电子数据交换数据保护协议.docxVIP

电子数据交换数据保护协议

甲方（数据控制者/服务请求方）：[甲方名称]

地址：[甲方地址]

统一社会信用代码/注册号：[甲方代码]

乙方（数据处理者/服务提供方）：[乙方名称]

地址：[乙方地址]

统一社会信用代码/注册号：[乙方代码]

鉴于甲方需要通过电子数据交换（EDI）系统进行商业数据交换，乙方提供相关的EDI数据处理服务，双方在平等、自愿、公平和诚实信用的基础上，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》及其他相关法律法规，经友好协商，达成如下协议：

第一条定义与解释

除非本协议上下文另有明确表示，下列词语具有以下含义：

1.1电子数据交换（EDI）：指通过电子方式，按照约定标准格式交换结构化商业信息的活动。

1.2个人信息：以电子形式所处理的，与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

1.3敏感个人信息：指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，具体范围依照法律法规规定。

1.4数据控制者：指在数据处理活动中自主决定处理目的、处理方式，并承担数据处理合法合规首要责任的主体。

1.5数据处理者：指接受数据控制者的委托，处理个人信息或者处理其他数据并承担相应责任的主体。

1.6数据安全：指采取必要的技术和管理措施，保障数据处于合法、安全的状态，防止数据泄露、篡改、丢失。

1.7保密信息：指本协议一方（披露方）向另一方（接收方）披露的，未公开的，与披露方业务活动或者信息载体有关的，接收方应当保密的所有信息，包括但不限于商业秘密、技术信息、客户信息、个人信息以及其他未公开的经营信息。本协议终止后，保密信息的规定仍然有效。

1.8服务：指乙方根据本协议约定向甲方提供的EDI数据处理服务。

1.9法律法规：指在中华人民共和国境内有效的所有有关数据保护、网络安全、电子商务等方面的法律、行政法规、部门规章、司法解释及具有法律约束力的规范性文件。

第二条适用范围与数据类型

2.1本协议适用于双方通过EDI系统进行的数据交换活动，具体交换的系统、端口、文档类型由双方另行书面确认或根据主合同约定执行。

2.2双方同意，在本协议框架下处理的数据包括但不限于商业订单、采购发票、发货通知、付款信息等一般商业数据。如涉及个人信息的，应严格遵守本协议关于个人信息的约定以及适用的个人信息保护法律法规。

2.3甲方为数据控制者，负责确定处理一般商业数据的合法基础和目的。对于交换过程中可能包含的个人信息，甲方应确保其处理活动符合法律法规要求，并承担相应责任。

2.4乙方作为数据处理者，应根据甲方的指示处理数据，并承担保障数据处理活动安全和个人信息保护的责任。

第三条数据控制者与数据处理者的权利与责任

3.1数据控制者（甲方）的权利与责任：

a.负责确定EDI数据交换的目的、方式和范围，并对数据处理的合法性、正当性、必要性负责。

b.确保其委托乙方处理个人信息的处理目的、方式等已取得必要的授权或符合法律法规规定。

c.指示乙方按照约定处理数据，并监督乙方处理活动的合规性。

d.根据法律法规要求，履行对数据主体的个人信息权利请求的响应义务。

e.在本协议终止时，有权要求乙方按照约定返还或删除其提供的数据。

3.2数据处理者（乙方）的权利与责任：

a.仅为完成甲方委托的EDI数据处理任务而处理数据，不得超出授权范围。

b.采取必要的技术和管理措施，保障EDI交换数据的安全，包括但不限于加密传输、访问控制、安全审计、防病毒等措施，防止数据泄露、篡改、丢失。

c.建立健全内部管理制度，确保数据处理人员了解并遵守数据保护要求。

d.如发现或怀疑发生数据安全事件（如数据泄露），应在[三十（30）]个工作日内通知甲方，并协助甲方进行调查、处置和应对。

e.根据甲方的指示，协助甲方履行对数据主体的个人信息权利请求的响应义务。

f.在本协议终止或服务关系结束后，根据甲方的书面要求，在[三十（30）]个工作日内删除或返还甲方提供的数据，除非法律法规另有规定或另有约定。

g.保证其员工及授权第三方不得非法获取、使用或泄露甲方的保密信息及交换过程中的数据。

第四条数据主体的权利保障

双方同意，在EDI数据处理活动中涉及个人信息时，甲方作为数据控制者，应建立并维护处理个人信息权利请求的响应机制。甲方应在收到数据主体权利请求后，按照相关法律法规规定的时限和程序进行处理，并可能需要将请求转达给乙方。乙方应根据甲方的指示，在其能力范围内协助处理。

第五条数据安全与保密义务

5.1双方承诺各自在数据