数据脱敏外包合同

数据脱敏外包合同1.甲方（买方/出租方/委托方）：

甲方名称：XX科技有限公司，注册地址位于中国北京市海淀区XX路XX号XX大厦X层X室，统一社会信用代码：91110108MA01XXXX9。甲方法定代表人：张三，性别：男，出生年月：1980年01月01日，联系方式甲方是从事大数据技术研发与应用的高新技术企业，拥有自主研发的数据脱敏技术及平台，并长期为金融、医疗、电信等行业提供数据安全服务。鉴于甲方在日常业务运营中涉及大量敏感数据，且为满足数据合规要求及提升数据安全防护能力，需借助专业第三方服务提供商进行数据脱敏处理，甲方经审慎评估，决定委托乙方提供数据脱敏外包服务。

2.乙方（卖方/承租方/服务提供方）：

乙方名称：XX数据安全技术有限公司，注册地址位于中国上海市浦东新区XX路XX号XX产业园X号楼X层X室，统一社会信用代码：91310115MA01XXXX6。乙方法定代表人：李四，性别：女，出生年月：1990年05月15日，联系方式乙方是一家专注于数据安全领域的专业服务机构，拥有国家认证的数据安全服务资质及自主研发的自动化数据脱敏系统，具备丰富的行业经验及成熟的技术解决方案，曾为多家知名企业（如银行、保险、运营商等）提供过数据脱敏及隐私保护服务。鉴于乙方在数据脱敏技术、合规咨询及安全服务方面具有专业优势，且双方前期已就数据脱敏合作达成初步意向，甲方经综合考量，选择乙方作为本次数据脱敏外包服务的合作方。双方基于平等、自愿、公平的原则，经友好协商，达成以下合作条款。

**合同简介**

本合同基于《中华人民共和国网络安全法》《数据安全法》《个人信息保护法》及相关行业规范制定，旨在明确甲方委托乙方提供数据脱敏外包服务的具体内容、权利义务及责任划分。甲方因业务发展需要，其处理的数据中包含大量涉及商业秘密及个人隐私的敏感信息，为避免数据泄露风险并确保合规性，甲方授权乙方按照本合同约定对甲方指定的数据进行脱敏处理，包括但不限于数据清洗、格式转换、敏感字段替换、加密处理等。乙方将严格遵循国家法律法规及行业最佳实践，采用技术手段和管理措施保障数据脱敏过程的安全性、完整性与有效性，并确保脱敏后的数据符合甲方后续使用场景的要求。双方通过本合同确立长期稳定的合作关系，乙方将作为甲方数据脱敏领域的核心服务提供商，持续优化服务能力以适应甲方业务发展需求。本合同是双方合作的基础性文件，所有附件（如数据清单、脱敏规则说明、服务级别协议等）均构成本合同不可分割的一部分。双方承诺严格履行本合同各项条款，共同维护数据安全秩序，实现互利共赢。

第一条合同目的与范围

本合同的主要目的在于明确甲方委托乙方提供数据脱敏外包服务的具体内容、标准及责任，确保甲方处理的数据在存储、使用、共享等环节符合国家关于数据安全和个人信息保护的法律法规要求，同时降低甲方因数据敏感性带来的安全风险和合规压力。具体服务范围包括：

1.依据甲方提供的业务需求及数据清单，对甲方指定的生产环境或测试环境中存储的敏感数据（如身份证号、手机号、银行卡号、企业商业秘密等）进行自动化或定制化脱敏处理；

2.提供数据脱敏前的安全评估与脱敏后的效果验证服务，确保脱敏后的数据既满足业务使用要求，又无法逆向还原原始信息；

3.根据甲方要求，采用数据掩码、泛化处理、加密存储等技术手段实施脱敏操作，并支持多种数据格式（如MySQL、Oracle、MongoDB等）；

4.为甲方提供脱敏操作日志记录及审计支持，确保数据操作的可追溯性；

5.配合甲方完成监管机构的数据安全检查及合规证明材料准备工作。本合同范围涵盖数据脱敏服务的全流程，自数据接入乙方系统至脱敏后的数据归还或销毁，乙方需承担相应的安全保障责任。双方将根据业务发展需要，通过书面补充协议形式调整服务范围。

第二条定义

1.**敏感数据**：指根据《个人信息保护法》及行业规范认定需特殊保护的数据，包括但不限于个人身份信息、财产信息、行踪轨迹、生物识别信息、企业核心商业秘密等；

2.**数据脱敏**：指通过技术或管理手段对原始敏感数据进行脱敏处理，使其在满足业务使用场景的前提下丧失直接识别特定个人或企业的能力；

3.**服务级别协议（SLA）**：指本合同附件中约定的数据处理时效、成功率、保密级别等量化服务标准；

4.**数据安全事件**：指因系统漏洞、人为操作失误、自然灾害等不可抗力因素导致的敏感数据泄露、篡改或丢失；

5.**脱敏规则**：指甲方根据业务场景制定的敏感字段脱敏方式（如部分字符遮盖、随机替换、哈希加密等）及优先级配置；

6.**数据归档**：指脱敏处理后的数据按照甲方要求存储于指定介质或系统，并设定访问权限及保留期限。

第三条双方权利与义务

**1.甲方的权力与义务**

（1）**权力**：

a.对乙方提供的脱敏技术方案、服务流程及脱敏效果进行监督与验收；

b.要求乙方提供脱敏操作全程日志及第三方安全测评报告；

c.在合同框架内随时提出优化脱敏规则的技术建议，并要求乙方在合理期限内响应；

d.对乙方违反本合同约定（尤其是数据安全责任条款）的行为，有权要求立即整改并追究违约责任。

（2）**义务**：

a.**数据提供责任**：按照附件一《数据清单》及脱敏规则说明，向乙方准确提供需脱敏的数据源清单、字段映射关系及业务场景说明，并对数据的真实性、合法性负责；

b.**合规审查义务**：保证委托乙方处理的数据不包含禁止处理情形（如法律禁止公开的未成年人信息、涉及国家安全的数据等），并在数据接入前完成内部合规性审查；

c.**安全配合义务**：配合乙方进行数据传输过程中的加密防护措施，提供必要的环境接入权限（如API接口、数据库访问账号等），并确保自身侧系统具备数据脱敏前的安全防护能力；

d.**费用支付义务**：按照本合同第五条约定，按时足额支付脱敏服务费用，逾期支付需承担每日万分之五的违约金；

e.**保密义务**：对乙方提供的脱敏技术方案、系统架构等商业秘密承担同等保密责任，保密期限为本合同终止后三年。

**2.乙方的权力与义务**

（1）**权力**：

a.**定价与流程主导权**：对服务价格、交付标准及异常数据处置方案拥有专业建议权，甲方重大需求调整需经双方书面协商；

b.**费用调整权**：当国家数据安全标准更新或因甲方突发需求导致服务成本显著增加时，可提出合理调整服务费用的方案，经甲方书面确认后执行；

c.**数据访问监督权**：在履行服务过程中，有权对甲方提供的脱敏规则执行效果进行抽查验证，并要求甲方补充说明业务场景。

（2）**义务**：

a.**专业技术义务**：

-严格按照SLA（附件二）承诺的服务标准执行，确保脱敏处理时效不低于96小时响应、成功率≥99.5%；

-采用业界认可的脱敏算法（如AES-256加密、K-匿名、差分隐私等），并提供脱敏前后的量化效果对比报告；

-建立三级数据安全管控体系，部署防火墙、入侵检测及数据防泄漏系统，服务人员需通过保密协议及背景审查；

-对脱敏操作实施双签名机制，所有操作记录写入区块链存证平台，确保不可篡改。

b.**合规保障义务**：

-提供ISO27001、等级保护三级等资质证明，并配合甲方完成年度监管检查；

-出现数据安全事件时，需在30分钟内向甲方通报，并启动应急预案在4小时内控制影响范围；

-为甲方提供脱敏场景的合规性建议，协助完成数据安全审计材料。

c.**服务支持义务**：

-提供7×24小时技术支持热线，重大故障修复时间不超过2小时；

-每季度提交《数据脱敏服务运行报告》，包含处理数据量、规则变更记录、系统安全事件等；

-按甲方要求派驻驻场工程师，需通过甲方信息安全培训考核后方可接触敏感数据环境。

d.**数据销毁义务**：合同终止后或经甲方书面同意，需在15个工作日内完成脱敏数据的不可恢复销毁，并提供销毁证明；

e.**责任保险义务**：购买保额不低于5000万元的《数据安全责任险》，并将保单复印件交予甲方备案。

第四条价格与支付条件

1.**价格构成**：乙方提供的数据脱敏服务费用采用按量计费模式，具体单价及计算方式详见本合同附件三《服务价格表》。该价格包含数据接入、脱敏处理、规则配置、效果验证、技术支持及合规报告等全部服务内容，不含甲方数据传输带宽费用及特殊定制功能开发费用。

2.**支付方式**：甲方通过银行转账方式向乙方指定账户支付服务费用。乙方账户信息如下：开户行：XX银行XX支行，户名：XX数据安全技术有限公司，账号：622202**********。甲方应在收到乙方每期服务发票后15个工作日内完成支付。

3.**支付时间节点**：

a.项目启动首月服务费于合同生效后7个工作日内支付；

b.后续服务费按月度结算，每月10日前甲方需根据上月实际处理的数据量（以双方确认的报表为准）支付当月费用；

c.如甲方需追加脱敏范围或紧急处理数据，可在服务完成后一次性支付补充费用，具体金额由双方协商确定。

4.**付款折扣**：年度合同用户可享受9.5折优惠，首年合同签订后需一次性支付全年费用总额的60%，剩余40%于次年同期支付。

5.**税费承担**：服务费用为含税价，如甲方需开具增值税专用发票，需额外支付税率17%的税费，由甲方承担。

第五条履行期限

1.**合同有效期**：本合同自双方签字盖章之日起生效，有效期三年，自202X年X月X日至202X年X月X日。合同期满前30日，如双方无书面异议，可自动续展一年，续展次数不限。

2.**服务周期**：乙方每月提供一次例行脱敏维护服务，包括系统漏洞修复、规则库更新等，具体工作时间为每月第三个周五凌晨2:00-6:00（不含节假日）。

3.**关键时间节点**：

a.数据首次脱敏处理完成时限：合同生效后30个工作日内；

b.月度服务报告提交时限：每月次月5日前；

c.突发数据安全事件响应时限：30分钟内通报甲方，4小时内启动处置方案；

d.年度审计配合时限：每年11月1日至12月31日，需提前15日通知乙方准备材料。

4.**提前终止**：任何一方需提前终止合同的，应提前180日书面通知对方，并按已提供服务量支付相应费用，甲方已支付费用不予退还。

第六条违约责任

**1.甲方违约责任**

（1）**延迟付款责任**：甲方未按本合同第四条约定支付服务费用的，每逾期一日，应向乙方支付未付金额万分之五的违约金，逾期超过30日，乙方有权暂停服务直至费用结清，且保留解除合同的权利。逾期付款导致乙方资金链断裂的，甲方需承担乙方因此产生的直接经济损失。

（2）**数据合规风险责任**：若因甲方提供的数据包含禁止处理内容（如未成年人信息、国家秘密等）导致乙方违反法律法规，乙方不承担赔偿责任，且甲方需全额支付已完成服务费用，并承担乙方因此遭受的行政处罚、诉讼费用等。

（3）**不当干预责任**：甲方工作人员以任何形式干扰乙方正常服务操作（如擅自修改脱敏系统参数、拒绝配合安全检查等），导致服务中断或数据泄露的，甲方需承担乙方修复成本5000元/次，并扣减当月服务费的20%。

**2.乙方违约责任**

（1）**服务质量违约责任**：

a.脱敏处理成功率未达SLA约定标准的，每降低0.1个百分点，乙方需向甲方支付当月服务费1%的违约金，累计违约金不超过合同总金额的20%。

b.因乙方技术缺陷导致敏感数据被还原或泄露的，乙方需承担全部赔偿责任（包括但不限于监管罚款、客户索赔、诉讼费用等），并赔偿甲方年度业务损失的50%。脱敏数据泄露超过10例的，甲方有权解除合同并要求支付合同总额300%的违约金。

（2）**时效违约责任**：每月例行服务未按时完成的，每延迟一天，乙方需支付当月服务费0.5%的违约金，累计违约金不超过合同总金额的10%。

（3）**数据安全责任**：乙方人员在服务过程中泄露甲方技术秘密的，除支付违约金100万元外，甲方有权追究其刑事责任并申请禁令禁止乙方从事同类业务。

（4）**合同解除责任**：如乙方擅自停止服务或泄露客户脱敏规则，甲方有权单方面解除合同，乙方需支付已收费用50%的违约金，并赔偿甲方因此损失不超过100万元。

**3.违约金减免**：若违约方在违约行为发生后30日内采取补救措施消除影响且未造成实际损失的，经守约方书面确认后可酌情减免违约金。双方应就违约损失进行合理分摊，非因己方过错导致的服务中断（如自然灾害、政府行为等）不构成违约。

第七条不可抗力

1.**定义**：不可抗力是指双方在签订合同时不能预见、对其发生和后果不能避免并不能克服的事件，包括但不限于：自然灾害（如地震、洪水、台风、海啸等）、战争、恐怖袭击、政府行为（如法律法规变更、禁运、强制征用等）、大规模网络攻击（非乙方责任导致的DDoS攻击、勒索软件等）、以及因全球性疫情（如COVID-19）导致的系统瘫痪或人员隔离。不可抗力事件发生后，受影响方应在24小时内书面通知对方，并提供事件证明文件（如政府公告、新闻报道、权威机构报告等）。

2.**责任免除**：

a.因不可抗力导致本合同部分或全部无法履行的，双方互不承担违约责任，但应及时采取措施减少损失。若不可抗力持续超过30日，双方均有权书面通知对方解除合同，已产生的费用按实际履行比例结算。

b.因不可抗力导致的脱敏服务中断，乙方应在条件允许后24小时内恢复服务，服务时间相应顺延，SLA指标按实际完成比例调整。

c.双方对不可抗力造成的直接损失各自承担，但累计损失不超过合同总金额的20%的，由受影响方在合理范围内自行消化。如因不可抗力导致监管机构处罚的，责任按过错比例分担（乙方需证明已尽到合理注意义务）。

d.不可抗力事件消除后，双方应在10个工作日内协商恢复履行合同，否则视为合同解除。

第八条争议解决

1.**协商优先**：双方在履行本合同过程中发生争议的，应首先通过书面函件或视频会议协商解决，协商期限不超过30日。协商期间，任何一方不得单方面采取停止服务或法律行动。

2.**调解机制**：协商未果的，可共同申请中国国际经济贸易仲裁委员会（CIETAC）在北京进行调解，调解规则适用《中国国际经济贸易仲裁委员会调解规则》。调解成功的，双方应签订调解书并履行。

3.**仲裁或诉讼**：调解失败的或双方未申请调解的，争议应提交北京仲裁委员会，适用该会《仲裁规则》，仲裁语言为中文。如选择诉讼，管辖法院为北京市海淀区人民法院，诉讼过程中适用《民法典》及相关司法解释。

4.**证据规则**：争议发生后，双方应妥善保存所有证据材料（如沟通记录、服务报告、第三方鉴定意见等），仲裁庭可自行勘验现场或委托第三方机构进行技术鉴定。

5.**单方行动权**：在任何争议解决阶段，若一方发现对方存在严重违约行为（如数据泄露、服务停滞超过60日等），守约方可在先行通知的前提下直接采取保全措施（如冻结账户），但需在保全后30日内进入正式争议程序。

第九条其他条款

1.**通知方式**：双方所有正式通知、请求、文件等均应通过书面形式（包括但不限于快递、挂号信、电子邮件、传真及本合同附件中载明的地址）送达。电子送达需确认收件人电子邮箱或系统账户有效性，邮寄送达以签收日视为送达日。重要事项（如合同变更、解除等）需同时采用两种以上方式发送。

2.**合同变更**：对本合同任何条款的修改或补充，均需经双方授权代表签署书面文件方能生效。口头约定或电子邮件确认不作为合同变更依据，但可作为履行证据。

3.**知识产权**：乙方提供的脱敏系统软件著作权归乙方所有，甲方仅获得在本合同项下运营服务的有限使用权，不得转售、反向工程或用于其他合同目的。甲方提供的业务需求文档及脱敏