个人隐私信息保护数据主权协议

个人隐私信息保护数据主权协议鉴于一方（以下简称“信息处理者”）因提供特定产品或服务而需要处理另一方的个人隐私信息（以下简称“个人隐私信息”），另一方（以下简称“数据主体”）希望其个人隐私信息得到合法、安全、公平的处理，并充分行使其数据主权所赋予的各项权利，双方依据《中华人民共和国个人信息保护法》及相关法律法规，经友好协商，达成如下协议：第一条定义与解释1.1本协议所称“个人”是指能够被识别的自然人。1.2本协议所称“个人隐私信息”是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。个人隐私信息包括但不限于：姓名、身份证号码、出生日期、身份证件号码、手机号码、电子邮箱地址、住址、家庭住址、生物识别信息、健康生理信息、行踪轨迹信息、财产信息、征信信息、个人账户信息、持有人或者使用人的身份识别码、网络账号、社交媒体账号、浏览记录、搜索记录、APP使用记录、通话记录、短信记录、交易记录、位置信息、设备信息、cookie信息等。1.3本协议所称“数据主权”是指数据主体对其个人隐私信息依法享有的控制权，包括知情权、访问权、更正权、删除权、限制处理权、可携带权、拒绝自动化决策权、不受歧视权等。1.4本协议所称“信息处理者”是指在协议约定范围内处理个人隐私信息的组织或者个人，包括但不限于数据控制者和数据处理者。1.5本协议所称“信息处理活动”是指对个人隐私信息进行的收集、存储、查询、使用、分析、传输、提供、公开、删除、匿名化等操作。1.6本协议所称“目的限制”是指个人隐私信息的处理应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人隐私信息实现处理目的所必需的最小范围。第二条数据主权的体现与个人权利2.1数据主体依法享有以下权利：(1)知情权：信息处理者有义务告知数据主体其个人隐私信息被处理的目的、方式、种类、范围、存储期限、存储地点、安全保障措施、个人信息主体权利行使方式、接收个人信息主体权利行使请求的联系人或者联系方式、法律规定的个人信息保护义务履行情况等。(2)访问权：数据主体有权访问其个人隐私信息，信息处理者应当在接到数据主体访问请求后合理期限内提供访问服务。(3)更正权：如果数据主体的个人隐私信息不准确或者不完整，数据主体有权请求信息处理者及时更正。(4)删除权：在以下情形下，数据主体有权请求信息处理者删除其个人隐私信息：a.信息处理者停止提供产品或者服务，或者保存期限已届满；b.信息处理者违反法律、行政法规或者本协议约定处理个人隐私信息；c.信息处理者利用个人隐私信息进行非法活动；d.信息处理者未经同意处理敏感个人隐私信息；e.法律、行政法规规定的其他情形。(5)限制处理权：在以下情形下，数据主体有权请求信息处理者限制处理其个人隐私信息：a.数据主体认为信息处理者处理其个人隐私信息违反法律、行政法规或者本协议约定，要求信息处理者说明理由，信息处理者未能及时说明理由；b.信息处理者处理其个人隐私信息侵犯数据主体的合法权益，数据主体请求限制处理，且信息处理者未采取措施补救；c.法律、行政法规规定的其他情形。(6)可携带权：在以下情形下，数据主体有权请求信息处理者将其个人隐私信息以可读格式提供给自己，或者直接提供给指定的第三方处理者：a.信息处理者基于同意处理个人隐私信息，且处理目的明确具体；b.数据主体撤回同意，且信息处理者不再具有其他处理依据；c.信息处理者停止提供产品或者服务，或者保存期限已届满，且无其他合法处理依据；d.法律、行政法规规定的其他情形。(7)拒绝自动化决策权：如果信息处理者利用自动化的方式对数据主体进行用户画像、信用评估、精准营销等，并由此作出对数据主体具有重大利益影响的决定，数据主体有权拒绝，并要求信息处理者提供人工干预、解释和质疑的机会。(8)不受歧视权：信息处理者不得因数据主体行使权利而对其进行歧视。2.2数据主体行使上述权利时，应当提供其身份证明。信息处理者应当在接到数据主体行使权利的请求后三十日内响应；法律、行政法规另有规定的，从其规定。2.3数据主体行使访问权、更正权、删除权、可携带权的，信息处理者不得收取超出成本的费用。但是，数据主体请求查阅原始记录的，信息处理者可以收取合理的费用。2.4数据主体撤回同意的，信息处理者不得继续处理基于该同意的个人隐私信息，但是有下列情形之一的除外：a.法律、行政法规另有规定的；b.信息处理者已经采取必要措施保障个人隐私信息安全的；c.处理目的不能实现，但另一方同意的。第三条信息处理者的责任与义务3.1信息处理者处理个人隐私信息应当遵循合法、正当、必要、诚信的原则，以及目的限制、最小化处理、公开透明、确保安全、责任明确的原则。3.2信息处理者处理个人隐私信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人隐私信息实现处理目的所必需的最小范围。3.3信息处理者处理个人隐私信息应当采取必要的技术和管理措施，保障个人隐私信息的安全，防止个人隐私信息泄露、篡改、丢失。3.4信息处理者应当制定并落实内部管理制度，明确内部各岗位人员的权限和责任，对处理个人隐私信息的人员进行培训和考核，确保其具备相应的数据保护意识和能力。3.5信息处理者应当对委托处理个人隐私信息的第三方处理者进行严格的管理，确保其履行本协议约定的义务，并监督其处理活动。3.6信息处理者应当在跨境传输个人隐私信息前，进行充分的风险评估，并采取必要的安全措施，确保个人隐私信息在境外得到充分保护。3.7信息处理者应当建立健全个人隐私信息保护事件应急预案，并定期进行演练，一旦发生个人隐私信息保护事件，应当立即启动应急预案，采取补救措施，并按照法律法规的规定及时通知数据主体和履行报告义务。3.8信息处理者应当记录并保存个人信息处理活动，保存期限不少于三年。保存期限自个人隐私信息处理活动结束之日起计算。3.9信息处理者应当指定一名数据保护官，负责处理个人隐私信息保护相关的咨询、投诉和建议，并负责与监管机构的沟通。3.10信息处理者应当在协议显著位置以及产品或服务中向数据主体提供本协议的副本或者链接，并确保数据主体能够方便地查阅。第四条数据主体的同意与撤回4.1信息处理者处理个人隐私信息，应当取得数据主体的同意。4.2处理敏感个人隐私信息，应当取得数据主体的单独同意。4.3数据主体有权撤回其同意，信息处理者应当立即停止处理基于该同意的个人隐私信息。第五条保密义务5.1信息处理者及其工作人员、代理人、第三方服务提供商应当对数据主体提供的个人隐私信息以及本协议的内容保密，不得向任何第三方披露，但法律法规另有规定或者数据主体同意的除外。5.2信息处理者及其工作人员、代理人、第三方服务提供商应当采取必要措施，确保其对数据主体提供的个人隐私信息以及本协议的内容保密。第六条数据主体权利的限制6.1数据主体行使权利可能对公共利益、他人合法权益造成重大损害的，信息处理者有权在法律、行政法规规定的范围内限制数据主体行使权利。6.2信息处理者对个人隐私信息的处理符合法律、行政法规的规定，并已采取必要的安全措施，数据主体无正当理由拒绝提供相关个人隐私信息的，信息处理者可以拒绝处理。第七条协议的期限与终止7.1本协议自双方签字或者盖章之日起生效，有效期为[]年。7.2本协议在有效期内自动续期，续期期限为[]年，除非任何一方提前[]个月书面通知对方终止本协议。7.3本协议终止时，信息处理者应当停止处理数据主体的个人隐私信息，并根据法律法规的规定或者本协议的约定删除或者返还个人隐私信息。7.4本协议终止后，信息处理者仍然需要履行本协议约定的保密义务，以及对个人隐私信息的安全保护义务。第八条违约责任与救济8.1信息处理者违反本协议约定的，应当承担相应的违约责任。8.2信息处理者违反本协议约定，侵害数据主体合法权益的，数据主体有权要求信息处理者承担赔偿责任。8.3数据主体认为信息处理者违反本协议约定的，可以向信息处理者提出异议，信息处理者应当在接到异议后合理期限内处理并答复数据主体。8.4数据主体认为信息处理者违反本协议约定的，可以向履行个人信息保护职责的部门投诉，或者向人民法院提起诉讼。第九条适用法律与争议解决9.1本协议适用中华人民共和国法律。9.2因本协议引起的或者与本协议有关的任何争议，双方应当首先通过友好协商解决；协商不成的，任何一方有权向信息