个人信息处理委托协议

个人信息处理委托协议1.甲方（买方/出租方/委托方）：

甲方名称：XX科技有限公司，注册地址位于中国北京市朝阳区光华路1号XX大厦15层，统一社会信用代码为91110108MA01XXXX9。甲方法定代表人为张三，联系电话电子邮箱为zhangsan@。甲方是一家依法成立并有效存续的有限责任公司，主要经营信息技术服务、数据分析和软件开发业务。鉴于甲方在开展业务过程中需要处理大量个人信息，为提高数据处理的合规性和效率，甲方拟委托乙方提供个人信息处理服务，以支持甲方的业务运营和客户管理需求。

2.乙方（卖方/承租方/服务提供方）：

乙方名称：XX数据服务有限公司，注册地址位于中国上海市浦东新区陆家嘴环路1000号XX金融中心28层，统一社会信用代码为91310115MA01XXXX6。乙方法定代表人为王五，联系电话电子邮箱为wangwu@。乙方是一家依法成立并有效存续的专业数据服务公司，具备国家信息系统安全等级保护三级认证资质，专注于提供数据清洗、存储、分析和合规处理等服务。基于乙方的专业能力和技术优势，双方经友好协商，同意由乙方承接甲方个人信息处理的相关业务，并按照本协议约定履行权利与义务。

**合同简介**

本协议签订的背景为：甲方在日常业务运营中涉及大量个人信息的收集、存储、使用和传输，为满足《中华人民共和国个人信息保护法》（以下简称《个保法》）及相关法律法规的要求，甲方需确保个人信息处理活动的合法性、正当性和必要性。同时，甲方为提升数据处理效率和管理水平，决定将部分个人信息处理工作委托给具备专业资质的第三方服务机构。乙方作为业内领先的数据服务提供商，具备完善的技术架构、安全防护体系和合规管理体系，能够满足甲方对个人信息处理的严格要求。双方基于平等自愿、协商一致的原则，达成本协议，以明确双方在个人信息处理领域的合作范围、权利义务及责任划分。本协议的履行将有助于甲方实现个人信息处理的规范化管理，降低法律风险，同时借助乙方的专业服务提升数据价值，促进业务发展。协议的签订和履行基于双方对个人信息保护法律制度的共同认知，以及对数据安全与合规的同等重视，旨在构建长期、稳定、互信的合作关系。

第一条合同目的与范围

本协议的主要目的是明确甲乙双方在个人信息处理领域的合作内容与标准，确保甲方通过委托乙方提供的个人信息处理服务，能够合法、合规、高效地完成其业务运营中的数据处理需求。具体内容涵盖但不限于：甲方委托乙方处理特定业务场景下的个人信息，包括但不限于用户注册信息、交易数据、行为分析数据等；乙方依据本协议约定及甲方的具体指令，负责个人信息的收集、存储、加工、传输、删除等处理活动；乙方应建立并维护符合法律法规及行业标准的个人信息保护制度，保障个人信息处理的安全性；双方共同监督个人信息处理活动的合规性，并按照约定进行数据安全事件的应急处理。本协议旨在通过双方的专业协作，实现个人信息处理的技术优化与合规保障，满足甲方业务发展需求，同时履行法定义务，保护个人信息主体的合法权益。

第二条定义

1.**个人信息**：指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。

2.**个人信息处理**：指对个人信息进行收集、存储、使用、加工、传输、提供、公开、删除等操作。

3.**个人信息处理者**：指在个人信息处理活动中自主决定处理目的、处理方式的组织或者个人，在本协议中，甲方为委托处理者，乙方为受托处理者。

4.**委托处理**：指甲方委托乙方处理其个人信息的情形，乙方处理活动受甲方指示，并承担相应的合规责任。

5.**数据安全**：指采取技术和其他措施，保障个人信息在处理过程中的机密性、完整性和可用性。

6.**合规性**：指个人信息处理活动符合《个保法》及中国其他相关法律法规的要求。

7.**服务水平协议（SLA）**：双方约定的关于数据处理效率、系统可用性、响应时间等方面的具体标准。

第三条双方权利与义务

**1.甲方的权力和义务**

（1）甲方有权根据业务需求向乙方提出个人信息处理的具体要求，包括处理目的、方式、范围等，并有权对乙方的处理活动进行监督和指导。甲方有权要求乙方按照约定提供个人信息处理的相关报告和技术支持。

（2）甲方应确保其委托乙方处理的个人信息来源合法，并取得必要的个人同意，对因个人信息来源不合法导致的一切责任由甲方自行承担。

（3）甲方应向乙方提供清晰、明确的个人信息处理指令，并对其指令的合法性、合规性负责。甲方有权要求乙方对不符合指令的处理活动进行纠正。

（4）甲方应配合乙方进行数据安全评估和合规审查，及时提供相关资料和说明。在发生数据安全事件时，甲方应及时通知乙方，并共同采取补救措施。

（5）甲方应按照本协议约定，向乙方支付个人信息处理服务费用，并保证支付方式的合法性。甲方有权要求乙方提供发票等结算凭证。

（6）甲方应建立内部管理制度，明确个人信息处理的责任部门和人员，并对员工进行个人信息保护培训，确保其了解并遵守相关法律法规。

**2.乙方的权力和义务**

（1）乙方有权依据本协议约定及甲方的指令，开展个人信息处理服务，并要求甲方提供必要的配合和确认。乙方有权拒绝执行违反法律法规或本协议约定的处理指令。

（2）乙方应建立完善的个人信息保护制度，包括数据安全技术措施、管理制度、应急预案等，确保个人信息处理的合法性、合规性和安全性。乙方应通过国家相关部门的合规审查，并持续提升数据处理能力。

（3）乙方应按照甲方的具体要求，对个人信息进行收集、存储、加工、传输等处理活动，并保证处理过程的准确性和效率。乙方应建立数据备份和恢复机制，确保数据的完整性和可用性。

（4）乙方应采取必要的技术和管理措施，保障个人信息的安全，防止未经授权的访问、泄露、篡改或丢失。在发生数据安全事件时，乙方应立即启动应急预案，采取补救措施，并第一时间通知甲方，双方应共同配合进行事件调查和处理。

（5）乙方应建立个人信息主体权利响应机制，按照法律规定，协助甲方处理个人信息主体的查询、更正、删除等请求，并保证响应的及时性和有效性。

（6）乙方应定期向甲方提供个人信息处理报告，包括处理目的、方式、范围、数据主体权利响应情况、安全事件等信息，并接受甲方的监督和检查。乙方有权要求甲方对报告内容进行保密。

（7）乙方应保证其提供的个人信息处理服务符合业界先进水平，并根据甲方需求和技术发展，持续优化服务质量和效率。乙方应提供必要的技术支持，协助甲方解决数据处理中的技术问题。

（8）乙方应遵守甲方的保密义务，对其在履行本协议过程中获取的甲方商业秘密和个人信息严格保密，未经甲方书面同意，不得向任何第三方披露或使用。保密期限为本协议终止后三年。

（9）乙方应配合甲方进行审计和评估，提供必要的资料和说明，并承担因自身原因导致的合规风险和法律责任。乙方有权根据市场变化和技术成本，提出合理的服务费用调整建议，经甲方同意后方可调整。

第四条价格与支付条件

甲方同意根据本协议约定的服务范围和数量，向乙方支付个人信息处理服务费用。具体费用标准如下：乙方根据甲方每月处理的个人信息量（以有效数据记录数计），按照每条X元的标准收取服务费，每月结算一次。年度合同用户可享受X%的优惠。支付方式采用银行转账，甲方应在每月结束后10个工作日内，将当月的服务费用支付至乙方指定的银行账户。乙方应在收到款项后提供等额合规发票。如甲方因业务调整减少服务量，双方应于每月初协商调整当月费用。任何一方变更银行账户信息，应提前30日书面通知对方，否则由此产生的延误付款不构成违约。逾期支付部分，甲方应按每日万分之五向乙方支付违约金。

第五条履行期限

本协议有效期为自双方签字盖章之日起一年，自202X年X月X日至202X年X月X日。协议期满前30日，如双方无书面异议，本协议自动续期一年，续期次数不限。履行期限内的关键时间节点包括：每年X月X日前，双方应完成上一年度个人信息处理合规性审计；每月X日前，乙方应向甲方提交上月个人信息处理报告；发生数据安全事件后，双方应在24小时内启动应急响应，并在72小时内完成初步处置报告。任何一方未按时履行上述义务，应承担相应的违约责任。

第六条违约责任

**1.甲方违约责任**

（1）如甲方未按本协议约定支付服务费用，每逾期一日，应按逾期金额的万分之五向乙方支付违约金，逾期超过30日，乙方有权暂停服务，并要求甲方一次性支付所有欠款及违约金。逾期超过60日，乙方有权解除协议，并要求甲方赔偿由此造成的全部损失。

（2）如甲方提供的个人信息处理指令违反法律法规或侵犯第三方权益，导致乙方承担责任，甲方应承担全部赔偿责任，包括但不限于行政罚款、诉讼费用、律师费等。

（3）如甲方未按约定提供必要资料或配合乙方进行合规审查，导致乙方服务延迟或无法履行，甲方应承担相应的责任，并赔偿乙方因此遭受的直接损失。

**2.乙方违约责任**

（1）如乙方未按约定履行个人信息处理义务，导致数据丢失、泄露或处理不当，应承担相应的违约责任。乙方应赔偿甲方因违约造成的直接损失，包括但不限于数据恢复费用、客户赔偿金、监管罚款等，违约金上限为合同总金额的200%。

（2）如乙方泄露或滥用甲方提供的个人信息，应承担全部赔偿责任，包括个人信息主体提出的索赔、监管机构的罚款等，并支付违约金，违约金为泄露或滥用信息数量乘以每条X元的标准。

（3）如乙方未按约定提供个人信息处理报告或未及时响应甲方需求，每延迟一日，应按延迟部分服务费用的千分之一向甲方支付违约金，延迟超过30日，甲方有权解除协议，并要求乙方退还部分服务费用及支付违约金。

**3.特殊违约情形**

（1）任何一方违反保密义务，向第三方披露对方商业秘密或个人信息，应承担无限赔偿责任，并承担对方为调查侵权行为支付的合理费用。

（2）发生重大数据安全事件，乙方未在规定时间内通知甲方或未采取有效补救措施，导致损失扩大，乙方应承担扩大部分损失的赔偿责任。

**4.违约金与赔偿的适用**

双方约定，违约金与实际损失赔偿可以同时适用。如一方违约行为导致对方遭受的损失超过约定的违约金数额，守约方有权要求违约方赔偿实际损失。双方应在违约行为发生后30日内协商确定赔偿金额，协商不成的，提交争议解决机构裁决。任何一方违约导致协议解除的，违约方应承担协议履行期内所有未付款项及违约责任，并赔偿对方因此遭受的直接损失。

第七条不可抗力

1.不可抗力是指不能预见、不能避免并不能克服的客观情况，包括但不限于地震、台风、洪水、火灾、战争、恐怖袭击、政府行为（如法律变更、政策调整）、流行病疫情、网络攻击、系统故障等。

2.任何一方因不可抗力导致无法履行或无法完全履行本协议义务时，应在不可抗力发生后7个工作日内书面通知对方，并提供相关证明文件。双方应根据不可抗力的影响程度，协商决定延期履行、部分履行或解除协议。

3.因不可抗力造成的损失，双方互不承担责任，但应各自承担因不可抗力产生的直接费用（如应急措施费用、人员遣散费用等）。如不可抗力持续超过30日，双方有权单方面解除协议，并退还已支付但未服务的费用，互不承担违约责任。

4.双方应采取合理措施减轻不可抗力带来的影响，并在条件允许时尽快恢复履行协议。因延迟履行造成的额外费用或损失，由责任方承担。

第八条争议解决

1.凡因本协议引起的或与本协议有关的任何争议，双方应首先通过友好协商解决。协商不成的，应提交北京仲裁委员会，按照其届时有效的仲裁规则进行仲裁。仲裁裁决是终局的，对双方均有约束力。

2.仲裁期间，除争议事项外，双方应继续履行本协议的其他条款。仲裁费用由败诉方承担，除非双方另有约定。

3.如选择诉讼方式解决争议，应由甲方住所地有管辖权的人民法院管辖。诉讼期间，双方应积极配合法院审理，并遵守法院的裁判。

4.争议解决期间，任何一方不得采取任何损害对方利益的行为，包括但不限于扣押财产、恶意诉讼等。双方应通过书面形式表达争议解决意向，并保留相关证据。

5.双方同意，争议解决过程中涉及的商业秘密和个人信息应严格保密，仅用于争议处理需要，不得泄露给任何第三方。

第九条其他条款

1.**通知方式**：本协议项下的所有通知、请求、要求或其他通信均应以书面形式（包括但不限于信函、传真、电子邮件）发送至本协议首页载明的地址或邮箱。任何一方变更联系方式，应提前15日书面通知对方。以电子邮件方式发送的，发出时视为送达；以快递或挂号信方式发送的，寄出后3日视为送达。

2.**合同变更**：对本协议的任何修改或补充，均需经双方协商一致，并以书面形式作出，作为本协议不可分割的一部分。任何一方不得单方面变更协议内容，未经对方书面同意的变更无效。

3.**保密义务**：除法律规定或本协议约定外，双方应对本协议内容以及因履行本协议而获知的对方商业秘密、技术信息和个人信息承担永久保密义务。保密义务不因本协议的终止而解除。

4.**完整协议**：本协议及其附件构成双方就本协议标的达成的完整协议，取代双方此前就此达成的所有口头或书面协议、谅解和承诺。

5.**可分割性**：本协议任何条款的无效或不可执行，不影响其他条款的效力。双方应协商替换无效条款，使其尽可能符合原条款意图。

6.**法律适用**：本协议的订立、效力、解释、履行及争议解决均适用中华人民共和国法律。任何争议均应依据本协议约定解决，适用法律亦为本协议签订地法律。

7.**不可转让**：未经对方书面同意，任何一方不得将其在本协议项下的权利或义务部分或全部转让给第三