人工智能数据安全保护协议

人工智能数据安全保护协议甲方（委托方/数据提供方）：[甲方名称]法定代表人/负责人：[甲方负责人姓名]注册地址：[甲方注册地址]联系方式：[甲方联系方式]乙方（服务方/处理方）：[乙方名称]法定代表人/负责人：[乙方负责人姓名]注册地址：[乙方注册地址]联系方式：[乙方联系方式]鉴于甲方拟利用乙方提供的人工智能（AI）服务，并希望在AI服务的研发、训练、测试、应用等过程中，由乙方处理甲方或相关个人提供的数据（以下简称“数据”），同时双方均需遵守国家关于数据安全和个人信息保护的法律、法规及政策（以下简称“法律法规”），为明确双方在数据安全保护方面的权利与义务，经友好协商，达成如下协议：第一条数据定义与范围1.1本协议所称“数据”是指任何以电子或者其他方式记录的与自然人的身份识别有关或者可识别自然人的信息，包括但不限于姓名、身份证件号码、生物识别信息、住址、联系方式、财务信息、健康信息等。其中，敏感个人信息是指上述信息中一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的信息。1.2本协议所称“数据”还包括非个人数据，即不直接识别特定自然人的信息，以及公共数据、商业秘密等。1.3本协议项下的数据具体包括但不限于：[在此处详细列出或描述涉及的数据类型、来源、用途等，例如：用户在甲方平台提供的注册信息、使用行为数据、交易数据；用于AI模型训练的公开数据集；第三方数据供应商提供的数据等]。1.4甲方保证其提供的数据的来源合法，其处理活动符合法律法规及本协议约定。第二条数据安全保护义务2.1双方确认，保护数据安全是各自的基本义务，应采取必要的技术和管理措施，防止数据的泄露、篡改、丢失或不正当使用。2.2乙方的数据安全保护义务：(1)乙方作为数据处理者，应对甲方授权其处理的数据承担直接的安全保护责任，并建立完善的数据安全管理体系，包括但不限于制定数据安全政策、操作规程，定期进行安全风险评估和漏洞扫描，及时修补系统漏洞。(2)乙方应采取必要的技术措施，确保数据在传输和存储过程中的安全性，例如使用加密技术、访问控制技术等，防止数据被未经授权的访问、泄露或篡改。(3)乙方应仅授权其员工或subcontractors必要地访问数据，并对该等人员进行背景审查和保密培训，确保其遵守本协议及相关的数据安全要求。任何subcontractors对数据的处理活动应受本协议约束。(4)乙方应建立数据安全事件应急预案，并在发生或可能发生数据安全事件时，立即启动应急响应机制，采取补救措施，并按照本协议约定及时通知甲方。(5)乙方应记录和监控数据的访问和处理活动，并建立审计日志，以备查验。(6)对于涉及个人信息的处理，乙方应遵循合法、正当、必要、诚信原则，并履行法律法规规定的其他义务，如获取个人同意（如适用）、提供个人权利行使的渠道等。(7)在本协议终止或服务完成后，乙方应在收到甲方书面通知后[例如：十五（15）]个工作日内，将甲方提供的数据及其衍生成果（如训练好的模型，除非有另行约定）返还给甲方，或根据甲方的指示进行安全销毁，并出具书面证明。乙方不得保留任何副本或拷贝。2.3甲方的数据安全保护义务：(1)甲方作为数据控制者，负责确定数据处理的目的和方式，并选择符合法律法规和本协议约定的乙方进行处理。(2)甲方应向乙方提供准确、完整的数据，并明确告知数据的用途、法律要求及安全要求。(3)对于涉及个人信息的处理，甲方应确保已获得必要的个人同意，并履行法律法规规定的其他义务。(4)甲方应建立内部管理制度，规范数据的处理活动，并对员工进行数据安全培训。(5)甲方应配合乙方进行数据安全评估、审计等，并根据乙方的要求提供必要的支持和信息。(6)发生或可能发生数据安全事件时，甲方应及时通知乙方，并配合乙方进行应急处置。第三条数据使用限制3.1乙方仅能按照本协议约定及甲方明确指示的目的，对数据进行处理和应用，不得将数据用于任何协议约定之外的用途。3.2未经甲方事先书面同意，乙方不得将数据向任何第三方提供、披露或共享，但法律法规另有规定或监管机构要求的除外。3.3乙方不得利用处理的数据对甲方进行不正当竞争，或损害甲方的利益。第四条数据存储与跨境传输4.1乙方承诺将数据存储在中国境内，或存储在已获得相关数据安全认证且监管机构允许的数据中心所在地。除非甲方书面同意，乙方不得将数据存储在境外。4.2如确需将数据传输至境外（无论是否为存储），必须事先获得甲方的书面同意，并确保该等传输符合《数据安全法》、《个人信息保护法》等相关法律法规的要求，例如通过国家网信部门的安全评估、获得数据主体单独同意等。乙方应承担因数据跨境传输而产生的全部责任和费用。第五条双方权利与义务5.1甲方的权利：(1)有权要求乙方按照本协议约定及法律法规的要求，采取充分的数据安全保护措施。(2)有权监督乙方履行本协议的情况，并要求乙方提供数据安全状况报告或接受审计。(3)有权要求乙方立即停止任何违反本协议约定的行为，并采取补救措施。(4)有权在乙方违反本协议约定时，根据违约程度要求其承担违约责任，包括但不限于赔偿损失、终止本协议等。5.2甲方的义务：(1)按照本协议约定，向乙方提供必要的数据及支持。(2)履行作为数据控制者应承担的数据安全保护义务。(3)配合乙方进行数据安全评估、审计等工作。5.3乙方的权利：(1)有权要求甲方提供必要的数据信息、授权及支持。(2)有权按照本协议约定收取服务费用。(3)有权在授权范围内使用数据。5.4乙方的义务：(1)履行作为数据处理者应承担的数据安全保护义务。(2)妥善保管数据，防止数据泄露、篡改、丢失。(3)未经甲方书面同意，不得将数据用于本协议约定之外的目的或向第三方共享。(4)及时通知甲方发生或可能发生的数据安全事件。(5)协助甲方应对数据安全监管检查。(6)履行本协议约定的其他义务。第六条数据安全事件与应急响应6.1双方同意，一旦发生或可能发生数据泄露、篡改、丢失等数据安全事件，应立即采取以下应急措施：(1)立即阻止事件扩大，并采取措施保护受影响的数据和相关系统。(2)尽快评估事件的影响范围和严重程度。(3)乙方应在事件发生后[例如：四（4）]小时内通知甲方，并告知事件的初步情况、已采取的措施及后续计划。(4)双方应协同合作，共同处置事件，并采取补救措施减少损失。(5)乙方应根据法律法规要求及本协议约定，及时向监管机构和个人通报数据安全事件。6.2双方应各自制定数据安全事件应急预案，并定期进行演练。第七条保密义务7.1双方应对在合作过程中获知的对方的商业秘密、技术信息、数据信息以及本协议内容等一切未公开信息（以下简称“保密信息”）承担保密义务。7.2未经对方书面同意，任何一方不得向任何第三方披露、使用或允许他人使用保密信息，但法律法规另有规定或监管机构要求的除外。7.3本保密义务不因本协议的终止而失效，持续有效期限为本协议终止后[例如：三（3）]年。第八条协议期限、变更与终止8.1本协议有效期为[例如：壹（1）]年，自双方签字盖章之日起生效，除非提前终止。8.2协议期满前[例如：三十（30）]日，如双方均有意续约，应另行协商签订续约协议。8.3任何一方可在协议有效期内，提前[例如：三十（30）]日书面通知对方终止本协议。提前终止的，乙方应在本协议终止后按照约定返还或销毁数据。8.4发生以下情况之一，守约方有权书面通知违约方终止本协议：(1)违约方严重违反本协议约定，且在收到守约方书面通知后[例如：十五（15）]日内未能纠正的。(2)违约方进入破产、清算或解散程序的。8.5本协议终止时，双方应在[例如：十五（15）]日内完成数据的返还或销毁，并结算相关费用。第九条违约责任9.1任何一方违反本协议约定，给对方造成损失的，应承担赔偿责任，赔偿范围包括直接损失、间接损失以及为处理违约事件所支付的合理费用。9.2若乙方违反数据安全保护义务，导致数据泄露、篡改、丢失，或违反数据使用限制、保密义务等，除承担赔偿责任外，甲方有权立即终止本协议，并要求乙方支付违约金[例如：人民币壹佰万元整（¥1,000,000.00）或损失金额的[例如：三（3）]倍，以较高者为准]。9.3若甲方违反数据提供或配合义务，影响乙方正常服务的，乙方有权要求甲方限期改正，并可能根据影响程度要求调整服务费用或解除本协议。第十条法律适用与争议解决10.1本协议的订立、效力、解释、履行及争议解决均适用中华人民共和国法律。10.2因本协议引起的或与本协议有关的任何争议，双方应首先通过友好协商解决。协商不成的，任何一方均有权将争议提交[选择仲裁或诉讼，例如：甲方所在地有管辖权的人民法院诉讼解决/提交[指定仲裁委员会名称]按照其届时有效的仲裁规则进行仲裁，仲裁裁决是终局的，对双方均有约束力]。第十一条其他条款11.1本协议构成双方就数据安全保护