教育数据合规授权书

教育数据合规授权书1.甲方（买方/出租方/委托方）：

甲方名称：北京智创未来科技有限公司（以下简称“甲方”）。

甲方地址：北京市海淀区中关村南大街5号科创大厦15层1501室。

甲方法定代表人/负责人：张明。

甲方联系方式

甲方是一家专注于教育科技领域的高科技企业，致力于通过大数据、等先进技术提升教育服务质量和效率。近年来，甲方在开展教育数据分析、个性化学习平台研发等业务过程中，积累了大量教育数据资源，并计划通过授权方式与乙方合作，共同推进教育数据合规化应用。为保障数据安全、合规使用，并充分发挥数据价值，甲方与乙方达成一致，就教育数据的授权使用及相关合作事宜，依据《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》等相关法律法规，本着平等自愿、诚实信用的原则，制定本协议。

在当前教育数字化转型的背景下，教育数据已成为推动教育创新和优质资源均衡发展的重要驱动力。甲方拥有合法获取和持有教育数据的能力，并已建立完善的数据治理体系，但为进一步拓展数据应用场景，需要借助乙方的技术能力和合规经验。乙方作为业内领先的数据合规服务商，具备丰富的数据处理经验和专业的法律顾问团队，能够为甲方提供数据合规授权、隐私保护评估、数据脱敏加工等全方位服务。双方基于各自的优势，通过本次合作，旨在构建教育数据合规应用生态，同时确保数据主体的合法权益不受侵害。

2.乙方（卖方/承租方/服务提供方）：

乙方名称：上海数据安全科技有限公司（以下简称“乙方”）。

乙方地址：上海市浦东新区张江高科技园区博山路88号科创中心2号楼2001室。

乙方法定代表人/负责人：李强。

乙方联系方式

乙方是一家专注于数据合规、隐私保护及数据安全领域的科技企业，致力于为教育、金融、医疗等关键行业提供数据合规解决方案。乙方拥有专业的数据合规团队、成熟的技术平台和丰富的行业经验，已为超过百家中大型企业提供了数据合规咨询服务，并在教育数据合规领域积累了显著成果。为响应国家关于教育数据安全与合规的政策要求，乙方积极研发教育数据合规处理技术，包括数据分类分级、脱敏加密、访问控制等，能够为甲方提供全流程、标准化的数据合规授权服务。

甲方在开展教育数据应用过程中，面临数据合规性、安全性等多重挑战，特别是涉及学生个人信息的处理，必须严格遵守法律法规要求。乙方凭借其技术实力和专业能力，能够帮助甲方建立符合《个人信息保护法》《数据安全法》等法律法规要求的数据处理机制，确保数据授权使用过程中的合法性、正当性和必要性。双方通过本次合作，将共同探索教育数据合规应用的新模式，推动数据要素市场化配置改革，同时为教育行业数字化转型提供有力支撑。

基于上述背景，甲方拟将其合法持有的部分教育数据进行授权，由乙方负责合规化处理和应用开发；乙方则承诺按照协议约定提供数据合规服务，并保障数据处理的合法性和安全性。双方通过签署本协议，明确各自的权利义务，规范数据授权使用行为，为后续合作奠定坚实基础。本协议的签订，不仅符合双方商业利益，更体现了对数据合规、个人隐私保护的共同承诺，有助于构建健康、可持续的教育数据应用生态。

第一条协议目的与范围

本协议的主要目的在于明确甲乙双方围绕教育数据合规授权使用的合作目标与具体内容，确保教育数据的处理活动符合《中华人民共和国网络安全法》《中华人民共和国个人信息保护法》《数据安全法》等相关法律法规的要求，同时促进教育数据资源的合理利用与价值实现。协议范围包括但不限于：甲方将其合法持有的教育数据进行授权，乙方依据协议约定对授权数据进行合规化处理、应用开发及安全保障服务。具体内容涵盖数据授权的范围与方式、数据处理的操作规范、数据安全保护措施、隐私影响评估机制、合规审计监督以及违约责任等，旨在构建一套完整的教育数据合规授权与管理体系，保障数据主体权益，防范法律风险，推动教育数据在合规框架内高效流通与应用。

第二条定义

本协议中下列术语具有以下含义：

（一）教育数据：指在教育教学活动过程中直接或间接产生的，以电子或者其他方式记录的，与特定自然人人相关的各类信息，包括但不限于学生身份信息、学业成绩、学习行为数据、教师信息、学校运营数据等。

（二）数据合规授权：指甲方在确保合法合规的前提下，将部分教育数据的使用权、处理权等在约定范围内授予乙方，乙方据此开展数据处理活动的行为。

（三）数据处理：指对教育数据进行收集、存储、使用、加工、传输、提供、公开等操作活动。

（四）数据脱敏：指通过技术手段对原始数据进行改造，使其失去识别特定自然人的直接识别属性，同时尽可能保留数据的可用性。

（五）隐私影响评估：指在数据处理前，对可能产生的隐私风险进行识别、评估和采取补救措施的过程。

（六）数据安全：指采取必要的技术和管理措施，保障教育数据在存储、传输、使用等环节的安全性，防止数据泄露、篡改、丢失。

（七）数据主体：指教育数据的控制者或处理者所识别或可识别的自然人。

第三条双方权利与义务

**1.甲方的权力与义务：**

（一）权力：

1.1甲方有权要求乙方按照协议约定及国家法律法规要求，对授权数据进行合规化处理，并监督乙方数据处理活动的执行情况。

1.2甲方有权获取乙方关于数据处理活动的定期报告及合规审计结果，并有权对乙方数据处理技术、流程提出改进建议。

1.3在乙方违反协议约定或数据处理活动存在重大合规风险时，甲方有权要求乙方立即停止处理并采取补救措施，同时有权根据协议约定追究乙方的违约责任。

1.4甲方有权根据自身业务发展需要，在提前通知乙方的合理期限内，变更数据授权范围或使用目的，但变更内容不得违反法律法规及原授权的基本原则。

（二）义务：

2.1甲方保证其作为数据控制者，已取得所授权教育数据的合法来源，且数据处理活动符合《个人信息保护法》《数据安全法》等相关法律法规要求，具备相应的数据合规资质。

2.2甲方有权向乙方提供必要的教育数据授权证明文件，包括但不限于数据收集许可、用户同意书等，并确保所提供文件的真实性、有效性。

2.3甲方应配合乙方开展隐私影响评估工作，及时提供数据来源、处理目的、预期风险等必要信息，并协助乙方完成评估报告的撰写。

2.4甲方应建立健全内部数据管理制度，明确数据安全责任，采取技术措施（如加密、访问控制）保护存储及传输中的教育数据安全，防止数据泄露、篡改或丢失。

2.5甲方应确保在数据授权范围内使用乙方处理后的数据，不得超出约定范围进行非法使用或转授权，并承担因自身原因导致的数据合规风险责任。

2.6甲方应按照协议约定向乙方支付数据处理费用，并确保支付方式、金额等信息的准确性，任何因甲方原因导致的支付延迟或错误，乙方有权暂停数据处理服务直至问题解决。

**2.乙方的权力与义务：**

（一）权力：

2.1乙方有权要求甲方提供合法的数据授权证明文件，并在必要时对甲方数据进行合规性审查，以确保授权数据的合法性及处理活动的合规性。

2.2乙方有权根据协议约定及数据安全需要，制定并执行数据处理操作规范、安全管理制度及应急预案，甲方应予以配合。

2.3乙方有权在数据处理过程中，对涉及高风险操作或敏感信息处理时，要求甲方提供额外的用户同意或场景说明，以保障数据主体权益。

2.4乙方有权根据数据处理规模、复杂程度及合规要求，在协议框架内制定合理的数据处理费用标准，并有权在发生重大合规成本变化时，与甲方协商调整费用。

2.5乙方有权在协议履行过程中，根据法律法规更新情况或监管要求变化，向甲方提出优化数据处理流程、加强安全防护等建议，甲方应予以重视。

（二）义务：

3.1乙方作为数据处理者，应严格遵守《个人信息保护法》《数据安全法》等相关法律法规及本协议约定，确保数据处理活动的合法性、正当性、必要性，不得超出授权范围处理数据。

3.2乙方应建立完善的数据合规体系，包括但不限于：制定数据处理操作手册、实施数据分类分级管理、建立数据主体权利响应机制、开展定期的合规审计与风险评估。

3.3乙方应采取行业领先的技术措施和管理措施保障数据安全，包括但不限于：数据加密存储、传输加密、访问权限控制、安全区域隔离、定期安全漏洞扫描与修复、建立数据备份与恢复机制。

3.4乙方应配合甲方开展隐私影响评估工作，根据甲方提供的信息及数据处理实际情况，完成评估报告，并采取相应的风险控制措施，如数据脱敏、匿名化处理等。

3.5乙方应建立数据主体权利响应流程，及时处理数据主体提出的访问、更正、删除等请求，并确保响应时间符合法律法规要求，同时向甲方通报处理情况。

3.6乙方应建立数据泄露应急预案，在发生或可能发生数据泄露事件时，立即启动应急响应机制，采取补救措施，并第一时间通知甲方及受影响的数据主体，同时按照法律法规要求向监管部门报告。

3.7乙方应确保其员工及授权第三方知晓并遵守本协议及国家关于数据合规的法律法规要求，与甲方共同履行数据保护责任，不得利用授权数据从事任何与协议约定无关的活动。

3.8乙方应定期向甲方提供数据处理报告，内容包括数据处理活动概述、合规措施执行情况、安全事件记录、用户权利响应统计等，接受甲方的监督与核查。

3.9乙方在处理敏感个人信息或跨境传输数据时，应严格遵守法律法规的特别规定，如需进行跨境传输，应事先获得数据主体的明确同意或采取安全传输措施，并确保符合国家关于数据出境的安全评估要求。

第四条价格与支付条件

4.1价格条款：乙方提供的数据合规授权服务费用，根据数据处理的数据量、数据类型、处理复杂度、安全防护等级、合规服务范围等因素综合确定。具体费用标准由双方在协议附件中详细列明，作为本协议不可分割的一部分。甲方同意按照附件约定的价格标准支付乙方服务费用。

4.2支付方式：甲方应通过银行转账方式将服务费用支付至乙方指定的银行账户。乙方指定的银行账户信息如下：开户名称：上海数据安全科技有限公司；开户银行：中国工商银行上海张江支行；账号：6222020100123456789。

4.3支付时间：甲方应按照协议附件中约定的支付计划按时足额支付费用。通常情况下，首期费用在协议签订后三日内支付，后续费用根据数据处理进度或周期（如按月、按季度）在相应周期结束后指定时间内支付。具体支付节点和金额详见协议附件。甲方逾期支付任何一期费用，每逾期一日，应按逾期金额的万分之五向乙方支付违约金，逾期超过三十日，乙方有权暂停提供服务，并保留解除协议的权利。

4.4费用调整：如因国家法律法规变化、监管要求提高或市场行情显著变动，导致乙方提供服务的成本发生重大变化，双方应在协议履行前三十日进行协商，就服务费用进行调整。若协商不成，乙方有权根据实际情况调整费用，并提前书面通知甲方。

第五条履行期限

5.1本协议的有效期限自双方签字盖章之日起生效，至协议约定的最后服务事项完成且费用结清之日终止。协议有效期为【肆】年，自【2024年1月1日】至【2028年12月31日】。

5.2协议期限届满前【拾】个月，如双方均有意继续合作，应另行协商签订续期协议。若双方未在期限届满前达成续期协议，本协议到期自动终止。

5.3协议履行期间涉及的关键时间节点包括：

（1）数据授权范围确认：协议签订后【伍】日内完成。

（2）首次隐私影响评估：数据授权范围确认后【拾】日内完成评估报告。

（3）服务启动：隐私影响评估通过后【陆】日内，乙方开始提供数据处理服务。

（4）定期报告提交：乙方每【壹】月结束后【拾】日内向甲方提交数据处理报告及合规自查报告。

（5）费用支付节点：按照附件约定的周期性支付。

5.4如遇节假日，关键时间节点的计算方式为该节假日的前一个工作日。任何一方因不可抗力导致无法按时履行义务，应提前书面通知对方，并根据不可抗力影响程度协商调整时间节点。

第六条违约责任

6.1甲方的违约责任：

6.1.1若甲方未能按照本协议第四条约定的价格与支付条件按时足额支付服务费用，每逾期一日，应按逾期金额的万分之五向乙方支付违约金。逾期超过【壹拾】日，乙方有权暂停提供服务，并要求甲方一次性支付所有未付费用及违约金。若甲方仍拒不支付，乙方有权解除协议，并要求甲方赔偿由此造成的全部损失，包括但不限于乙方已投入的成本、预期收益损失以及为追索欠款产生的合理费用。

6.1.2若甲方提供的授权数据存在瑕疵（如未脱敏的敏感信息、来源非法的数据等），导致乙方处理活动违反法律法规或造成第三方索赔，甲方应承担全部责任。乙方有权要求甲方立即纠正并承担由此产生的全部费用（包括但不限于合规整改费用、第三方赔偿金），同时甲方还应向乙方支付协议总金额【伍】%的违约金。若违约行为情节严重，构成犯罪的，乙方有权移交司法机关处理。

6.1.3若甲方擅自超出授权范围使用乙方处理的数据，或非法转授权给第三方，甲方应立即停止该行为并删除相关数据。同时，甲方应向乙方支付协议总金额【拾】%的违约金，并赔偿乙方因此遭受的所有损失。乙方还有权要求甲方承担相应的行政处罚责任后果。

6.1.4若甲方未能按照本协议第五条约定的关键时间节点提供必要协助（如未能及时确认数据范围、未能及时反馈评估意见等），导致乙方服务延迟或无法按期完成，每延迟一日，甲方应向乙方支付协议总金额【壹】%的违约金。延迟超过【贰拾】日，乙方有权解除协议，并要求甲方支付已完成服务的费用及上述违约金。

6.2乙方的违约责任：

6.2.1若乙方未能按照本协议第三条约定的标准和要求履行数据处理义务，导致数据处理活动不符合法律法规规定或未能达到约定的合规水平，乙方应立即采取补救措施，并承担由此产生的全部责任。甲方有权要求乙方退还相应阶段的服务费用，并支付协议总金额【叁】%的违约金。

6.2.2若因乙方技术故障、操作失误、安全措施不足或其他原因导致授权数据泄露、篡改、丢失，乙方应立即启动应急预案，采取补救措施，并承担全部赔偿责任。赔偿范围包括但不限于数据恢复成本、数据主体遭受的损失（根据《个人信息保护法》规定进行赔偿）、监管部门的罚款、以及甲方因此遭受的业务损失。同时，乙方还应向甲方支付协议总金额【拾】%的违约金。若违约行为严重，导致甲方业务中断或声誉受损，违约金上限不受此比例限制，直至弥补甲方全部损失。

6.2.3若乙方未经甲方书面同意，擅自泄露、篡改、使用或转授权甲方授权的数据，或未能履行数据安全保护义务，应立即停止违约行为，并赔偿甲方因此遭受的全部损失。损失赔偿金额不低于协议总金额的【壹拾】倍，且甲方有权要求乙方承担相应的刑事责任。同时，乙方还应向甲方支付协议总金额【壹佰】%的违约金。

6.2.4若乙方未能按照本协议第五条约定的关键时间节点提交服务报告或完成合规评估，每延迟一日，应向甲方支付协议总金额【壹】%的违约金。延迟超过【拾】日，甲方有权解除协议，并要求乙方支付已完成服务的费用及上述违约金。

6.3不可抗力导致的违约：若因不可抗力（如战争、自然灾害、法律政策重大变化等）导致任何一方无法履行协议义务，该方不承担违约责任，但应在不可抗力发生后【柒】日内书面通知对方，并提供相关证明文件。双方应根据不可抗力影响程度，协商决定是否延期履行、部分履行或解除协议。因不可抗力造成的损失，由各方自行承担。

6.4争议解决期间的违约：在争议解决期间，除争议事项外，双方应继续履行协议中其他未受争议影响的义务。任何一方不得以争议存在为由拒绝履行非争议事项下的义务，否则应承担相应的违约责任。

第七条不可抗力

7.1定义：本协议所称不可抗力，是指不能预见、不能避免并不能克服的客观情况，包括但不限于：地震、台风、洪水、火灾、雷电、恐怖袭击等自然灾害；战争、动乱、罢工、政府行为等社会事件；以及影响网络与信息系统运行的政府指令、法律政策调整、大规模网络攻击、系统故障等无法预见或虽可预见但无法避免的事件。

7.2不可抗力影响：任何一方因不可抗力导致无法完全或部分履行本协议约定的义务时，不承担违约责任。但该方应在不可抗力发生后【7】日内书面通知另一方，详细说明不可抗力的具体情况、影响范围以及预计持续期限，并提供相关证明材料（如政府公告、灾害评估报告、系统故障记录等）。

7.3协议调整：在不可抗力影响期间，双方应根据不可抗力对协议履行的影响程度，协商决定是否延期履行、部分履行或变更履行方式。如不可抗力持续超过【30】日，双方均有权书面通知对方解除本协议。解除协议时，双方应就已完成的服务进行结算，互不承担违约责任，但已产生的实际损失应由各方自行承担。

7.4损失承担：因不可抗力造成的直接损失（如财产损失、数据恢复成本），由各方自行承担；若不可抗力导致一方预期收益损失，除双方另有约定外，损失赔偿责任不超过协议总金额的【10%】。任何一方因不可抗力获益的，应将额外利益返还给另一方。

7.5不可抗力终止：不可抗力影响消除后，受影响方应立即通知另一方，并尽快恢复履行协议义务。如不可抗力导致协议部分条款无法履行，双方应协商修改或删除相关条款，确保协议其余部分仍然有效。

7.6不可抗力声明：双方均应保证其不可抗力声明是真实、准确、完整的，并应根据要求提供进一步证明。任何一方虚假声明不可抗力以逃避责任的，应承担相应的违约责任。

第八条争议解决

8.1争议解决原则：双方在履行本协议过程中发生任何争议，应首先本着友好协商的原则，通过书面沟通或召开会议的方式解决。协商应寻求达成双方均能接受的解决方案，以维护双方长期合作关系。

8.2协商不成处理：若协商在【30】日内未能解决争议，或任何一方在协商开始后【10】日内未积极响应协商请求，双方同意将争议提交【仲裁】解决。仲裁机构选择【中国国际经济贸易仲裁委员会（CIETAC）】，仲裁规则适用【中国国际经济贸易仲裁委员会仲裁规则】。仲裁地点为【甲方所在地】，除非双方另有书面约定。

8.3仲裁裁决效力：仲裁庭作出的裁决是终局的，对双方均有约束力。任何一方均应自觉履行裁决。如一方拒不履行，另一方有权向有管辖权的人民法院申请强制执行。

8.4争议范围：本协议争议解决条款适用于因本协议引起的或与本协议有关的任何争议，包括但不限于协议的订立、效力、解释、履行、违约责任、争议解决方式等。

8.5保密性：双方在争议解决过程中，对于披露给对方的商业秘密、技术信息及其他未公开信息，均应承担保密义务，除非法律规定或仲裁机构要求披露。争议解决程序及仲裁裁决内容，除法律要求外，亦应予以保密。

8.6专属管辖（可选补充，若选择诉讼）：若双方选择诉讼方式解决争议，双方均应将争议提交【甲方所在地】有管辖权的人民法院诉讼解决。任何一方在甲方所在地之外提起诉讼的，另一方有权提出管辖权异议，并要求法院移送至甲方所在地法院管辖。

第九条其他条款

9.1通知方式：双方就本协议相关事宜进行的所有通知、请求、要求或其他通信，均应采用书面形式（包括但不限于信函、传真、电子邮件）发送至本协议首部列明的地址或联系方式。以电子邮件方式发送的，发出时视为送达；以快递或挂号信方式发送的，寄出后【3】日视为送达。任何一方变更联系方式，应至少提前【7】日书面通知另一方。

9.2协议变更：对本协议的任何修改或补充，均须由双方协商一致，并以书面形式作出，作为本协议不可分割的一部分。任何一方不得单方面修改或补充本协议，单方面作出的修改或补充均不产生法律效力。

9.3保密条款：双方应对本协议内容、授权数据的商业价值、技术细节以及合作过程中获悉的对方商业秘密、技术信息等承担严格的保密义务。未经对方书面同意，任何一方不得向任何第三方披露（为履行协议目的必要的员工、顾问除外，且该等人员负有保密义务），不得用于本协议约定之外的目的。保密期限为本协议有效期内及协议终止后【5】年。

9.4不可分割性：本协议构成双方就教育数据合规授权合作的完整协议，取代双方此前就此达成的所有口头或书面协议、谅解。本协议任何条款的无效或不可执行，不影响其他条