跨境数据合规协议2025版

跨境数据合规协议2025版鉴于鉴于甲方（以下简称“数据控制者”）因业务需要处理个人信息，并可能将个人信息传输至境外处理者（以下简称“数据处理者”）进行处理，甲乙双方依据《中华人民共和国个人信息保护法》、《中华人民共和国网络安全法》、《中华人民共和国数据安全法》以及中华人民共和国境外相关法律法规（包括但不限于欧盟通用数据保护条例、加州消费者隐私法案等）及相关政策要求，本着平等自愿、诚实信用的原则，经友好协商，就跨境传输和处理个人信息事宜，达成如下协议（以下简称“协议”）：第一条定义与解释除非本协议另有明确约定，下列词语具有以下含义：1.1“个人信息”是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。1.2“个人敏感信息”是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。1.3“数据控制者”是指确定个人信息处理目的、处理方式、处理规则的个人信息控制者。1.4“数据处理者”是指为数据控制者处理个人信息的自然人、法人或者其他组织。1.5“跨境传输”是指个人信息离开中华人民共和国境内，传输至中华人民共和国境外的行为。1.6“安全措施”是指为保障个人信息安全所采取的技术措施和管理措施。1.7“充分性认定”是指境外接收国或者地区提供的数据保护水平得到相关主管部门认定，与中华人民共和国境内相当，可以满足个人信息跨境传输需要。1.8“标准合同条款（SCCs）”是指由法律法规规定的，或者由具有管理个人信息保护职能的部门批准的，在个人信息跨境传输前签订的，用以保证个人信息得到充分保护的合同条款。1.9“具有约束力的公司规则（BCRs）”是指跨国企业集团内部制定并实施的，旨在确保个人信息在集团内部不同国家或者地区之间传输和处理的规则，并已获得相关主管部门批准。1.10“行为准则”是指由法律法规规定的，或者由具有管理个人信息保护职能的部门认可的，能够确保个人信息得到充分保护的行业协会或者其他组织制定的行为准则。1.11“认证机制”是指由具有管理个人信息保护职能的部门认可的，能够确保个人信息得到充分保护的认证机构提供的认证服务。第二条适用范围2.1本协议适用于甲方因业务需要处理个人信息，并可能将个人信息传输至数据处理者进行处理的所有场景。2.2本协议适用的个人信息包括但不限于用户注册信息、交易信息、使用行为信息、沟通信息等。2.3本协议适用的跨境传输包括但不限于将个人信息传输至数据处理者的境外服务器进行存储、处理和分析。第三条数据主体的权利3.1甲方应当遵循合法、正当、必要、诚信的原则处理个人信息，并履行告知义务，就跨境传输的目的、方式、接收国家/地区、数据保护措施等告知数据主体。3.2对于本协议约定的跨境传输，甲方应当取得数据主体的单独同意。3.3数据主体依法享有的访问、更正、删除等权利，甲方应当保障数据主体在跨境传输背景下行使上述权利，可能需要通过数据处理者或者甲方进行协调。第四条数据控制者的责任4.1甲方有责任选择具备相应数据保护能力和合规措施的数据处理者，并与其签订数据处理协议。4.2甲方有权授权数据处理者处理个人信息，并有权对数据处理者的处理活动进行监督和审计。4.3甲方有权向数据处理者发出指令，但数据处理者有权拒绝执行甲方发出的不合法或不合规的指令。4.4对于高风险的跨境传输，甲方应当进行数据保护影响评估，并采取必要的缓解措施。4.5甲方应当建立个人信息保护事件应急预案，并定期进行演练。第五条数据处理者的责任5.1乙方应当采取充分的技术和管理措施（如加密、脱敏、访问控制等）保护个人信息安全，防止个人信息泄露、篡改或者丢失。5.2乙方应当遵守甲方关于个人信息的处理指令，并按照约定方式向甲方报告个人信息的处理情况。5.3乙方应当遵守适用的数据保护法律法规，包括跨境传输的特殊要求。5.4乙方应当记录个人信息的处理活动，并在发生个人信息保护事件时及时通知甲方。5.5乙方应当配合甲方进行个人信息的保护影响评估和合规审计。第六条跨境传输机制6.1甲方和乙方同意，个人信息的跨境传输将遵循以下机制：（1）境外接收国或者地区提供的数据保护水平获得充分性认定；（2）通过标准合同条款（SCCs）进行传输；（3）通过具有约束力的公司规则（BCRs）进行传输；（4）遵守境外接收国或者地区的行为准则；（5）获得认证机制的认证。6.2甲方和乙方将根据具体业务场景和数据类型，选择合适的跨境传输机制，并确保符合相关法律法规的要求。6.3甲方和乙方将签订相应的标准合同条款（SCCs）、具有约束力的公司规则（BCRs）等文件，并按照约定履行相关义务。第七条安全措施与合规保障7.1乙方应当采取以下技术措施保障个人信息安全：（1）对个人信息进行加密存储和传输；（2）对个人信息进行脱敏处理；（3）对个人信息的访问进行控制。7.2乙方应当采取以下管理措施保障个人信息安全：（1）制定个人信息保护制度；（2）对员工进行个人信息保护培训；（3）定期进行个人信息安全评估。7.3甲方和乙方将定期对个人信息的处理活动和安全措施进行合规审查，确保持续满足协议要求。第八条数据泄露通知8.1乙方在发现个人信息泄露后，应当在小时内向甲方报告，并告知泄露的基本情况、影响范围、可能造成的风险以及已经或者将要采取的补救措施。8.2甲方在收到乙方报告后，应当在法律法规规定的时限内向有关部门报告，并通知受影响的个人。8.3甲方和乙方应当采取必要的措施，防止个人信息泄露造成更大的损害。第九条数据传输的终止9.1本协议在以下情况下终止：（1）本协议约定的传输目的实现；（2）甲方或乙方单方面解除本协议；（3）因不可抗力导致本协议无法继续履行；（4）法律法规规定的其他情形。9.2本协议终止后，乙方应当根据甲方的要求，对个人信息进行删除或者返还，并采取必要的措施，确保个人信息不会被泄露或者非法使用。9.3甲方和乙方应当在协议终止后进行数据交接，确保个人信息的平稳过渡。第十条争议解决10.1因本协议引起的或者与本协议有关的任何争议，双方应当首先通过友好协商解决。10.2协商不成的，任何一方可以向甲方所在地有管辖权的人民法院提起诉讼。第十一条保密义务11.1甲乙双方对在履行本协议过程中获得的对方的商业秘密和个人信息负有保密义务，未经对方书面同意，不得向任何第三方披露。11.2本保密义务不因本协议的终止而失效。第十二条知识产权12.1甲方和乙方在履行本协议过程中产生的知识产权归各自所有。12.2乙方应当保证其提供的软件和系统不侵犯任何第三方的知识产权。第十三条可分割性13.1如果本协议的任何条款被有管辖权的人民法院认定为无效或者不可执行，不影响其他条款的效力。第十四条修订与更新14.1甲乙双方有权根据法律法规的变化和业务发展的需要，对本协议进行修订和更新。14.2任何一方提出修订和更新时，应当提前书面通知对方，并经双方协商一致后生效。第十五条