委托个人信息保护协议书

委托个人信息保护协议书1.甲方（买方/出租方/委托方）：

甲方名称：XX科技有限公司，法定代表人：张三，注册地址位于北京市海淀区XX路XX号，联系电话甲方是一家从事信息技术服务的企业，在业务运营过程中需要收集、处理和存储大量个人用户信息，为保障用户信息安全，根据《中华人民共和国个人信息保护法》及相关法律法规的规定，甲方拟委托乙方提供个人信息保护服务，以确保其数据处理活动符合法律要求并有效防范数据安全风险。

2.乙方（卖方/承租方/服务提供方）：

乙方名称：XX数据安全技术有限公司，法定代表人：李四，注册地址位于上海市浦东新区XX路XX号，联系电话乙方是一家专业从事数据安全服务的企业，拥有完善的信息安全管理体系和技术团队，具备提供个人信息保护咨询、技术实施、合规审查等全方位服务的专业能力。根据甲方的委托，乙方将依据本协议约定，为甲方提供个人信息保护方案的设计、实施及持续监督服务，帮助甲方建立健全个人信息保护机制，满足合规要求。

**合同简介**

甲方在开展业务过程中，涉及对用户个人信息的收集、存储、使用、传输等处理活动，为履行《个人信息保护法》等法律法规的合规义务，需建立系统性的个人信息保护措施。鉴于乙方在数据安全领域具备专业资质和技术优势，能够提供符合行业标准的个人信息保护服务，双方经友好协商，同意签订本协议，明确甲方委托乙方提供个人信息保护服务的具体内容、权利义务及责任分配。本协议的签订基于双方对个人信息保护法律制度的共同认知，旨在通过乙方的专业服务，帮助甲方实现个人信息处理的合法、正当、必要原则，同时保障用户的知情权和隐私权利。协议的履行将围绕数据安全评估、合规方案设计、技术平台部署、安全监测与审计等环节展开，最终确保甲方的个人信息处理活动符合国家监管要求，降低法律风险。双方均确认，本协议的履行是甲方实现业务合规的关键前提，乙方将严格按照协议约定及法律法规要求提供专业服务，甲方亦将积极配合乙方完成各项服务内容，共同维护个人信息安全。

第一条合同目的与范围

本合同的主要目的是明确甲乙双方在个人信息保护服务领域的合作内容与责任，确保甲方在日常经营活动中处理个人信息的行为符合《中华人民共和国个人信息保护法》等相关法律法规的要求。具体范围包括：

1.甲方委托乙方对甲方的个人信息处理活动进行合规性评估，识别潜在的法律风险与安全漏洞；

2.乙方根据甲方业务场景，设计并实施个人信息保护方案，包括但不限于制定隐私政策、建立数据处理流程、部署数据安全技术措施（如加密传输、访问控制等）；

3.乙方为甲方提供个人信息保护相关的技术培训与咨询，协助甲方完成个人信息保护影响评估（PIA）；

4.乙方对甲方的个人信息处理活动进行持续的安全监测与审计，出具合规报告，并协助甲方应对监管机构的检查或数据泄露事件。双方合作范围覆盖甲方所有业务环节中涉及的个人身份信息、生物识别信息、健康信息等敏感信息的处理活动。

第二条定义

1.**个人信息**：指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息；

2.**个人信息处理**：指对个人信息进行收集、存储、使用、加工、传输、提供、公开、删除等操作；

3.**数据安全措施**：包括技术措施（如加密、脱敏）、管理措施（如权限控制、定期演练）和法律措施（如协议约束）；

4.**合规报告**：乙方根据甲方要求或法定义务，就个人信息处理活动的合法性、安全性出具的专业评估文件；

5.**不可抗力**：指不能预见、不能避免并不能克服的客观情况，如自然灾害、战争等。

第三条双方权利与义务

**1.甲方的权力与义务**

（1）甲方有权要求乙方按照协议约定提供个人信息保护服务，并监督服务质量的合规性与专业性；

（2）甲方有权获取乙方提供的全部服务成果，包括技术文档、合规报告等，并要求乙方就专业问题进行解释说明；

（3）甲方应配合乙方完成个人信息处理活动的尽职调查，如实提供业务流程、技术架构及数据样本等信息；

（4）甲方应确保其委托处理的个人信息来源合法，并对因自身原因导致的个人信息泄露承担法律责任，不得要求乙方承担超出协议范围的赔偿责任；

（5）甲方需指定专门团队或人员对接乙方服务，确保指令传达的及时性与准确性，并配合完成现场或远程的技术实施工作；

（6）甲方在协议存续期间或终止后，仍需自行承担因个人信息处理产生的其他法律责任，乙方不对甲方超出服务范围的合规风险负责。

**2.乙方的权力与义务**

（1）乙方有权要求甲方提供必要的配合与授权，以完成协议约定的服务内容，包括查阅内部资料、参与培训等；

（2）乙方应组建具备个人信息保护资质的专业团队，确保服务方案的技术先进性与合规性，并按约定时间交付服务成果；

（3）乙方需严格履行保密义务，对在服务过程中接触的甲方商业秘密及用户个人信息承担独立保密责任，未经甲方书面同意不得泄露或用于第三方；

（4）乙方应提供至少2名具备行业认证（如CISP、ISO27001等）的顾问工程师，全程跟进甲方项目需求，及时响应合规风险预警；

（5）乙方需建立应急响应机制，在发生数据安全事件时，优先协助甲方完成证据固定与监管通报，但最终处置责任仍由甲方承担；

（6）乙方应按季度向甲方提交服务进度报告，年度出具全面合规评估报告，并配合甲方参与监管机构的问询或听证；

（7）乙方有权根据市场变化调整服务报价，但需提前30日书面通知甲方，双方协商一致后方可变更；

（8）乙方需对服务过程中产生的技术成果（如代码、策略文档等）享有知识产权，但甲方享有在自身业务范围内免费使用该成果的权利。

第四条价格与支付条件

1.甲方应向乙方支付个人信息保护服务的费用，具体金额根据服务范围及层级约定如下：

（1）基础合规评估服务费：人民币XX万元；

（2）技术方案实施费（含平台部署、策略配置等）：人民币XX万元；

（3）年度持续监测与审计费：人民币XX万元/年。

2.支付方式：甲方应通过银行转账方式向乙方指定账户支付，账户信息如下：

开户行：XX银行XX支行；

户名：XX数据安全技术有限公司；

账号：XXX。

3.支付时间：

（1）协议签订后10个工作日内，甲方向乙方支付总服务费的30%作为预付款；

（2）服务阶段性验收合格后30个工作日内，甲方向乙方支付40%的服务费；

（3）年度服务期满且合规报告提交后30个工作日内，甲方向乙方支付剩余30%的服务费。

4.乙方应在收到每笔款项后开具等额增值税专用发票，甲方凭发票完成账务处理。如甲方因故调整服务范围导致费用变更，双方应另行签订补充协议。

第五条履行期限

1.本协议有效期为自签订之日起12个月，自XX年XX月XX日至XX年XX月XX日止；如需续约，双方应在协议到期前60日书面协商，符合法定条件的可自动续期。

2.关键时间节点：

（1）协议生效后30日内，乙方完成初步合规评估并提交报告；

（2）技术方案实施阶段，乙方需在90日内完成核心功能部署，并配合甲方完成至少2次内部培训；

（3）年度审计周期内，乙方应在每年10月31日前提交上一年度合规报告及风险评估建议；

（4）如发生数据安全事件，乙方应在事件发生后4小时内启动应急响应，24小时内向甲方提交初步处置方案。

第六条违约责任

**1.甲方的违约责任**

（1）甲方未按时支付服务费用的，每逾期一日，应按逾期金额的千分之五向乙方支付违约金，逾期超过30日，乙方有权暂停服务或解除协议，甲方仍需支付已完成服务的费用及违约金。

（2）甲方未提供必要配合（如资料延迟、人员缺席等）导致服务延期的，每延误一日，应按乙方每日标准服务费的1.2倍向乙方支付补偿金，但补偿金总额不超过合同总价的10%。

（3）甲方在服务期间擅自变更数据处理目的或范围，给乙方造成技术方案废弃或合规风险扩大的，应承担乙方直接经济损失的100%，且乙方保留追究甲方违约金（不超过合同总价50%）的权利。

**2.乙方的违约责任**

（1）乙方未按约定交付核心服务成果（如合规报告、技术平台等），每逾期一日，应按未交付金额的千分之五向甲方支付违约金，逾期超过60日，甲方有权解除协议并要求乙方退还已支付费用的80%作为赔偿。

（2）因乙方技术疏漏或服务不当导致甲方发生数据泄露事件，乙方需承担事件发生时甲方用户数量×500元的直接赔偿责任（上限不超过人民币500万元），并需在事件发生后90日内完成同等价值的安全加固服务。

（3）乙方泄露甲方商业秘密或用户个人信息，导致甲方遭受监管处罚或诉讼损失的，乙方需承担甲方实际损失的200%作为惩罚性赔偿，且甲方有权单方面解除协议并要求乙方承担全部责任。

**3.共同责任**

（1）协议履行中如因双方均有过错导致合同目的无法实现，双方按责任比例分担损失，但乙方需对因其专业服务能力不足造成的直接损失承担无限责任。

（2）任何一方违约导致协议解除的，违约方需在解除后30日内配合完成服务资料移交，甲方应退还乙方已完成服务的80%费用，乙方需提供书面说明以证明责任归属。

第七条不可抗力

1.不可抗力是指不能预见、不能避免并不能克服的客观情况，包括但不限于：

（1）地震、台风、洪水、火灾等自然灾害；

（2）战争、动乱、政府行为（如法律法规变更、禁运令等）；

（3）大规模网络攻击、系统故障或第三方服务中断；

（4）传染病疫情导致的社会封锁或供应链瘫痪。

2.任何一方因不可抗力导致无法履行或延迟履行协议义务的，应在不可抗力发生后24小时内书面通知对方，并提供相关证明文件（如政府部门公告、事故鉴定报告等）。双方应根据不可抗力影响程度协商调整履行期限或部分免责。

3.因不可抗力造成的直接损失（如设备损坏、服务中断等），双方各自承担，但乙方需在不可抗力消除后10日内恢复服务或提供替代方案，且免除该期间的服务费用。若不可抗力持续超过90日，任何一方有权单方面解除协议，已产生的服务费用按实际履行比例结算。

4.不可抗力影响消除后，双方应立即恢复协议履行，已发生的争议仍按本协议约定处理。若不可抗力导致合同目的永久无法实现，双方互不承担赔偿责任。

第八条争议解决

1.凡因本协议引起的或与本协议有关的任何争议，双方应首先通过友好协商解决，协商不成的，任何一方均有权选择以下第（1）或第（2）种方式解决：

（1）向乙方所在地有管辖权的人民法院提起诉讼；

（2）提交北京仲裁委员会，按照其届时有效的仲裁规则进行仲裁。

2.选择诉讼的，诉讼期间不停止协议其他条款的履行，但争议事项涉及的部分除外。选择仲裁的，仲裁裁决是终局的，对双方均有约束力，仲裁费用由败诉方承担。

3.争议解决期间，双方均应采取必要措施防止争议扩大，并继续履行协议中非争议部分的义务。任何一方未经对方书面同意，不得将争议事项转让第三方处理。

4.若争议涉及用户个人信息保护的，双方应优先采用保密方式解决，仲裁机构应指定具备法律与数据安全专业背景的仲裁员。

第九条其他条款

1.**通知方式**：本协议项下的所有通知、请求或文件均应以书面形式，通过专人递送、挂号信、传真或双方确认的电子邮箱地址送达。电子送达的，发送时视为送达；专人递送的，签收时视为送达。地址以本协议首页载明为准，任何一方变更地址应及时书面通知对方。

2.**合同变更**：本协议的任何修改或补充均需经双方授权代表签署书面文件方为有效。口头约定或未履行书面程序变更的内容，均不产生法律效力。

3.**保密义务**：除法律规定或协议约定外，双方应对本协议内容及在合作中获知的对方商业秘密、技术方案及用户数据承担永久性保密责任，该义务不因协议终止而解除。违反保密义务的，应承担本协议第六条规定的赔偿责任。

4.**不可分割性**：本协议各条款独立存在，任何条款的无效不影响其他条款的效力。若某条款被认定为无效，双方应协商替换为内容最接近的有效条款。

5.**协议终止**：协议在以下任一情形下终止：

（1）约定服务期限届满且双方未续约；

（2）双方协商一致解除；

（3）因一方违约导致协议被解除；

（4）法律规定或监管要求强制终止。终止后，乙方应在30日内完成服务资料移交，甲方结清所有应付费用。

6.**法律适用**：本协议适用中华人民共和国法律，任何争议均以该法律为裁判依据。

第十条附则

1.**附件效力**：本协议附件包括但不限于：

（1）《乙方服务能力证明文件》（营业执照、ISO27001认证等）；

（2）《个人信息保护方案初步框架》；

（3）《甲方数据安全责任清单》。

附件与本协议具有同等法律效力，若附件内容与协议正文冲突，以协议正文为准。

2.**文本份数**：本协议一式四份，甲方执三份、乙方执一份，具有同等法律效力。

3.**通知送达地址**：

甲方：