2025年数字人数据安全保密合同协议

2025年数字人数据安全保密合同协议鉴于双方（以下简称“甲方”和“乙方”）将在数字人项目领域开展合作，为明确双方在数据收集、处理、存储、使用、传输及保密等方面的权利与义务，依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》及相关法律法规，经友好协商，达成如下协议：第一条定义在本协议中，除非上下文另有解释，下列词语具有以下含义：1.数字人指基于人工智能技术创建的，具有类似人类外观、行为或交互能力的虚拟数字实体。2.数据控制者指确定数字人数据收集目的和方式，并决定处理活动的企业或组织。在本协议中，[明确甲方或乙方为数据控制者]为数据控制者。3.数据处理者指为数据控制者处理数字人数据的组织或个人（例如，提供云存储、AI计算、模型训练服务的公司）。在本协议中，[明确乙方或甲方为数据处理者]为数据处理者。4.个人数据指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。5.非个人数据指不直接识别特定自然人的数据，或经过处理无法识别特定自然人的数据。6.数据泄露指未经授权的访问、披露、丢失或破坏数字人数据的事件。7.安全措施指为保护数字人数据安全而采取的技术措施和管理措施，如加密、访问控制、安全审计、备份恢复等。8.保密信息指一方（披露方）向另一方（接收方）披露的，与数字人项目相关的，未公开的，具有商业价值或保密性质的信息，包括但不限于技术秘密、商业计划、客户数据、源代码、训练方法等。9.服务期限指本协议约定的双方提供和接收数字人数据相关服务的起止时间。10.项目资料指与数字人项目相关的所有文档、数据、软件、代码、知识库等。第二条双方陈述与保证1.双方均具有签订和履行本协议的合法主体资格，并拥有履行本协议所需的权利和能力。2.双方保证其授权他人处理数字人数据的行为符合相关法律法规，并已取得必要的授权。3.双方保证其处理数字人数据的行为符合中国法律法规及本协议约定，并已采取合理的安全措施。4.双方保证其提供的数字人数据及项目资料不侵犯任何第三方的合法权益（如知识产权、隐私权等）。第三条数据处理原则1.处理数字人数据遵循合法、正当、必要原则，确保处理目的明确、方式合规，并仅收集和处理实现目的所必需的数据。2.处理数字人数据遵循目的限制原则，处理活动不得超出事先确定的、为实现约定目的所必需的范围。3.处理数字人数据遵循最小化原则，仅处理为实现处理目的所必需的最少数据。4.处理数字人数据遵循公开透明原则，处理规则应清晰，并应向数据主体以清晰、易懂的方式说明处理目的、方式等。5.处理数字人数据应遵循确保安全原则，采取充分的技术和管理措施，保障数字人数据的机密性、完整性和可用性。6.处理数字人数据应遵循数据质量原则，保证数字人数据准确、完整，并及时更新。7.处理数字人数据应遵循存储限制原则，数字人数据的存储期限应为实现处理目的所必需的最短时间。第四条数据控制与处理1.明确约定本协议项下数字人数据的控制权归[甲方/乙方]（数据控制者）所有，数据控制者享有确定处理目的、方式，并决定授权给谁处理的权利。2.如需[乙方/甲方]（数据处理者）处理数字人数据，必须获得数据控制者[甲方/乙方]的书面授权，明确处理范围、目的、期限、双方责任等。数据处理者应仅按照授权范围和约定目的处理数据。3.如有多个主体共同控制数字人数据，应明确各自的角色、责任和协作机制。4.如数字人项目涉及处理个人信息，双方同意：*[明确处理个人信息的法律依据，如同意、合同履行需要、公共利益等]。*[约定是否需取得数据主体的明确同意，同意的方式、范围、撤回机制]。*[约定数据主体的权利行使方式（如访问、更正、删除、可携带其数据等）以及响应机制]。*对个人特殊敏感信息（如生物识别、行踪轨迹等）的处理应有更严格的措施和明确授权。第五条安全措施1.双方应根据数据类型和风险评估结果，各自承担实施和维护安全措施的责任。[甲方为数据控制者/乙方为数据处理者]应负责制定总体安全策略并监督实施，[乙方为数据处理者/甲方为数据控制者]应负责落实具体安全措施。2.技术措施应包括但不限于：*数据传输和存储加密。*严格的访问控制（身份认证、权限管理）。*安全审计日志记录与行为监控。*系统漏洞管理和及时补丁更新。*数据备份与恢复机制。*防火墙、入侵检测/防御系统等。3.管理措施应包括但不限于：*制定并执行数据安全管理制度和操作规程。*对接触数字人数据的员工进行安全培训和保密协议管理。*定期进行安全风险评估和渗透测试。*建立数据泄露应急预案和通知机制。*对涉及数字人数据的第三方供应商进行安全评估和管理。4.对于涉及物理存储介质的数据，应采取相应的物理防护措施。第六条数据传输与跨境传输1.双方应确保数字人数据在中国境内的传输符合中国法律法规要求。2.如需将数字人数据传输至中国境外，应：*进行必要的安全评估。*与境外接收方签订约束性协议，确保其遵守中国数据安全和个人信息保护要求。*采取加密、去标识化等保护措施。*[根据情况约定是否需获取数据主体的单独同意或向国家网信部门申报]。第七条数据共享与披露1.双方应仅允许其内部员工因工作需要访问和使用数字人数据，并应遵循最小权限原则。2.未经数据控制者[甲方/乙方]的明确书面同意，任何一方不得向任何第三方（包括关联公司、供应商、合作伙伴等）披露数字人数据，除非法律要求或本协议另有约定。如需披露，应签订补充协议明确责任。第八条数据主体权利与响应1.[作为数据控制者的甲方/乙方]应向数据主体明确告知其享有的访问、更正、删除、限制处理、撤回同意、可携带、反对自动化决策等权利，以及行使权利的途径。2.[作为数据处理者的乙方/甲方]应根据[甲方/乙方]的要求，协助处理数据主体的权利请求，并提供必要的协助。第九条数据泄露通知1.发生或可能发生数据泄露时，相关责任方应立即启动应急预案，评估泄露范围和影响。2.数据处理者[乙方/甲方]应在发现数据泄露后[例如，72小时]内通知数据控制者[甲方/乙方]，并协助采取补救措施。3.根据相关法律法规的要求，在满足特定条件时，[甲方/乙方]应及时向受影响的数据主体告知泄露事件的基本情况和采取的补救措施，并可能需要向监管部门报告。第十条保密义务1.保密信息包括但不限于本协议、项目资料、技术秘密、客户数据、源代码等与数字人项目相关的未公开信息。2.双方及其员工、代理人应对保密信息承担保密义务，未经披露方书面同意，不得以任何方式泄露、使用或允许他人使用保密信息。3.保密义务不包括已公开的信息、已从公开渠道获取且无法确认保密性的信息、已合法获得的信息、为履行本协议需要知悉且有合理必要数量的员工知悉的信息（并对其进行保密约束）。4.保密期限为本协议有效期内及本协议终止后[例如，3年或5年]。第十一条合同期限与终止1.本协议有效期为[起始日期]至[结束日期]。2.协议终止条件包括但不限于双方协商一致、一方违约、完成项目等。3.合同终止时：*数据处理者[乙方/甲方]应根据数据控制者[甲方/乙方]的要求，在[约定时间]内返还所有包含数字人数据的资料，或按照约定方式安全销毁数据，并出具证明。*保密义务、安全责任、数据泄露通知等义务在合同终止后应持续有效。第十二条违约责任1.双方应严格履行本协议约定，任何一方违约均应承担相应责任。2.若一方违反数据处理原则、未履行安全义务导致数据泄露、未经授权披露数据、违反保密义务等，应赔偿因此给对方造成的直接损失、间接损失以及合理的调查费用等。3.[可约定具体的违约金计算方式或固定金额]。4.守约方有权要求违约方停止违约行为，并可根据情况要求解除协议或要求继续履行。第十三条不可抗力1.不可抗力是指不能预见、不能避免并不能克服的客观情况，包括但不限于自然灾害、战争、政府行为等。2.发生不可抗力的一方应及时通知对方，并提供证明。3.因不可抗力导致协议无法履行或延迟履行，根据不可抗力的影响，部分或全部免除责任，但法律另有规定的除外。双方应协商决定是否延期履行、部分履行或解除协议。第十四条法律适用与争议解决1.本协议适用中华人民共和国法律解释。2.因本协议引起的或与本协议有关的任何争议，双方应首先通过友好协商解决。3.协商不成的，可提交[指定仲裁委员会]按照其届时有效的仲裁规则进行仲裁，仲裁裁决是终局的，对双方均有约束力。*或4.协商不成的，任何一方均有权向[合同履行地或被告住所地]有管辖权的人民法院提起诉讼。第十五条通知双方应通过书面形式（包括但不限于书面信函、传真、电子邮件）向对方在本协议首页载明的地址或邮箱发送通知。任何一方变更联系方式，应提前[例如，10日]书面通知对方。第十六条完整协议本协议构成双方就合作事宜达成的完整协议，取代之前的所有口头或书面约定。对本协议的任何修改或补充必须采用书面形式，并经双方授权代表签署。第十七条修改与补充对本协议的修改或补充，均须经双方协商一致，并签署书面补充协议。补充协议与本协议具有同等法律效力。第十八条可分割性如本协议任何条款被认定为无效或不可执行，不影响其他条款的效力。第十九条转让