关数据法规）；

3.甲方已依法取得数据出境的合法授权（如数据出境安全评估通过、个人信息保护认证、数据主体明示同意等），乙方已确认自身具备接收跨境数据的合规资质；

4.双方拟就跨境数据传输的范围、目的、合规要求、安全保障及权责划分达成一致，特订立本协议。

第一条定义

1.1跨境数据传输：指将甲方控制的位于中国境内的数据（含个人信息、重要数据）传输至乙方（位于中国境外的主体）的行为，不包括乙方向第三方转传输（另有约定除外）。

1.2个人信息：指以电子或其他方式记录的能够单独或与其他信息结合识别特定自然人的各种信息，包括但不限于姓名、联系方式、身份证号、生物识别信息、交易记录、地理位置信息等。

1.3重要数据：指一旦泄露、非法利用或篡改，可能危害国家安全、经济运行、社会稳定、公共利益的个人信息或其他数据（按中国法规认定）。

1.4数据主体：指个人信息所指向的自然人。

1.5安全事件：指导致数据泄露、丢失、篡改、非法访问的事件（包括但不限于黑客攻击、内部人员违规操作）。

第二条数据范围与传输目的

2.1传输数据范围：仅传输为实现本协议约定目的所必需的最小数据，具体包括：

（1）个人信息：[明确列示：如姓名、手机号码、电子邮箱、订单编号、交易金额、收货地址（脱敏后）等]；

（2）非个人数据：[明确列示：如产品规格参数、业务报表（匿名化后）等]；

（3）禁止传输：甲方的重要数据（除非已取得中国监管部门安全评估许可）、敏感个人信息（如种族、宗教信仰、健康医疗信息，仅在法定豁免情形下传输）。

2.2传输目的：仅用于[具体业务场景：如甲方客户的境外售后跟进、集团财务数据汇总、跨区域供应链管理等]，不得超出本款约定范围。

第三条合规前提

3.1甲方承诺已履行以下合规义务：

（1）已向数据主体充分告知跨境传输的目的、接收方、数据类型、存储期限及风险，并取得数据主体的明示同意（或符合法定豁免情形，如为订立/履行合同所必需、为公共利益等）；

（2）若传输重要数据，已通过中国数据出境安全评估或取得监管部门许可；

（3）已留存数据主体授权记录、传输审批文件等合规材料至少3年。

3.2乙方承诺已履行以下合规义务：

（1）所在国/地区的数据保护水平不低于中国法规要求（或已通过等效性评估）；

（2）已具备数据安全防护能力，且未被所在国监管部门列入数据安全失信名单；

（3）若乙方所在国法规要求额外审批，乙方需自行完成并向甲方提供合规证明。

第四条双方权利与义务

（一）甲方义务

4.1.1确保传输数据的来源合法、真实，不包含虚假信息或违反法律法规的内容；

4.1.2仅向乙方传输本协议第二条约定的最小范围数据，不得超范围、超频次传输；

4.1.3若数据主体提出查询、更正、删除、转移等请求，需在收到请求后3个工作日内通知乙方，并协助数据主体实现权益；

4.1.4定期（每12个月）自查跨境传输合规性，向乙方提供自查报告；

4.1.5若甲方所在国法规变化导致传输需调整，需提前15个工作日通知乙方。

（二）乙方义务

4.2.1仅将接收的数据用于本协议第二条约定的目的，不得转传输至任何第三方（除非经甲方书面同意且再次履行合规程序）；

4.2.2采取符合双方约定及管辖地法规的安全保障措施（详见第五条）；

4.2.3若发生安全事件，需在24小时内通知甲方，并在48小时内提供事件详情、影响范围及补救措施；

4.2.4数据存储期限不得超过本协议约定目的实现所需时间（最长不超过12个月），到期后需彻底删除（物理销毁存储介质或技术上不可恢复删除），并向甲方出具删除确认书；

4.2.5若乙方所在国法规变化导致数据保护水平下降，需立即通知甲方，双方协商暂停或终止传输。

（三）双方共同义务

4.3.1配合监管部门的检查、调查，提供必要的合规材料；

4.3.2对传输的数据及本协议内容严格保密，除非法律法规要求或双方书面同意。

第五条数据安全保障

5.1传输安全：传输过程需采用TLS1.2及以上加密协议，禁止未加密传输；

5.2存储安全：乙方需将接收数据存储在经甲方认可的安全服务器中，设置访问权限分级（仅授权