2025年基因治疗药物临床试验数据隐私保护合同协议

2025年基因治疗药物临床试验数据隐私保护合同协议本合同由以下双方于______年______月______日在__________签订：甲方（数据控制器）：公司名称：________________________注册地址：________________________法定代表人/授权代表：____________职务：________________________联系方式：________________________乙方（数据处理器）：公司名称：________________________注册地址：________________________法定代表人/授权代表：____________职务：________________________联系方式：________________________鉴于：1.甲方正在开展一项关于“基因治疗药物[具体药物名称]”的[具体试验阶段，如：I/II/III]期临床试验（以下简称“临床试验”），该试验旨在评估该基因治疗药物的安全性和有效性。2.在开展临床试验过程中，需要收集、处理、存储和传输参与试验的数据主体（即受试者）的个人信息和敏感个人健康信息，特别是基因数据。3.甲方希望委托乙方处理临床试验相关数据，并确保数据处理活动符合《中华人民共和国个人信息保护法》、《中华人民共和国网络安全法》、《中华人民共和国数据安全法》等相关法律法规及行业规范的要求。4.乙方同意根据甲方的指示，并遵守本合同约定的条款和条件，处理临床试验数据。双方经友好协商，达成以下协议，以资共同遵守：第一条定义与解释除非本合同另有明确约定，下列术语具有以下含义：1.1个人数据：指能够识别自然人的各种信息，包括但不限于姓名、身份证号码、出生日期、性别、联系方式、住址、生物识别信息（包括基因数据）、健康生理信息、医疗诊断信息、遗传特征信息等。1.2敏感个人健康信息：指在个人数据中，符合《中华人民共和国个人信息保护法》第十三条、第九十八条规定的，一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，特别是包括基因数据、医疗诊断、医疗保健、健康生理信息等。1.3基因治疗药物临床试验数据：指在临床试验过程中收集、产生的，与参与试验的数据主体相关的个人信息和敏感个人健康信息，包括但不限于受试者基本信息、知情同意书、试验方案相关文件、试验过程记录、实验室检查结果（特别是基因检测结果）、影像学检查结果、不良事件报告、随访信息等。1.4数据主体：指临床试验中参与试验的自然人。1.5数据控制者：指确定并实现基因治疗药物临床试验数据处理目的的个人或组织，在本合同中为甲方。1.6数据处理者：指为数据控制者处理个人数据的个人或组织，在本合同中为乙方。1.7数据接收者：指根据本合同约定接收基因治疗药物临床试验数据的第三方，包括但不限于监管机构、合作研究机构、审评机构等。1.8数据保护原则：指合法、正当、必要、诚信、目的限制、最小化收集、准确、存储限制、完整性、保密性、问责制等原则。1.9数据安全：指采取必要的技术和管理措施，保障基因治疗药物临床试验数据在收集、存储、使用、加工、传输、提供、公开等处理活动中，防止未经授权的访问、泄露、篡改、毁损。1.10数据泄露：指因意外、非法或未经授权的行为，导致敏感个人健康信息泄露、丢失、被篡改或未经授权访问。1.11数据保护影响评估（DPIA）：指评估处理敏感个人健康信息可能带来的风险，并采取必要措施以最小化这些风险的过程。1.12数据保留期限：指基因治疗药物临床试验数据从收集开始到可以被删除或销毁的最终期限。第二条数据处理的目的和方式2.1乙方同意根据甲方的指示，为以下目的处理基因治疗药物临床试验数据：(1)开展临床试验活动，包括但不限于受试者招募、筛选、入组、试验方案执行、数据收集、数据管理、统计分析、试验报告撰写等；(2)向监管机构（如国家药品监督管理局、美国食品药品监督管理局、欧洲药品管理局等）提交临床试验申请、进展更新、安全性更新、最终报告等；(3)向伦理委员会/独立数据监查委员会（IDMC）汇报试验进展和安全性信息；(4)进行与临床试验相关的内部管理和审计；(5)根据法律法规或监管要求，向相关政府部门或机构报告；(6)在获得数据主体明确同意或符合法律法规要求的前提下，用于后续相关的研究或开发。2.2乙方处理基因治疗药物临床试验数据的方式应遵循以下原则：(1)仅在实现处理目的所必需的范围内处理数据；(2)采用合法、正当、必要、诚信的方式处理数据；(3)对敏感个人健康信息采取严格的安全保护措施；(4)确保数据处理活动符合适用的法律法规和本合同约定；(5)仅向合同约定的数据接收者提供数据，并确保数据接收者履行相应的保密和安全义务。第三条甲方的权利与义务3.1甲方有权监督乙方履行本合同约定的数据处理义务，并有权对乙方的数据处理活动进行审计（包括现场或远程审计），乙方应予以配合。3.2甲方负责制定并实施数据保护政策和程序，确保临床试验数据的合规处理。3.3甲方应确保在启动临床试验前，已获得数据主体签署的、符合法律法规要求的知情同意书，该知情同意书应充分告知数据处理的目的、方式、期限、安全保障措施、数据主体的权利等信息。3.4甲方应识别和评估处理基因治疗药物临床试验数据可能带来的风险，特别是对数据主体权益的风险，并根据需要开展数据保护影响评估（DPIA）。乙方应协助甲方完成DPIA所需的相关工作。3.5甲方负责管理数据接收者的权限，确保数据接收者仅能访问其履行职责所必需的数据，并签订相应的数据接收协议或采取其他有效措施保障数据安全。3.6甲方应建立数据泄露通知机制，在发生或可能发生数据泄露时，按照法律法规和本合同约定及时通知乙方，并采取补救措施。3.7甲方应确保乙方在处理数据时，能够按照其指示行事，并遵守本合同约定的各项义务。3.8甲方应遵守数据最小化原则，仅收集和处理与临床试验目的相关的个人数据和敏感个人健康信息。3.9甲方应保障数据主体的权利，包括访问权、更正权、删除权等，并建立相应的处理流程，及时响应数据主体的相关请求。第四条乙方的权利与义务4.1乙方同意并根据本合同约定，仅为甲方处理基因治疗药物临床试验数据，不得超出甲方指示的范围。4.2乙方应采取符合国家网络安全等级保护制度要求的技术和管理措施，保障基因治疗药物临床试验数据的安全，包括但不限于：(1)对数据进行分类分级管理；(2)采取加密技术保护数据传输和存储安全；(3)建立严格的访问控制机制，遵循最小权限原则；(4)定期进行安全漏洞扫描和风险评估；(5)记录并监控数据处理活动，建立审计日志；(6)对存储数据的物理环境进行安全保护；(7)对员工进行数据保护和安全意识培训。4.3乙方应建立数据泄露应急响应预案，在发生数据泄露事件时，立即启动预案，采取补救措施，防止损害扩大，并及时通知甲方。乙方应在甲方要求或法律法规规定的时限内，向甲方提供数据泄露事件的详细报告。4.4乙方应建立内部管理制度，确保其员工、代理人或任何第三方在处理基因治疗药物临床试验数据时，遵守本合同约定的保密和安全义务，并对因违反该义务造成的数据安全风险承担责任。4.5乙方应按照甲方的指示，仅向本合同约定的数据接收者提供数据，并确保数据接收者履行相应的保密和安全义务。乙方不得将数据用于本合同约定的目的之外，除非获得甲方的另行书面同意。4.6乙方应在合同约定的范围内，协助甲方履行数据主体的权利请求，包括提供数据访问、更正或删除等技术支持。4.7乙方应建立完善的记录制度，记录基因治疗药物临床试验数据的处理活动，包括处理目的、方式、数据主体信息、数据接收者、数据访问记录等，并将相关记录保存至少[具体年限，如：三年或根据法规要求]年。该记录在合同终止后应向甲方提供或销毁，具体方式由甲方决定。4.8乙方应确保其处理活动符合本合同约定以及适用的法律法规要求，并接受甲方的监督和审计。第五条数据主体的权利保障5.1甲方和乙方均应建立机制，保障数据主体依法享有的知情同意、访问、更正、补充、删除（被遗忘权）、限制或反对处理、数据可携、拒绝自动化决策等权利。5.2甲方负责根据数据主体的请求，提供访问其个人数据和敏感个人健康信息的途径，并在合理时间内响应用户请求。访问范围限于与临床试验直接相关的数据。5.3甲方负责处理数据主体提出的删除其个人数据和敏感个人健康信息的请求。对于基因数据等高度敏感信息，应给予优先处理。删除请求的处理应符合法律法规要求，并考虑临床试验的合规需要。5.4乙方应协助甲方响应数据主体的权利请求，提供必要的技术支持，如提供数据访问界面、协助数据脱敏、执行数据删除操作等。第六条数据安全要求6.1除第四条所述措施外，乙方还应确保：(1)对基因数据等敏感个人健康信息采取额外的、更为严格的安全保护措施；(2)对存储介质（如硬盘、服务器、U盘等）进行物理保护，防止丢失、被盗或非法访问；(3)对数据处理人员进行严格筛选和背景审查，并定期进行保密和合规培训；(4)建立数据备份和恢复机制，确保数据的完整性和可用性；(5)确保系统和应用的安全性，及时修补安全漏洞。第七条数据泄露通知7.1发生或可能发生数据泄露事件时，乙方应在知晓该事件后的[具体时限，如：小时内或根据法规要求]内，立即通知甲方。7.2乙方通知甲方的内容应包括但不限于：事件发生的时间、地点、涉及的数据类型和范围（特别是敏感个人健康信息）、可能造成的影响、已采取或拟采取的补救措施等。7.3甲方在收到乙方通知后，应根据法律法规和本合同约定，评估事件的影响，并决定是否以及如何通知数据主体和监管机构。甲方应在法律法规规定的时限内履行通知义务。7.4双方均应保留数据泄露通知和处理的记录。第八条数据传输与跨境传输8.1如需将基因治疗药物临床试验数据传输至中国境外，须经甲方事先书面同意，并确保满足《个人信息保护法》等法律法规关于跨境传输的条件，例如：(1)获得数据主体的明确同意；(2)接收国提供充分的数据保护水平（如已获得国家网信部门的安全评估认证或属于相关adequacydecision覆盖的国家）；(3)采取有效的传输保障措施（如签订标准合同、使用认证的传输机制等）。8.2乙方应负责落实跨境传输的保障措施，并向甲方提供相关证明文件。8.3传输至境外的数据，乙方仍应按照本合同约定的安全要求进行保护。第九条数据保留期限9.1除非法律法规另有规定或数据主体明确同意，基因治疗药物临床试验数据的保留期限应自数据主体完成试验或最后一次随访之日起计算，最长期限不得晚于[具体年限，如：试验结束后5年或根据法规和试验性质确定]年。9.2在数据保留期限内，如需继续使用数据，应获得数据主体的再次同意或符合其他法律法规依据。9.3在数据保留期限届满后，甲方应按照其内部规定或与乙方协商一致的方式，安全地删除或销毁基因治疗药物临床试验数据，并通知乙方完成情况。第十条审计与合规10.1甲方有权根据合同约定，对乙方履行本合同的情况进行审计，包括查阅相关记录、文件，访谈相关人员等。乙方应配合甲方的审计工作，提供必要的便利。10.2乙方应确保其数据处理活动符合本合同约定以及适用的法律法规和行业规范。10.3乙方应定期对其数据保护合规情况进行内部评估，并及时向甲方报告。第十一条保密义务11.1甲乙双方应对在履行本合同过程中获悉的对方的商业秘密、技术信息以及数据主体的个人信息和敏感个人健康信息承担保密义务。11.2保密信息不包括：(1)已公开的信息；(2)双方事先书面同意披露的信息；(3)依据法律法规或有权机关的要求必须披露的信息；(4)并非因违反保密义务而获取的信息。11.3双方的保密义务不因本合同的终止而解除，持续有效期限为自本合同终止之日起[具体年限，如：五]年。11.4任何一方不得将其掌握的对方的保密信息用于本合同约定之外的任何目的，或未经对方书面同意向任何第三方披露。第十二条数据主体权利行使的机制12.1数据主体可以通过以下方式行使其权利：(1)致电甲方或乙方指定的联系方式；(2)向甲方或乙方提交书面请求（包括当面提交）。12.2甲方或乙方在收到数据主体的权利请求后，应在[具体时限，如：三十]日内响应。如需更多时间，应向数据主体说明理由，并承诺在[具体时限，如：三十]日内提供答复。12.3甲方或乙方在处理数据主体的权利请求时，应提供必要的协助，并确保处理过程的记录。第十三条合同期限与终止13.1本合同自双方授权代表签字并加盖公司公章（或合同专用章）之日起生效，有效期为[具体年限，如：三]年，自______年______月______日起至______年______月______日止。13.2合同期限届满前[具体时间，如：三个月]，如双方均有意继续合作，应另行协商续签合同事宜。13.3任何一方可在以下情况下单方面终止本合同：(1)另一方严重违反本合同约定，经守约方书面催告后[具体时限，如：三十]日内仍未纠正的；(2)另一方进入破产、清算或解散程序的；(3)因不可抗力导致合同目的无法实现的；(4)法律法规规定可以终止合同的其他情形。13.4合同终止时，乙方应按照甲方的要求，在终止后的[具体天数，如：十五]日内完成以下工作：(1)对基因治疗药物临床试验数据进行清理，删除或返回所有个人数据和敏感个人健康信息，以及相关的处理记录；(2)向甲方提供数据删除的证明；(3)根据甲方要求，对存储介质进行销毁，并出具销毁证明；(4)配合甲方