2026年信息保密协议(专家版)

2026年信息保密协议(专家版)本协议由以下各方于【XXXX年XX月XX日】在【XX省XX市】签署：甲方（披露方/信息提供方）：【全称】，统一社会信用代码：【】，住所地：【】，法定代表人：【】乙方（接收方/信息接受方）：【全称】，统一社会信用代码：【】，住所地：【】，法定代表人：【】鉴于甲乙双方正在开展【明确合作项目：如XX行业大模型联合微调、XX技术合作开发、XX并购尽职调查等】合作，合作过程中甲方将向乙方披露其合法拥有的保密信息，乙方确认已充分理解信息保密对甲方的核心价值，同意承担本协议约定的保密义务，各方经平等协商，达成如下协议，以资共同遵守：第一条定义与解释1.1本协议所称保密信息，是指披露方以书面、口头、电子、电磁、物理样品等任何形式向接收方提供或披露的，不为公众所知悉，能为披露方带来经济利益，具有实用性并经披露方采取保密措施的所有信息，以及双方在合作过程中共同生成的符合上述条件的信息。1.2本协议所称关联方，是指接收方直接或者间接控制、或者直接或间接控制接收方、或者与接收方共同受同一主体控制的企业、机构、组织，以及接收方的董事、监事、高级管理人员、核心技术人员及其近亲属控制的主体。1.3本协议所称核心保密信息，是指一旦泄露将直接导致披露方核心竞争优势丧失、单次可估算损失超过500万元人民币、引发百万以上监管处罚、造成不可修复的重大品牌负面影响的保密信息，具体范围以披露方标注为准，典型核心保密信息包括：大模型预训练核心权重、核心技术配方、未公开的重大投融资/并购重组方案、规模超过100万条的敏感个人信息数据集、核心供应链成本数据、未公开的合并报表核心财务数据、核心客户合作底价等。1.4本协议所称重要保密信息，是指泄露将导致披露方单次损失金额在50万元以上500万元以下、引发中度监管风险或中等品牌损害的保密信息，具体范围以披露方标注为准，典型重要保密信息包括：非核心技术方案、区域级客户名单、规模在100条以上100万条以下的敏感个人信息数据集、阶段性经营战略规划、未公开的招投标信息等。1.5本协议所称一般保密信息，是指泄露将导致披露方单次损失金额在50万元以下，引发轻度运营或合规风险的保密信息，典型包括：内部普通会议纪要、公开前的一般性合作信息、非核心岗位员工薪酬信息等。1.6本协议所称生成式人工智能模型，是指基于深度学习算法，能够自主生成文本、图像、音频、视频等内容的人工智能模型，包括预训练大模型、微调模型、行业专属模型等。1.7本协议如有多个接收方的，各接收方就本协议项下的全部保密义务承担连带责任；本协议所称披露方，包括向接收方提供保密信息的甲方，以及甲方要求披露的其母公司、子公司、关联方的保密信息。第二条保密信息的范围2.1保密信息涵盖技术信息、经营信息、个人信息及其他信息四大类，具体包括但不限于：（1）技术信息：技术方案、工程设计、电路设计、制造方法、配方、工艺流程、技术指标、计算机软件源代码与二进制可执行文件、算法架构、生成式AI模型的预训练权重、微调参数、Prompt工程模板、模型安全漏洞报告、测试集与验证集数据、训练数据集与人工标注数据、未公开的专利申请文件、实验记录与结果、技术草图、样品、模型、模具、技术开发文档、产品测试报告、性能指标数据、未上市新产品核心参数等；（2）经营信息：客户名单、营销计划、采购资料、定价政策、不公开的财务数据、投融资计划、并购重组方案、尽职调查报告、招投标标的内容、投标报价、供应链核心数据、供应商与渠道商核心信息、成本核算数据、未公开的企业战略规划、薪酬体系、股权激励方案、内部合规审计报告、未公开的重大诉讼仲裁信息、未披露的重大合作协议条款等；（3）个人信息：符合《中华人民共和国个人信息保护法》定义的个人信息，以及敏感个人信息，包括但不限于用户身份信息、联系方式、生物识别信息、行踪轨迹信息、消费记录、健康医疗信息、员工完整个人档案信息等；（4）其他信息：双方合作过程中形成的会议纪要、沟通记录、备忘录、会谈纪要，披露方标注为“保密”“内部”的任何信息，披露方口头披露后在7个自然日内以书面形式确认属于保密范围的信息，接收方基于披露方保密信息衍生生成的任何与合作相关的信息。2.2接收方确认，无论保密信息存储在任何介质，包括纸质文件、电子文档、云端存储、本地硬盘、移动存储设备、实体样品、芯片等，均属于本协议约定的保密范围。第三条保密义务主体与分级防护要求3.1本协议项下的保密义务不仅及于乙方，也及于乙方的所有关联方、员工、董事、监事、高级管理人员、外部顾问、委托的第三方服务商、合作方、生成式AI服务提供商等所有可能接触到保密信息的主体（以下统称“接触主体”）。乙方应当在接触主体接触保密信息前，与其签署不低于本协议标准的保密协议，明确其保密义务，乙方对所有接触主体的泄密行为承担连带责任，不得因接触主体已签署保密协议而免除自身责任。3.2乙方应当严格按照本协议第一条约定的保密信息分级，对不同等级的保密信息采取对应级别的防护措施：（1）核心保密信息防护：仅限乙方指定的不超过3名经过披露方书面同意的核心项目人员接触，采用物理隔离存储方式，不得接入任何公共网络、公有云服务，接触全程操作留痕，每次接触需要双人复核，不得擅自复制、拷贝、转录核心保密信息，确因工作需要复制的，需要经过披露方法定代表人书面授权，并对复制件采取同等保密措施；（2）重要保密信息防护：采用端到端对称加密存储，设置严格的权限分级访问控制，仅对项目核心相关人员开放对应权限，所有接触人员必须签署专项保密承诺书，所有操作全程留痕日志保存不少于3年，不得传输至个人设备、非授权云存储，不得通过未加密的公共网络传输；（3）一般保密信息防护：设置明确的部门访问权限，仅对相关工作人员开放，不得在公开场合、公共网络讨论，不得向任何未授权人员披露。3.3乙方应当在接收全部保密信息后10个工作日内建立完整的保密信息台账，记录保密信息的类型、分级、数量、存储位置、接触人员清单，台账内容每季度更新一次，披露方有权随时查阅。第四条乙方的具体保密义务4.1乙方应当严格按照“最小必要”原则接触保密信息，不得超出合作项目需要，超额获取、超额存储保密信息；4.2乙方不得将保密信息用于任何合作项目以外的目的，不得擅自以任何形式向任何第三方披露保密信息，法律法规另有规定或者双方另有书面约定的除外；4.3乙方不得去除、篡改披露方添加在保密信息上的保密标识、显性水印、隐形溯源水印、数字签名；不得对保密信息进行反向工程、反编译、反汇编，不得通过Prompt注入、权重窃取、模型窃取等技术手段提取披露方的保密信息；4.4乙方不得将披露方的保密信息输入任何未经过披露方书面授权的生成式人工智能模型、第三方AI平台，不得利用披露方保密信息训练自有或者第三方的人工智能模型，不得将基于披露方保密信息生成的衍生成果用于非约定合作目的；4.5乙方处理保密信息中的个人信息，应当严格遵守《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》等法律法规，仅能用于约定的合作目的，不得二次加工买卖、不得擅自向第三方提供个人信息，不得未经合规审批将个人信息传输至境外；4.6合作终止或者披露方要求返还保密信息时，乙方应当在10个自然日内返还所有存储保密信息的原始介质，不得保留任何形式的备份；对于需要销毁的电子保密信息，乙方应当按照NISTSP800-88最新版本标准进行符合规范的数据擦除，对于存储核心保密信息的固体硬盘、物理存储介质，应当进行物理粉碎销毁，销毁过程应当全程录像，录像资料保存不少于3年，披露方有权现场监督销毁过程；4.7乙方应当建立年度保密合规审计机制，每年12月对本单位的保密信息防护情况进行内部审计，形成正式审计报告提交给披露方，发现安全隐患及时出具整改方案并完成整改。第五条特殊场景下的专项保密要求5.1生成式人工智能合作场景：（1）甲乙双方开展联合开发、模型微调、训练数据合作等生成式AI相关合作的，披露方提供的所有训练数据、标注数据、模型权重、核心参数、测试样本均默认属于核心保密信息；（2）接收方不得将披露方提供的任何保密数据、模型参数用于训练自有通用大模型或者第三方商用大模型，不得将披露方的模型输出内容用于训练其他独立模型，不得向任何第三方披露模型的精度指标、安全漏洞、适配场景等核心参数；（3）接收方不得利用披露方的模型生成侵犯第三方知识产权或者违法违规的内容，不得利用模型输出反向推导披露方的核心训练数据和权重参数，不得擅自将微调后的模型对外提供服务。5.2跨境合作场景：（1）保密信息需要出境传输给乙方或者乙方境外关联方的，乙方应当提前协助披露方完成数据出境合规程序，属于重要数据或者100万人以上个人信息出境的，必须完成国家网信部门的出境安全评估，属于其他情形的，按照规定完成备案或者签署标准合同，未完成全部合规程序前，乙方不得接收任何出境的保密信息；（2）乙方在境外存储保密信息的，应当采取不低于我国法律法规要求的安全防护措施，不得擅自将保密信息转移给任何境外第三方，接受我国网信部门、公安机关的监督检查，配合监管部门调取相关合规材料；（3）若境外监管部门要求乙方提供披露方保密信息的，乙方应当立即通知披露方，协助披露方采取法律保护措施，未经披露方书面同意不得擅自提供。5.3混合办公与远程办公场景：（1）乙方要求员工远程处理保密信息的，必须使用乙方统一配发的加密办公设备，不得使用员工个人电脑、手机、平板等个人设备处理任何级别的保密信息，不得通过公共WiFi、个人即时通讯工具传输保密信息；（2）乙方应当对所有处理保密信息的设备部署数据泄露防护（DLP）系统，开启截屏录屏管控、水印溯源、外发多级审批功能，禁止未经过审批将保密信息外发至外部。5.4并购尽职调查场景：（1）乙方及乙方聘请的财务顾问、律师、会计师、估值机构等所有中介机构均应当对尽调过程中获取的披露方保密信息承担保密义务，乙方对所有中介机构的泄密行为承担连带责任；（2）尽调结束后无论并购交易是否完成，乙方都应当返还或者销毁所有尽调获取的保密信息，不得保留任何备份，不得将尽调获取的保密信息用于任何其他商业目的，不得用于同业竞争。第六条保密期限6.1对于属于商业秘密的保密信息，保密义务自本协议签署之日起，至该商业秘密不为公众所知悉的状态终止之日止，无论本协议是否变更、解除、终止，乙方的保密义务持续有效，不受期限限制；6.2对于不属于商业秘密的其他保密信息，保密义务自信息披露之日起，至合作项目终止后10年止；涉及个人信息的，保密义务至个人信息处理目的实现后删除该信息之日止，法律法规要求强制留存的，留存至法定留存期限届满；6.3本协议的任何变更、终止、解除，都不影响乙方已经承担的保密义务，也不影响披露方追究乙方泄密责任的合法权利。第七条保密义务的例外7.1有下列情形之一的，乙方不承担相应保密责任，但是应当在法律法规允许的范围内尽可能提前通知披露方：（1）保密信息已经通过合法途径为公众所知悉，且该公开不属于乙方违反本协议约定导致的；（2）乙方能够提供完整证据证明，在披露方披露该信息之前，乙方已经合法拥有该信息，且该信息未对乙方设置保密限制；（3）该信息由乙方从无保密义务的第三方合法获取，且获取途径不存在过错；（4）乙方根据法律法规、生效司法裁判、行政监管部门的强制性要求披露保密信息，但是乙方应当在披露前尽可能提前7个自然日书面通知披露方，协助披露方采取保护措施，包括申请不公开审理、法院保密令等，并且仅能披露强制性要求范围内的最小必要信息。第八条信息安全事件处置8.1乙方应当建立7*24小时的保密信息安全监测机制，每季度开展一次漏洞扫描和渗透测试，及时修补安全漏洞，消除安全隐患；8.2乙方发现保密信息发生或者可能发生泄露、篡改、丢失的，应当立即采取止损措施，包括封锁泄露账号、关闭泄露端口、收回泄露信息、溯源泄露路径等，并在72小时内以加密书面形式通知披露方，符合《网络安全法》《数据安全法》的通报要求；8.3乙方提交的事件通知应当至少包括以下内容：（1）事件发生的时间、地点、泄露渠道；（2）涉事保密信息的类型、分级、数量、影响范围；（3）已经采取的止损和控制措施；（4）事件可能造成的影响和风险评估；（5）后续整改方案；（6）对接联系人信息；8.4乙方应当全程配合披露方开展监管报备、受影响用户通知、风险处置、调查取证等工作，由此产生的所有费用由过错方承担；若因乙方处置不及时、隐瞒不报导致损害扩大的，乙方应当对扩大的损害部分承担全部赔偿责任。第九条披露方的权利9.1披露方拥有所有保密信息的所有权、知识产权及其他合法权利，乙方仅获得为完成约定合作项目所需的有限使用权，不得对保密信息主张任何其他权利；9.2披露方有权在提前3个工作日书面通知乙方的情况下，对乙方的保密防护措施、保密信息存储情况、台账记录进行现场或者远程检查，乙方应当配合检查，不得拒绝；9.3检查发现乙方存在安全隐患的，披露方有权要求乙方在15个自然日内完成整改，乙方逾期未整改的，披露方有权收回所有保密信息，暂停合作，并且要求乙方承担违约责任；9.4若乙方发生重大泄密事件，披露方有权单方解除所有与乙方的合作协议，并且要求乙方承担全部赔偿责任。第十条违约责任10.1乙方违反本协议约定，尚未造成保密信息实质性泄露，也未造成实际损失的，乙方应当向披露方支付合作总金额20%的违约金，最低不低于10万元人民币；10.2乙方违反本协议约定，造成一般保密信息泄露的，应当支付合作总金额30%的违约金；造成重要保密信息泄露的，支付合作总金额50%的违约金；造成核心保密信息泄露的，支付合作总金额100%的违约金；前述违约金最低分别不低于20万元、50万元、100万元人民币；10.3若前述违约金不足以弥补披露方实际损失的，乙方应当赔偿披露方的全部损失，包括但不限于：直接经济损失、预期利润损失、商誉损失、监管部门对披露方处以的罚款、处置泄露事件支付的调查费、公证费、鉴定费、律师费、