支付宝人脸信息协议书

支付宝人脸信息协议书1.甲方（买方/出租方/委托方）：

甲方名称：北京某科技有限公司（以下简称“甲方”），统一社会信用代码：91110108MA01ABCDXX，法定代表人：张三，地址：北京市海淀区中关村南大街1号，联系方式甲方是一家依法注册成立的有限责任公司，主要从事互联网技术研发、数据服务及应用推广业务。基于甲方在领域的技术积累及市场需求，甲方拟通过乙方的服务获取并使用支付宝人脸信息，用于提升产品安全性和用户体验。甲方在签署本协议前已充分了解人脸信息的敏感性及合规要求，并承诺严格遵守《中华人民共和国网络安全法》《个人信息保护法》等相关法律法规，确保人脸信息的合法使用。

甲方在业务运营中，为优化身份验证流程、防范欺诈行为及提升用户服务效率，需借助支付宝平台的人脸识别技术。经与乙方协商，甲方同意委托乙方提供人脸信息采集及处理服务，并将依据本协议约定使用相关数据。甲方作为数据使用方，将承担数据安全管理的主体责任，并配合乙方完成必要的技术对接及合规审查。

2.乙方（卖方/承租方/服务提供方）：

乙方名称：杭州某数据服务有限公司（以下简称“乙方”），统一社会信用代码：91330108MA02BCCDXX，法定代表人：李四，地址：浙江省杭州市滨江区网商路599号，联系方式乙方是一家专注于大数据处理及技术研发的企业，具备人脸信息采集、存储及合规使用的专业资质，已获得国家互联网信息办公室及地方数据监管部门备案。乙方通过支付宝平台合作渠道，可为甲方提供人脸信息API接口服务，并确保数据采集过程符合《个人信息保护法》中关于“告知-同意”机制的要求。

乙方作为服务提供方，将依据甲方需求，通过支付宝官方认证的接口获取用户授权的人脸信息，并按照本协议约定进行处理。乙方承诺在数据传输、存储及使用环节采用加密技术，建立完善的数据安全防护体系，并定期接受监管机构的审计。在甲方完成用户授权流程后，乙方将向甲方提供标准化的数据处理服务，包括人脸特征提取、比对及脱敏处理等。乙方同时负责向用户提供透明的人脸信息使用说明，确保用户知情同意权得到保障。

协议背景与前提条件：

本协议基于甲方对安全验证技术的需求，以及乙方在支付宝平台的人脸信息服务能力而签订。甲方在业务场景中需引入人脸识别技术以增强身份认证的安全性，而乙方作为支付宝生态合作伙伴，可提供符合法律法规要求的标准化服务。双方基于平等自愿原则，经友好协商达成合作，以明确数据采集、使用及管理的权利义务。本协议的履行以双方共同遵守《个人信息保护法》《数据安全法》及支付宝平台相关规则为基础，任何一方不得擅自变更协议内容或违反监管要求。

本协议签订前，甲方已通过乙方提供的资料充分了解人脸信息的采集范围、使用目的及用户授权方式，并确认自身业务场景符合《个人信息保护法》中“最小必要”原则。乙方亦保证其提供的服务符合支付宝官方规范，且已取得必要的数据处理资质。双方确认，本协议的履行不涉及非法获取、买卖人脸信息等违法行为，且所有数据处理活动均需以用户明确同意为前提。如遇法律法规调整或平台政策变化，双方将协商调整协议条款，确保持续合规。

第一条协议目的与范围

本协议的主要目的在于明确甲乙双方在支付宝人脸信息处理过程中的权利与义务，确保甲方通过乙方获取的人脸信息合法、合规地用于特定业务场景，同时保障用户个人信息权益和数据安全。本协议涉及的具体内容包括：1）甲方基于业务需求向乙方申请支付宝人脸信息采集及处理服务；2）乙方按照甲方需求及支付宝平台规范，通过官方接口获取用户授权的人脸信息，并提供数据接口支持；3）甲方在获得用户明确同意后，使用人脸信息进行身份验证、风险控制或提升用户体验等合规场景；4）双方共同建立数据安全保障措施，履行个人信息保护责任；5）明确数据使用范围、存储期限及违约责任等。本协议的履行范围限定于甲方授权的具体业务场景，不得超出用户授权范围或法律允许的限度使用人脸信息。

第二条定义

本协议中下列术语具有以下含义：

1）“人脸信息”指通过像、视频等方式记录的能够识别特定自然人身份的人脸生物识别信息，包括人脸像、人脸特征值等数据；

2）“用户”指接受甲方服务并授权使用其人脸信息的自然人；

3）“授权”指用户在明确了解服务目的、信息使用范围及权利义务后，通过支付宝平台提供的授权机制同意甲方使用其人脸信息；

4）“最小必要原则”指甲方仅在实现业务功能所必需的范围内采集、使用人脸信息，不得过度收集或用于非授权场景；

5）“数据脱敏”指对原始人脸信息进行处理，使其无法直接识别特定自然人身份的技术措施；

6）“服务期限”指本协议约定的乙方提供人脸信息服务的起止时间；

7）“合规审查”指双方依据法律法规及支付宝平台规则对数据采集、使用活动进行的合法性、合规性评估。

第三条双方权利与义务

1.甲方的权力与义务：

（1）甲方有权要求乙方提供符合本协议约定及支付宝平台规范的人脸信息采集及处理服务，包括接口文档、技术支持及合规报告等；

（2）甲方有权监督乙方数据处理活动，要求乙方定期提供数据安全审计报告及用户授权证明；

（3）甲方在用户授权同意的前提下，有权将人脸信息用于本协议约定的业务场景，包括但不限于身份验证、交易风控、个性化服务等；

（4）甲方必须确保用户在充分知情的情况下授权使用其人脸信息，且授权方式符合支付宝平台要求；

（5）甲方应建立内部数据管理制度，对获取的人脸信息进行分类存储、访问控制和定期清理，存储期限不得超出业务需求及法律规定；

（6）甲方不得将人脸信息用于非法目的，不得向第三方提供或出售，除非获得用户另行授权或法律法规要求；

（7）甲方应在发现数据泄露、滥用或非授权访问等风险时，立即通知乙方并采取补救措施，同时配合监管机构；

（8）甲方应向用户提供便捷的撤回授权渠道，并在用户撤回授权后及时停止使用其人脸信息。

2.乙方的权力与义务：

（1）乙方的核心义务在于确保提供的服务符合《个人信息保护法》《数据安全法》及支付宝平台规则，具备合法的数据处理资质及技术能力；

（2）乙方有权要求甲方提供清晰的服务需求说明，包括业务场景、数据使用范围及预期效果，以验证甲方资质及合规性；

（3）乙方必须通过支付宝官方认证的接口进行人脸信息采集，确保用户授权流程符合“最小必要”及“单独同意”原则，并提供用户授权日志供甲方核验；

（4）乙方应采用行业领先的数据加密、脱敏及访问控制技术，建立三级安全防护体系，防止数据在传输、存储过程中被篡改或泄露；

（5）乙方有权对甲方使用人脸信息的行为进行合规审查，包括但不限于接口调用记录监控、数据使用范围检查及业务场景验证；

（6）乙方应建立用户投诉处理机制，在收到用户关于人脸信息使用的异议时，及时进行核查并反馈处理结果给甲方；

（7）乙方需配合甲方完成支付宝平台的技术对接，提供必要的技术文档、操作培训和应急响应支持；

（8）乙方应向甲方提供季度数据安全报告，包括用户授权变更、数据访问日志及安全事件记录，并接受双方共同指定的第三方机构进行年度审计；

（9）在甲方出现违反本协议或法律法规使用人脸信息的行为时，乙方有权暂停服务并要求甲方限期整改，情节严重时有权终止合作；

（10）乙方应确保其员工及授权第三方严格履行保密义务，不得泄露与甲方业务相关的技术参数及用户授权数据。

第四条价格与支付条件

甲方应向乙方支付人民币叁拾万元整（￥300,000.00）作为服务费用，该费用包含乙方提供的人脸信息采集接口服务、技术支持、合规审查报告及用户授权管理系统的使用权。支付方式采用银行转账，甲方应在协议签订之日起七日内将首期费用（人民币壹拾伍万元整，￥150,000.00）转入乙方指定的银行账户，账户信息如下：开户名称：杭州某数据服务有限公司，开户银行：中国工商银行杭州滨江区支行，账号：6222020100112345678。剩余款项（人民币壹拾伍万元整，￥150,000.00）应在乙方完成全部服务并提交最终合规报告后三十日内支付。如甲方需增加服务范围或服务量，双方应另行协商价格并签订补充协议。所有价格均以人民币计价，不包含税费，如遇政府调整税率，双方应按新规执行。

第五条履行期限

本协议有效期为自双方签字盖章之日起壹年，自202X年X月X日至202X年X月X日。协议期满前三个月，如双方均有意继续合作，应另行签订续约协议。乙方应在协议生效后十五日内完成与甲方系统的技术对接，并确保在一个月内实现稳定的人脸信息采集服务。甲方应在每月第一个工作日前向乙方提供上月用户授权数据统计表，乙方应在收到后十日内完成合规性审核并反馈甲方。关键时间节点包括：用户授权率低于80%时，甲方应在五个工作日内优化授权流程；数据安全事件发生后的四小时内，双方应启动应急响应机制；年度审计报告提交期限为每年十二月三十一日前。任何一方违反时间约定，应承担相应的违约责任。

第六条违约责任

1.甲方违约责任：

（1）如甲方未按本协议第四条约定按时足额支付服务费用，每逾期一日，应向乙方支付逾期金额千分之五的违约金，逾期超过三十日，乙方有权暂停服务并解除协议，甲方已支付的费用不予退还，并承担乙方因此遭受的直接损失。如甲方因未授权或授权无效导致服务中断，责任由甲方承担，乙方不退还任何费用。

（2）甲方擅自超出授权范围使用人脸信息，包括但不限于用于非法商业推广、向第三方提供数据等，应立即停止违约行为并赔偿乙方经济损失，赔偿金额不低于人民币伍拾万元整（￥500,000.00），同时乙方有权终止协议并追究甲方的法律责任。如因此引发用户投诉或监管处罚，全部责任由甲方承担。

（3）甲方未履行数据安全保护义务导致人脸信息泄露，应承担全部赔偿责任，包括但不限于用户精神损害赔偿、监管罚款及乙方成本，赔偿总额不超过人民币壹仟万元整（￥10,000,000.00）。乙方在协助甲方处理后，有权从甲方未支付的服务费用中直接扣除相应赔偿金。

（4）甲方未按约定提供用户授权数据统计表或配合合规审查，导致乙方无法完成服务或合规认证，每逾期一日，应向乙方支付人民币伍仟元整（￥5,000.00）的违约金，逾期超过十五日，乙方有权解除协议并要求甲方支付已完成服务的费用。如因此对乙方声誉造成损害，甲方应承担修复费用。

2.乙方违约责任：

（1）乙方未按约定提供稳定的服务，包括接口故障、采集失败率超过5%或用户授权流程异常，每发生一次，应向甲方支付人民币伍万元整（￥50,000.00）的违约金，累计超过三次，甲方有权解除协议并要求乙方退还已支付的服务费用。如服务中断导致甲方业务损失，乙方应承担直接损失的百分之五十赔偿责任，最高不超过人民币壹佰万元整（￥1,000,000.00）。

（2）乙方提供的接口或服务存在安全漏洞，导致甲方的人脸信息泄露，应全额赔偿甲方的直接经济损失，包括但不限于用户补偿费用、监管罚款及费用，赔偿金额不低于人民币壹佰万元整（￥1,000,000.00）。同时，乙方应承担甲方的法律责任风险，并赔偿甲方因此产生的律师费、诉讼费等。

（3）乙方未按约定提交合规审查报告或用户授权日志，每逾期一日，应向甲方支付人民币壹万元整（￥10,000.00）的违约金，逾期超过三十日，甲方有权解除协议并要求乙方退还全部服务费用。如因此导致甲方无法通过监管检查，乙方应承担全部责任并赔偿甲方经济损失。

（4）乙方擅自将甲方业务数据用于其他客户或商业目的，无论是否产生收益，均构成严重违约，乙方应立即停止行为并赔偿甲方人民币壹仟万元整（￥10,000,000.00）的违约金，甲方同时有权向监管部门举报并追究乙方的刑事责任。本协议自签订之日起生效，违约责任不因协议解除而免除。任何一方违约时，守约方有权要求继续履行、采取补救措施或赔偿损失，选择权由守约方决定。如违约金不足以弥补实际损失，守约方有权要求补足差额。双方应通过友好协商解决争议，协商不成的，任何一方均有权向甲方所在地人民法院提起诉讼。

第七条不可抗力

本协议所称不可抗力，是指不能预见、不能避免并不能克服的客观情况，包括但不限于地震、台风、洪水、火灾、战争、恐怖袭击、政府行为（如法律法规变更、政策调整、禁令等）、网络攻击、系统故障（非因一方过错造成的）、流行病疫情等。任何一方因不可抗力导致无法履行或部分履行本协议义务的，不承担违约责任，但应在不可抗力发生后七个工作日内通知对方，并提供相关证明文件。不可抗力影响持续超过三十日的，双方应协商是否延期履行、部分履行或解除协议。因不可抗力造成的损失，双方应各自承担，互不追责。如不可抗力消除后，双方应尽快恢复履行协议义务，已发生的费用按实际支出结算。双方应在不可抗力发生期间采取合理措施减少损失，若未采取合理措施导致损失扩大，仍需承担相应责任。

第八条争议解决

因本协议引起的或与本协议有关的任何争议，双方应首先通过友好协商解决；协商不成的，任何一方均有权选择以下第（一）项或第（二）项方式解决：

（一）提交北京市海淀区人民法院通过互联网诉讼方式审理。双方应配合法院通过网络平台提交证据、进行质证和辩论，并遵守法院作出的判决或裁定。诉讼过程中产生的诉讼费、保全费、律师费等由败诉方承担，胜诉方有权要求败诉方承担。

（二）提交中国国际经济贸易仲裁委员会（CIETAC），按照申请仲裁时该会现行有效的仲裁规则进行仲裁。仲裁地点为杭州市，仲裁语言为中文。仲裁庭由三名仲裁员组成，其中一方当事人指定一名，另一方当事人指定一名，仲裁委员会主任指定一名。仲裁裁决是终局的，对双方均有约束力。仲裁过程中产生的仲裁费、律师费等由败诉方承担，胜诉方有权要求败诉方承担。

双方应遵守仲裁庭或法院的管辖约定，未经对方书面同意，任何一方不得将争议提交其他仲裁机构或法院。仲裁期间，除争议事项外，双方应继续履行本协议其他未受争议影响的条款。

第九条其他条款

（一）通知方式：双方在本协议首部列明的联系方式为有效通知地址。任何书面通知应以书面形式（包括但不限于专人递送、挂号信、电子邮件）发送至指定地址。电子通知需发送至双方确认的官方邮箱，并以发送时记录的发送成功回