跨境数据跨境保护协议（2025年新加坡版本）.docxVIP

跨境数据跨境保护协议（2025年新加坡版本）

本协议由以下双方于2025年签署：

甲方：[数据控制者/处理者名称]，一家根据[数据出口方所在国家/地区]法律设立并运营的公司，其注册地址为[甲方注册地址]（以下简称“甲方”）；

乙方：[数据接收方名称]，一家根据[数据接收方所在国家/地区]法律设立并运营的公司，其注册地址为[乙方注册地址]（以下简称“乙方”）。

鉴于：

a)甲方需要处理与存储源自[数据出口方所在国家/地区]的数据主体的个人数据（以下简称“个人数据”），部分处理活动需要由乙方提供的服务或解决方案来完成，导致个人数据需要从甲方控制或处理的系统传输至乙方的系统；

b)甲方作为数据控制者，乙方作为数据处理者，双方均有责任确保在个人数据跨境传输和处理的整个生命周期中，遵守[数据出口方所在国家/地区]以及数据接收方[新加坡]的相关法律法规，特别是[数据出口方所在国家/地区]《个人数据保护法》和新加坡《个人数据保护法》（PDPA）的规定；

c)双方希望建立一项框架协议，以明确双方在个人数据跨境传输至[新加坡]以及在该地区的处理活动中所承担的义务、责任和权利，并确保符合适用的数据保护标准。

为此，双方达成协议如下：

第一条定义

除非上下文另有解释，否则本协议中使用下列术语应具有以下含义：

1.1“个人数据”是指根据[数据出口方所在国家/地区]或新加坡适用的数据保护法律被认定为个人数据的任何信息。

1.2“数据控制者”是指确定个人数据收集目的和方式的个人或组织。

1.3“数据处理者”是指为数据控制者处理个人数据的个人或组织，但仅限于根据数据控制者的指示进行操作。

1.4“跨境传输”是指个人数据从位于一个国家或地区的系统传输至位于另一个国家或地区的系统。

1.5“接收方所在地区”是指个人数据被传输至的[新加坡]地区。

1.6“充分性认定”是指[数据出口方所在国家/地区]或新加坡监管机构认定接收方所在地区具有与[数据出口方所在国家/地区]或数据控制者所在地区相当的数据保护水平的决定。

1.7“保障措施”是指为确保在接收方所在地区处理个人数据时能够提供充分保护而采取的法律、行政、技术和社会措施，例如标准合同条款、具有约束力的公司规则、行为准则、认证机制、安全认证等。

1.8“安全措施”是指为保护个人数据免遭未经授权或非法处理、意外丢失、破坏或损坏而采取的技术和组织措施，包括加密、访问控制、安全审计、漏洞管理等。

1.9“数据主体”是指个人数据的主体，即根据[数据出口方所在国家/地区]或新加坡法律有权访问其个人数据并要求采取特定措施的个人。

1.10“监管机构”是指根据[数据出口方所在国家/地区]或新加坡法律负责监督和执行数据保护法规的机构。

第二条适用范围

2.1本协议适用于甲方作为数据控制者，委托乙方处理其控制的个人数据（“受托处理个人数据”）的所有活动，其中涉及将个人数据跨境传输至接收方所在地区（[新加坡]）的部分。

2.2本协议的适用范围包括但不限于：

a)通过乙方提供的[具体服务类型，例如云存储服务、数据分析服务、客户支持服务]处理个人数据；

b)将个人数据传输至乙方在接收方所在地区的服务器或存储设施；

c)双方约定的其他涉及跨境传输和个人数据处理的活动。

2.3本协议不适用于：

a)由数据主体明确授权的传输；

b)为订立或履行与数据主体之间的合同所必需的传输；

c)为保护数据控制者或乙方的重要利益所必需，且数据主体的利益、权利和自由不会因传输而受到不可接受损害的传输；

d)与公共利益、公共健康或行使官方权力相关的传输；

e)为履行合同或法律义务所必需，且无法通过其他合理方式实现的传输；

f)仅为传输信息而进行的传输，且传输所使用的技术或协议本身不收集个人数据。

第三条数据保护原则

双方同意，在处理受托处理个人数据和进行跨境传输时，应遵守[数据出口方所在国家/地区]和新加坡适用的数据保护法律所规定的核心数据保护原则，包括但不限于合法、公平、透明、目的限制、数据最小化、准确性、存储限制、完整性和保密性、问责制原则。

第四条跨境数据传输

4.1跨境传输个人数据至接收方所在地区必须满足以下条件之一：

a)接收方所在地区已被[数据出口方所在国家/地区]监管机构或新加坡监管机构认定具有充分性保护。

b)跨境传输采用双方事先商定的、并被[数据出口方所在国家/地区]或新加坡法律认可的保障措施。适用的保障措施包括但不限于：

i.双方签署的标准合同条款，该条款应包含[可引用特定模型或包含关键要素的描述]；

ii.甲方或乙方（作为数据控制者）制定的、并已向新加坡监