2026年数据共享授权知情同意书

2026年数据共享授权知情同意书一、文书定位与适用范围本同意书是一份具有法律约束力的书面授权文件，不是流程性告知材料。数据主体一旦签署，即视为对数据共享的范围、目的、期限和风险已充分知情并自愿同意，该文件将作为机构处理个人信息的合法性依据之一，在监管检查、争议举证和审计追溯时直接调取。本同意书适用于以下类型的数据共享场景：•机构向第三方服务商、合作方提供数据主体的个人信息，用于系统运维、业务外包、统计分析等目的；•机构在不同业务线之间跨部门共享数据主体的个人信息；•机构将数据主体的个人信息提交至上级主管单位、行业监管平台或政府公共服务平台；•机构因合并、分立、破产重组等情形需要转移数据主体个人信息。以下场景不属于本同意书覆盖范围，应当另行取得数据主体的单独同意或履行其他合法依据：•涉及人类遗传资源（血液、组织样本及其检测数据）的采集和对外提供，须依据《中华人民共和国人类遗传资源管理条例》另行签署专项知情同意书；•涉及医疗健康数据的临床研究用途，须依据《医疗卫生机构开展研究者发起的临床研究管理办法》另行签署研究知情同意书；•涉及个人信息出境（向境外传输数据），须单独签署出境授权条款并完成《个人信息保护法》第三十八条规定的安全评估、认证或标准合同流程。本同意书所称"机构"指收集数据主体个人信息并决定处理目的和方式的组织，全称及统一社会信用代码见本同意书首页签署栏。所称"数据主体"指个人信息被采集和共享的自然人本人，或对未成年人、无民事行为能力人负有监护职责的法定代理人。二、知情内容：数据从哪来、给谁、给多少、拿去做什么知情是同意的前提。数据主体只有在完整掌握以下五个维度的信息后，其签署的授权才构成法律意义上的"有效同意"：维度本同意书要回答的问题对应条款范围采集了哪些数据、什么类别第四、五、六条去向数据给谁、属于什么性质的接收方第七条用途接收方拿数据做什么、为什么必须有第八条期限数据保存多久、到期怎么处理第十条风险可能发生什么损害、机构怎么兜底第十一条阅读本同意书时，数据主体应当重点核对第四条的数据清单与第八条的用途描述。凡数据清单中列明但用途描述中未体现的数据项，数据主体有权在签署前要求机构删除或说明。三、被授权处理的数据主体范围本同意书所称数据主体，包括与机构建立业务关系、接受机构服务或与机构存在雇佣关系的自然人，具体为：•机构的客户、用户、消费者及其经办人、紧急联系人；•机构的供应商、合作方的经办人与主要负责人；•机构员工及其紧急联系人、家庭成员；•因机构业务流程需要而采集信息的来访人员、访客。数据主体为未成年人的，由其法定代理人代为本条授权，并在签署栏注明监护人关系。法定代理人代为授权时，应当以被监护人的利益最大化为原则，不得代为同意超出必要限度的数据共享。四、共享的数据内容与分类本同意书采用"非敏感信息概括授权、敏感信息单独勾选"的双层授权结构。数据主体须分别对两类信息作出明确的意思表示，不可混为一谈。概括授权条款不能涵盖敏感个人信息的共享，单独勾选的敏感信息授权也不能反推概括授权条款的效力。4.1第一类：概括授权（非敏感个人信息）数据主体授权机构在第八条所述目的范围内，向第七条所述的接收方共享以下类别的数据。每类数据涉及的常见数据项列举如下，但以机构实际业务过程中按照最小必要原则采集的数据项为准：数据类别常见数据项示例说明身份识别信息姓名、性别、出生日期、国籍、证件类型及证件号码（脱敏后）证件号码在对外共享时须做去标识化处理，接收方无法直接还原完整号码联系信息邮寄地址、电子邮箱、经脱敏的手机号码（如138******）共享手机号码时仅保留前三位与后四位，用于物流通知等场景业务关系信息合同编号、会员等级、开户日期、业务办理渠道、业务流水号不含交易明细和资金信息消费与使用记录消费金额区间、消费频次、商品或服务类别、使用时长金额脱敏为区间值，如"1000~3000元"，不共享精确金额设备与技术信息IP地址、设备型号、操作系统版本、浏览器类型、应用版本号不含设备唯一识别码（IMEI/IDFA）和精确定位信息评价与反馈信息投诉记录、服务评价内容、满意度调查结果共享前去除对话原文中的姓名、工号等可识别信息4.2第二类：单独勾选的敏感个人信息以下敏感个人信息，机构仅在数据主体单独勾选同意后方可对外共享，且每一类均须独立勾选。未勾选的类别视为不同意共享，机构不得以上述类别数据缺失为由拒绝提供核心服务，但法律、行政法规另有规定的除外。•[]同意共享生物识别信息（人脸图像、指纹特征、声纹特征），用途限定为：____________________•[]同意共享精确地理位置信息（GPS定位、基站定位原始数据），用途限定为：____________________•[]同意共享金融账户信息（银行账号、第三方支付账号及交易明细），用途限定为：____________________•[]同意共享健康生理信息（体检报告、就诊记录、用药记录），用途限定为：____________________•[]同意共享行踪轨迹信息（基于移动终端的实时位置轨迹、出行记录），用途限定为：____________________•[]同意共享不满十四周岁未成年人的个人信息，用途限定为：____________________敏感个人信息的共享期限不得超过该类别信息所服务业务的生命周期。业务终止后，接收方应当在30日内删除相关敏感信息且不得保留副本，删除动作须向机构出具书面确认函。五、不采集与不共享的数据项以下数据不在采集和共享范围内。数据主体一经发现机构或接收方违规处理以下信息，有权立即要求停止处理并行使撤回同意、删除等权利：•与机构业务无关的通讯录内容（联系人姓名、电话号码、备注信息）；•个人聊天记录、短信原文、通话录音内容，法律另有规定的除外；•个人相册中的非业务相关照片和影像资料；•身份证、护照、户口簿等证件的完整影像件（仅采集必要的证件号码信息或加盖用途水印的复印件）；•个人宗教信仰、政治面貌、性取向等与业务无关的敏感信息；•法律法规禁止采集的其他个人信息。机构不得以"方便后续服务""完善用户画像""为你好"等理由诱导数据主体同意采集超出必要限度的数据。数据主体有权拒绝上述超范围采集要求，且拒绝行为不影响已同意业务范围内的服务质量。六、数据来源与采集合法性保证来源合法是机构响应数据主体"我的数据为什么在你们那里"质疑的基本义务。机构向数据主体共享的数据，其来源仅限于以下合法渠道：来源渠道说明合法性要求数据主体主动提供通过线上表单、线下柜台、业务办理材料等途径由本人或代理人提交采集时告知用途并取得同意业务过程中自动生成使用机构服务过程中产生的日志记录、交易流水、系统操作记录遵循合法正当必要原则，向数据主体说明采集逻辑合法公开渠道政府信息公开平台、依法公开的企业公示信息、数据主体自行公开的信息在合理范围内处理，不得超出公开时的用途预期法律法规规定的其他来源司法机关依法调取、行政机关依法要求提供、数据主体依法必须披露的信息依据具体法律条文，留存调取文书机构不得从非法渠道购买、收受或交换个人信息，不得以诱骗、欺诈、胁迫等方式获取个人信息。数据主体发现来源非法的，有权拒绝签署本同意书并要求机构删除相关数据；机构拒不删除的，数据主体可向履行个人信息保护职责的部门投诉举报。七、数据接收方与传输方式7.1接收方类别与共享依据以下每类接收方均在数据主体概括授权范围内，机构无须就单次共享逐一向数据主体重复征得同意，但须确保共享行为符合最小必要原则，并在共享台账中记录每一笔共享的数据项、时间、用途和对接人。接收方类别典型示例共享的数据范围共享目的基础技术服务商云服务提供商、短信服务商、邮件服务商用户账号标识、联系邮箱、手机号（脱敏）、设备信息系统运行、消息触达、数据存储业务合作方物流配送公司、支付机构、征信机构、保险公司收件人姓名、地址、联系电话（脱敏）、订单编号履行合同所必需的服务交付专业服务机构律师事务所、会计师事务所、审计机构与特定业务相关的合同信息、主体身份信息法律合规、财务审计监管与司法机构网信部门、公安机关、税务机关、法院依调取文书列明的数据范围法定职责履行、司法程序要求行业协会与行业平台行业信用信息平台、自律组织信用评价结果、违规记录（不含联系方式）行业自律管理、诚信体系建设7.2传输与存储安全要求数据传输环节是数据泄露的高发地带，机构与接收方须共同遵守以下安全基线：•共享数据须通过加密通道传输，线上传输采用TLS1.2及以上版本协议，禁止使用明文HTTP、FTP等方式传输数据；•传输文件须设置打开密码，密码通过独立渠道（短信、电话、线下交接）告知接收方，不得与文件同渠道发送；•接收方须具备相应的数据安全能力，包括但不限于：访问控制、操作审计、加密存储、安全事件应急响应机制。机构在首次共享前须对接收方的安全能力进行核查，核查记录留存备查；•批量导出数据须由机构数据安全负责人审批，导出行为全程留痕，记录导出人、时间、数据量、用途；•涉及数据跨省传输的，接收方所在地的信息保护水平不得低于《中华人民共和国个人信息保护法》规定的保护标准。7.3跨境传输数据主体的个人信息原则上在中国境内存储和处理。确因业务需要向境外提供个人信息的，机构应当另行取得数据主体的单独同意，并同时满足以下条件之一：•通过国家网信部门组织的安全评估；•经专业机构进行个人信息保护认证；•与境外接收方签订国家网信部门制定的标准合同，并完成备案；•法律、行政法规或国家网信部门规定的其他条件。涉及敏感个人信息出境的，机构还须向数据主体告知境外接收方的名称、联系方式、处理目的、处理方式、个人信息的种类以及向境外接收方行使权利的方式和程序等事项。未满足上述条件的，不得出境。7.4再共享限制接收方未经机构书面同意，不得将数据主体的个人信息再次提供给其他任何第三方。接收方确因履行合同需要将部分数据处理事项委托给分包方的，应当满足以下全部条件：•事先书面告知机构并由机构书面确认；•委托范围不得超过本同意书授权的目的和数据范围；•与分包方签订不低于本同意书保护标准的数据处理协议；•再共享行为记录在案并在机构要求时提供完整档案。接收方擅自再共享的，机构有权立即终止合作关系、要求删除全部数据，并保留追究违约责任的权利。八、共享目的与正当性说明每一项数据共享都必须有明确的业务目的和法律正当性基础。机构不得以"提升用户体验""优化算法"等模糊表述为由来论证共享必要性。以下逐项说明本同意书覆盖的共享目的及其正当性：共享目的正当性基础必要性说明（为什么不用其他方式）履行与数据主体订立的合同《个人信息保护法》第十三条第一款第二项物流配送需要将收货信息提供给承运方，无法通过替代方式完成履约保障系统安全稳定运行《个人信息保护法》第十三条第一款第一项（为订立、履行合同所必需）云服务的部署和运维需要技术服务商接触系统运行日志，自行建设机房在成本与技术上不具备可行性改进产品和服务质量数据主体同意（本同意书）用户行为统计数据的共享可提升分析模型的准确性，但共享前须去标识化依法向监管部门报送《个人信息保护法》第十三条第一款第三项（履行法定义务）依据相关法规需要向行业主管平台报送交易统计数据和风险信息，该义务无法通过技术手段规避保护数据主体重大合法权益《个人信息保护法》第十三条第一款第四项紧急情况下为保护数据主体或他人生命、财产安全需要向医疗、救援机构共享位置信息，适用紧急授权机制（见第十一条）超出上述目的范围的数据使用，机构须重新取得数据主体同意。数据主体可以要求机构说明某一具体共享行为的正当性，机构应当在7个工作日内予以书面答复。九、数据主体的权利与行使方式数据主体就本同意书项下的个人信息享有《个人信息保护法》规定的完整权利。为了让这些纸面上的权利转化为可操作的行动，机构须按下表提供行权渠道和响应时限：权利类型权利内容行使方式响应时限查阅复制权查阅本人被采集的数据内容、共享记录，获取副本线上自助查询或书面申请至机构数据合规部门15个工作日内提供，每次复制收取合理成本费（不超过10元）更正补充权发现信息不准确或不完整时申请更正补充书面申请并附证明材料15个工作日内完成核实并更正，更正结果书面通知删除权符合法定情形时（目的已实现、撤回同意、机构违规处理等）申请删除书面申请，说明删除理由和对应情形15个工作日内删除或匿名化处理，并通知接收方同步删除撤回同意权随时撤回本同意书的全部或部分授权线上"撤回同意"按钮或书面申请撤回即刻生效，机构停止处理相关数据，15个工作日内删除或匿名化注销权注销账号、终止业务关系按机构公示的注销流程办理注销申请受理后15个工作日内完成，同步处理相关数据解释说明权要求机构说明数据处理规则、共享逻辑书面或线上提交问题15个工作日内书面答复投诉举报权向监管机构投诉、向法院起诉向网信、公安、市场监管等部门举报或依法起诉机构应在收到监管转办通知后7个工作日内配合调查9.1撤回同意的具体操作撤回同意是数据主体最常用的行权方式，本条给出具体操作路径：1.撤回方式：◦线上渠道：登录机构App或官网，进入"我的—设置—隐私设置—撤回数据共享授权"，点击撤回按钮，系统即时生成撤回记录；◦线下渠道：通过客服电话（工作日9:00~18:00）或书面信函向机构数据合规部门提出，机构在24小时内确认收到并启动撤回流程。2.撤回的效力边界：◦撤回后，机构停止基于本同意书的数据共享行为，不得再向接收方提供新的数据；◦撤回前已经完成的共享行为不受撤回影响，机构无须追回已合法共享的数据；◦撤回同意不影响机构基于其他合法依据（如合同履行必需、法定义务）继续处理相关数据的权利，但机构应当向数据主体说明继续处理的依据和范围。3.撤回后的处理时限：◦机构在撤回生效后15个工作日内删除或匿名化处理相关数据，并书面通知各接收方删除；◦接收方应当在收到通知后15个工作日内完成删除，并向机构出具删除确认函；◦法律法规要求保留的（如交易记录须按财务制度保存），机构应当告知数据主体保留的期限和依据。9.2拒绝提供信息的后果说明数据主体有权拒绝提供本同意书所列数据项。机构应当向数据主体说明拒绝提供的后果：•拒绝提供业务必需的数据项（如物流配送所需收货地址），机构可以拒绝提供相应服务，但不得因此拒绝提供其他不受影响的服务；•拒绝提供非必需数据项（如设备信息、消费偏好），机构不得以此为理由拒绝提供核心服务，但某些个性化功能可能无法正常使用，例如基于位置的推荐服务在未授权位置信息时将自动降级为通用内容；•拒绝提供敏感个人信息（如人脸、声纹），机构不得采取"不支持使用"等变相强制手段，须提供替代方案（如密码验证、短信验证码方式替代人脸识别）。十、数据保存期限与到期处理数据保存不是无限的。保存期限以"业务目的所需最短时间"为原则，按数据类别分别确定上限：数据类别最长保存期限到期处理方式账号注册信息业务关系存续期间+注销后6个月注销后第7个月起进入删除流程，30日内完成清理交易记录与合同文档合同履行完毕后5年依据《中华人民共和国民法典》诉讼时效规定及财税档案要求，5年期满后第1个月内安排删除操作日志与安全审计日志生成之日起6个月超过6个月的日志自动归档至离线存储，1年后删除用户画像与行为分析数据最后一次交互之日起2年到期后实行匿名化处理，仅保留统计聚合结果面部识别特征、声纹特征等生物识别信息采集目的实现后立即删除若采集时另行签署了专项授权，按专项授权保存期限执行，到期自动删除未成年人个人信息监护人撤回授权或该未成年人年满18周岁后6个月到期后强制删除，不可延期依法须向监管平台报送的数据按各监管平台规定的期限执行监管平台期限届满而未要求延长的，由机构名义向平台发函申请撤回数据保存期限届满后的数据，机构应当采取删除或匿名化处理，二者必选其一：•删除：彻底销毁数据，包括备份介质、云存储副本和日志记录中的残留数据，确保无法通过技术手段还原；•匿名化：去除一切可识别数据主体身份的信息，使数据无法再被关联到特定个人，处理后的数据可继续用于统计分析和安全研究。机构不得采取"停止使用但继续留存"的消极处理方式——停止使用但保留原始数据仍构成对个人信息权益的潜在威胁，违背保存期限的制度目的。十一、共享风险揭示与应急响应数据共享天然伴随安全风险，本条款向数据主体如实揭示风险，并明确机构的响应义务。机构不得以"系统安全可靠""合作方资质优秀"等表述淡化或否认风险存在。11.1可预见的风险类型与演化路径数据共享从授权到销毁的全生命周期中，主要风险可按"起因传播途径触发条件最终后果"的链条进行预判，数据主体与机构均可据此在关键节点设置阻断措施：风险类型起因传播途径触发条件最终后果接收方数据泄露接收方安全防护不足或内部人员违规操作黑客利用漏洞拖库、内部员工拷出数据售卖接收方安全补丁未及时更新、访问权限管控不严数据被黑市交易，数据主体收到精准诈骗、身份冒用传输过程被窃取数据在传输链路中未加密或加密强度不足中间人攻击、网络监听截获数据包使用了HTTP明文协议、TLS版本过低（低于1.2）数据被第三方获取并用于非法目的超范围使用接收方超出授权范围使用数据接收方将数据用于自身营销、用户画像构建机构未对接收方使用情况开展定期审计数据主体收到无关推销，个人偏好被过度分析再识别风险去标识化数据被重新关联到具体个人接收方将多源数据交叉比对，结合公开信息还原身份去标识化处理不彻底、数据字段组合具有强识别性（如性别+生日+邮编）匿名数据失去匿名属性，数据主体被重新识别内部违规操作机构或接收方内部人员越权访问、违规导出数据内部人员利用高权限账号批量导出数据权限管理制度缺失、日志审计流于形式数据被用于非授权场景，甚至被倒卖11.2数据安全事件分级与响应机制数据安全事件按严重程度分为三级，数据主体可以按以下判定标准判断自己所受影响级别，并对照启动对应救济措施：事件级别判定标准启动权限处置原则一般事件涉及数据量少于100条，且仅涉及非敏感个人信息，无证据表明数据已被实际获取或滥用机构数据安全专员确认后启动24小时内完成排查并消除隐患，向受影响数据主体发送风险提示通知（如适用），记录存档较大事件涉及数据量100~10000条，或涉及敏感个人信息（无论数量），或已确认数据被未经授权方获取机构数据安全负责人审批后启动2小时内向机构主要负责人报告，24小时内向属地网信部门报告，72小时内通知受影响数据主体并说明风险及应对建议，立即切断泄露源头重大事件涉及数据量超过10000条，或涉及大量敏感个人信息，或已在公开渠道传播、被利用实施犯罪机构主要负责人决定启动，必要时向公安机关报案1小时内成立应急小组，2小时内报告网信部门和公安机关，同步通知受影响数据主体，配合监管调查，委托第三方安全机构开展溯源分析，通过官方渠道发布风险提示并开通7×24小时客服热线数据主体在事件发生后可通过本同意书第十四条公布的联系方式查询事件进展，机构应当在事件处置过程中每48小时更新一次进展通报（重大事件每24小时更新），直至事件处置完毕。11.3数据主体可获得的经济救济因机构或接收方违反本同意书约定导致数据主体合法权益受损的，数据主体有权依法主张以下赔偿：•实际财产损失：如因信息泄露遭受电信诈骗导致的资金损失、因身份冒用产生的债务主张，凭报案回执和银行流水主张赔偿；•合理维权费用：包括公证费、鉴定费、律师费等，主张时应提供相应票据；•法定赔偿：难以计算实际损失的，依据《个人信息保护法》第六十九条，可以主张按照个人因此受到的损失或者个人信息处理者因此获得的利益确定赔偿数额；个人因此受到的损失和个人信息处理者因此获得的利益难以确定的，由人民法院根据实际情况确定赔偿数额。机构应当为其数据处理活动投保数据安全责任保险，保险额度不低于人民币500万元，保单副本在数据主体书面申请时可提供查阅（涉及商业机密的部分可遮盖）。11.4紧急授权例外机制在紧急情况下，为保护数据主体的生命健康和财产安全，来不及事先征得数据主体同意的，机构可以在合理范围内先行共享必要的数据（如位置信息、紧急联系人信息）给救援机构、医疗机构、公安机关，但须同时满足以下全部条件：•情况紧急：有合理依据判断不立即处理将导致数据主体或他人面临迫在眉睫的生命危险或重大财产损失；•范围最低：仅共享达到救援目的所必需的最小数据项，不得共享与救援无关的任何信息；•事后补正：紧急共享后48小时内，机构应当通过电话、短信、邮件等可留存的方式向数据主体告知共享的数据项、接收方、事由，并补签书面授权（如数据主体因客观原因无法签署，则待其恢复或代理人到场后补签）。十二、机构的数据安全责任承诺机构承诺以不低于国家网络安全等级保护三级标准的要求保护数据主体个人信息，具体承诺如下：•制度建设：制定并执行《数据分类分级管理制度》《数据共享管理办法》《个人信息安全事件应急预案》，相关制度文本在数据主体书面申请后5个工作日内提供查询；•人员管理：与所有可接触个人信息的员工签订保密协议，明确保密义务不因劳动关系终止而解除；员工入职进行数据安全培训（不少于8学时）、离职时回收全部权限并签署离岗保密承诺书；•访问控制：实行最小权限原则，员工仅能访问与岗位职责相关的数据，权限按"申请—审批—开通—复核"流程管理，每季度复核一次权限清单，离职或调岗员工权限在24小时内变更或回收；•审计追溯：核心数据操作（批量导出、越权访问尝试、权限变更）全程记录审计日志，日志保存不少于6个月，审计日志须包含操作人、操作时间、操作对象、数据量、结果，每月由独立于业务部门的安全团队抽检一次；•供应商管理：与所有接收方签订数据处理协议，协议中明确数据保护义务、违约责任（违约金不低于合同金额的30%）、安全审计权和赔偿责任条款，机构每年对重点接收方开展一次现场或文件审计。十三、数据主体的义务与行为约束为保障数据共享的安全性和合法性，数据主体在行使权利的同时也应当履行必要义务：•提供真实准确的信息：数据主体应当如实提供本同意书所需的信息，不得冒用他人身份或提供虚假信息。因提供虚假信息导致的后果（如服务无法送达、无法办理、法律责任）由数据主体自行承担；•妥善保管账户凭证：数据主体应妥善保管账号密码、验证码、生物识别信息等凭证。因数据主体自身原因（如主动告知他人验证码、使用弱密码且未及时修改、在不安全的公共网络环境下登录）导致的信息泄露，机构在无过错情形下不承担相应责任；•及时更新联系方式：数据主体发生联系方式变更时应当及时通知机构，因未及时更新导致安全通知、风险提示无法送达的，机构在已尽到合理通知义务的前提下不承担相应责任；•不得恶意行使权利：数据主体不得滥用查阅、复制、更正、删除等权利干扰机构正常经营秩序，例如无正当理由高频次（同一自然月内超过3次）提交重复的复制请求，机构可依据《个人信息保护法》第五十条拒绝重复请求并说明理由。十四、联系渠道与投诉机制机构应当确保数据主体在需要时能快速找到负责数据保护事务的具体人员，而非面对一个"永不回复"的邮箱地址。以下联系渠道全年有效：事项联系渠道响应时限备注咨询数据共享相关政策客服热线400-XXX-XXXX（工作日9:00~18:00）人工接听即时响应，无法即时答复的48小时内回电语音信箱留言视为有效提交，48小时内回电行使查阅、更正、删除、撤回等权利数据合规部门邮箱：privacy@机构域名.com3个工作日内确认收到，15个工作日内答复处理结果邮件主题请注明"数据权利行使—姓名—事项"投诉举报数据安全问题数据保护负责人专线：XXX-XXXXXXXX（工作日9:00~18:00）24小时内确认受理，72小时内反馈处理进展紧急安全事件适用第十一条应急响应时限申诉与争议解决机构住所地人民法院诉讼按司法程序数据主体亦可先行向属地网信部门投诉数据主体对机构的处理结果不满意的，可以向履行个人信息保护职责的部门投诉（国家网信部门举报渠道：12377.cn；属地网信部门举报电话以官网公布为准），或者依据《中华人民共和国民事诉讼法》向机构住所地有管辖权的人民法院提起诉讼。机构应当建立投诉处理台账，对每起投诉的记录内容包括：投诉人、受理时间、事项摘要、处理责任人、处理结果、回访情况，处理全过程记录保存不少于3年。十五、同意声明在充分阅读并理解上述全部条款后，数据主体通过勾选以下选项作出明确的意思表示：•[]本人已阅读、理解并接受本同意书全部条款，自愿作出概括授权，同意机构按照本同意书第四条第一款的约定共享非敏感个人信息。•[]本人已阅读并理解第四条第二款的敏感个人信息共享条款，并对勾选的敏感信息类别作出单独授权。•[]本人已知悉数据共享的风险、本人的权利及行使方式，知悉机构及其接收方的安全保障责任与数据安全事件应急响应机制。•[]本人确认提供的信息真实、准确，并同意机构在必要时通过电话、短信、邮件等方式与本人联系核实相关信息。不勾选"同意"的，视为不同意本同意书的全部内容，机构不得继续处理其个人信息，但应依据第三条第4.1款的说明，向数据主体说明可能影响的服务范围。十六、生效、变更与终止本同意书自数据主体签署之日起生效，有效期至数据主体撤回同意、注销全部业务关系或数据保存期限届满之日止，以三者中最早到达者为准。机构因业务调整、法律法规变化需变更本同意书内容的，应当提前30日通过站内信、短信、邮件等可留存的方式通知数据主体，并取得数据主体对变更内容的重新同意。变更内容涉及扩大共享范围、延长保存期限、增加风险敞口的，未取得重新同意的，变更内容对该数据主体不发生效力，数据主体可撤回本同意书。本同意书的终止不影响终止前已合法完成的数据处理行为的效力，也不影响数据主体在终止前因数据共享已产生的权利主张。十七、签署栏17.1数据主体签署项目内容姓名____________________证件类型及号码__________________（身份证号：__________________）联系电话____________________电子邮箱____________________签署日期____年__月____日签署方式□线上勾选确认□线下亲笔签名附件一：数据共享授权登记表样表本表由机构数据合规部门在数据主体签署同意书后3个工作日内填写归档，用于共享行为的台账管理。数据主体可随时书面申请查阅涉及本人的记录。登记编号数据主体姓名授权范围（勾选）授权日期授权渠道接收方名称共享数据类别共享目的共享方式数据量经办人数据安全负责人复核2026-SH-001张某某概括授权+位置信息2026-01-05线上勾选XX省物流有限公司联系信息、位置信息配送履约API加密接口520条李某某王某某2026-SH-002陈某某概括授权2026-01-06线下签署XX数据科技有限公司业务关系信息系统运维加密文件传输89条李某某王某某登记表逐笔记录共享行为的具体信息，机构须在收到数据主体查询请求后15个工作日内提供其本人相关的共享记录。登记表保管期限自最后一次共享行为完成之日起不少于5年。附件二：数据保护官（DPO）及联络通讯录模板机构应确保通讯录中所有联系人均为可实际联系的真实人员，通讯录每季度更新一次，更新记录留存备查。角色姓名联系电话电子邮箱备选联系人应急联系电话数据保护负责人王某某138-XXXX-XXXXdpo@机构域名.com赵某某139-XXXX-XXXX138-XXXX-XXXX数据合规专员李某某136-XXXX-XXXXcompliance@机构域名.com孙某某137-XXXX-XXXX136-XXXX-XXXX信息安全应急联系人周某某135-XXXX-XXXXsecurity@机构域名.com吴某某134-XXXX-XXXX135-XXXX-XXXX客服中心负责人郑某某400-XXX-XXXX转客服中心值班经理（24小时）400-XXX-XXXX外部合作律师刘某某139-XXXX-XXXXlawyer@机构域名.com律所值班电话139-XXXX-XXXX附件三：机构内部合规审批与执行SOP本SOP面向机构内负责数据共享的经办人员、部门负责人和数据合规团队，用于规范每一次共享行为从发起到归档的全过程。违反本SOP的操作视为违规，适用机构相关追责制度。步骤责任人动作时限产出物1.发起共享申请业务经办人填写《数据共享申请表》，列明共享的数据类别、字段清单、接收方、目的、期限、数据量共享行为发生前5个工作日完成填写的申请表2.最小化审核数据合规专员审查共享的数据项是否为实现目的所必需的最小集合，逐项核对第四条数据清单；发现超范围字段立即退回并附修改意见收到申请后2个工作日内审核意见（通过/退回+理由）3.安全评估信息安全专员评估传输方式（必须为TLS1.2以上）、接收方安全资质、脱敏处理方案，出具安全评估意见通过最小化审核后2个工作日内安全评估意见表4.审批部门负责人审核业务必要性；数据量超过10,000条或涉及敏感个人信息的须报数据保护负责人二次审批安全评估通过后1个工作日内审批签字5.签订数据处理协议（首次合作适用）法务核查接收方资质与安全能力，签署含数据保护条款的协议（最低违约金比例30%）首次共享前完成签署完毕的协议6.执行传输数据管理专员按要求通过加密通道执行共享，记录传输日志，不得使用个人邮箱、网盘、即时通讯工具传输审批完成后3个工作日内传输日志7.台账登记数据管理专员