2026年金融风控数据合规协议.docxVIP

2026年金融风控数据合规协议

鉴于甲乙双方希望在遵守《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》等相关法律法规及行业规范的前提下，就甲方开展金融风控业务所需的数据处理活动进行合作，经友好协商，达成协议如下：

第一条定义

1.1本协议所称“金融风控数据”是指甲方在履行其金融风控业务过程中收集、使用、处理的数据，包括客户个人信息、交易信息、行为数据、信用评估数据、反欺诈数据及其他与风控相关的数据。

1.2本协议所称“个人数据”是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

1.3本协议所称“敏感个人信息”是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，特别是生物识别、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。

1.4本协议所称“数据处理”是指对个人数据进行收集、存储、使用、加工、传输、提供、公开、删除等操作。

1.5本协议所称“数据安全”是指采取必要的技术和管理措施，保障数据在存储、传输、使用等过程中的保密性、完整性、可用性。

1.6本协议所称“数据合规”是指数据处理活动符合国家有关法律法规、行业规范和本协议约定的要求。

1.7甲方系指【填写甲方全称】，具有独立法人资格的金融机构，是金融风控数据的控制方或委托方。

1.8乙方系指【填写乙方全称】，具有独立法人资格的企业，是受甲方委托处理金融风控数据的处理方或服务方。

第二条合作目的与范围

2.1双方同意，乙方根据甲方在金融风控领域的业务需求，按照本协议约定，处理甲方提供的或与其业务相关的金融风控数据。

2.2数据处理的具体目的包括但不限于：信用评分模型构建与评估、反欺诈分析、风险预警、客户行为分析、合规审查辅助等。

2.3数据处理的范围包括但不限于：客户身份信息（姓名、身份证号、手机号、地址等）、交易记录、账户信息、网络行为日志、第三方数据（需获得合法授权）等。

2.4乙方处理个人数据应遵循合法、正当、必要和诚信原则，并确保数据处理活动符合最小必要原则，仅限于实现本协议约定的合作目的所必需。

第三条甲方的权利与义务

3.1甲方有权要求乙方按照本协议约定及甲方明确的业务需求进行数据处理，并对乙方的数据处理活动进行监督、检查和审计。

3.2甲方应确保其提供或控制的用于本协议目的的数据，其收集和获取方式符合法律法规要求，并已取得必要的授权或满足合法性基础。

3.3甲方应向乙方明确、具体地说明数据处理的目的、方式、范围、存储期限以及数据主体的权利行使方式等。

3.4甲方应建立并维护必要的数据安全管理制度和操作规程，采取技术和管理措施保障其自身数据的安全，防止数据泄露、篡改、丢失。

3.5甲方作为个人数据的控制方，负责履行《个人信息保护法》等法律法规规定的个人权利响应义务，包括但不限于处理数据主体的访问、更正、删除、撤回同意等请求。

3.6甲方应配合乙方完成数据处理所必需的业务指导和技术参数设置。

3.7甲方应确保乙方在签署本协议时，已获得处理其提供的个人数据的必要授权（如适用）。

3.8甲方应就其掌握的乙方的商业秘密、技术信息等承担保密义务。

3.9甲方应及时将甲方收到的数据主体的权利请求转达给乙方，并监督乙方对请求的处理。

3.10甲方应告知乙方任何可能影响数据合规的重大变化或监管要求。

第四条乙方的权利与义务

4.1乙方有权要求甲方提供必要的业务指导、数据样本、技术参数以及处理目的的明确说明，以便乙方按照约定履行数据处理职责。

4.2乙方应严格按照本协议约定的目的、范围、方式和期限处理金融风控数据，不得超出约定范围处理数据，不得将数据用于本协议约定之外的目的。

4.3乙方应建立完善的数据安全管理体系和技术防护措施，包括但不限于：

a)采用加密技术存储和传输数据；

b)实施严格的访问控制，仅授权必要人员访问数据，并记录访问日志；

c)定期进行安全漏洞扫描和风险评估，及时修补漏洞；

d)建立数据备份和恢复机制，确保数据的可用性；

e)对员工进行数据安全意识和技能培训；

f)制定并执行数据安全事件应急预案。

4.4乙方应采取必要的技术和管理措施，在数据处理过程中对个人数据进行脱敏或匿名化处理，以降低敏感风险。

4.5乙方应确保数据处理活动符合国家及地区关于数据安全、个人信息保护的相关法律法规要求，特别是涉及数据跨境传输时的合规性要求。

4.6乙方应配合甲方的合规审查和监督，并根据甲方要求提供相关资料和说明。

4.7乙方应建立内部数据安