个人信息保护协议书

个人信息保护协议书第一章总则第一条合同编号本个人信息保护协议书编号为_______。第二条定义1.1个人信息：指自然人的姓名、出生日期、身份证号码、生物识别信息、住址、电话号码、电子邮箱、财务信息、医疗信息、行踪信息等与个人相关联的任何信息。1.2信息控制者：指依法收集、使用、加工、传输、存储、删除个人信息的组织或个人。1.3信息处理者：指根据信息控制者的指示，对个人信息进行收集、使用、加工、传输、存储、删除等活动的组织或个人。1.4信息主体：指个人信息权利人。第三条适用范围3.1本协议适用于信息控制者与信息处理者之间关于个人信息的收集、使用、加工、传输、存储、删除等活动。3.2本协议适用于本协议签订之后发生的个人信息处理活动。第四条义务和责任4.1信息控制者的义务：（1）依法收集、使用个人信息；（2）采取必要的技术和管理措施，保证个人信息的安全；（3）告知信息主体其个人信息的用途和目的；（4）对个人信息进行分类管理，不得超出目的和范围使用；（5）依法向信息主体公开其个人信息的使用情况；（6）及时响应信息主体的权利请求。4.2信息处理者的义务：（1）严格按照信息控制者的指示处理个人信息；（2）采取必要的技术和管理措施，保证个人信息的安全；（3）不得泄露、篡改个人信息；（4）在信息控制者授权范围内使用个人信息；（5）依法向信息主体公开其个人信息的使用情况；（6）及时响应信息主体的权利请求。第五条信息主体的权利5.1信息主体有权了解其个人信息的使用目的、方式、范围、存储期限等情况。5.2信息主体有权要求信息控制者和信息处理者更正其错误的个人信息。5.3信息主体有权要求信息控制者和信息处理者删除其个人信息。5.4信息主体有权要求信息控制者和信息处理者限制其个人信息的使用和传输。5.5信息主体有权要求信息控制者和信息处理者提供其个人信息的使用情况和相关个人信息。5.6信息主体有权向信息控制者和信息处理者提出投诉和举报。第六条信息安全6.1信息控制者和信息处理者应采取必要的技术和管理措施，保证个人信息的安全。6.2信息控制者和信息处理者应建立和完善信息安全管理制度，明确信息安全责任。6.3信息控制者和信息处理者应定期对个人信息安全进行检查和评估，及时发觉和纠正安全隐患。6.4信息控制者和信息处理者应加强对员工的培训，提高其信息安全意识。第七条法律责任7.1违反本协议的，信息控制者和信息处理者应承担相应的法律责任。7.2因信息控制者和信息处理者的过错，导致个人信息泄露、篡改、损毁、丢失的，应承担相应的法律责任。第八条协议的生效、变更和终止8.1本协议自双方签字盖章之日起生效。8.2本协议的任何变更，需经双方协商一致，并以书面形式作出。8.3本协议在下列情形下终止：（1）协议约定的终止条件成就；（2）协议到期；（3）法律法规规定的其他情形。第九条其他9.1本协议未尽事宜，双方可另行协商解决。9.2本协议的解释权归信息控制者所有。甲方（信息控制者）名称：_______乙方（信息处理者）名称：_______甲方（信息控制者）地址：_______乙方（信息处理者）地址：_______甲方（信息控制者）联系人：_______乙方（信息处理者）联系人：_______甲方（信息控制者）电话：_______乙方（信息处理者）电话：_______甲方（信息控制者）电子邮箱：_______乙方（信息处理者）电子邮箱：_______第六章个人信息收集与使用第六条信息收集原则6.1信息控制者收集个人信息时，应当遵循合法、正当、必要的原则，不得收集与处理目的无关的个人信息。6.2信息收集前，信息控制者应当明确告知信息主体收集个人信息的范围、目的、使用方式、存储期限等事项。6.3信息控制者不得通过误导、欺骗等方式收集个人信息。第七条信息使用规则7.1信息控制者使用个人信息时，应当符合收集时所告知的目的，不得超出目的范围使用。7.2信息控制者不得将个人信息用于未经信息主体同意的其他目的。7.3信息控制者应当对个人信息进行分类管理，保证不同类别的个人信息得到相应保护。第八条信息主体同意8.1信息控制者收集和使用个人信息前，应当取得信息主体的明确同意。8.2信息主体同意的方式可以是书面形式、电子形式或其他能够证明同意的方式。8.3信息主体有权随时撤回其同意，撤回同意不影响已经收集和处理个人信息的合法性。第九条信息存储与保护9.1信息控制者应当采取必要措施，保证个人信息的安全，防止信息泄露、损毁、丢失。9.2信息控制者应当制定个人信息安全事件应急预案，及时处理个人信息安全事件。9.3信息控制者应当对存储的个人信息进行定期检查和维护，保证信息的准确性。第十条信息共享与公开10.1信息控制者未经信息主体同意，不得向任何第三方共享个人信息。10.2信息控制者因业务需要向第三方提供个人信息时，应当保证第三方具备相应的信息安全保护能力。10.3信息控制者应当公开其个人信息保护政策，接受社会监督。第十一章个人信息访问与更正第十一条信息主体访问权利11.1信息主体有权访问其个人信息，包括但不限于个人信息的收集目的、使用方式、存储期限等。11.2信息控制者应当在收到信息主体访问请求后，及时提供相关信息。第十二条信息主体更正权利12.1信息主体发觉其个人信息不准确或遗漏时，有权要求信息控制者更正。12.2信息控制者应当在收到信息主体更正请求后，及时核实并作出更正。第十三条信息主体删除权利13.1信息主体有权要求信息控制者删除其个人信息，但以下情况除外：（1）法律、行政法规规定必须保存的；（2）信息控制者有合法理由需要保留的。13.2信息控制者应当在收到信息主体删除请求后，及时核实并作出删除。第十四条信息主体查询权利14.1信息主体有权查询其个人信息的使用情况，包括但不限于个人信息的使用目的、方式、范围等。14.2信息控制者应当在收到信息主体查询请求后，及时提供相关信息。第十五章个人信息跨境传输第十五条跨境传输原则15.1信息控制者将个人信息跨境传输至境外时，应当保证境外接收方具备相应的信息安全保护能力。15.2信息控制者应当遵守国家关于个人信息跨境传输的法律法规。第十六条跨境传输同意16.1信息控制者跨境传输个人信息前，应当取得信息主体的明确同意。16.2信息主体有权拒绝其个人信息被跨境传输。第十七条跨境传输记录17.1信息控制者应当记录个人信息跨境传输的情况，包括传输目的、接收方信息、传输时间等。17.2信息控制者应当定期审查跨境传输记录，保证记录的完整性和准确性。第十一章个人信息访问与更正第十一条信息主体访问权利11.1信息主体有权访问其个人信息，包括但不限于个人信息的收集目的、使用方式、存储期限等。11.2信息控制者应当在收到信息主体访问请求后的合理时间内，提供以下信息：（1）个人信息收集的目的和依据；（2）个人信息的使用方式和范围；（3）个人信息的存储期限；（4）个人信息的安全性保护措施；（5）信息主体享有的权利及行使方式。第十二条信息主体更正权利12.1信息主体发觉其个人信息不准确或遗漏时，有权要求信息控制者更正。12.2信息控制者应当在收到信息主体更正请求后的合理时间内，采取以下措施：（1）核实信息主体的身份；（2）调查并确认个人信息的不准确或遗漏；（3）如确认不准确或遗漏，及时更正个人信息；（4）将更正结果通知信息主体。第十三条信息主体删除权利13.1信息主体有权要求信息控制者删除其个人信息，但以下情况除外：（1）法律、行政法规规定必须保存的；（2）信息控制者有合法理由需要保留的，如合同履行、法律诉讼等。13.2信息控制者应当在收到信息主体删除请求后的合理时间内，采取以下措施：（1）核实信息主体的身份；（2）调查并确认信息主体删除请求的合法性；（3）如确认合法，及时删除个人信息；（4）将删除结果通知信息主体。第十四章个人信息查询第十四条信息主体查询权利14.1信息主体有权查询其个人信息的使用情况，包括但不限于个人信息的使用目的、方式、范围等。14.2信息控制者应当在收到信息主体查询请求后的合理时间内，提供以下信息：（1）个人信息的使用目的和依据；（2）个人信息的使用方式和范围；（3）个人信息的使用期限；（4）个人信息的安全性保护措施。第十五章个人信息保护管理第十五条信息安全责任15.1信息控制者作为信息处理者，对个人信息的安全承担全面责任。15.2信息控制者应当建立健全个人信息保护制度，包括但不限于：（1）制定个人信息保护政策；（2）实施技术和管理措施，保证个人信息安全；（3）定期进行个人信息安全风险评估；（4）对员工进行个人信息保护培训。第十六条信息安全事件处理16.1信息控制者应当制定信息安全事件应急预案，包括但不限于：（1）信息安全事件分类；（2）信息安全事件报告流程；（3）信息安全事件处理措施；（4）信息安全事件后续调查。第十七条信息安全监督与评估17.1信息控制者应当接受国家有关个人信息保护监督管理部门的监督。17.2信息控制者应当定期进行个人信息保护工作评估，保证个人信息保护措施的有效性。甲方（信息控制者）名称：_______乙方（