跨境数据合规整改协议2025

跨境数据合规整改协议2025鉴于鉴于：（a）甲方（以下简称“甲方”）在跨境业务活动中处理个人数据，并需要将部分个人数据传输至境外处理（以下简称“跨境数据传输”）；（b）乙方（以下简称“乙方”）为提供特定服务（以下简称“服务”）而可能接收、处理甲方传输的跨境数据；（c）甲方正在对其数据处理活动进行合规性评估，发现当前的跨境数据传输方式存在不符合《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》（以下简称“中国法律法规”）及欧盟《通用数据保护条例》（以下简称“GDPR”）等相关法律法规和监管要求的情况，需要进行整改；（d）甲乙双方希望本着平等互利、协商一致的原则，通过签订本协议，明确双方在跨境数据传输合规整改方面的责任和义务，确保跨境数据传输的合法性、合规性和安全性。据此，甲乙双方经友好协商，达成协议如下：第一条定义在本协议中，除非上下文另有解释，下列词语具有以下含义：1.1“个人数据”是指能够识别特定自然人身份或者随着识别推定特定自然人身份的各种信息，包括但不限于姓名、身份证号码、手机号码、电子邮箱地址、物理地址、生物识别信息、健康信息等；1.2“敏感个人数据”是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人数据，包括但不限于种族、民族、宗教信仰、医疗健康、金融账户、行踪轨迹等；1.3“跨境数据传输”是指将个人数据传输至中华人民共和国境外；1.4“数据主体”是指个人信息主体；1.5“数据保护影响评估”是指评估处理活动对个人数据权益可能产生的影响，并采取必要措施消除或者减轻不良影响的过程；1.6“数据安全措施”是指为保障个人数据安全而采取的技术措施和管理措施，包括但不限于加密、去标识化、访问控制、安全审计、数据备份、应急预案等；1.7“具有约束力的公司规则”是指由企业制定并实施的，旨在确保其处理活动符合中国法律法规及GDPR等适用法律要求的规则；1.8“标准合同条款”是指由国家网信部门制定并发布的、用于保障跨境数据传输安全的标准合同条款；1.9“充分性认定”是指欧盟委员会根据相关国家或地区的数据保护法律和框架，认定其提供的数据保护水平与GDPR要求相当的一种机制。第二条整改目标2.1甲方和乙方共同致力于解决当前跨境数据传输中存在的以下不合规问题：（a）部分跨境数据传输未经数据主体同意；（b）数据安全措施不足以保障个人数据安全；（c）未对跨境数据传输进行充分的风险评估。2.2双方同意，通过实施本协议约定的整改措施，实现以下整改目标：（a）确保所有跨境数据传输均符合中国法律法规及GDPR等相关法律法规和监管要求；（b）建立健全跨境数据传输的内部管理制度和流程；（c）提升数据安全保护能力，有效防范数据泄露、篡改、丢失等风险；（d）保障数据主体的合法权益。第三条整改措施3.1甲方应采取以下整改措施：（a）对于直接向境外提供个人数据的处理活动，必须取得数据主体的明确同意，并在收集个人信息时充分告知数据主体个人信息的处理目的、方式、范围、存储期限、安全保护措施、个人信息主体权利行使方式等；（b）制定并实施《个人信息安全管理制度》，明确个人数据处理的原则、流程、职责、权限等，并定期进行内部审核和评估；（c）建立健全数据安全保护制度，采取必要的数据安全措施，包括但不限于：1.对传输中的个人数据进行加密处理；2.对存储的个人数据进行加密和访问控制；3.定期进行安全漏洞扫描和风险评估；4.建立数据备份和恢复机制；5.制定数据安全事件应急预案，并定期进行演练。（d）在跨境数据传输前，进行数据保护影响评估，识别和评估跨境数据传输可能带来的风险，并采取相应的缓解措施；（e）根据数据处理活动对个人数据权益的影响程度，对处理活动进行分类分级管理，并采取相应级别的保护措施；（f）对处理个人信息的工作人员进行数据保护和安全意识培训，并签订保密协议。3.2乙方应采取以下整改措施：（a）仅根据甲方的明确授权，才能接收、处理甲方传输的跨境数据，并按照甲方的指示进行数据处理；（b）制定并实施《数据处理协议》和《数据安全管理制度》，明确数据处理的范围、方式、职责、权限等，并定期进行内部审核和评估；（c）采取必要的数据安全措施，保障甲方传输的跨境数据安全，包括但不限于：1.对接收的个人数据进行加密存储；2.严格控制对个人数据的访问权限；3.定期进行安全漏洞扫描和风险评估；4.建立数据备份和恢复机制；5.制定数据安全事件应急预案，并定期进行演练。（d）建立健全数据主体权利响应机制，及时响应数据主体的查询、更正、删除等请求；（e）根据甲方的指示，配合甲方进行数据保护影响评估；（f）对处理个人信息的工作人员进行数据保护和安全意识培训，并签订保密协议；（g）在协议终止后，按照甲方的指示删除或者返还甲方传输的跨境数据。第四条责任和义务4.1甲方的责任和义务：（a）对跨境数据传输的合法性、合规性负总责；（b）确保其收集、处理个人数据的目的是合法、正当、必要的；（c）履行对数据主体的告知义务，并取得数据主体的同意；（d）采取必要的数据安全措施，保障个人数据安全；（e）进行数据保护影响评估，并采取相应的缓解措施；（f）监督乙方的数据处理活动，确保乙方履行本协议约定的责任和义务；（g）配合监管机构对跨境数据传输的监督检查。4.2乙方的责任和义务：（a）仅根据甲方的授权，才能接收、处理甲方传输的跨境数据，并按照甲方的指示进行数据处理；（b）对所处理的跨境数据的安全负责；（c）采取必要的数据安全措施，保障甲方传输的跨境数据安全；（d）建立健全数据主体权利响应机制，及时响应数据主体的查询、更正、删除等请求；（e）配合甲方进行数据保护影响评估；（f）对处理个人信息的工作人员进行数据保护和安全意识培训，并签订保密协议；（g）在协议终止后，按照甲方的指示删除或者返还甲方传输的跨境数据；（h）配合监管机构对跨境数据传输的监督检查。第五条时间表和里程碑5.1甲方应在本协议签订之日起30日内，完成《个人信息安全管理制度》的制定和实施。5.2乙方应在本协议签订之日起30日内，完成《数据处理协议》和《数据安全管理制度》的制定和实施。5.3甲乙双方应在各自制度中明确跨境数据传输的审批流程，并在本协议签订之日起60日内，完成审批流程的建立和实施。5.4甲乙双方应在本协议签订之日起90日内，完成首次数据保护影响评估，并采取相应的缓解措施。5.5甲乙双方应在每年1月1日前，对上一年度的跨境数据传输情况进行总结和评估，并制定下一年度的整改计划。第六条监督和评估6.1甲乙双方应建立内部监督机制，定期对跨境数据传输的合规性进行监督检查。6.2甲方应定期对乙方进行现场或非现场审计，评估乙方履行本协议约定的责任和义务情况。6.3乙方应定期向甲方报告跨境数据传输的合规情况，并接受甲方的监督检查。6.4甲乙双方应积极配合监管机构对跨境数据传输的监督检查。第七条协议的生效、变更和终止7.1本协议自双方签字盖章之日起生效。7.2本协议的任何变更，均需经双方协商一致，并签订书面补充协议。7.3本协议在以下情况下终止：（a）双方约定的整改目标达成；（b）双方协商一致终止；（c）一方严重违反本协议，经另一方书面通知后30日内仍未改正；（d）出现不可抗力事件，导致本协议无法继续履行。7.4协议终止后，甲方有权要求乙方删除或者返还甲方传输的跨境数据。乙方应在收到甲方要求之日起30日内完成删除或者返还。第八条争议解决8.1因本协议引起的或与本协议有关的任何争议，双方应首先通过友好协商解决。8.2协商不成的，任何一方均可将争议提交至甲方所在地有管辖权的人民法院诉讼解决。第九条法律适用和管辖9.1本协议适用中华人民共和国法律。9.2本协议的签订、效力、解释、履行及争议解决均适用中华人民共和国法律。第十条保密10.1甲乙双方应对本协议内容及在履行本协议过程中获知的对方商业秘密、技术秘密等予以保密，未经对方书面同意，不得向任何第三方披露。10.2本保密义务在本协议终止后仍然有效。第十一条通知11.1本协议项下的所有通知均应以书面形式发送至本协议首页载明的地址、传真或电子邮件地址。11.2通知在送达时视