医疗影像诊断服务协议2025年数据保密条款

医疗影像诊断服务协议2025年数据保密条款医疗影像诊断服务协议（2025年）数据保密条款第一条定义在本协议中，除非上下文另有明确解释，下列术语具有以下含义：1.1“保密信息”是指由服务提供方（以下简称“接收方”）在提供医疗影像诊断服务过程中获取、创建、处理或使用的，并标明为“机密”、“保密”或类似字样的任何信息，包括但不限于：(a)患者的个人身份信息（PII），如姓名、身份证号、护照号、出生日期、联系方式、家庭住址、社交媒体标识符等；(b)患者的诊断结果、影像记录（包括但不限于X光、CT、MRI、超声等）、病史、过敏史、遗传信息、健康评估、治疗方案、预后判断等直接健康信息（DHI）；(c)与患者健康信息相关的间接健康信息（IHI），以及可识别个人的健康信息组合；(d)与提供诊断服务相关的商业信息，包括但不限于服务流程、定价策略、患者流量数据、运营指标、服务协议条款、未公开的技术规格、算法模型、知识产权、商业计划、财务信息等；(e)接收方及其授权人员、关联公司、子承包商、代理人知悉的任何前述信息；(f)服务提供方（以下简称“服务提供方”）的内部政策、程序、标准和设计方案。1.2“非保密信息”是指：(a)接收方在签订本协议前已合法知晓的信息；(b)接收方从公开渠道（如政府公告、公开出版物、新闻发布会、公共数据库等）合法获取且未承担保密义务的信息；(c)接收方独立开发或创作，未使用服务提供方任何保密信息的信息；(d)接收方根据适用的法律法规或有权机构的强制性要求披露的信息，但接收方应在法律允许的范围内尽力通知服务提供方，并保存披露记录；(e)信息已非因接收方的作为或不作为而成为公开信息。1.3“关联方”是指接收方及其任何母公司、子公司、合资公司、关联实体以及任何现在或将来为接收方提供服务的子承包商、供应商、顾问或代理人。1.4“合理措施”是指接收方依据其行业最佳实践、技术能力和资源状况，为保护保密信息的安全所应采取的谨慎、充分且具有成本效益的措施，包括但不限于技术安全措施（如数据加密、访问控制、安全审计、入侵检测、防火墙、安全备份与恢复）和管理安全措施（如制定保密政策、进行员工培训、限制物理和逻辑访问权限、处理数据泄露事件）。第二条接收方的保密义务2.1接收方同意并承诺，将以不低于其保护自身同等重要程度的保密信息的标准（以下简称“同等重要性标准”）且持续采取合理措施，保护、安全存储、使用和传输所有在提供本协议项下服务过程中知悉或获取的保密信息，防止任何形式的不当披露、丢失、篡改、未经授权的访问、使用或复制。2.2接收方仅能为了履行本协议约定的医疗影像诊断服务之目的使用保密信息，不得为任何其他任何目的（包括但不限于商业开发、出售、许可给第三方或用于任何形式的广告或营销）使用保密信息。2.3接收方应确保其所有接触或可能接触保密信息的关联方（包括但不限于员工、顾问、代理人、子承包商）均知晓本协议的保密义务，并书面同意遵守本协议的条款。接收方应仅向必要的关联方披露保密信息，并确保该等关联方承担不低于本协议规定的保密义务。2.4接收方应采取严格的内部控制措施，限制对保密信息的访问权限，确保仅授权人员才能在必要时访问保密信息，并记录访问日志（如适用）。2.5接收方应妥善保管所有包含保密信息的物理和电子载体，采取合理的物理安全措施（如限制进入存放介质或记录的场所）和信息安全措施（如对存储和传输中的数据进行加密），防止保密信息泄露、丢失或被未经授权访问。2.6接收方应建立并维护数据安全事件应急响应计划，在发生或发现保密信息泄露、丢失或被未经授权访问等安全事件时，应立即采取合理的补救措施，限制损害范围，并按本协议约定及时通知服务提供方。2.7接收方同意，在处理涉及个人健康信息（PHI）时，应遵守《中华人民共和国网络安全法》、《中华人民共和国个人信息保护法》、《医疗健康数据安全管理条例》等相关法律法规的要求，优先确保数据在中华人民共和国境内处理。如确需将保密信息（特别是PHI）传输至境外，接收方应事先获得服务提供方的书面同意，并确保：(a)传输目的地的法律环境能够提供与中华人民共和国法律相若的、充分的数据保护水平；或(b)已按照《个人信息保护法》等相关法律法规的规定，完成必要的安全评估、获得信息主体的单独同意等法定程序，并采取有效的传输安全技术措施（如加密）。2.8接收方同意，其根据本协议承担的保密义务不因本协议的终止、解除或失效而终止，接收方及其关联方对于在本协议有效期内获取的保密信息，应继续承担本协议规定的保密义务，直至该等信息根据相关法律法规或本协议另有约定进入公有领域为止。对于具有永久保密性质的信息（如服务提供方的核心算法、商业计划等），保密义务应持续有效。第三条接收方对其关联方的责任3.1接收方同意并承诺，对其关联方处理、保护或披露保密信息的行为承担全部责任。接收方应确保所有关联方在处理保密信息时，遵守不低于本协议规定的保密标准和义务。3.2如果接收方要求或允许其关联方（尤其是子承包商）处理保密信息，接收方应确保：(a)与该关联方签订书面协议，明确其承担与本协议同等或更严格的保密义务，并要求其将其保密义务直接延伸至服务提供方；(b)对该关联方进行尽职调查，评估其保护保密信息的能力和合规性；(c)对关联方的处理活动进行监督，确保其遵守保密要求。3.3接收方应确保其关联方仅在为接收方履行本协议之目的，按照接收方的指示使用保密信息，并不得将其用于任何其他目的。第四条例外情况4.1接收方披露保密信息的例外情况包括但不限于：(a)接收方事先已获得信息主体（患者）的明确书面同意；(b)接收方为履行本协议之目的，向必要的关联方（如合作医院、支付方）披露保密信息，但接收方应确保该等关联方承担不低于本协议规定的保密义务，并仅为此目的使用该等信息；(c)接收方为响应任何政府部门、监管机构、法院、仲裁机构或其他有权机构的合法请求或要求而披露保密信息，但接收方应在法律允许的范围内，及时通知服务提供方，并尽可能采取措施限制披露范围，要求对方保密或采取保护措施；(d)接收方根据适用的法律法规或法院/仲裁庭的最终裁决或命令被要求披露保密信息，但接收方应在法律允许的范围内，及时通知服务提供方，并尽可能采取措施限制披露范围。4.2在根据本条第四款第(c)项或第(d)项进行披露时，如果适用的法律法规或司法/行政命令要求接收方提供所知悉的服务提供方是否知晓该等信息的情况，接收方应在该等要求中予以说明。第五条保密信息的返回或销毁5.1在本协议终止、解除或失效时，或应服务提供方书面要求时，接收方应在收到要求后的[具体天数，例如：十五（15）]日内，将所有包含保密信息的物理载体（如纸质文件、存储设备等）和电子形式的数据（通过删除、匿名化处理或其他方式）返还给服务提供方，或根据服务提供方的指示进行销毁，并应向服务提供方提供书面确认。5.2尽管有前款规定，接收方仍应根据本协议第二条约定的保密期限和范围，继续履行保密义务，不得以任何方式使用、披露或向任何第三方提供其在协议有效期内获取的保密信息。第六条违约责任6.1如果接收方违反或未能完全履行本协议项下的任何保密义务，应被视为严重违约。接收方同意，对于接收方的任何违约行为，服务提供方有权立即单方面解除本协议，并要求接收方承担违约责任。6.2接收方应赔偿服务提供方因接收方违反保密义务而遭受的包括但不限于直接损失、间接损失、商誉损失、调查费用、律师费、诉讼费、律师费及其他合理开支在内的全部损失。如果服务提供方能够证明接收方的违约行为是故意的或重大的过失造成的，服务提供方还有权要求接收方支付相当于违约行为所造成损失[具体倍数，例如：一倍]的惩罚性赔偿金。6.3接收方同意，其根据本协议承担的违约责任是连续性的，不因本协议的终止而免除。第七条争议解决因本保密条款引起的或与本保密条款有关的任何争议，双方应首先通过友好协商解决；协商不成的，任何一方均有权将争议提交至[选择仲裁或诉讼，例如：具有管辖权的人民法院诉讼解决/提交至[具体仲裁委员会名称]按其届时有效的仲裁规则进行仲裁，仲裁裁决是终局的，对双方均有约束力]。第八条其他8.1本保密条款是本协议不可分割的一部分，构成双方关于保密事项的完整协议，取代双方此前就此达成的所有口头或书面的协议、谅解或安排。8.2对本保密