数据合规性协议.docxVIP

数据合规性协议

鉴于各方在数据处理活动中需要遵守相关法律法规，特别是数据保护、隐私和数据安全方面的规定，为明确各方在数据处理中的权利、义务和责任，降低数据合规风险，保护数据主体的合法权益，经友好协商，各方达成如下协议：

第一条定义与解释

1.1本协议中，“数据”是指任何与已识别或可识别的自然人有关的信息，包括但不限于姓名、身份证号码、联系方式、住址、生物识别信息、健康信息、行踪信息等；其中，“敏感个人数据”是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人数据，包括但不限于个人的种族、民族、宗教信仰、政治观点、基因、指纹、血型、医疗诊断、健康状况、个人账户信息、生物识别信息等；“匿名化数据”是指经过处理，使得数据主体无法被识别，且处理后的数据不能被复原的个人数据。

1.2“数据处理”是指对数据进行收集、存储、使用、加工、传输、提供、公开、删除等操作。

1.3“数据主体”是指其个人数据被处理的自然人。

1.4“数据控制者”是指单独或者联合决定处理目的、处理方式的主体。

1.5“数据处理器”是指以数据控制者的名义处理个人数据，并按照数据控制者的指示实施处理行为的主体。

1.6“数据保护官(DPO)”是指负责监督数据保护法律、法规合规性，并就数据保护问题向数据控制者提出建议的个人。

1.7“跨境传输”是指将数据传输到中华人民共和国以外的国家或地区。

1.8除本协议另有定义外，其他术语的含义按照相关法律法规的表述为准。

第二条合规目标与原则

2.1本协议的总体目标是确保各方在数据处理活动中遵守适用的数据保护法律法规，包括但不限于《中华人民共和国个人信息保护法》、《中华人民共和国网络安全法》、《中华人民共和国数据安全法》以及欧盟的《通用数据保护条例》(GDPR)等。

2.2各方在数据处理活动中应当遵循以下原则：

(一)合法、正当、必要原则：处理个人数据必须有明确、合法的目的，并采取对数据主体权益影响最小的方式；

(二)目的限制原则：收集个人数据应当具有明确、合法的目的，并应当向数据主体说明处理目的；

(三)最小化原则：处理个人数据的种类和范围应当与实现处理目的相适应；

(四)公开透明原则：应当向数据主体以清晰、易懂的方式说明处理个人的规则；

(五)确保安全原则：应当采取必要的技术和管理措施，保障个人数据的安全；

(六)数据质量原则：应当保证个人数据的准确性，并及时更新或者删除；

(七)存储限制原则：应当对个人数据的存储期限作出明确的规定，存储期限应当为实现处理目的所必要的最短时间；

(八)完整性和保密原则：应当采取必要的技术和管理措施，确保个人数据的安全，防止未经授权的访问、泄露、篡改或者丢失。

第三条各方的权利与义务

3.1数据控制者的权利与义务

3.1.1数据控制者有权访问其个人数据，了解数据的处理情况。

3.1.2数据控制者有权要求更正其不准确或不完整的个人数据。

3.1.3数据控制者有权要求删除其个人数据。

3.1.4数据控制者有权要求限制对其个人数据的处理。

3.1.5数据控制者有权撤回其同意处理个人数据的决定。

3.1.6数据控制者有权获得其个人数据，并以结构化、常用和机器可读的格式传输给其他控制者。

3.1.7数据控制者有权反对处理其个人数据。

3.1.8数据控制者应当制定并实施隐私政策，告知数据主体处理个人数据的目的、方式、种类、存储期限、安全保障措施等信息。

3.1.9数据控制者应当开展数据保护影响评估，识别和评估处理个人数据可能带来的风险，并采取相应的措施进行防范。

3.1.10数据控制者应当任命DPO，并确保DPO履行其职责。

3.1.11数据控制者应当在发生数据泄露时，及时通知DPO，并采取补救措施。

3.1.12数据控制者应当监督数据处理器是否按照其指示处理个人数据。

3.2数据处理者的权利与义务

3.2.1数据处理器有权要求数据控制者提供必要的指令和信息。

3.2.2数据处理器有权在数据处理活动违反法律法规或协议约定时，拒绝继续处理个人数据。

3.2.3数据处理器应当按照数据控制者的指示处理个人数据，不得擅自变更处理目的和方式。

3.2.4数据处理器应当采取技术和管理措施保障个人数据的安全，防止未经授权的访问、泄露、篡改或者丢失。

3.2.5数据处理器应当协助数据控制者履行合规义务，例如协助数据控制者进行数据保护影响评估、处理数据主体的权利请求等。

3.2.6数据处理器应当