跨境数据跨境合规协议2025年审查版

跨境数据跨境合规协议2025年审查版双方根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》及相关法律法规的规定，本着平等、自愿、公平和诚实信用的原则，经友好协商，就跨境传输和处理个人数据及其他敏感数据事宜，达成如下协议：第一条定义1.1本协议所称“个人数据”是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。1.2本协议所称“敏感数据”是指个人的种族、民族、宗教或者信仰、医疗健康、金融账户、行踪轨迹等特定身份信息，以及经过特定处理无法识别到特定自然人的生物识别信息等。1.3本协议所称“数据主体”是指个人信息权益的主体。1.4本协议所称“数据控制者”是指Alone,单独决定并实施个人数据处理的组织或者个人。1.5本协议所称“数据处理者”是指为数据控制者处理个人数据的组织或者个人。1.6本协议所称“跨境数据传输”是指将个人数据传输至中华人民共和国境外的行为。1.7本协议所称“安全措施”是指为保护个人数据而采取的技术和管理措施。第二条数据主体权利2.1数据控制者应当向数据主体告知本协议约定的数据处理目的、方式、种类、范围、存储期限、传输目的地、接收方、数据主体权利行使方式等事项。2.2数据主体享有访问、更正、删除、限制处理、数据可携带、拒绝自动化决策等权利。数据控制者应当建立流程，及时响应数据主体的权利行使请求。第三条数据控制者和数据处理者的责任3.1数据控制者和数据处理者应当遵循合法、正当、必要、诚信、目的明确、最小化、准确性、存储限制、完整性和保密性等原则处理个人数据。3.2数据控制者和数据处理者应当采取必要的技术和管理措施，包括加密、访问控制、安全审计、数据备份等，保护个人数据的安全，防止数据泄露、丢失、篡改或滥用。3.3任何一方在跨境传输个人数据前，应当进行合规审查，确保传输活动符合相关法律法规的要求。传输机制包括但不限于获得数据主体的单独同意、与境外接收方订立具有约束力的标准合同条款（SCCs）、获得数据保护影响评估（DPIA）后的政府批准、通过认证机制等。3.4数据控制者和数据处理者在发生个人数据泄露时，应当立即通知对方，并采取补救措施。同时，根据相关法律法规的要求，及时向监管机构报告。3.5数据控制者和数据处理者应当建立数据处理协议，明确双方的权利和义务，并定期进行审查和更新。3.6数据控制者和数据处理者应当接受对方或第三方审计和监督，以验证其是否按照本协议及适用的法律法规处理个人数据。第四条数据跨境传输审查4.1跨境数据传输前，数据控制者应当进行传输ImpactAssessment(TIA)，评估传输目的、数据类型、传输方式、接收方等因素对个人数据权益的影响。4.2数据控制者应当确保境外接收方具有充分的数据保护能力，并采取必要措施限制其处理目的和范围。4.3对于关键信息基础设施运营者处理重要数据的跨境传输，应当遵守国家网信部门会同有关部门制定的办法。第五条协议的审查和更新5.1本协议应当定期进行审查，初始审查期限为自生效之日起三年。期满前，双方应当协商确定是否续期及续期期限。5.2在法律法规发生变化或双方协商一致的情况下，本协议可以更新。更新后的协议将具有法律效力，并取代之前的版本。第六条协议的终止和数据处理终止6.1本协议在以下情况下终止：（1）双方协商一致终止；（2）一方严重违约，另一方根据本协议约定解除协议；（3）法律法规变化导致协议无法履行；（4）一方进入破产、清算程序。6.2协议终止后，数据处理者应当根据本协议约定以及相关法律法规的要求，对个人数据进行处理，包括删除、返回、转移等。具体处理方式由双方在协议中约定。第七条保密条款7.1双方对于本协议内容以及在本协议履行过程中获知的对方商业秘密、技术秘密和个人数据等信息，均负有保密义务。未经对方书面同意，不得向任何第三方披露，但法律法规另有规定或有权机关要求披露的除外。7.2本保密义务在本协议终止后仍然有效。第八条知识产权条款8.1双方在履行本协议过程中产生的知识产权，归各自所有。除非双方另有约定，否则一方为履行本协议而开发的软件、代码等知识产权归该方所有。8.2数据处理者根据本协议约定处理个人数据所使用的工具和系统，其知识产权归数据处理者所有，但数据控制者有权在协议约定的范围内使用。第九条不可抗力条款9.1因不可抗力事件（包括但不限于自然灾害、战争、政府行为等）导致任何一方无法履行本协议的，该方不承担违约责任，但应当及时通知对方，并采取措施减少损失。9.2双方应当在不可抗力事件发生后合理期限内协商是否延期履行、部分履行或解除协议。第十条法律适用和管辖10.1本协议的订立、效力、解释、履行及争议解决均适用中华人民共和国法律。10.2因本协议引起的或与本协议有关的任何争议，双方应首先通过友好协商解决。协商不成的，任何一方均有权将争议提交至数据控制者所在地有管辖权的人民法院诉讼解决。第十一条其他条款11.1本协议构成双方就本协议主题事项达成的完整协议，取代双方此前就