数据分类分级标准协议

数据分类分级标准协议1.甲方（买方/出租方/委托方）：

甲方名称：XX科技有限公司（以下简称“甲方”），注册地址：中国北京市海淀区XX路XX号XX大厦X层X室，法定代表人/负责人：张三，联系电话甲方是一家从事大数据分析、云计算及人工智能技术研发与应用的高新技术企业，拥有丰富的数据处理经验和成熟的数据安全管理体系。为满足业务发展需要，甲方拟采购/租赁/委托乙方提供符合国家数据分类分级标准的数据处理服务，以提升数据管理效率并确保数据安全合规。甲方在数据处理领域具有多年行业积累，已建立完善的数据治理框架，但需借助乙方的专业技术能力进一步优化数据分类分级流程，以符合《信息安全技术数据分类分级指南》（GB/T37988-2020）等国家标准要求。

2.乙方（卖方/承租方/服务提供方）：

乙方名称：XX数据安全技术有限公司（以下简称“乙方”），注册地址：中国上海市浦东新区XX路XX号XX产业园X号楼X层X室，法定代表人/负责人：李四，联系电话乙方是一家专注于数据分类分级、数据安全评估及隐私保护解决方案的专业服务机构，拥有国家认证的数据安全服务资质，具备CMMI5级认证和ISO27001信息安全管理体系认证。乙方长期服务于金融、医疗、政务等高敏感数据行业，积累了大量实战经验，并研发了自主研发的数据分类分级自动化工具及风险评估模型。基于乙方的专业能力及合规资质，甲方选择乙方作为数据处理服务的合作方，以实现数据资源的规范化管理和风险控制。

**协议简介**

本协议由甲方与乙方基于双方在数据分类分级领域的专业能力及合作需求，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《信息安全技术数据分类分级指南》（GB/T37988-2020）等相关法律法规制定。协议旨在明确双方在数据分类分级标准实施过程中的权利与义务，确保数据分类分级工作符合国家及行业要求，同时保障数据全生命周期的安全合规。甲方通过采购/租赁/委托乙方服务，获取数据分类分级技术支持及咨询服务，乙方则根据甲方需求提供定制化数据分类分级方案、工具部署及持续优化服务。双方基于平等自愿原则，结合各自优势，共同推进数据分类分级标准的落地实施，以实现数据资源的有效管理和安全利用。协议的履行将有助于甲方提升数据治理水平，降低合规风险，并为乙方创造长期稳定的业务合作机会。双方均认可数据分类分级作为数据安全管理的核心环节，需通过标准化流程和技术手段确保数据分类的准确性、分级结果的科学性及后续管理措施的严密性。本协议的签订及履行，将构成双方在数据分类分级领域的完整合作框架，并为后续技术对接、服务交付及验收提供法律依据。

第一条协议目的与范围

本协议的主要目的是明确甲乙双方在数据分类分级标准实施过程中的合作目标、具体内容与责任分工，确保双方合作符合国家及行业相关法律法规要求，共同推进甲方数据资产的规范化分类与分级管理。协议范围包括但不限于：乙方根据甲方数据资产特点及管理需求，提供数据分类分级标准的咨询、方案设计、工具部署、实施培训及持续优化服务；甲方配合乙方开展数据盘点、分类属性识别、分级规则确定等必要工作，并确保提供数据的真实性、完整性及合规性。具体内容涵盖数据分类分级策略制定、分类分级工具集成、分级标签应用推广、风险评估与应对措施制定、以及符合《信息安全技术数据分类分级指南》（GB/T37988-2020）等标准的落地实施，最终形成可执行的数据分类分级管理体系，并支持甲方满足监管机构的数据安全审计要求。

第二条定义

1.数据分类分级：指根据数据敏感性、重要性及合规要求，按照国家或行业规定标准，对数据资产进行分类标识和风险分级的活动。

2.数据分类分级标准：指本协议约定遵循的《信息安全技术数据分类分级指南》（GB/T37988-2020）等国家或行业数据分类分级规范。

3.数据分类分级工具：指乙方提供的用于辅助数据分类分级工作的软件系统、模型或技术平台。

4.数据资产：指甲方拥有或控制的所有电子数据和非电子数据，包括但不限于业务数据、用户数据、运营数据等。

5.风险评估：指对已分类分级数据面临的泄露、篡改、滥用等风险进行识别、分析与评估的过程。

6.合规性：指数据分类分级工作及管理措施符合国家法律法规、行业规范及甲方内部管理制度的要求。

第三条双方权利与义务

**1.甲方的权力和义务**

（1）甲方的权力：

a.有权要求乙方按照协议约定提供数据分类分级专业咨询和技术支持，并对服务质量进行监督和评估。

b.有权根据业务需求调整数据分类分级范围和标准，并要求乙方配合更新实施方案。

c.对乙方提供的数据分类分级工具及服务成果享有使用权，但不得超出协议约定范围进行转售或二次开发。

d.有权在协议履行过程中获取乙方履约进度报告及阶段性成果验收文件。

e.对乙方违反协议约定或造成数据安全风险的行为，有权要求乙方立即整改并承担相应责任。

（2）甲方的义务：

a.向乙方提供真实、完整的数据资产清单及管理需求说明，并确保数据来源合法合规。

b.指派专人配合乙方开展数据盘点、分类属性识别、分级规则论证等工作，并提供必要的技术接口支持。

c.负责落实数据分类分级标准在业务系统的落地实施，包括分级标签的维护、应用及审计。

d.保障乙方工作人员在甲方场所开展服务时的必要工作条件，包括办公环境、数据访问权限及安全防护措施。

e.按照协议约定及时支付服务费用，并对乙方提供的商业秘密承担保密义务。

f.在数据分类分级过程中发现的问题或风险，应及时向乙方反馈并配合制定解决方案。

g.确保甲方内部员工已接受数据分类分级相关的培训，并遵守相关管理制度的约束。

**2.乙方的权力和义务**

（1）乙方的权力：

a.有权根据协议约定收取服务费用，并要求甲方按时足额支付。

b.有权要求甲方提供必要的数据资产信息及配合开展现场服务，以保障项目顺利实施。

c.对甲方提供的数据及信息享有保密权，并可根据法律法规要求甲方提供数据脱敏处理。

d.有权对服务成果进行阶段性验收，并要求甲方确认验收结果。

e.对甲方违反数据分类分级标准或造成数据安全风险的行为，有权提出整改建议并暂停服务。

（2）乙方的义务：

a.组建具备数据分类分级资质的专业团队，配备满足项目需求的技术工具及方法论体系。

b.根据甲方数据特点及管理需求，提供符合国家标准的定制化数据分类分级方案，包括：

-数据分类维度设计（如按业务域、敏感级别等维度划分）；

-分级规则制定（如根据数据泄露影响程度划分等级）；

-分类分级工具部署（包括数据采集、标签化、可视化等功能模块）；

-风险评估模型开发及持续优化服务。

c.提供完整的数据分类分级实施服务，包括：

-数据分类分级标准培训（覆盖甲方IT、业务及合规部门人员）；

-数据分类分级工具操作培训及文档交付；

-数据分类分级实施过程的质量控制及阶段性报告；

-数据分类分级管理体系的持续优化建议。

d.严格遵守数据安全法律法规及甲方内部管理制度，采取必要技术措施保障数据安全，包括：

-对接触甲方的数据进行加密传输及存储；

-对服务人员进行数据安全背景审查及保密培训；

-建立数据访问权限控制机制及操作日志审计制度。

e.在项目实施过程中，定期向甲方提交项目进度报告、风险预警及解决方案建议，确保项目符合协议约定及国家合规要求。

f.对在服务过程中获取的甲方商业秘密及敏感数据承担保密义务，未经甲方书面同意不得向第三方披露。

g.提供数据分类分级工具的必要技术支持及维护服务，包括系统升级、故障排除及版本更新等，确保工具稳定运行。

h.配合甲方完成监管机构的数据安全审计工作，提供必要的证明材料及现场演示。

第四条价格与支付条件

本协议项下的服务费用采用以下方式确定和支付：

（1）服务费用总额：经双方协商一致，甲方同意向乙方支付数据分类分级服务的费用总额为人民币叁拾伍万元整（¥350,000.00）。该费用包含但不限于数据分类分级标准咨询、方案设计、工具部署、实施培训、风险评估及为期六个月的持续优化服务。

（2）费用构成：服务费用根据项目阶段分为三个部分，具体明细如下：

-第一阶段：咨询与方案设计费，金额为人民币拾万元整（¥100,000.00），占服务总额的28.57%；

-第二阶段：工具部署与实施费，金额为人民币贰拾万元整（¥200,000.00），占服务总额的57.14%；

-第三阶段：持续优化服务费，金额为人民币伍万元整（¥50,000.00），占服务总额的14.29%。

（3）支付方式：甲方应通过银行转账方式向乙方支付服务费用。乙方应在收到甲方付款后向甲方开具等额合规发票。

（4）支付时间：

-第一阶段费用应在协议签署后十日内支付；

-第二阶段费用应在乙方完成工具部署并通过甲方初步验收后十日内支付；

-第三阶段费用应在项目整体交付后六个月内分期支付，每季度支付壹万元整。

（5）付款账户：

乙方名称：XX数据安全技术有限公司

开户银行：中国XX银行XX支行

账号：XX1001XXXXXX

（6）税费承担：本协议约定的服务费用为含税价格，如需甲方代扣代缴税款，相关税费由甲方承担；如乙方需甲方开具增值税专用发票，相应税额由甲方承担。

（7）价格调整：除本协议另有约定外，协议履行期间不考虑价格调整因素。如遇国家政策重大调整导致乙方成本显著变化，双方应友好协商调整方案。

第五条履行期限

（1）协议有效期：本协议自双方授权代表签字盖章之日起生效，有效期为十二个月，自202X年X月X日至202Y年X月X日止。如协议到期前双方均未提出书面终止意向，本协议自动续延十二个月，续延次数不限。

（2）项目实施期限：

-第一阶段（咨询与方案设计）：自协议签署之日起三十日内完成，交付数据分类分级需求分析报告及实施方案初稿；

-第二阶段（工具部署与实施）：自第一阶段验收合格之日起九十日内完成，交付数据分类分级工具及基础数据集，并通过甲方内部测试验收；

-第三阶段（持续优化服务）：自第二阶段验收合格之日起六个月内完成，乙方提供每周不少于两次的技术支持，每月提交优化进度报告。

（3）关键时间节点：

-协议签署后十日内，甲方支付第一阶段费用；

-第一阶段成果提交后十日内，甲方组织验收；

-第二阶段费用支付节点，乙方完成工具部署；

-第二阶段成果提交后十日内，甲方组织正式验收；

-项目整体交付后三十日内，双方完成最终结算；

-协议终止后六个月内，乙方完成所有服务资料归档及知识转移工作。

（4）延期条款：如因不可抗力或经双方协商一致同意延期，项目实施期限相应顺延，但最长不超过三个月。延期期间乙方服务费用不作调整。

第六条违约责任

**1.甲方的违约责任**

（1）付款延迟责任：甲方未按本协议第四条约定的期限支付服务费用的，每逾期一日，应按逾期支付金额的万分之五向乙方支付违约金。逾期超过三十日，乙方有权暂停服务，并要求甲方一次性支付全部未付款项及违约金。逾期超过六十日，乙方有权解除协议，甲方除支付全部款项及违约金外，还应承担乙方因项目终止产生的直接损失，包括但不限于已发生的服务成本、第三方合作费用等。

（2）配合义务违反责任：甲方未按约定提供必要数据资料、技术接口或配合乙方开展现场服务的，每项延误导致乙方项目进度滞后超过十日的，甲方应向乙方支付人民币伍万元整（¥50,000.00）的违约金。因甲方原因导致项目延期超过三十日的，乙方有权解除协议，甲方应支付已完成工作的80%费用及所有违约金。

（3）保密义务违反责任：甲方及其工作人员泄露乙方在服务过程中获取的任何商业秘密或技术信息的，应立即停止违约行为并赔偿乙方直接经济损失，包括但不限于商业秘密价值、调查费用、律师费等，违约金金额不低于人民币壹佰万元整（¥1,000,000.00）。若该违约行为构成刑事犯罪，甲方应承担相应的刑事责任，乙方保留进一步追偿的权利。

（4）知识产权侵权责任：甲方因使用乙方提供的工具或服务成果侵犯第三方知识产权被起诉或被行政处罚的，应承担全部法律责任及经济赔偿，并赔偿乙方因此遭受的损失，包括但不限于诉讼费、律师费、和解金等。

**2.乙方的违约责任**

（1）服务质量违约责任：乙方未能按本协议第二条约定的标准完成服务内容，导致数据分类分级结果不符合国家三级等保要求或行业规范的，甲方有权要求乙方在三十日内免费修正或重做，并赔偿因此造成的直接经济损失。修正后仍不合格的，甲方有权解除协议，乙方应退还已收取费用的70%并支付人民币拾万元整（¥100,000.00）的违约金。

（2）工具性能违约责任：乙方提供的数据分类分级工具出现系统故障或功能缺失，经通知后七日内未能修复的，每项故障点应向甲方支付人民币伍仟元整（¥5,000.00）的违约金。累计故障超过三次或导致项目延期超过三十日的，甲方有权解除协议，乙方应退还全部已收取费用并支付人民币伍拾万元整（¥500,000.00）的违约金。

（3）数据安全责任：乙方在服务过程中发生数据泄露、篡改或丢失事件，导致甲方数据资产遭受损失的，应承担全部赔偿责任，赔偿金额不低于甲方直接损失的两倍，且最高不超过人民币壹仟万元整（¥1,000,000.00）。若该违约行为造成甲方业务中断，乙方还应承担每日人民币拾万元整（¥10,000.00）的违约金，直至业务恢复。

（4）保密义务违反责任：乙方及其工作人员泄露甲方商业秘密或敏感数据的，应立即停止违约行为并赔偿甲方直接经济损失，包括但不限于商业秘密价值、调查费用、律师费等，违约金金额不低于人民币壹佰万元整（¥1,000,000.00）。若该违约行为构成刑事犯罪，乙方应承担相应的刑事责任，甲方保留进一步追偿的权利。

（5）服务成果交付延迟责任：乙方未能按本协议第五条约定的期限交付阶段性成果或服务成果的，每逾期一日，应按该阶段服务费用总额的万分之五向甲方支付违约金。逾期超过三十日，甲方有权解除协议，乙方应退还已完成阶段费用及违约金，并赔偿甲方因此遭受的间接损失。

**3.违约金与赔偿的适用**

（1）本协议约定的违约金条款为累加适用，除非一方违约行为同时触犯多个违约条款。若违约金总额超过甲方实际损失的150%，甲方有权请求减少违约金；若违约金低于甲方实际损失的50%，甲方有权请求增加违约金。

（2）违约方承担违约责任后，不免除其继续履行协议义务的责任。如违约行为导致协议目的无法实现，守约方有权解除协议并要求赔偿全部损失。

（3）对于非金钱责任（如整改、修复等），违约方应在收到守约方书面通知后十日内完成，逾期未完成的，守约方有权委托第三方代为履行，相关费用由违约方承担。

第七条不可抗力

（1）定义：本协议所称不可抗力，是指不能预见、不能避免并不能克服的客观情况，包括但不限于：自然灾害（如地震、洪水、台风、雷击等）、战争、动乱、政府行为（如法律变更、政策调整、禁令等）、流行病疫情、网络攻击、电力或通讯中断等。不可抗力事件应导致直接损害或阻碍协议任何一方履行其在本协议下的全部或部分义务。

（2）举证责任：发生不可抗力事件的一方应在事件发生后七日内书面通知另一方，并提供相关证明文件（如政府部门公告、新闻报道、保险理赔文件等），以便另一方核实。如另一方对不可抗力事件的存在或影响有合理质疑，通知方应进一步提供证据。

（3）责任免除：如不可抗力事件持续超过三十日，任何一方均有权根据事件影响程度，部分或全部免除因不可抗力事件导致的违约责任，但应尽力采取合理措施减轻损失。不可抗力事件消除后，受影响方应立即恢复履行协议义务，已发生的免责不构成协议解除。

（4）不可免除的责任：因不可抗力导致的延迟履行，若非因不可抗力方的过错造成的，不承担违约责任；若因不可抗力方的过错导致事件发生或扩大，仍需承担相应责任。任何一方因不可抗力免除的责任不免除其采取合理预防措施的责任。

（5）协议解除：如不可抗力事件导致协议目的完全无法实现，经双方协商一致或根据法律规定，可以解除协议。解除协议时，双方应根据已完成的工作量及合作情况，合理结算费用，并互不承担违约责任。

第八条争议解决

（1）协商解决：凡因本协议引起的或与本协议有关的任何争议，双方应首先通过友好协商解决。协商应指派各自授权代表进行，若在协议生效后三十日内未能达成一致，应视为协商不成。

（2）调解解决：协商不成的，双方可共同选择一家中立的第三方调解机构进行调解。调解协议达成后，应签署书面调解书，经双方签字后具有约束力。调解费用由双方按比例分担。

（3）仲裁解决：若调解仍未能解决争议，任何一方均有权将争议提交至中国国际贸易促进委员会（CITIC）中国国际经济贸易仲裁委员会（CIETAC），按照其现行仲裁规则进行仲裁。仲裁地点为甲方所在地（北京市），仲裁语言为中文。仲裁裁决是终局的，对双方均有约束力，仲裁费用由败诉方承担。

（4）诉讼选择：除上述仲裁约定外，任何一方均不可单方面就本协议争议向有管辖权的人民法院提起诉讼。选择仲裁方式后，任何一方不得再以诉讼方式解决该争议。仲裁机构作出的裁决具有法律效力，当事人应自觉履行。如一方不履行裁决，另一方可向人民法院申请强制执行。

（5）争议专属：本协议争议解决条款具有专属效力，不影响双方在本协议其他条款下的权利义务。任何一方在本协议有效期内就同一争议事项未按本条款解决的，不得在协议终止后一年内向其他争议解决方式提出。

第九条其他条款

（1）通知方式：本协议项下的所有通知、请求、要求或其他通信均应以书面形式（包括但不限于专人递送、挂号信、传真、电子邮件）发送至本协议首部列明的地址或联系方式。任何一方变更联系方式，应至少提前十日书面通知另一方。以电子邮件方式发送的，发出时视为送达；以专人递送或挂号信方式发送的，寄出后第三日视为送达。

（2）完整协议：本协议构成双方就本协议主题事项达成的完整协议，取代双方此前就此达成的所有口头或书面协议、谅解或承诺。任何对本协议的补充或修改，均须经双方授权代表书面签署补充协议后方能生效。

（3）可分割性：若本协议任何条款被有管辖权的人民法院或仲裁机构认定为无效、非法或不可执行，该条款应被视为从本协议中删除，但本协议的其他条款效力不受影响。双方应协商替换为内容最接近、合法有效的条款。

（4）转让限制：未经另一方事先书面同意，任何一方不得将其在本协议项下的权利或义务部分或全部转让给第三方。但甲方因合并、分立、被收购等企业主体变更需要转让的，应视为正常业务交接，乙方应予以配合，转让条件由双方另行协商。

（5）独立缔约方：本协议由双方各自授权代表签署，各代表仅代表其自身利益行事，不得被视为双方或任何一方的代理人或分支机构。一方内部机构的任何决定或行为，未经该方授权代表书面确认，不得约束另一方。

（6）法律适用：本协议的订立、效力、解释、履行及争议解决均适用中华人民共和国法律（为本协议之目的，不包括香港特别行政区、澳门特别行政区和台湾地区的法律）。双方应遵守适用的法律、法规及监管要求。

（7）利益分配：若本协议约定由一方或双方获取因履行本协议产生的收益（如数据服务费等），收益应按照约定方式分配。若未约定，则按实际贡献比例分享，具体分配方案由双方协商确定。

（8）知识产权：除本协议另有约定外，双方各自在本协议履行前已拥有的知识产权仍归各自所有。乙方为履行本协议而开发或产生的成果，其知识产权归属由双方根据贡献大小在项目启动时书面明确约定。若未约定，则默认归乙方所有，甲方获得在中国范围内使用该成果的授权，范围限于本协