跨境数据合规合规承诺协议202

跨境数据合规合规承诺协议202鉴于一方（以下简称“数据控制者”）因业务需要处理个人信息，并可能将个人信息传输至境外处理，另一方（以下简称“数据处理者”）同意为数据控制者提供个人信息处理服务，双方根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》及相关法律法规的规定，经友好协商，达成如下协议：第一条定义1.1除非本协议另有约定，下列词语具有以下含义：1.1.1“个人信息”是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。1.1.2“敏感个人信息”是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。1.1.3“数据控制者”是指确定个人信息处理目的、处理方式等的组织或者个人。1.1.4“数据处理者”是指为数据控制者处理个人信息的组织或者个人。1.1.5“跨境传输”是指个人信息的传输行为，包括通过网络传输或者其他方式将个人信息传输至中华人民共和国境外。1.1.6“通知”是指通过书面形式（包括但不限于纸质信函、电子邮件）发出的通知，并能够提供合理的证据证明该通知已被接收方收到或理应收到。1.1.7“合理期限”是指根据相关法律法规和实际情况，处理个人信息请求应当及时响应的时间。第二条数据处理目的和方式2.1数据处理者同意根据数据控制者的指示，按照本协议约定的目的和方式处理个人信息。2.2数据处理的目的是为了实现数据控制者的业务需求，具体目的包括但不限于：2.2.1提供产品和服务；2.2.2进行市场调研和数据分析；2.2.3维护和运营数据控制者的业务；2.2.4法律法规规定的其他目的。2.3数据处理的方式包括但不限于：2.3.1收集；2.3.2存储；2.3.3使用；2.3.4加工；2.3.5传输；2.3.6提供；2.3.7公开；2.3.8删除。2.4数据处理者不得超出本协议约定的目的和方式处理个人信息。第三条跨境数据传输3.1数据控制者承诺，除非获得个人信息主体的明确同意，或者为了订立或履行与个人信息主体签订的合同，或者为了履行法律法规规定的义务，或者为了维护公共利益或行使公共权力，或者为了保护个人信息主体的重大利益，或者使用了经相关监管机构批准的传输机制（如标准合同条款、具有约束力的公司规则、认证机制等），否则不得将个人信息传输至境外。3.2数据控制者承诺在实施跨境传输前，对跨境传输的风险进行评估，并采取必要的安全措施，确保个人信息在传输过程中的安全。3.3数据处理者承诺仅按照数据控制者的指示进行跨境传输，并采取必要的安全措施，确保个人信息在传输过程中的安全。3.4跨境传输的目的地国家或地区应当具有与中华人民共和国相当的个人信息保护水平，或者数据控制者与境外接收个人信息的目的方订立了具有约束力的协议，并采取了必要的安全措施。第四条数据主体的权利4.1数据处理者应当保障数据主体的合法权益，并按照法律法规的规定以及本协议的约定，履行以下义务：4.1.1保障数据主体访问其个人信息的权利，并为其提供便捷的访问渠道。4.1.2保障数据主体更正其个人信息的权利，并为其提供便捷的更正渠道。4.1.3保障数据主体删除其个人信息的权利，并在收到数据主体的删除请求后，按照法律法规和本协议的约定删除个人信息。4.1.4保障数据主体限制其个人信息处理的权利，并在收到数据主体的限制处理请求后，按照法律法规和本协议的约定限制处理其个人信息。4.1.5保障数据主体撤回其同意的права的权利，并在收到数据主体的撤回同意请求后，按照法律法规和本协议的约定停止处理其个人信息。4.1.6保障数据主体获取其个人信息的权利，并为其提供便捷的信息获取渠道。4.1.7保障数据主体反对其个人信息处理的权利，并在收到数据主体的反对请求后，按照法律法规和本协议的约定停止处理其个人信息。4.1.8保障数据主体保护其权利的权利，并为其提供便捷的投诉和举报渠道。4.2数据处理者应当在收到数据主体的请求后，在合理期限内响应，并为其提供必要的帮助。第五条数据保护措施5.1数据处理者应当采取必要的技术和管理措施，保障个人信息的安全，包括但不限于：5.1.1采取加密技术对个人信息进行存储和传输。5.1.2采取访问控制措施，限制对个人信息的访问。5.1.3定期进行安全评估，并采取相应的安全措施。5.1.4建立数据安全事件应急预案，并及时处理数据安全事件。5.1.5对员工进行数据保护培训，提高员工的数据保护意识。5.1.6制定数据保护政策，并按照政策执行个人信息处理活动。5.2数据处理者应当确保其子承包商或第三方服务商遵守本协议约定的数据保护义务，并对其子承包商或第三方服务商的个人信息处理活动承担连带责任。第六条数据泄露通知6.1数据处理者发现个人信息泄露、篡改、丢失的，应当立即通知数据控制者，并采取必要的补救措施。6.2数据处理者应当在发现个人信息泄露后的合理期限内，通知监管机构和个人信息主体，并按照监管机构的要求采取相应的措施。6.3数据处理者应当在合理期限内向数据控制者提供个人信息泄露的详细情况报告。第七条审计和监督7.1数据控制者有权对数据处理者的个人信息处理活动进行审计和监督，数据处理者应当予以配合。7.2数据控制者可以在事先通知数据处理者的情况下，对数据处理者的个人信息处理场所进行现场检查。7.3数据处理者应当向数据控制者提供必要的个人信息处理记录和报告。第八条协议的期限和终止8.1本协议的有效期为____年，自双方签字盖章之日起生效。8.2本协议期满前，双方可以协商续签本协议。8.3任何一方有权在提前____天的书面通知后终止本协议。8.4协议终止后，数据处理者应当按照本协议的约定删除个人信息，并确保数据安全。8.5协议终止后，数据处理者仍然需要履行本协议约定的保密义务和其他义务。第九条违约责任9.1数据处理者违反本协议约定的，应当承担违约责任，并赔偿数据控制者因此遭受的损失。9.2数据处理者违反法律法规的规定，导致个人信息泄露、篡改、丢失的，应当承担相应的法律责任。9.3数据控制者违反本协议约定的，应当承担违约责任，并赔偿数据处理者因此遭受的损失。第十条争议解决10.1因本协议引起的或与本协议有关的任何争议，双方应当首先通过友好协商解决。10.2如果协商不成，任何一方可以将争议提交至数据处理者所在地有管辖权的人民法院诉讼解决。第十一条适用法律和争议解决11.1本协议适用中华人民共和国法律。11.2因本协议引起的或与本协议有关的任何争议，双方应当首先通过友好协商解决。11.3如果协商不成，任何一方可以将争议提交至数据处理者所在地有管辖权的人民法院诉讼解决。第十二条其他12.1本协议是双方关于个人信息处理的完整协议，取代双方之前达成的任何口头或书面的协议。12.2对本协议的任何修改，应当以书面形式进行，并经双方签字盖章后生效。12.3本协议未尽事宜，由双方另行协商解决。12.4本协议一式两份，双方各执一份，具有同等法律效力。数据控制者（盖章）