2026年数据跨境传输合规协议

数据跨境传输合规协议本协议由以下双方于______年______月______日签署：甲方（转出方）：[转出方公司全称]法定代表人：[转出方法定代表人姓名]注册地址：[转出方注册地址]统一社会信用代码：[转出方统一社会信用代码]乙方（接收方）：[接收方公司全称]法定代表人：[接收方法定代表人姓名]注册地址：[接收方注册地址]统一社会信用代码：[接收方统一社会信用代码]（以下分别称“甲方”和“乙方”）鉴于：1.甲方因[具体业务目的，例如：提供XX服务、履行XX合同等]需要处理个人数据，并拟将部分个人数据传输至境外乙方的系统或服务器进行处理；2.乙方同意接收并处理甲方传输的个人数据；3.甲乙双方希望依据中华人民共和国《个人信息保护法》及其他相关法律法规，明确双方在数据跨境传输过程中的权利、义务和责任，确保数据跨境传输的合法性、安全性和合规性。根据《中华人民共和国民法典》、《中华人民共和国个人信息保护法》及相关法律法规的规定，甲乙双方经友好协商，达成如下协议，以资共同遵守。第一条定义与解释除非本协议上下文另有明确说明，下列词语具有以下含义：“个人数据”是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，包括自然人的姓名、身份证号码、出生日期、身份证件号码、生物识别信息、住址、电话号码、电子邮箱地址、健康信息、行踪信息等。“敏感个人数据”是指一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人数据，包括生物识别信息、宗教信仰、特定身份、医疗健康信息、金融账户信息等。“数据主体”是指其个人数据被处理的自然人。“数据控制者”是指确定个人数据处理目的和方式的主体。“数据处理器”是指在数据控制者的授权下处理个人数据的主体。“跨境传输”是指个人数据从中国境内传输至中国境外的行为。“安全措施”是指为保护个人数据安全所采取的技术和管理措施，包括加密、访问控制、去标识化、数据脱敏、安全审计等。“合法性、正当性、必要性原则”是指处理个人数据应当具有合法基础，采取对个人数据主体权益影响最小的方式，并具有明确、合理的目的。“充分性认定”是指欧盟委员会或中华人民共和国国家互联网信息办公室等监管机构认定境外接收国或地区提供与境内同等水平个人数据保护的决定或安排。“标准合同条款（SCCs）”是指由欧盟委员会批准的，用于保障向欧盟境外传输个人数据的标准合同条款。“BindingCorporateRules(BCRs)”是指跨国集团为其内部跨国传输个人数据而制定的、经过监管机构批准的有约束力的公司规则。第二条跨境传输的合法性依据双方确认并同意，甲方拟将标注为“个人数据”的部分信息传输至乙方处理，该跨境传输的合法性依据为[请根据实际情况选择并填写以下一种或多种，并具体说明]：（选择一项并删除其他选项）（1）获得数据主体的明确同意。数据主体已通过[说明同意方式，例如：书面声明、单独的电子确认链接点击、在用户注册协议中勾选确认等]方式，明确同意甲方将其实际信息传输至乙方用于[具体说明使用目的]，该同意可由数据主体随时撤回。甲方应记录同意获取过程及内容，并确保其符合个人信息保护法关于同意的规定。（2）履行与数据主体的合同所必需。甲方因履行与数据主体签订的[合同名称或描述]所必需，需要将数据主体的[具体信息描述]传输至乙方处理，以[具体说明为何需要传输及处理]。（3）基于公共利益或甲方履行法定职责所必需。甲方因[说明所涉及的公共利益或法定职责，并证明已进行必要性及对个人权益影响平衡评估]需要将数据主体的[具体信息描述]传输至乙方处理。（4）基于关联公司之间的内部业务需要。甲方与乙方为[说明关联关系，例如：母子公司、兄弟公司等]，甲方因[说明内部业务需要，例如：内部管理、共享客户资源等]需要将关联公司的[具体信息描述]传输至乙方处理。（5）依据经过[说明批准机构，例如：欧盟委员会]批准的标准合同条款（SCCs）。本协议附件一（如有）列出的SCCs条款构成本协议不可分割的一部分，并作为甲方将个人数据传输至乙方的法律依据。（6）依据[说明认定机构，例如：欧盟委员会或国家互联网信息办公室]作出的关于[接收国或地区名称]提供充分保护的决定。依据[说明决定编号或名称]，接收国/地区[接收国或地区名称]提供与境内同等水平的个人数据保护，甲方据此将个人数据传输至乙方。（7）依据[说明批准机构，例如：集团总部]批准的有约束力的公司规则（BCRs）。本协议附件一（如有）列出的BCRs条款构成本协议不可分割的一部分，并作为甲方将个人数据传输至乙方的法律依据。（8）结合采用额外的保障措施。甲方在将个人数据传输至乙方前，已采取[具体说明所采用的补充措施，例如：技术加密、业务伙伴协议BPP、认证机制等]，并确保这些措施能够为个人数据提供与境内同等的安全保护。第三条数据接收方及义务1.乙方同意作为甲方的数据处理者，接收并按照本协议约定处理甲方传输的个人数据。2.乙方保证其在中国境内及接收数据主体所在地的法律允许其接收和处理个人数据，并承诺遵守中国《个人信息保护法》及数据主体所在地关于个人信息保护的所有适用法律法规。3.乙方承诺仅为履行本协议第一条约定的[具体业务目的或履行合同目的]而处理个人数据，不得将接收的个人数据用于任何其他目的，除非获得甲方事先书面同意。4.乙方应采取符合国家网络安全法、数据安全法及个人信息保护法要求的技术和管理措施（包括但不限于加密存储、访问权限控制、安全审计、应急预案等）保护甲方传输的个人数据，防止数据泄露、篡改、丢失或被未经授权的访问、使用。5.乙方应根据甲方的指示，协助甲方响应数据主体依法提出的访问其个人数据、更正其不准确个人数据、删除其个人数据、撤回同意（如适用）或转移其个人数据等请求，并将处理结果及时告知甲方。6.未经甲方事先书面同意，乙方不得将甲方传输的个人数据传输给任何第三方，或向任何第三方提供、披露，但法律法规另有规定或获得数据主体明确同意的情形除外。7.乙方应建立并维护数据安全事件应急预案，在发生或可能发生个人数据泄露、丢失、篡改或毁损等安全事件时，应立即采取补救措施，并第一时间通知甲方，双方应合作进行事件调查和处理，并根据法律法规要求及时向监管机构报告。8.乙方应保证其员工以及任何接收个人数据或受委托处理个人数据的第三方均了解并遵守本协议的约定以及中国有关个人信息保护的法律、法规和甲方制定的相关数据处理规定。第四条数据处理目的与方式1.乙方处理甲方传输的个人数据的目的仅限于[请详细列出所有允许的处理目的，例如：提供XX服务、支持XX功能、客户关系管理、市场营销、数据分析、风险评估、履行合同义务等]。2.乙方处理个人数据的方式包括但不限于[请列出允许的处理方式，例如：收集、存储、使用、查询、更新、删除、传输、与关联公司共享等]。3.乙方处理个人数据不得超出本协议约定的目的范围，不得采用与实现约定目的不相符的方式处理个人数据。第五条数据安全要求与措施1.甲方应确保在将个人数据传输给乙方之前，已采取必要的传输安全措施，例如使用加密通道（如TLS/SSL）等，防止数据在传输过程中被窃取或篡改。2.乙方应确保其存储个人数据的系统符合国家网络安全等级保护制度的要求，并采取具体的安全技术措施和管理措施，包括但不限于：(1)对个人数据进行分类分级管理；(2)采取加密存储、加密传输等措施；(3)设置访问控制机制，确保只有授权人员才能访问个人数据；(4)定期进行安全风险评估和渗透测试，及时发现并修复安全漏洞；(5)建立完善的日志记录和监控机制，记录个人数据的访问和操作行为；(6)制定并实施数据安全事件应急预案。3.对于传输至乙方的个人数据，如涉及需要脱敏处理的，甲方应在传输前完成脱敏，并确保脱敏处理不影响后续约定的处理目的的实现。第六条数据主体权利保障1.甲方作为数据控制者，负责建立并维护与数据主体沟通的渠道，接收、处理和响应数据主体关于其个人数据的查询、访问请求、更正请求、删除请求、撤回同意请求（如适用）以及可携带权请求等。2.甲方应在收到数据主体的权利请求后[规定合理期限，例如：七个工作日]内，根据法律法规要求及本协议约定，将请求转达给乙方，并协调乙方执行。乙方应在收到甲方的转达后[规定合理期限，例如：五个工作日]内，执行相关操作，并将执行结果告知甲方，由甲方转告数据主体。3.甲方应确保数据主体能够有效行使其法定权利，并承担因未能有效保障数据主体权利而产生的法律责任。第七条责任与义务划分1.甲方作为数据控制者，对确定个人数据处理目的和方式、选择合法性依据、选择数据处理者、以及确保整体数据处理活动符合中国《个人信息保护法》等相关法律法规的要求承担责任。2.乙方作为数据处理者，在甲方授权的范围内处理个人数据，对按照约定进行处理、采取必要的安全措施、履行协助数据主体权利请求等义务承担责任。3.双方各自承担因违反本协议约定或相关法律法规而应承担的法律责任。因一方违约行为给另一方造成损失的，违约方应赔偿由此给守约方造成的直接损失；违约方亦应独立承担其因违约行为可能面临的行政、刑事处罚及第三方索赔等责任。第八条监督与合规审查1.甲乙双方均有权对另一方履行本协议的合规情况进行监督和检查，包括查阅相关记录、流程文件等。2.任何一方应根据另一方的要求，提供合理的协助，以证明其对本协议及适用法律法规的遵守情况。3.双方同意，任何一方或双方均有权聘请独立的第三方机构对另一方处理个人数据的合规性进行审计，费用由[约定承担方，例如：提出审计方承担/双方分摊/被审计方承担，如需审计应提前约定]。审计报告应向另一方披露，双方就审计发现的问题应进行沟通并采取整改措施。第九条协议期限、终止与数据返还/删除1.本协议自双方授权代表签字并加盖公章（或合同专用章）之日起生效，有效期为[约定年限，例如：三/五]年。有效期满前[例如：三个月]，如双方均未提出书面异议，本协议自动续展[例如：一]年，续展次数不限/或续展次数为[约定次数]次，每次续展期限为[例如：一]年。2.本协议可由双方协商一致提前终止。发生下列情形之一时，守约方有权书面通知违约方终止本协议：(1)一方严重违反本协议约定，经守约方书面催告后[例如：三十]日内仍未纠正的；(2)一方进入破产、清算或解散程序的；(3)接收国法律发生重大变化，导致本协议无法履行或履行将违反接收国法律的；(4)因国家政策或法律法规重大调整，导致本协议无法履行或履行将违反中国法律的。3.本协议终止或因任何原因甲方要求返还个人数据时，乙方应在收到甲方要求后[例如：十五]日内，将所持有的甲方传输的个人数据[选择一种方式并删除其他选项]：(1)彻底删除；(2)返还给甲方。乙方在完成返还或删除操作后，应向甲方提供书面证明。除非法律法规另有规定或获得数据主体明确同意，乙方不得保留任何副本或残余信息。第十条违约责任与救济措施1.任何一方违反本协议约定，给另一方造成损失的，应承担赔偿责任。赔偿金额应包括守约方因违约所遭受的直接损失，包括但不限于合理的调查、取证、诉讼或仲裁费用。2.若乙方违反第三条第4、5、6、7款约定，导致个人数据泄露、丢失、被滥用或无法满足数据主体合法权益，除承担赔偿责任外，还应接受相关监管机构的处罚，甲方对此不承担赔偿责任，但乙方应承担其因监管机构处罚而产生的全部责任。3.若甲方违反第二条关于合法性依据的约定进行跨境传输，导致乙方面临监管机构调查或处罚的，乙方有权要求甲方承担由此给乙方造成的全部损失。4.发生一方违约时，守约方有权要求违约方立即停止违约行为，并采取有效措施防止损失扩大；守约方还有权根据本协议约定或相关法律规定，要求违约方承担违约金、支付赔偿金，或请求法院/仲裁机构解除合同并判令违约方承担相应责任。5.若乙方拒绝履行本协议第三条第3款关于目的限制的约定，或拒绝履行第五条关于安全措施的约定，甲方有权单方面解除本协议，并要求乙方承担违约责任。第十一条争议解决因本协议引起的或与本协议有关的任何争议，双方应首先通过友好协商解决。协商不成的，任何一方均有权将争议提交[选择以下一种方式并删除其他选项]：（1）向甲方所在地有管辖权的人民法院提起诉讼。（2）向乙方所在地有管辖权的人民法院提起诉讼。（3）提交[指定仲裁委员会名称，例如：中国国际经济贸易仲裁委员会]按照其届时有效的仲裁规则在北京/上海/香港进行仲裁。仲裁裁决是终局的，对双方均有约束力。仲裁语言为中文。在仲裁期间，本协议其他条款的效力不受影响。第十二条法律适用与不可抗力1.本协议的订立、效力、解释、履行及争议解决均适用中华人民共和国法律（为免歧义，不包括香港、澳门、台湾地区法律）。2.本协议未尽事宜，遵照中华人民共和国有关法律、行政法规的规定执行。3.不可抗力是指不能预见、不能避免并不能克服的客观情况，包括但不限于自然灾害（如地震、洪水、台风）、战争、动乱、政府行为（如法律修订、政策调整）、流行病疫情、网络攻击、电力或通讯中断等。4.任何一方因不可抗力导致无法履行本协议全部或部分义务的，不承担违约责任，但应在不可抗力发生后[例如：五]日内通知另一方，并提供相关证明。双方应根据不可抗力的影响，协商决定是否延迟履行、部分履行或解除本协议。因不可抗力影响，本协议履行期限自动延长，直至不可抗力消除。第十三条其他条款1.完整协议：本协议及其附件（如有）构成双方就本协议标的事项达成的完整协议，取代双方此前就此达成的所有口头或书面的协议、谅解或安排。任何对本协议的修改或补充，均应以书面形式作出，并经双方授权代表签字并加盖公章（或合同专用章）后生效。2.解释顺序：本协议附件（如有）构成本协议不可分割的一部分，与本协议正文