东盟跨境数据隐私协议（2025年保护版）

东盟跨境数据隐私协议（2025年保护版）甲方：[数据控制者/处理者名称]，住所地：[地址]，统一社会信用代码/注册号：[编号]乙方：[数据控制者/处理者名称]，住所地：[地址]，统一社会信用代码/注册号：[编号]鉴于：1.甲方在提供[服务名称或描述]过程中，需要处理乙方的个人数据；2.甲方是东盟成员国[国家名称]的居民，根据《东盟跨境数据隐私协议（2025年保护版）》（以下简称“协议”）具有数据控制者/处理者义务；3.乙方是东盟成员国[国家名称]的居民，其个人数据根据协议需要被传输和处理；4.甲乙双方本着平等、自愿、公平和诚实信用的原则，依据协议及相关法律法规，就乙方的个人数据处理达成以下协议：第一条定义除非协议另有规定，本协议中使用的术语定义如下：1.1“个人数据”是指能够识别或可识别特定自然人的任何信息，包括直接或间接识别的信息。1.2“数据控制者”是指决定个人数据处理目的和方式的自然人、法人或其他组织。1.3“数据处理者”是指为数据控制者处理个人数据的自然人、法人或其他组织。1.4“协议”指《东盟跨境数据隐私协议（2025年保护版）》。1.5“数据主体”指其个人数据被处理的自然人。1.6“数据保护机构”指东盟成员国指定的负责监督和执行数据保护法律、法规和协议的机构。1.7“跨境传输”指个人数据从一个东盟成员国传输到另一个东盟成员国或非东盟成员国。1.8“安全保障措施”指为保护个人数据所采取的技术性措施和组织性措施。第二条数据处理目的和依据2.1甲方处理乙方个人数据的目的为：[具体、明确的处理目的，例如：提供和履行[服务名称]合同、履行甲方法律义务、处理客户请求、进行市场调研等]。2.2甲方处理乙方个人数据的法律依据为：[选择并明确具体的法律依据，例如：经数据主体同意、履行合同所必需、基于合法利益、法律规定等]。第三条数据处理范围和方式3.1甲方处理的个人数据包括但不限于：[列出具体的数据类型，例如：姓名、身份证号码、联系方式、地址、银行账户信息、交易记录、设备信息、位置信息等]。3.2甲方将仅为实现本协议第二条约定的目的，并以与处理目的相关且不超过实现处理目的所需的最小范围，处理乙方的个人数据。3.3甲方处理乙方个人数据的方式包括但不限于：[列出具体的处理方式，例如：收集、存储、使用、查询、传输、共享、删除等]。第四条数据安全保护义务4.1甲方应遵守协议关于安全保障措施的要求，采取必要的技术性措施和组织性措施，确保乙方个人数据在收集、存储、使用、传输、共享和删除等全生命周期的安全性，防止个人数据被未经授权的访问、泄露、篡改、丢失或破坏。4.2具体安全保障措施包括但不限于：[列举具体措施，例如：采用数据加密技术、设置访问权限控制、定期进行安全风险评估和审计、对员工进行数据保护培训、制定并实施数据泄露应急预案等]。4.3甲方应妥善保管包含乙方个人数据的文件和资料，并在不再需要时安全地删除或销毁。第五条数据主体权利行使5.1甲方应保障乙方依据协议及相关法律法规享有的数据主体权利，包括知情权、访问权、更正权、删除权、限制处理权、数据可携权、反对权等。5.2乙方行使其权利的，应向甲方指定的工作人员提出书面请求，并提供能够证明其身份的足够信息。5.3甲方应在收到乙方行使权利的请求后，[规定合理时限，例如：三十（30）]个工作日内响应。对于法律要求或协议规定的更短期限，从其规定。第六条跨境数据传输6.1本协议项下的个人数据传输为跨境传输，甲方应确保该传输符合协议的规定。6.2若甲方将乙方个人数据传输至非东盟成员国，甲方应确保接收国提供与协议要求相当的数据保护水平，或采取协议允许的保障措施，如具有约束力的公司规则、标准合同条款、认证机制等，并事先获得乙方的明确同意（如适用）或确保传输符合协议规定的其他条件。6.3甲方应将采取的跨境传输保障措施、接收国的相关情况等告知乙方（如适用），并应乙方要求提供相关信息。第七条数据泄露通知7.1发生或可能发生个人数据泄露的，甲方应立即启动应急预案，采取补救措施，并按照协议及相关法律法规的要求，在规定时限内（通常为知道或应当知道泄露之日起[例如：72]小时）通知甲方所在地的数据保护机构，并告知乙方（如通知可能对乙方权益造成严重损害除外）。7.2甲方应记录数据泄露事件的相关情况，并配合数据保护机构的调查。第八条数据控制者与处理者的责任8.1若甲方仅为数据处理者，甲方应按照甲乙双方的约定及甲方的数据处理协议，履行协议规定的安全保障义务和其他处理者责任。8.2甲方对乙方个人数据的处理行为，间接向乙方承担责任，但甲方有权向实际违反协议的第三方追偿。8.3若甲方同时为数据控制者，则甲方承担协议规定的全部责任。第九条协议期限与终止9.1本协议自双方签字或盖章之日起生效，有效期为[例如：五年]，除非本协议提前终止。9.2协议期限届满前[例如：一个月]，若双方无书面异议，本协议自动续期[例如：五年]。9.3任何一方可在协议期限届满前[例如：一个月]书面通知对方终止本协议。协议终止后，甲方应在[例如：三十（30）]日内删除或返还乙方个人数据，或根据法律法规要求进行匿名化处理，并通知乙方。9.4协议终止不影响协议中关于数据安全、数据泄露通知、争议解决等义务的继续履行。第十条数据返还或销毁10.1甲方与乙方终止合作关系，或协议终止，或甲方不再需要为履行协议目的处理乙方个人数据时，应根据乙方的请求或法律规定，在合理期限内将乙方个人数据返还给乙方，或根据乙方的指示或法律规定安全地删除或销毁乙方个人数据，并证明已采取行动。10.2除非法律法规要求保留或甲方有充分理由认为需要保留（如用于诉讼、履行法律义务），甲方不得在协议终止后继续保留乙方个人数据。第十一条保密义务11.1甲乙双方应对在本协议履行过程中获知的对方商业秘密和个人数据保密，未经对方书面同意，不得向任何第三方披露，但法律法规另有规定或有权机关依法要求披露的除外。11.2本保密义务不因本协议的终止而失效。第十二条数据保护机构合作与合规12.1甲乙双方均有义务遵守协议及适用法律法规的规定，接受数据保护机构的监督和管理。12.2如甲乙双方与数据保护机构发生争议，应首先尝试通过协商解决；协商不成的，可按照协议规定或适用的法律法规寻求救济。第十三条法律适用与争议解决13.1本协议的订立、效力、解释、履行及争议解决均适用中华人民共和国法律（如适用，请根据实际情况修改为相关国家/地区法律）。13.2因本协议引起的或与本协议有关的任何争议，双方应首先通过友好协商解决。协商不成的，任何一方均有权将争议提交[选择一种方式并明确具体仲裁机构或法院，例如：甲方所在地有管辖权的人民法院诉讼解决/提交[具体仲裁机构名称]按照其届时有效的仲裁规则进行仲裁，仲裁地点为[地点]，仲裁语言为中文]。第十四条其他14.1本协议构成甲乙双方关于个人数据处理合作关系的完整协议，取代双方此前就此达成的所有口头或书面的约定。14.2对本协议的任何修改或补充，均应以书面形式作出，并经双方授权代表