个人生物特征数据保护协议

个人生物特征数据保护协议鉴于数据主体希望其个人生物特征数据得到合法、安全、负责任的处理，并了解处理者（以下简称“公司”）将根据本协议收集、使用、存储、传输和删除其个人生物特征数据，双方经友好协商，达成协议如下：第一条定义1.1除非上下文另有解释，“个人生物特征数据”是指能够识别或识别特定自然人的各种生理、行为及生物生理characteristics，包括但不限于指纹、掌纹、声纹、人脸图像、虹膜图像、视网膜图像、DNA序列、步态模式、笔迹等。1.2“数据主体”是指其个人生物特征数据被公司收集、使用、存储、传输或以其他方式处理的个人。1.3“数据控制者”是指决定个人生物特征数据处理的目的和方式的公司。1.4“数据处理者”是指代表数据控制者处理个人生物特征数据的任何个人或组织，包括但不限于公司的子公司、关联公司或服务提供商。1.5“同意”是指数据主体在充分知情的情况下，自愿表达其意愿，以书面、电子或其他可证明的方式，明确表示同意公司处理其个人生物特征数据。第二条数据处理目的和方式2.1公司收集、使用、存储、传输和删除个人生物特征数据的目的仅限于以下方面：(a)为提供和改进公司产品及服务，包括但不限于用户身份验证、安全访问控制、个性化服务推荐、客户服务等；(b)遵守适用的法律法规要求，包括但不限于反洗钱、反欺诈等合规要求；(c)维护公司及用户的合法权益，包括但不限于解决争议、进行安全审计等；(d)进行科学研究或数据分析，但仅限于以匿名或去标识化形式进行，且不会识别或推断出任何特定个人的身份信息。2.2公司将采取以下方式处理个人生物特征数据：(a)数据收集：公司将通过用户直接提供、应用程序接口（API）接入、传感器采集等方式收集个人生物特征数据。收集过程将遵循合法、正当、必要原则，并确保数据收集的准确性和完整性。(b)数据存储：公司将对个人生物特征数据进行加密存储，并采取严格的安全措施防止未经授权的访问、泄露、篡改或丢失。存储位置将优先选择境内服务器，如确需境外存储，将严格遵守相关法律法规，并确保不低于境内保护水平。(c)数据使用：公司仅将使用本协议约定的目的处理个人生物特征数据，不会将其用于任何其他未经数据主体同意的目的。(d)数据传输：公司仅在为履行本协议或经数据主体同意的情况下，将个人生物特征数据传输给第三方。接收方必须是具备相应数据保护能力的合法实体，并需承担保密义务。(e)数据共享：未经数据主体事先书面同意，公司不会将个人生物特征数据与任何第三方共享，但法律另有规定的除外。(f)数据删除：当个人生物特征数据不再用于本协议约定的目的时，或数据主体要求删除时，公司将在合理时间内删除或进行匿名化处理，除非法律法规要求保留。第三条数据主体的权利3.1数据主体对其个人生物特征数据享有以下权利：(a)知情权：有权了解公司收集、使用、存储、传输和删除其个人生物特征数据的情况，包括处理目的、处理方式、存储期限、安全措施等。(b)决定权：数据主体有权自主决定是否同意公司处理其个人生物特征数据。对于涉及敏感个人生物特征数据的处理，必须获得数据主体的明确同意。(c)撤回权：数据主体有权撤回其同意处理个人生物特征数据。撤回同意不影响公司在撤回前基于同意已进行的处理，但公司应停止进一步处理。(d)访问权：数据主体有权访问其被处理的个人生物特征数据，并要求公司提供相关数据的副本。(e)更正权：如果数据主体发现其个人生物特征数据存在错误，有权要求公司进行更正。(f)删除权：在以下情况下，数据主体有权要求公司删除其个人生物特征数据：(i)公司停止提供产品或服务，或者协议终止；(ii)公司不再需要使用个人生物特征数据；(iii)数据主体撤回同意；(iv)公司处理个人生物特征数据的方式违反法律法规或本协议约定；(v)数据主体死亡。(g)限制处理权：在特定情况下，如数据主体有合理理由怀疑公司处理其个人生物特征数据的方式不符合法律法规或本协议约定，有权要求公司限制处理。(h)可携带权：在有限情况下，如果数据主体要求，公司可能以通用和机器可读格式提供其个人生物特征数据。(i)投诉权：数据主体有权向公司投诉其处理个人生物特征数据的方式，或向有关监管部门投诉。3.2数据主体行使前款规定的权利，应通过书面、电子邮件或其他公司规定的安全方式向公司提出。公司将在收到请求后合理期限内响应，并说明理由。第四条数据安全与保密4.1公司将采取严格的技术和管理措施，确保个人生物特征数据的安全，包括但不限于：(a)采用行业标准的加密技术对个人生物特征数据进行加密存储和传输；(b)限制对个人生物特征数据的访问权限，仅授权必要人员接触；(c)定期进行安全审计和风险评估，及时发现并修复安全漏洞；(d)建立数据安全事件应急预案，并定期进行演练；(e)对接触个人生物特征数据的员工进行数据保护培训，并要求其签署保密协议。4.2公司承诺对其收集、使用、存储、传输和删除的个人生物特征数据以及相关资料予以严格保密，未经数据主体同意或法律法规另有规定的，不会向任何第三方披露。公司员工及其他接触个人生物特征数据的第三方均有义务遵守保密义务。第五条数据处理者的责任5.1如果公司委托第三方处理个人生物特征数据，公司将是数据控制者，并负责选择具备相应数据处理能力的第三方，并与该第三方签订数据处理协议，明确其职责和责任。5.2数据处理者应仅为履行本协议约定的目的处理个人生物特征数据，并遵守公司的指示。5.3数据处理者应采取与公司同等安全措施保护个人生物特征数据，并承担因违反本协议约定而造成的数据安全风险和责任。第六条同意6.1数据主体通过以下方式明确表示同意公司根据本协议处理其个人生物特征数据：(a)在公司提供的用户协议、隐私政策或其他相关文件中勾选“我同意”或类似选项；(b)在公司提供的应用程序、网站或其他平台上进行特定操作，该操作被设计为表明数据主体已阅读并同意本协议。6.2数据主体有权在任何时候撤回其同意，但撤回同意不影响公司在撤回前基于同意已进行的处理。数据主体撤回同意后，公司应停止处理其个人生物特征数据，并按照法律法规和本协议约定进行删除或匿名化处理。第七条第三方共享与转让7.1未经数据主体事先书面同意，公司不会将个人生物特征数据转让给任何第三方。7.2在以下情况下，公司可能需要与第三方共享个人生物特征数据：(a)为提供本协议约定的产品或服务所必需，且该第三方提供相应服务；(b)遵守适用的法律法规要求，如政府机关依法要求提供；(c)维护公司及用户的合法权益，如与侵权行为进行诉讼或仲裁。7.3在前款第(a)项情况下，公司将与该第三方签订数据处理协议，明确其职责和责任，并确保其遵守本协议约定的数据保护标准。在共享个人生物特征数据前，公司应向数据主体提供充分的透明度，并告知数据主体共享的目的、范围和接收方的身份。第八条跨境传输8.1如需将个人生物特征数据传输至境外，公司承诺：(a)确保接收方所在地的法律保障水平不低于数据主体所在地的保护水平；(b)采取标准合同条款、具有约束力的公司规则或认证机制等额外保障措施；(c)将跨境传输的情况告知数据主体。8.2数据主体有权了解个人生物特征数据是否以及如何被传输至境外，并有权要求公司停止跨境传输。第九条违约责任9.1如果公司违反本协议约定，应承担相应的违约责任，包括但不限于：(a)赔偿数据主体因此遭受的直接损失和可证明的间接损失；(b)支付违约金，违约金金额为因违约行为给数据主体造成的损失的百分之[具体百分比]；(c)接受有关监管机构的处罚。9.2如果数据处理者违反本协议约定，公司有权要求其承担相应的违约责任，并有权向数据处理者追偿。第十条法律适用与争议解决10.1本协议的订立、效力、解释、履行及争议解决均适用中华人民共和国法律。10.2因本协议引起的或与本协议有关的任何争议，双方应首先通过友好协商解决。协商不成的，任何一方均有权向公司所在地有管辖权的人民法院提起诉讼。第十一条协议更新11.1公司有权根据法律法规变化、业务发展需要或其他合理原因更新本协议。11.2公司将在更新本协议前，通过在网站、应用程序或其他渠道发布通知等方式，提前告知数据主体更新内容。更新后的本协议将在通知发布之日起生效。11.3如果数据主体不同意本协议的更新，有权停止使用公司的产品或服务，并要求公司删除其个人生物特征数据。第十二条其他12.