教育数据隐私保护书

教育数据隐私保护书1.甲方（买方/出租方/委托方）：

甲方名称：北京智创未来科技有限公司（以下简称“甲方”）。

甲方地址：北京市海淀区中关村大街1号智创大厦B座1001室。

甲方法定代表人/负责人：张伟。

甲方联系方式

2.乙方（卖方/承租方/服务提供方）：

乙方名称：上海数据安全咨询服务有限公司（以下简称“乙方”）。

乙方地址：上海市浦东新区张江高科技园区科苑路88号数据安全中心2002室。

乙方法定代表人/负责人：李明。

乙方联系方式

协议简介：

甲方为推进教育信息化建设，需收集、处理及存储大量学生及教职工的教育数据，以支持教学管理、个性化学习分析及教育科研等工作。鉴于教育数据涉及个人隐私，具有高度敏感性，甲方在数据采集、存储及使用的全过程中，高度重视数据隐私保护合规性，故委托乙方提供专业的教育数据隐私保护咨询服务，协助甲方建立完善的数据隐私保护体系，确保数据处理活动符合《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》及相关教育行业法规的要求。乙方凭借在数据隐私保护领域的专业经验及技术能力，为甲方提供包括数据合规评估、隐私政策制定、技术安全防护、人员培训及应急响应等全方位服务。双方基于平等自愿、诚实信用的原则，经友好协商，达成本协议，以明确双方权利义务，共同保障教育数据隐私安全。本协议的履行将直接影响甲方教育数据处理的合法性及安全性，是双方后续合作的基础框架。甲方通过乙方专业服务确保数据处理活动符合法律法规，同时乙方通过提供高质量服务提升甲方数据管理能力，双方合作旨在构建安全、合规的教育数据应用生态。

第一条协议目的与范围

本协议的主要目的在于通过乙方的专业服务，协助甲方建立、完善并有效执行教育数据隐私保护管理体系，确保甲方在收集、存储、使用、传输和删除教育数据的过程中全面符合《中华人民共和国个人信息保护法》《中华人民共和国网络安全法》及相关教育行业法律法规的要求，从而有效防范数据隐私风险，保护学生及教职工的个人信息权益，并为甲方教育信息化的可持续发展提供合规保障。本协议涉及的具体内容包括：乙方为甲方提供教育数据隐私保护现状评估；依据评估结果及甲方需求，协助甲方制定或修订《个人信息保护政策》《数据安全管理制度》等内部规章制度；提供教育数据分类分级标准及隐私影响评估方法论指导；部署或优化数据加密、访问控制、安全审计等技术防护措施；对甲方相关工作人员开展数据隐私保护法律法规及操作规范的培训；建立数据泄露应急响应预案并开展演练；定期出具数据隐私保护合规报告等全方位服务。双方合作范围限定于甲方指定的教育数据应用场景及涉及的师生个人信息处理活动，并遵循国家及地方关于教育数据隐私保护的最新政策法规。

第二条定义

1.教育数据：指在教育教学活动过程中产生的，以及为支持教育教学活动而收集、处理的，能够单独或者与其他信息结合识别特定自然人身份的各种信息，包括但不限于学生身份标识信息、学业成绩、健康信息、行为表现、师生互动记录、家长联系方式等。

2.个人信息：指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

3.数据处理：指对个人信息进行收集、存储、使用、加工、传输、提供、公开、删除等操作。

4.隐私政策：指甲方公开承诺如何收集、使用、存储、保护个人信息，以及个人行使权利的方式等信息的文件。

5.数据安全措施：指为保障数据安全所采取的技术措施和管理措施，包括物理安全、网络安全、数据加密、访问控制、安全审计、应急预案等。

6.合规评估：指乙方对甲方数据处理活动是否符合法律法规要求进行的系统性检查和评价。

7.应急响应：指在发生或可能发生数据泄露等安全事件时，为减少损失、控制影响而采取的即时处置措施。

第三条双方权利与义务

1.甲方的权力与义务

（1）甲方有权要求乙方按照本协议约定提供专业、高效的教育数据隐私保护咨询服务，并有权对乙方的服务质量进行监督和评价。甲方有权根据自身业务发展需求，在合理范围内调整服务内容或要求，但应提前三十日书面通知乙方。

（2）甲方应向乙方提供必要的教育教学背景资料、现有数据处理流程及系统架构信息，并配合乙方开展数据隐私保护现状评估工作。甲方应确保所提供资料的真实性、完整性。

（3）甲方应按照本协议约定，向乙方支付服务费用。甲方有权要求乙方提供符合要求的发票及服务进度报告。甲方在支付服务费用前，有权要求乙方出示相关资质证明及服务承诺文件。

（4）甲方应建立健全内部数据安全管理制度，明确数据管理负责人及权限，对接触教育数据的工作人员进行背景审查及保密培训。甲方应采取必要的技术和管理措施保障数据存储、传输、使用过程中的安全，防止数据泄露、篡改或丢失。

（5）甲方应按照乙方提供的指导，制定或完善《个人信息保护政策》，并在显著位置向学生、教职工及家长公开，确保个人信息主体能够便捷地获取并行使查阅、复制、更正、删除等权利。

（6）发生或预见到可能影响教育数据安全的重大事件时，甲方应及时通知乙方，并共同协商制定应对方案。甲方应配合乙方进行应急响应处置及后续调查工作。

（7）甲方应保证其委托乙方处理的教育数据来源合法，且已取得必要的个人信息处理授权。甲方不得利用乙方提供的服务从事任何违法违规的数据处理活动。

2.乙方的权力与义务

（1）乙方有权要求甲方提供履行本协议所必需的教育数据相关资料及配合程度，甲方应予以积极协助。乙方有权根据协议约定收取服务费用，并有权根据甲方违约行为调整服务价格或解除协议。

（2）乙方应按照本协议约定及专业标准，配备足够数量且具备相应资质的顾问团队为甲方提供服务。乙方应确保提供的服务内容符合国家法律法规及行业最佳实践，包括但不限于：

a.开展全面的教育数据隐私保护合规评估，出具书面评估报告，明确甲方存在的合规风险点及整改建议；

b.根据评估结果及甲方需求，协助甲方制定或修订数据隐私保护相关政策、制度及操作流程，包括但不限于《个人信息保护政策》《数据安全管理制度》《数据分类分级指南》《数据泄露应急响应预案》等，并提供制度落地培训；

c.提供技术选型建议，协助甲方部署或优化数据加密存储、访问控制、安全审计、脱敏处理等安全防护措施，并对现有系统进行合规性检查；

d.为甲方指定人员提供至少四十小时的数据隐私保护法律法规、政策解读及操作实务培训，培训后进行考核并留存记录；

e.建立并维护数据安全咨询服务平台，提供日常合规咨询及问题解答服务，响应时间不超过四个工作小时；

f.在服务期内，每季度向甲方提交服务进度报告及合规改进建议，每年进行一次全面服务总结及效果评估；

g.如甲方发生数据安全事件，乙方应在接到通知后两小时内组建应急小组，六小时内到达现场（或通过远程方式接入系统），协助甲方完成事件处置及根源分析，并出具应急报告。

（3）乙方应确保其顾问团队遵守保密义务，对在服务过程中获知的甲方教育数据及商业秘密承担无限保密责任。未经甲方书面同意，乙方不得以任何形式向第三方披露相关信息，但法律法规另有规定的除外。

（4）乙方应向甲方提供的服务成果（包括但不限于评估报告、制度文件、培训课件、系统方案等）享有著作权，甲方在获得完全授权后方可用于内部管理用途。乙方应授予甲方不可撤销的使用许可，但不得复制、传播或用于任何商业用途。

（5）乙方应建立服务质量监控机制，定期向甲方通报服务满意度调查结果，并根据反馈意见持续改进服务质量。乙方应主动告知甲方可能存在的新的数据隐私保护风险及应对措施。

（6）乙方应配合甲方完成监管部门的数据隐私保护合规检查，提供必要的证明文件及解释说明。如因乙方服务失误导致甲方受到行政处罚或产生赔偿，乙方应在自身责任范围内承担相应补救措施及经济赔偿。

（7）乙方应建立完善的数据处理记录，包括服务内容、完成时间、参与人员、客户反馈等，服务期内的记录保存期限不少于五年，以备甲方或第三方审计查验。

第四条价格与支付条件

1.本协议服务费用总额为人民币肆拾伍万元整（¥450,000.00），包含乙方为甲方提供的全部教育数据隐私保护咨询服务内容，具体服务项目及标准详见本协议附件一《服务清单》。

2.甲方应按照以下方式分期支付服务费用：

（1）协议签订之日起十日内，甲方向乙方支付服务费用总额的百分之五十（50%），即人民币贰拾贰万伍仟元整（¥225,000.00）；

（2）乙方完成全部咨询服务内容并通过甲方书面验收后三十日内，甲方向乙方支付服务费用总额的百分之五十（50%），即人民币贰拾贰万伍仟元整（¥225,000.00）。

3.甲方支付服务费用应通过银行转账方式，将款项汇入乙方指定账户：

开户名称：上海数据安全咨询服务有限公司

开户银行：中国工商银行上海张江支行

银行账号：622202010013560XXXX

4.如甲方因项目范围变更需要增加服务内容，双方应另行协商确定新增服务费用，并签订补充协议。新增服务费用应在补充协议签订后十日内支付。

5.乙方在收到甲方款项后，应向甲方开具等额增值税专用发票。甲方在收到发票后应进行内部审核，如有异议应在七个工作日内提出，乙方应在收到异议后五个工作日内予以解决。

6.若甲方未按本协议约定支付服务费用，每逾期一日，应按逾期支付金额的万分之五（0.5%）向乙方支付违约金。逾期超过三十日，乙方有权暂停服务，直至甲方付清全部款项及违约金，且甲方逾期付款记录将影响其后续合作优先权。

第五条履行期限

1.本协议有效期为自协议签订之日起十二个月，自202X年X月X日至202X年X月X日止。如协议期满前双方均有意继续合作，应在协议到期前六十日书面协商续签事宜。

2.乙方应在协议生效之日起三十日内完成首轮教育数据隐私保护现状评估，并提交初步评估报告。

3.乙方应在收到甲方书面需求确认后九十日内，完成本协议约定的全部咨询服务内容，包括但不限于制度设计、技术方案、人员培训等。

4.乙方应在本协议履行期间，每季度结束后十五日内向甲方提交阶段性服务报告，详细说明当期工作内容、完成情况及下期计划。

5.本协议约定的各项服务内容应在本协议有效期内全部履行完毕。如因不可抗力导致协议无法继续履行，双方应协商解除协议并按已完成工作量比例结算费用。

6.甲方应在本协议履行期间，至少组织两次数据隐私保护应急演练，每次演练后应书面反馈乙方并提出改进要求。乙方应在收到甲方反馈后三十日内提供优化建议。

第六条违约责任

1.甲方违约责任：

（1）甲方未按本协议第四条约定的期限支付服务费用的，除应按万分之五（0.5%）支付每日违约金外，还应承担乙方为催收产生的合理费用（包括但不限于律师函、诉讼费、差旅费等），且逾期超过三十日，乙方有权解除本协议，甲方已支付的服务费用不予退还，且应赔偿乙方因此遭受的直接经济损失。

（2）甲方未按乙方要求提供必要资料或配合开展工作的，每逾期一日，应向乙方支付合同总价款万分之五（0.5%）的违约金。逾期超过三十日，乙方有权解除协议，已支付费用不予退还，且甲方应赔偿乙方因此遭受的直接经济损失及项目前期投入成本。

（3）甲方利用乙方提供的服务从事任何违法违规数据处理活动的，乙方有权立即解除协议，甲方已支付费用不予退还，并应向乙方支付合同总价款二倍（200%）的违约金作为惩罚，同时保留追究甲方全部赔偿责任及追究法律责任的权利。如该违约行为给乙方造成商誉损失或第三方索赔，甲方应承担全部赔偿责任。

（4）甲方要求乙方保密的内容超出约定范围或违反法律法规强制性规定的，甲方应在收到乙方书面通知后立即停止相关违约行为，并赔偿乙方因此遭受的直接经济损失。

2.乙方违约责任：

（1）乙方未按本协议约定按时完成服务内容的，每逾期一日，应按未完成服务金额的万分之五（0.5%）向甲方支付违约金。逾期超过三十日，甲方有权解除协议，乙方应退还已收取但未提供相应服务的费用，并按已完成工作量比例支付服务报酬，且应赔偿甲方因此遭受的直接经济损失。

（2）乙方提供的服务成果（包括但不限于评估报告、制度文件、技术方案等）存在重大瑕疵或不符合法律法规要求的，甲方有权要求乙方在十日内免费修正或重做，逾期未修正的，甲方有权解除协议，乙方应退还全部已收取费用，并按合同总价款的百分之五十（50%）向甲方支付违约金。如该违约行为给甲方造成直接经济损失，乙方应在自身责任范围内承担赔偿责任。

（3）乙方泄露或不当使用甲方商业秘密或教育数据的，应立即停止违约行为，向甲方支付合同总价款二倍（200%）的违约金作为惩罚，并赔偿甲方因此遭受的全部直接经济损失及商誉损失。如该违约行为违反法律法规，乙方还应承担相应的行政或刑事责任。

（4）乙方承诺的服务内容未达到附件一《服务清单》约定标准的，甲方有权要求乙方在十日内免费补充完善，逾期未完善或完善后仍不符合标准的，甲方有权解除协议，乙方应退还全部已收取费用，并按合同总价款的百分之五十（50%）向甲方支付违约金。

3.违约金上限：本协议约定的任何一方违约金总额不应超过合同总价款的百分之三百（300%），如实际损失超过违约金上限，违约方还应赔偿超出部分的实际损失。

4.不可抗力免责：因地震、台风、洪水、战争、疫情等不可抗力导致协议无法履行的，双方互不承担违约责任，但应及时通知对方并提供证明文件，协商调整履行期限或解除协议。不可抗力影响消除后，应尽快恢复履行协议义务。

5.赔偿范围：违约方的赔偿责任包括但不限于直接经济损失、合理维权费用（包括但不限于律师费、诉讼费、评估费等），但不包括因违约行为引发的连锁反应损失及第三方索赔。任何一方行使索赔权利不影响其继续追究违约方其他违约责任的权利。

第七条不可抗力

1.不可抗力定义：本协议所称不可抗力，是指不能预见、不能避免并不能克服的客观情况，包括但不限于：

（1）自然灾害，如地震、台风、洪水、海啸、干旱、暴雪、雷击等；

（2）战争、军事行动、恐怖袭击、动乱、暴乱等；

（3）政府行为，如法律、法规的变更、政策调整、行政命令、禁令等；

（4）疫情及其防控措施，如传染病爆发及政府采取的隔离、封锁等强制措施；

（5）网络攻击、系统故障，如大规模DDoS攻击、关键基础设施瘫痪等非因一方过错导致的系统服务中断；

（6）其他不能预见、不能避免并不能克服的客观情况。

2.不可抗力影响：任何一方因不可抗力导致无法履行或延迟履行本协议义务的，不承担违约责任，但应在不可抗力发生后七个工作日内书面通知对方，并提供相关证明文件。通知应包括不可抗力发生的时间、地点、性质、影响范围及预计持续期限。

3.责任免除：因不可抗力导致协议部分或全部无法履行的，双方应根据不可抗力影响程度协商调整协议履行期限或解除协议。不可抗力影响消除后，受影响方应在合理期限内恢复履行协议义务，已发生的费用按实际服务比例结算。

4.不可抗力举证：主张不可抗力的一方应承担举证责任，提供权威机构出具的报告或公证件。如双方对不可抗力认定存在争议，可提交第三方专业机构进行鉴定。

5.不可抗力持续：如不可抗力状态持续超过六十日，双方均有权单方面解除协议，已发生的服务费用按实际履行比例结算，且互不承担违约责任。解除协议后，双方应就未完成工作成果的处理进行协商，可采取折价补偿或成果捐赠等方式解决。

第八条争议解决

1.争议解决原则：双方在履行本协议过程中发生任何争议，应首先通过友好协商解决。协商应本着平等、诚信、高效的原则，在七个工作日内达成一致解决方案。如协商不成，双方应选择以下第（1）种争议解决方式：

2.争议解决方式：

（1）提交北京仲裁委员会，按照该会现行有效的仲裁规则进行仲裁。仲裁裁决是终局的，对双方均有约束力。仲裁地点为北京市，仲裁语言为中文。

（2）任何一方均有权向甲方所在地有管辖权的人民法院提起诉讼。

3.争议前置程序：选择仲裁方式的，任何一方在提起仲裁或诉讼前，应向对方发出书面争议通知，明确争议事项、主张及依据。双方应在收到通知后三十日内进行书面答辩，或协商确定其他争议解决路径。

4.律师费承担：如进入仲裁或诉讼程序，除双方另有书面约定外，仲裁或诉讼费用（包括但不限于仲裁费、诉讼费、保全费、律师费等）由败诉方承担。如双方均有责任，则按责任比例分担。

5.争议专属：本协议任何争议的解决，均适用中华人民共和国法律。仲裁或诉讼过程中，任何一方不得就同一争议事项再行向第三方主张权利，也不得就同一事实提起其他争议解决程序。

6.保密争议：如争议涉及本协议保密条款的履行，双方应优先选择非公开方式解决，仲裁或诉讼程序中应申请不公开审理。

第九条其他条款

1.通知方式：本协议项下的所有通知、请求、要求或其他通信均应以书面形式（包括但不限于专人递送、挂号信、电子邮件）发送至本协议首部列明的地址或联系方式。任何一方变更联系方式，应至少提前七个工作日书面通知对方。通过电子邮件发送的通知，发出时视为送达；通过专人递送或挂号信发送的通知，寄出后三个工作日视为送达。

2.协议变更：对本协议的任何修改或补充，均须经双方授权代表书面签署补充协议方为有效。补充协议与本协议具有同等法律效力，并与本协议构成不可分割的整体。任何一方不得单方面变更本协议内容。

3.完整协议：本协议及其附件构成双方就本协议标的事项达成的完整协议，取代双方此前就此达成的所有口头或书面协议、谅解或安排。除非本协议明确规定，任何一方均不得以未披露的或其他协议内容为由提出抗辩或索赔。

4.可分割性：本