跨境数据传输安全合规系统集成协议.docVIP

跨境数据传输安全合规系统集成协议

跨境数据传输安全合规系统集成协议

甲方（委托方）：_________________________

统一社会信用代码：_____________________

地址：_________________________________

联系人：_____________________联系电话：_____________________

乙方（集成方）：_________________________

统一社会信用代码：_____________________

地址：_________________________________

联系人：_____________________联系电话：_____________________

鉴于

1.甲方因业务需要，需建立符合《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《数据出境安全评估办法》《关键信息基础设施安全保护条例》及传输目的地国家/地区相关法规的跨境数据传输安全合规系统；

2.乙方具备信息系统集成服务资质、数据安全服务能力，且熟悉跨境数据传输合规要求，同意接受甲方委托提供系统集成服务。

第一条定义

1.跨境数据传输：指甲方将其拥有或控制的数据（含个人信息、敏感数据）从中华人民共和国境内向境外传输的行为；

2.合规系统：指乙方为甲方集成的，具备数据分类分级、传输加密、审计日志、合规监测、出境审批等功能，满足跨境数据传输合规要求的信息系统；

3.敏感数据：指涉及国家秘密、商业秘密、个人信息（含生物识别、健康医疗等）及其他依法需特殊保护的数据；

4.数据出境安全评估：指按照《数据出境安全评估办法》要求，对数据出境活动进行的安全评估；

5.PIA报告：指个人信息保护影响评估报告，符合《个人信息保护法》要求。

第二条集成服务内容

1.需求调研与Gap分析：

-梳理甲方现有跨境数据传输流程、数据类型、传输目的地、审批机制；

-对照国内及目的地法规，出具《合规Gap分析报告》，明确需整改的合规问题。

2.系统架构设计：

-设计包含以下模块的合规系统：

（1）数据分类分级模块（支持自动/手动分类，符合《数据安全法》分级要求）；

（2）传输加密模块（采用国家认可的SM2/SM3/SM4算法，传输通道端到端加密）；

（3）审计日志模块（留存至少6个月，包含传输时间、数据类型、目的地、审批人、操作记录，不可篡改）；

（4）合规监测模块（实时监测传输行为，触发违规预警）；

（5）出境审批模块（支持多级审批，对接甲方现有OA系统）；

-出具《系统架构设计说明书》，经甲方确认后实施。

3.系统开发与部署：

-按照设计说明书开发系统功能；

-部署至甲方指定环境（需符合数据本地化要求，若涉及云端需明确区域）；

-完成系统与甲方现有业务系统的对接测试。

4.合规文档支持：

-协助甲方编制《数据分类分级清单》；

-协助甲方完成数据出境安全评估（如需），出具符合要求的评估材料；

-协助甲方编制PIA报告（涉及个人信息传输时）。

5.人员培训：

-为甲方运维人员提供系统操作培训（不少于8课时）；

-为甲方合规人员提供法规解读及系统合规功能培训（不少于4课时）；

-提供培训手册及操作视频。

6.试运行与优化：

-系统部署后进行30个工作日试运行；

-收集甲方反馈，优化系统功能，确保满足合规要求。

第三条合规要求

1.双方需严格遵守国内及传输目的地所有适用法规，乙方不得协助甲方从事违法数据传输活动；

2.系统需满足：

-敏感数据传输需经甲方合规部门审批，且不得向未明确符合安全要求的国家/地区传输；

-个人信息传输需取得数据主体合法授权，且符合匿名化/去标识化要求（如需）；

-关键信息基础设施相关数据传输需符合《关键信息基础设施安全保护条例》要求；

3.乙方需确保系统在交付后12个月内，可应对国内法规更新（超出免费服务期的更新需另行协商）。

第四条双方权利义务

（一）甲方权利义务

1.提供真实准确的业务需求、现有数据流程、数据类型、传输目的地等资料；

2.配合乙方调研、测试，提供必要的系统访问权限（需明确授权范围及期限）；

3.按照协议约定支付费用；

4.负责系统上线后的日常运维（除乙方保修服务外）；

5.确保自身数据来源合法，不得要求乙方传输违法数据；

6.系统验收后，不得擅自修改核心合规模块（如需修改需经乙方确认并重新合规验证）。

（二）乙方权利义务

1.提供有效的信息系统集成服务资质、数据安全服务资质证明；

2.按照协议约定时间完成服务，确保系统符合所有适用法规；

3.交付系统源代码（若甲方支付全部费用，源代码知识产权归甲方所有）；

4.交付后提供12个月免费保修服务（含bug修复、合规功能小范围更新）；

5.对甲方提供的所有数据（含调研数据、业务数据）严