企业数据安全管理体系协议2025年数据主体权利

企业数据安全管理体系协议2025年数据主体权利鉴于企业（以下简称“公司”）为保障数据安全、履行数据保护义务，建立了数据安全管理体系（以下简称“DSMS”），并致力于在数据处理活动中尊重并保障数据主体（以下简称“主体”）的各项合法权益；主体希望了解并行使其在数据处理活动中享有的各项权利，并确认公司DSMS对其权利保障的作用；依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》及相关法律法规的规定，双方经友好协商，达成以下协议：第一条数据安全管理体系概述1.1公司已根据国家法律法规及行业标准，建立并持续完善DSMS，旨在全面保障其处理的数据的安全性和合法性。1.2DSMS涵盖数据分类分级、数据采集与处理规范、数据存储与传输安全、数据使用与共享管理、数据安全事件监测与响应、数据主体权利响应机制、员工数据安全意识与培训等环节。1.3公司承诺将DSMS作为履行数据保护义务、保障数据主体权利的重要基础，并确保DSMS的有效运行。第二条数据主体权利的保障2.1公司确认并承诺尊重并保障主体依据法律法规及本协议所享有的各项数据主体权利，包括但不限于知情权、访问权、更正权、删除权、限制处理权、数据可携带权、反对权以及不受自动化决策权。2.2公司将通过公开的隐私政策、用户协议、产品或服务说明等渠道，以及DSMS内的相关流程，确保主体能够充分了解其权利内容、行使条件及方式。2.3公司将根据法律法规及本协议的规定，建立并公开数据主体权利行使的申请渠道、处理流程和响应时限。第三条知情权3.1公司有义务通过清晰、准确、易懂的方式，向主体告知数据处理的基本情况，包括：(a)数据处理的目的、方式和范围；(b)处理和存储个人数据的种类、存储期限；(c)数据的存储地点和跨境传输情况（如适用）；(d)主体行使其数据主体权利的途径和联系方式；(e)公司履行数据保护义务的联系人信息；(f)法律法规规定的其他需要告知的事项。3.2公司将通过官方网站、产品或服务界面、用户手册、隐私政策页面等方式公示上述信息，并确保主体能够便捷访问。第四条访问权4.1主体有权访问其授权公司处理或公司依据法律法规合法处理的个人数据。4.2主体可通过公司公开的权利行使渠道提交访问请求，请求获取其个人数据副本。4.3公司将在收到访问请求后，验证主体的身份。验证通过后，公司将在法律法规规定的期限内（或双方约定的合理期限内，例如自收到请求之日起三十日内），以主体易于理解的方式（例如电子文档格式）提供数据副本。4.4公司因法律原因无法提供全部或部分数据的，应向主体说明情况、法律依据，并仅提供无法提供部分的原因。第五条更正权5.1主体发现其个人数据存在错误或遗漏的，有权请求公司进行更正。5.2主体可通过公司公开的权利行使渠道提交更正请求，并提供相关证明材料（如适用）。5.3公司将在收到更正请求后，验证主体的身份。验证通过且更正请求符合法律法规要求的，公司应及时对错误或遗漏的个人数据进行更正，并通知相关联方（如适用）。5.4公司将在合理期限内完成更正，并通知主体更正的结果。第六条删除权（被遗忘权）6.1主体在符合以下一种或多种情形时，有权请求公司删除其个人数据：(a)公司处理该数据的基础法律关系终止，且无其他合法处理依据；(b)公司违反法律法规或本协议约定处理该数据；(c)主体撤回同意，且无其他合法处理依据；(d)公司处理该数据已非实现处理目的所必需；(e)主体以同意处理其个人数据的方式行使了反对权；(f)法律法规规定的其他可以删除的情形。6.2主体可通过公司公开的权利行使渠道提交删除请求。6.3公司将在收到删除请求后，验证主体的身份。验证通过且属于上述可删除情形的，公司应立即停止处理该主体的个人数据，并按照法律法规规定的程序和时限进行删除，除非法律法规另有规定。6.4对于需要通知关联方进行数据删除的，公司应采取必要措施确保关联方收到删除通知并执行删除操作。6.5公司将在完成删除操作后，向主体发送确认通知。第七条限制处理权7.1主体在符合以下一种或多种情形时，有权请求公司限制处理其个人数据：(a)主体反对公司处理其个人数据，且公司未能证明处理该数据具有正当理由；(b)公司处理的个人数据不准确，公司未进行更正，且主体要求公司限制处理该数据的；(c)公司已停止处理其个人数据，但需要存储该数据的，且主体要求公司限制处理该数据的；(d)法律法规规定的其他可以限制处理的情形。7.2主体可通过公司公开的权利行使渠道提交限制处理请求。7.3公司将在收到限制处理请求后，验证主体的身份。验证通过且属于上述可限制处理情形的，公司应采取以下一种或多种方式限制处理该主体的个人数据：(a)仅存储该数据，不再用于其他任何处理；(b)仅用于履行法律法规规定的义务或履行与主体签订的合同所必需的处理；(c)在征得主体明确同意前，不进行自动化处理；(d)法律法规规定的其他限制处理方式。7.4公司应将采取的限制处理措施通知主体，并仅在限制处理措施持续有效的期间内处理该主体的个人数据，除非获得主体的进一步授权或法律要求。第八条数据可携带权8.1主体在符合以下情形时，有权请求公司向其提供其个人数据，并转移给其他合法控制者：(a)主体同意公司处理其个人数据；(b)公司基于同意或履行合同而自动处理主体提供的个人数据。8.2主体请求转移数据的，应说明接收数据者的具体情况。8.3公司将在收到符合条件的可携带权请求后，验证主体的身份。验证通过后，公司在法律法规规定的期限内（或双方约定的合理期限内，例如自收到请求之日起三十日内），以主体指定或公司提供的、可移植的、结构化的、通用的数据格式（如符合GDPRRL2016/679第20条(3)款要求的格式），提供该主体的个人数据副本，并直接传输给主体指定的接收者，除非法律法规另有规定或无法实现。8.4公司因技术原因无法直接传输的，可先向主体提供数据副本，主体再自行转移。第九条反对权9.1主体有权反对公司处理其个人数据，特别是：(a)基于公共利益或法定任务而进行的处理，且该处理对主体的基本权利和自由可能造成不利影响；(b)为进行科学研究和历史研究或统计目的而进行的处理，且该处理对主体的基本权利和自由可能造成不利影响；(c)为进行直接营销而进行的自动化处理。9.2对于基于公共利益或法定任务的处理，主体行使反对权的，公司应进行评估，并优先考虑主体的基本权利和自由。9.3对于直接营销活动中的自动化处理，公司应提供便捷的反对渠道。主体明确表示反对接收直接营销信息的，公司不得再向其发送任何形式的直接营销信息。9.4主体可通过公司公开的权利行使渠道提交反对请求。9.5公司将在收到反对请求后，验证主体的身份。对于符合条件的反对请求，公司应立即停止处理该主体的个人数据，除非公司能够证明处理该数据具有压倒性的合法理由，且该理由超过了主体的基本权利和自由。第十条不受自动化决策权（包括profiling）10.1主体有权不经历仅由自动化处理（包括profiling）作出的对其具有法律效力或类似重大影响的决定。10.2公司在采用自动化决策技术（包括profiling）作出决定前，应确保该技术符合法律法规的要求，并采取必要措施保障主体的权利。10.3当公司基于自动化决策（包括profiling）作出对主体具有法律效力或类似重大影响的决定时，公司应提供人工干预、解释或获得人类解释的机会。10.4主体可通过公司公开的权利行使渠道提出不受自动化决策影响的请求，或要求人工解释。10.5公司将在收到请求后，验证主体的身份，并评估是否存在适用的自动化决策情形。如存在，公司应提供必要的解释或安排人工干预。第十一条权利行使的程序11.1主体行使其数据主体权利的，应通过公司公开的以下渠道之一提交请求：(a)公司官方网站上指定的联系方式；(b)公司指定的电子邮件地址；(c)公司设置的专门在线申请平台。11.2主体提交请求时，应提供足以证明其身份的信息，如姓名、身份证号、账号等。公司将在收到请求后，根据需要采取合理措施验证主体的身份。11.3公司将在收到请求后，按照本协议约定及法律法规规定的时限内响应主体的请求。如因请求内容复杂或需要额外时间，公司可与主体协商确定合理的处理时限。11.4公司处理主体权利请求时，不得收取不合理费用，但法律另有规定的除外。第十二条DSMS的支持与配合12.1主体在行使其数据主体权利时，应积极配合公司根据DSMS要求进行的身份验证、信息核实等必要程序。12.2公司承诺其DSMS中的数据主体权利响应机制将有效运行，确保主体权利请求得到及时、准确的处理。第十三条争议解决13.1因本协议引起的或与本协议有关的任何争议，双方应首先通过友好协商解决。13.2协商不成的，任何一方均有权向有管辖权的人民