皮肤检测协议2025年数据安全

皮肤检测协议2025年数据安全甲方（服务提供方）：[服务提供方公司全称]地址：[服务提供方注册地址]统一社会信用代码/注册号：[服务提供方统一社会信用代码/注册号]乙方（用户）：[用户姓名/用户公司全称]地址：[用户注册地址/常住地址]身份证号/统一社会信用代码：[用户身份证号/统一社会信用代码]鉴于甲方提供基于人工智能技术的皮肤检测服务，乙方希望使用该服务，并知悉甲方需在提供服务过程中收集、处理和存储乙方的个人数据（包括敏感个人数据），乙方希望其个人数据得到妥善保护。根据《中华人民共和国个人信息保护法》、《中华人民共和国网络安全法》及其他相关法律法规，甲乙双方经友好协商，达成如下协议：第一条定义与解释除非本协议上下文另有明确说明，下列词语具有以下含义：（一）"个人数据"是指任何与已识别或可识别的自然人有关的信息，包括但不限于自然人的姓名、身份证号、联系方式、出生日期、生物识别信息（如皮肤图像）、健康信息等。（二）"敏感个人数据"是指个人的种族、民族、宗教或者信仰、医疗健康信息、个人行踪信息、个人财产信息、个人账户信息、生物识别信息以及不满十四周岁未成年人的个人信息等。（三）"数据处理"是指任何对个人数据进行收集、存储、使用、加工、传输、提供、公开、删除等操作。（四）"数据控制者"是指确定并实现个人数据处理目的以及处理方式的自然人、法人或者其他组织。（五）"数据处理者"是指根据数据控制者的指示处理个人数据的自然人、法人或者其他组织。（六）"数据安全"是指采取技术和其他必要措施，确保个人数据的安全，防止未经授权的访问、泄露、篡改、毁损。（七）"同意"是指个人在充分知情的前提下，自愿做出的一种真实、明确的表达意愿的行为。第二条服务内容与目的（一）甲方同意向乙方提供皮肤检测服务，包括但不限于：通过移动应用或网站上传皮肤图像、利用人工智能模型分析图像、生成皮肤状况评估报告、提供相关健康建议或筛查提示等。（二）甲方处理乙方个人数据的目的包括：提供和优化皮肤检测服务、进行皮肤状况分析、生成检测报告、保障乙方健康安全、进行服务效果评估、改进AI模型性能（仅限使用匿名化或去标识化后的数据）、向乙方提供与皮肤健康相关的资讯（仅限乙方同意的情况下）。（三）甲方仅收集为实现上述目的所必需的最少个人数据。第三条个人数据的收集与类型（一）甲方将收集以下类型的个人数据：1.基础信息：包括但不限于乙方姓名、性别、出生日期、手机号码、电子邮箱地址等。2.皮肤图像数据：乙方通过应用或网站上传的用于检测的皮肤正面、侧面或其他指定部位的图像信息。3.健康相关信息：乙方自愿提供的与皮肤状况相关的病史、过敏史、家族病史、当前使用的护肤品或药物信息等。4.分析结果与报告：甲方基于AI模型分析生成的乙方皮肤状况评估结果、诊断建议（如有）、风险提示等。（二）甲方将在收集个人数据前，通过显著方式告知乙方收集个人数据的目的、方式、范围、存储期限、安全措施以及乙方的权利等。第四条数据主体的权利（一）乙方作为数据主体，依法享有访问、更正、删除其个人数据的权利。乙方可通过[提供具体联系方式或操作路径，如APP内的隐私设置、客服邮箱等]行使上述权利。（二）乙方有权要求甲方限制对其个人数据的处理。（三）乙方有权在特定情况下（如认为甲方处理其个人数据侵害其合法权益时），要求甲方停止处理并说明理由。（四）乙方有权撤回其同意处理个人数据的决定。甲方在收到撤回同意通知后，将停止处理乙方个人数据，但法律法规另有规定或为履行合同义务所必需的除外。撤回同意不影响撤回前基于同意已进行的处理的法律效力。（五）乙方有权要求甲方删除其个人数据，除非法律法规要求或允许甲方保存。甲方将在收到删除请求后，根据法律法规规定和本协议约定执行删除操作，并通知乙方。第五条数据安全措施（一）甲方承诺采取严格的技术和管理措施保障乙方个人数据的安全，包括但不限于：1.加密措施：对传输中的个人数据采用行业标准的加密协议（如TLSv1.2及以上版本）；对存储的个人数据进行加密处理。2.访问控制：实施严格的内部访问权限管理，仅授权必要人员访问个人数据，并进行操作记录；对访问乙方个人数据的员工进行保密教育和培训。3.系统安全：采用防火墙、入侵检测系统等技术手段保护存储个人数据的系统安全；定期进行安全漏洞扫描和风险评估。4.数据脱敏：在进行模型训练、数据分析或与第三方共享时，对可能识别乙方身份或身份链接的个人信息进行技术脱敏处理。5.备份与恢复：定期备份个人数据，并制定数据恢复计划，确保在发生故障时能够及时恢复数据。6.安全审计：定期对个人数据处理活动进行内部审计，确保持续符合法律法规和本协议要求。（二）甲方将确保其委托处理个人数据的第三方服务提供者（如云存储服务商、AI模型供应商等）遵守不低于本协议约定的数据安全要求和保密义务，并对其进行监督和管理。第六条数据共享与第三方披露（一）甲方仅在以下情况下共享乙方个人数据：1.获得乙方明确、单独的同意。2.为完成本协议约定服务所必需，且已向乙方告知并取得乙方同意。3.依据法律法规或国家有关部门的要求。4.为维护甲方合法权益所必需。（二）甲方与第三方共享个人数据时，将要求该第三方承担与甲方同等的保密义务和数据处理责任，并确保该第三方遵守适用的数据保护法律法规。（三）除前款规定外，未经乙方同意，甲方不得将乙方的个人数据（特别是敏感个人数据）披露给任何第三方用于商业目的或其他与提供服务无关的目的。第七条数据存储与跨境传输（一）甲方将乙方个人数据存储在中国境内。如因履行本协议或甲方其他业务需要，确需将乙方个人数据传输至中国境外的，甲方应确保：1.该境外接收方所在国家或地区提供与其处理的数据所涉及的个人权益保护水平相当或更高的数据保护水平，或已获得相应的数据保护认证（如欧盟的“充分性认定”）。2.或，采取有效的技术措施和管理措施，如签订具有法律约束力的标准合同条款（SCCs），或制定并实施具有约束力的公司规则（BCRs）。（二）甲方将在跨境传输前，将传输的目的地、传输方式、接收方的名称和联系方式、数据接收方的数据保护措施等信息告知乙方，并取得乙方的书面同意（如适用）。（三）甲方存储乙方个人数据的最长期限将遵循合法、正当、必要和最小化的原则，通常自服务终止或乙方要求删除之日起[具体期限，如30日或90日]内完成删除或匿名化处理，除非法律法规要求或为履行甲方法定义务所必需。第八条保密义务（一）双方应对在本协议履行过程中获知的对方的商业秘密、技术信息以及乙方的个人数据承担保密义务。未经对方书面同意，任何一方不得向任何第三方披露，但法律法规另有规定或为履行本协议所必需的除外。（二）保密义务不因本协议的终止而失效，持续有效[具体年限，如协议终止后三或五年]。第九条合规性与法律遵循（一）甲方同意并承诺将其个人数据处理活动完全遵守所有适用于其运营所在地及数据存储所在地（如适用）的数据保护法律、法规和规章，包括但不限于《中华人民共和国个人信息保护法》、《中华人民共和国网络安全法》以及未来可能出台的更严格的法律法规。（二）甲方有义务及时通知乙方发生或可能发生的数据安全事件，并配合监管机构进行调查。第十条通知双方就本协议相关事宜进行的所有通知，均应通过书面形式，发送至本协议首页所列的地址、传真或电子邮件地址。任何一方变更联系方式，应提前[具体天数，如五日]书面通知对方。第十一条协议期限与终止（一）本协议自双方签字或盖章之日起生效，有效期为[具体年限，如一年或长期有效，如服务停止则终止]。（二）任何一方有权在提前[具体天数，如三十日]书面通知对方的情况下终止本协议。（三）协议终止时，甲方应：1.停止处理乙方的个人数据，除非法律法规要求或为履行甲方法定义务所必需。2.根据乙方的请求或本协议约定及法律法规要求，删除或提供乙方个人数据副本（如适用）。3.采取必要措施，确保乙方个人数据在终止后得到安全处理，防止泄露、篡改或毁损。4.除非法律法规另有规定，甲方不得因终止本协议而向乙方收取除已提供服务的费用外任何额外费用。第十二条责任限制与赔偿（一）甲方不对因乙方原因（包括乙方提供的信息不准确或不完整）导致的任何数据问题承担责任。（二）对于因甲方违反本协议（特别是数据安全措施方面）给乙方造成直接经济损失的，甲方应在合理范围内承担赔偿责任，但赔偿总额不超过乙方因该违约行为所遭受的直接损失总额，且甲方累计赔偿责任不超过人民币[具体金额，如十万元]元。法律另有规定的，从其规定。（三）甲方不对因不可抗力（如自然灾害、战争、政府行为等）导致的服务中断或数据问题承担责任，但应采取合理措施减少损失。（四）任何一方均不对因第三方原因（如网络攻击、黑客入侵）导致的数据泄露或安全事件承担责任，但应尽合理努力协助对方处理。第十三条争议解决因本协议引起的或与本协议有关的任何争议，双方应首先通过友好协商解决；协商不成的，任何一方均有权将争议提交至[选择一种方式：甲方所在地有管辖权的人民法院诉讼解决或提交至[具体仲裁委员会名称]按照其届时有效的仲裁规则进行仲裁]。第十四条可分割性如果本协议任何条款被认定为无效、非法或不可执行，该条款应被视为从本协议中删除，但本协议的其他条款应继续保持完全有效。第十五条协议完整性与修订（一）本协议构成双方就本协议主题达成的完整协议，取代双方此前就此达成的所有口头或书面的协议、谅解和承诺。（二）对本协