2026年生物识别数据保护合同

2026年生物识别数据保护合同本合同由以下双方于[日期]在[地点]签订：甲方（数据控制者）：[甲方名称]注册地址：[甲方注册地址]联系人：[甲方联系人]联系方式：[甲方联系方式]乙方（数据处理者）：[乙方名称]注册地址：[乙方注册地址]联系人：[乙方联系人]联系方式：[乙方联系方式]（以下简称“双方”）鉴于：（a）双方希望利用乙方提供的服务处理甲方的生物识别数据；（b）双方认识到生物识别数据具有高度敏感性，并需按照适用的数据保护法律（包括但不限于《2026年通用数据保护条例》及届时有效的其他相关法律）进行特殊保护；（c）甲方是生物识别数据的控制者，负责确定处理的目的和方式；（d）乙方是数据处理者，将在甲方的指示下处理生物识别数据；（e）双方希望明确在处理生物识别数据过程中的权利、义务和责任。双方经友好协商，达成如下协议，以资共同遵守：第一条定义与解释1.1在本合同中，除非上下文另有明确说明，下列术语具有以下含义：1.1.1“生物识别数据”是指通过分析个人生理或行为特征（如指纹、面部几何、虹膜、声纹、步态等）进行识别的个人数据，包括生成生物识别模板所使用的生物样本。1.1.2“数据主体”是指能够被识别，无论是直接还是间接，特别是通过参考一个标识符或一个或多个与该个人可识别的属性相关联的标识符的个人。1.1.3“数据控制者”是指确定处理生物识别数据的目的和方式的组织或个人。1.1.4“数据处理者”是指在数据控制者的指示下处理个人数据的组织或个人。1.1.5“数据保护影响评估”（DPIA）是指为评估处理活动对个人权利和自由（特别是生物识别数据）的潜在风险而进行的评估。1.1.6“法律依据”是指处理个人数据所依据的法律基础，如数据主体的同意、履行合同所必需、法律义务、公共利益、合法利益或数据主体的授权。1.1.7“安全措施”是指为保护生物识别数据而采取的技术和组织措施，包括加密、访问控制、入侵检测、去标识化、安全策略和培训等。1.1.8“数据泄露”是指未经授权的访问、披露、丢失、篡改或破坏个人数据的事件。1.1.9“监管机构”是指负责监督和执行数据保护法律的政府机构。1.1.10“关联方”是指直接或间接控制一方或多方、或能对一方的控制或管理产生重大影响的组织或个人。1.2本合同应依据适用的数据保护法律进行解释。如果本合同中的任何条款与适用的法律相冲突，则该条款应按照适用法律进行修改或替换，以符合适用法律的要求。第二条数据处理范围与目的2.1乙方的义务限于根据甲方的明确指示处理生物识别数据。2.2甲方详细说明本合同项下授权乙方处理的生物识别数据的具体类型（例如，指纹、面部图像、虹膜扫描等）。2.3甲方详细说明处理生物识别数据的目的。处理目的应具有合法性、特定性、直接相关性和相称性。未经甲方书面同意，乙方不得超出授权范围处理数据。2.4乙方应仅为了实现约定的处理目的而处理数据，并应采取必要的措施防止数据用于其他目的。第三条数据主体的权利保障3.1甲方应确保其履行适用的数据保护法律规定的、与生物识别数据相关的数据主体权利，包括但不限于：3.1.1访问其生物识别数据的权利；3.1.2获取其生物识别数据副本的权利；3.1.3要求更正不准确或不完整的生物识别数据的权利；3.1.4要求限制或反对处理其生物识别数据的权利，特别是当处理基于合法利益时；3.1.5要求删除其生物识别数据（被遗忘权）的权利，除非存在法律规定的例外情况；3.1.6要求数据可携带的权利，以特定格式接收其生物识别数据并传输给另一控制者的权利；3.1.7要求不对其生物识别数据进行自动化决策（包括profilering）的权利。3.2乙方应向甲方提供必要的协助，以使甲方能够有效地响应数据主体的权利请求。乙方应在收到甲方合理请求时，及时提供所需的信息和采取必要的措施。3.3甲方应告知数据主体其生物识别数据正在被处理，处理的目的，数据的接收者，数据存储期限，数据主体的权利以及数据主体行使权利的联系方式。第四条法律依据与同意管理4.1甲方应确保处理生物识别数据具有合法依据。处理目的涉及对数据主体产生重大影响的活动（特别是远程、无感或大规模生物识别数据处理），其法律依据通常是数据主体的明确同意。4.2甲方负责获取、记录、存储和定期审查数据主体同意。同意应具体、清晰，并易于撤回。甲方应提供简单易行的方式供数据主体撤回其同意。4.3除非获得数据主体的明确同意，否则不得处理旨在识别数据主体的生物识别数据，除非处理是履行合同所必需的，或者是为了保护数据主体或他人的重大利益所必需的，或者是为了公共利益或行使官方权力所必需的，并且该处理符合适用法律的严格条件。4.4乙方应仅在获得甲方提供的、有效的法律依据时才处理生物识别数据。第五条数据保护影响评估（DPIA）5.1对于本合同项下任何可能对个人权利和自由（特别是生物识别数据）产生高风险的处理活动，甲方必须进行数据保护影响评估。5.2甲方应在启动处理活动前至少提前[具体时间，例如：30]天通知乙方，并告知进行DPIA的必要性。5.3乙方应在收到甲方的通知后，根据其专业知识，向甲方提供关于进行DPIA所需信息、潜在风险以及减轻风险措施的协助和建议。5.4DPIA的结果应记录在案，并采取适当的缓解措施以降低识别风险。5.5甲方应在DPIA完成后[具体时间，例如：10]天内，将DPIA报告的副本提供给乙方以及[如适用]相关的监管机构。第六条数据安全措施6.1乙方应采取充分的技术和组织措施，确保生物识别数据的安全，保护其免受未经授权或非法的处理、意外丢失、毁损或破坏，以及未经授权的访问，包括对数据的安全传输和存储。6.2安全措施应至少包括：6.2.1采取加密措施，对传输中和静态存储的生物识别数据进行加密。6.2.2实施严格访问控制，确保只有经过授权的人员才能访问生物识别数据，并遵循最小权限原则。6.2.3定期进行安全审计和风险评估。6.2.4部署入侵检测和防御系统。6.2.5对接触生物识别数据的员工进行数据保护意识和安全培训。6.2.6制定并实施数据泄露应急响应计划。6.2.7对生物识别数据进行去标识化或假名化处理，除非处理目的需要识别该个人。6.2.8确保物理环境的安全，防止未经授权的物理访问。6.3乙方应定期（至少每年一次）审核其数据安全措施的有效性，并根据最新的技术和法律要求进行更新。6.4如果乙方使用子处理者处理生物识别数据，乙方应确保该子处理者也遵守本合同规定的安全要求和数据保护义务，并应向甲方通报子处理者的名称和联系方式，以及处理活动的性质和范围。第七条数据传输与跨境传输7.1除非获得甲方事先的书面同意，否则乙方不得将生物识别数据传输到监管司法管辖区，除非该司法管辖区提供了与甲方所在司法管辖区相当的数据保护水平，或者甲方已与乙方协商并采取了适当的保障措施（如标准合同条款、具有约束力的公司规则、行为准则或认证机制）。7.2乙方在跨境传输生物识别数据前，应向甲方提供相关司法管辖区法律和保护的评估报告，并说明拟采取的保障措施。第八条数据存储期限与删除8.1甲方应确定并记录处理生物识别数据的存储期限。存储期限应尽可能短，仅限于实现处理目的所必需的最短时间。8.2除非法律要求或甲方有合法理由需要保留，一旦达到存储目的或数据主体行使删除权，甲方应要求乙方删除或返回所有相关的生物识别数据及其衍生信息。8.3乙方应在收到甲方的删除要求后，根据甲方的指示和适用的法律要求，安全地删除或返回数据，并证明已采取行动。8.4甲方应确保在合同终止后，根据本合同规定，其要求乙方删除数据的义务得到履行。第九条数据控制者与处理者的责任与义务9.1甲方的责任：9.1.1确保处理生物识别数据的合法性、合规性和目的相称性。9.1.2决定处理的目的和方式。9.1.3履行数据主体关于生物识别数据的权利请求。9.1.4进行必要的数据保护影响评估。9.1.5任命数据保护官（如适用）。9.1.6监督乙方对其指示的处理活动的合规性。9.1.7确保乙方遵守本合同项下的安全要求和数据保护义务。9.2乙方的责任：9.2.1仅根据甲方的指示处理生物识别数据。9.2.2确保处理活动符合本合同约定和适用的数据保护法律。9.2.3采取充分的安全措施保护生物识别数据。9.2.4协助甲方履行其数据保护义务，包括进行DPIA、响应数据主体的权利请求、参与审计等。9.2.5在发生数据泄露时，立即通知甲方，并协助甲方采取补救措施和履行通知监管机构和数据主体的义务。9.2.6维护生物识别数据的机密性。9.2.7不将生物识别数据用于任何与甲方指示无关的目的。9.2.8确保其员工了解并遵守本合同项下的数据保护义务。第十条数据泄露通知10.1乙方一旦发现或合理怀疑发生涉及生物识别数据的数据泄露，应立即通知甲方。通知应包括数据泄露的概述、可能的影响、已采取或将要采取的措施以及乙方的联系信息。10.2甲方应在知晓数据泄露后，根据适用的数据保护法律规定的时限内，通知相关的监管机构（如有必要）和数据主体（如适用）。通知内容应包括数据泄露的性质和范围、可能的风险、已采取或将要采取的措施以及监管机构和数据主体的联系方式。10.3双方应合作，共同响应数据泄露事件，并采取必要的措施减轻其不利影响。第十一条计费与审计11.1乙方的服务费用应根据双方另行商定的价格清单确定。该价格清单可包括处理生物识别数据的安全措施费用。11.2甲方有权对乙方的数据处理活动进行审计，以验证乙方是否遵守了本合同的规定以及适用的数据保护法律。甲方应在进行审计前[具体时间，例如：30]天通知乙方。11.3乙方应提供必要的合作，以使甲方能够顺利进行审计。乙方应提供所有相关的记录和文档，并回答甲方提出的合理问题。11.4审计费用由[约定承担方，例如：甲方]承担，但如果审计发现乙方违反了本合同或适用法律，则审计费用应由乙方承担。第十二条违约责任与救济12.1如果任何一方违反本合同的规定，另一方有权要求违约方立即纠正违约行为。12.2如果违约方未能纠正违约行为，或其违约行为构成严重违约（如违反安全措施、数据主体权利、法律义务等），守约方有权采取以下一项或多项救济措施：12.2.1要求违约方支付违约金，违约金金额为[具体金额或计算方式，例如：因违约行为给守约方造成的直接损失的倍数]倍的合同总价。12.2.2中止本合同的履行。12.2.3解除本合同。12.3如果乙方违反其安全措施义务，导致生物识别数据泄露，乙方应承担全部责任，并赔偿甲方因此遭受的直接和间接损失（包括但不限于损害赔偿、监管罚款、声誉损失等）。12.4本合同中的违约金条款是补充性的，不影响守约方寻求其他法律救济的权利。第十三条合同期限、终止与终止后义务13.1本合同自双方签字盖章之日起生效，有效期为[具体年限，例如：三年]。期满后，本合同自动续展[具体年限，例如：一年]，除非任何一方提前[具体时间，例如：三个月]书面通知另一方终止本合同。13.2任何一方可在以下情况下书面通知另一方终止本合同：13.2.1另一方发生严重违约，且在收到通知后[具体时间，例如：30]天内未能纠正。13.2.2另一方进入破产、清算或解散程序。13.2.3适用法律发生重大变化，导致本合同无法履行。13.3在本合同终止时，乙方应：13.3.1立即停止所有与生物识别数据相关的处理活动，除非本合同另有约定或法律要求。13.3.2根据甲方的指示，删除或返回所有相关的生物识别数据及其衍生信息，并证明已采取行动。13.3.3保存必要的处理记录，以满足适用的法律和监管要求，保存期限为[具体年限，例如：五年]，之后应安全删除。13.3.4对其在处理生物识别数据过程中知悉的甲方商业秘密承担保密义务，该义务在本合同终止后持续有效。13.4即使本合同终止，双方在本合同项下关于保密、数据泄露通知、责任、法律适用和争议解决的约定仍然有效。第十四条保密义务14.1双方应对在本合同履行过程中获知的对方的商业秘密和机密信息承担保密义务。该保密义务不因本合同的终止而解除。14.2未经对方书面同意，任何一方不得向任何第三方披露该保密信息，但为履行本合同或法律要求而必须披露的除外。在披露给第三方时，应要求该第三方承担同等的保密义务。14.3本条所称“保密信息”不包括：一方在披露前已公开的信息；一方从有权披露的第三方合法获得的信息；该信息已进入公共领域；该信息是其员工或前员工在披露前已知晓且无保密义务的情况下合法知晓的。第十五条免责声明与不可抗力15.1任何一方不对因第三方行为、数据主体过错、不可抗力或适用法律的规定而造成的损失负责。15.2“不可抗力”是指双方不能合理控制、不可预见且无法避免的事件，包括但不限于自然灾害、战争、恐怖袭击、政府行为、法律变化等。15.3遭遇不可抗力的一方应立即通知另一方，并提供相关证明。双方应协商决定是否暂停或终止本合同。因不可抗力导致本合同无法履行的一方，不承担违约责任。第十六条法律适用与争议解决16.1本合同的订立、效力、解释、履行及争议解决均适用[选择特定国家或地区，例如：欧盟]法律。16.2因本合同引起的或与本合同有关的任何争议，双方应首先通过友好协商解决。协商不成的，任何一方均有权将争议提交至[选择仲裁机构，例如：位于[地点]的[仲裁机构名称]]，按照该仲裁机构的届时有效的仲裁规则进行仲裁。仲裁裁决是终局的，对双方均有约束力。16.3仲裁地点为[仲裁地点]。仲裁语言为[仲裁语言]。（或者，如果选择诉讼：16.2因本合同引起的或与本合同有关的任何争议，双方应首先通过友好协商解决