到付拒收数据安全协议

到付拒收数据安全协议鉴于甲方需要通过乙方提供的到付拒收服务处理快递业务，并在此过程中收集、处理和传输收货人的个人数据，甲乙双方本着平等互利、诚实信用的原则，依据《中华人民共和国网络安全法》、《中华人民共和国个人信息保护法》及其他相关法律法规，经友好协商，达成如下协议：第一条定义与范围1.1本协议所称“到付拒收”是指收货人在收到快递时，凭有效身份证明支付快递费用的一种快递服务模式。1.2本协议所称“个人数据”是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。1.3本协议所称“敏感数据”是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人数据，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。1.4本协议所称“数据控制器”是指确定并实现个人数据处理目的的个人或者组织。1.5本协议所称“数据处理器”是指为数据控制器处理个人数据，并按照数据控制器的指示进行操作的个人或者组织。1.6本协议的适用范围包括甲方在提供到付拒收服务过程中收集、处理的全部个人数据，以及乙方在提供到付拒收服务过程中收集、处理的与甲方相关的个人数据，涉及的数据主体为参与到付拒收服务的收货人以及其他相关方。第二条数据处理目的2.1甲方收集、处理收货人的个人数据目的包括但不限于：(1)完成到付拒收业务的运费结算；(2)追踪到付拒收快件的物流状态；(3)分析拒收原因，优化到付拒收服务流程；(4)预防和打击到付拒收业务中的欺诈行为；(5)遵守相关法律法规规定的义务。2.2乙方收集、处理与甲方相关的个人数据目的包括但不限于：(1)为甲方提供到付拒收服务；(2)管理甲方账户信息；(3)向甲方提供与到付拒收服务相关的通知和资讯；(4)预防和打击到付拒收业务中的欺诈行为；(5)遵守相关法律法规规定的义务。第三条数据主体权利3.1数据主体对其个人数据享有知情权、访问权、更正权、删除权、限制处理权、撤回同意权以及投诉权等权利，甲方和乙方应当保障数据主体依法行使前述权利。3.2甲方负责处理数据主体的访问、更正、删除、限制处理和撤回同意等请求，并及时响应数据主体的投诉。3.3乙方负责处理甲方基于本协议提出的与数据主体权利相关的请求，并协助甲方履行对数据主体的义务。第四条数据安全保护措施4.1甲方和乙方应当采取必要的技术措施和管理措施，确保到付拒收相关个人数据的安全，防止个人数据泄露、篡改、丢失。4.2技术措施包括但不限于：(1)对存储和传输的个人数据进行加密处理；(2)采取访问控制措施，仅授权人员才能访问个人数据；(3)定期进行安全审计，发现并修复安全漏洞；(4)定期备份个人数据，防止数据丢失；(5)使用防火墙、入侵检测系统等技术手段保障系统安全。4.3管理措施包括但不限于：(1)制定并实施数据安全管理制度，明确数据安全责任；(2)对接触个人数据的员工进行数据安全培训，提高员工的数据安全意识；(3)与提供到付拒收服务的第三方物流公司等第三方服务提供商签订数据安全协议，确保第三方服务提供商采取必要的数据安全措施，并监督其履行数据安全义务。4.4甲方和乙方应当采取必要的安全防护措施，保障存储个人数据的物理环境安全，包括但不限于：(1)限制对存储个人数据的场所的访问权限；(2)安装监控设备，监控对存储个人数据的场所的访问情况。第五条数据传输与跨境传输5.1甲乙双方承诺仅在境内处理到付拒收相关个人数据，除非获得数据主体明确同意或者法律法规另有规定。5.2如确需将到付拒收相关个人数据传输至境外，甲乙双方应当确保：(1)获得数据主体书面同意；(2)与数据接收方签订数据传输协议，并确保数据接收方提供充分的数据保护水平；(3)依照国家有关规定进行安全评估，并取得相关批准。第六条数据泄露应急处理6.1甲乙双方应当制定数据泄露应急预案，并在发生数据泄露时立即启动应急预案。6.2发生数据泄露时，甲乙双方应当立即采取措施，防止数据泄露范围扩大，并评估数据泄露的严重程度。6.3甲乙双方应当在数据泄露发生后规定时限内（例如72小时内）通知受影响的个人数据主体，并按照相关规定向有关部门报告。第七条数据存储期限7.1甲方对收货人个人数据的存储期限如下：(1)支付信息：在完成支付后存储三年；(2)物流信息：在快递送达后存储一年；(3)拒收原因：在处理完拒收事宜后存储六个月。7.2乙方对与甲方相关的个人数据的存储期限按照甲乙双方约定或者相关法律法规的规定执行。7.3达到存储期限后，甲乙双方应当删除或者匿名化处理相关个人数据。第八条数据销毁8.1甲乙双方应当制定数据销毁流程，并在个人数据不再需要用于本协议约定的目的时，按照数据销毁流程进行数据销毁。8.2数据销毁方式包括但不限于使用专业数据销毁工具进行销毁，确保数据无法恢复。8.3甲乙双方应当保留数据销毁的记录，并妥善保管记录至少三年。第九条责任与义务9.1甲方的责任与义务：(1)作为数据控制器，负责确定并实现到付拒收相关个人数据的处理目的和方式；(2)确保到付拒收相关个人数据处理符合本协议约定以及《中华人民共和国个人信息保护法》等相关法律法规的要求；(3)监督乙方履行数据处理义务，并对乙方处理个人数据的行为进行监督和检查；(4)依法履行个人信息保护的其他义务。9.2乙方的责任与义务：(1)作为数据处理者，应当按照甲方的指示处理到付拒收相关个人数据，并遵守本协议约定以及《中华人民共和国个人信息保护法》等相关法律法规的要求；(2)采取必要的技术措施和管理措施，确保到付拒收相关个人数据的安全；(3)建立健全个人信息保护制度，指定专人负责个人信息保护工作；(4)协助甲方履行对数据主体的个人信息保护义务；(5)依法履行个人信息保护的其他义务。9.3甲乙双方均应承担因违反本协议约定或者相关法律法规规定而造成的数据泄露、篡改、丢失等问题的赔偿责任。第十条争议解决10.1因本协议引起的或者与本协议有关的任何争议，甲乙双方应首先通过友好协商解决。10.2协商不成的，任何一方均可将争议提交至甲方所在地有管辖权的人民法院诉讼解决。第十一条协议的生效、变更和终止11.1本协议自双方签字或者盖章之日起生效。11.2本协议的任何变更，均需经双方协商一致，并签署书面补充协议。补充协议与本协议具有同等法律效力。11.3本协议在以下情况下终止：(1)双方协商一致终止