重要数据出境后境外接收方安全能力持续评估合同.docxVIP

重要数据出境后境外接收方安全能力持续评估合同

鉴于数据安全对于维护国家安全、社会稳定和公民个人权益的重要性，以及数据出境后在境外接收方的运营环境中可能存在的动态变化和安全风险，甲乙双方本着平等互利、诚实信用、保障安全的原则，经友好协商，就持续评估境外接收方数据安全能力事宜，达成如下协议，以资共同遵守：

**第一条定义**

1.1**甲方**：指委托乙方进行境外接收方数据安全能力持续评估的一方，为本协议的委托方。

1.2**乙方**：指接受甲方委托，负责对境外接收方的数据安全能力进行持续评估的一方，为本协议的服务方。

1.3**境外接收方**：指甲方将数据传输至其境内或境外运营系统、平台或服务的接收数据主体或其指定的处理者。

1.4**数据安全能力**：指境外接收方为保障接收、存储、使用、加工、传输、删除等全生命周期数据处理活动所具备的技术、管理、组织、流程等方面的安全防护能力。

1.5**持续评估**：指乙方根据本协议约定，定期或不定期对境外接收方的数据安全能力进行系统性检查、测试、分析和评价，并向甲方提交评估报告的过程。

1.6**评估标准**：指乙方在执行持续评估时依据的法律法规要求、行业最佳实践、数据类型敏感性、业务场景需求以及双方约定的具体要求。

1.7**评估报告**：指乙方完成对境外接收方数据安全能力评估后，向甲方提交的包含评估过程、发现的问题、风险评估、改进建议等内容的正式文件。

**第二条评估范围与对象**

2.1评估范围：本协议项下的持续评估主要涵盖境外接收方在数据处理活动中涉及的数据安全管理体系、技术防护措施、人员安全管理、合规性遵从、应急响应机制以及与数据安全相关的其他关键能力。

2.2评估对象：指定的境外接收方及其相关的数据处理系统、平台或服务。具体对象清单由甲方在另行通知乙方时提供，或根据本协议附件（如有）确定。

**第三条评估周期与方式**

3.1**初始评估**：乙方应在签订本协议后[]个工作日内，针对约定的境外接收方，完成一次全面的数据安全能力评估，并提交初始评估报告。

3.2**持续评估周期**：自初始评估完成之日起，乙方应按照以下周期对境外接收方的数据安全能力进行持续评估：

*常规评估：每[]（例如：六个月、十二个月）进行一次全面或重点评估。

*特别评估：在发生以下情况时，乙方应根据甲方要求，或在乙方发现重大安全风险时，启动特别评估：

*境外接收方发生重大数据安全事件。

*境外接收方发生组织架构、业务模式或处理流程的重大调整。

*相关法律法规、标准规范发生重大更新，可能影响数据安全要求。

*甲方根据自身业务需求或风险评估判断有必要进行特别评估的其他情形。

3.3**评估方式**：乙方可采取但不限于以下一种或多种方式进行评估：

*文件审阅：查阅境外接收方的数据安全政策、制度、流程文档、应急预案等。

*访谈：与境外接收方的管理人员、技术人员、业务人员等进行沟通。

*现场检查（如可行）：在条件允许且经甲方同意的情况下，对境外接收方的部分运营场所、数据处理设施进行查看。

*技术测试：对境外接收方的系统安全性、漏洞防护、数据加密、访问控制等进行抽样测试。

*案例分析：分析境外接收方过往处理类似数据的安全表现和事件处置案例。

**第四条双方权利与义务**

4.1**甲方的权利与义务**

4.1.1**权利**：

*有权要求乙方按照本协议约定履行持续评估职责，并确保评估过程的独立性和专业性。

*有权及时获取乙方提交的评估报告，并要求乙方就评估报告中的内容进行解释和说明。

*有权根据评估报告发现的问题，要求乙方提出具体的改进建议，并监督境外接收方落实整改措施。

*有权要求乙方对评估过程中知悉的甲方商业秘密和技术信息承担保密义务。

*对乙方评估工作不符合本协议约定时，有权提出异议并要求纠正。

4.1.2**义务**：

*应及时向乙方提供与评估相关的必要信息，包括但不限于境外接收方的基本信息、数据处理活动说明、相关合同约定、初始安全措施等，并保证信息的真实性、准确性和完整性。

*应积极配合乙方开展评估工作，为乙方执行评估提供必要的便利条件，包括提供合理的访问权限、安排相关人员配合访谈、提供所需文档资料等。

*应根据乙方提出的合理建议，督促境外接收方及时采取措施，解决评估中发现的安全问题，并将整改情况及时反馈给乙方。

*应按照本协议约定向乙方支付服务费用。

*应对乙方在评估过程中提供的甲方数据和技术信息承担保密义务。

4.2**乙方的权利与义务**

4.2.1**权利**：

*有权要求甲方按照本协议约定提