附件二：
数据委托处理协议
更新日期：2023年3月20日
用户订购小满SaaS软件即意味着用户以有偿的方式使用小满SaaS软件提供的标准化委托处理的服务。用户有意委托小满科技作为受托人，按照用户指令提供个人信息等数据的处理服务。为规范个人信息等数据处理事宜，维护个人信息主体的合法权益，保证个人信息应用安全，根据适用数据保护法律的要求，经双方协商一致达成本数据委托处理协议（以下简称“本协议”）。
1. 定义
1.1 “个人信息”是指以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的信息。
1.2 “处理”是指对个人信息进行的任何操作或一系列操作，包括但不限于：访问、收集、存储、使用、加工、传输、提供、公开、删除。
1.3 “适用数据保护法律”主要是指本协议生效前和生效后中国不时颁布生效的个人信息保护、数据合规相关的法律和法规，包括但不限于《网络安全法》《消费者权益保护法》《数据安全法》《个人信息保护法》（仅为本协议之目的，为避免疑义，不包括香港特别行政区、澳门特别行政区及台湾地区的法律）。
1.4 “数据处理者”是指在个人信息等数据的处理活动中自主决定处理目的、处理方式的组织、个人。为避免歧义，本协议项下，用户为数据处理者，即“数据提供方”。
1.5 “受托人”是指接受数据处理者委托，严格按照数据处理者的要求处理数据的组织或者个人。为避免歧义，本协议项下，小满科技为受托人，即“数据接收方”。
1.6 “接收的数据”是指为履行本协议所必需的范围内，用户向小满科技提供的数据。
1.7 “生成的数据”是指在履行本协议过程中，小满科技为履行本协议下的受托数据处理行为而生成的数据。接收的数据和生成的数据统合称为“委托数据”。
1.8 “处理目的”是指小满科技从用户处获得个人信息等数据，仅限用于双方在本协议附件1约定的服务目的。
2. 个人信息保护原则
双方均认可并同意，本协议项下个人信息处理应共同遵循以下原则，保障用户个人信息权益：
2.1 尊重用户的知情权。用简明易懂的语言，明确向用户告知采集、使用其控制的个人信息的目的、方式、范围、用途等。不违法违规采集用户信息。
2.2 尊重用户的控制权。不强迫用户进行不合理的“一揽子授权”，依法向用户提供个人信息权利主张的途径。
2.3 尊重用户授权，强化自我约束。严格遵守与用户约定的授权范围，不采集与提供服务无关的信息。
2.4 保障用户的信息安全。采取充分有效的技术手段和管理措施，并对委托处理个人信息的第三方进行筛选，防止个人信息泄漏、毁损、丢失。
2.5 保障产品和服务的安全可信。不在产品和服务中设置隐蔽功能进行用户不知情的操作，发现安全缺陷、漏洞时，及时采取补救措施。
2.6 联合抵制黑色产业链。不采集通过非法渠道获取的信息，坚决杜绝与个人信息黑色产业链的任何交易及往来。
2.7 倡导行业自律。共同探索可推广、可复制并与国际接轨的个人信息保护最佳实践，带动和帮助行业整体水平提升。
2.8 接受社会监督。切实履行企业承诺，积极配合监管机构的监督检查，主动接受社会各方的监督。
3. 委托处理的目的、方式及数据范围
3.1 本协议项下，用户委托小满科技处理数据仅限于为履行双方合作之目的，小满科技应当按照约定的范围和方式处理所接收的数据。
3.2 用户依据本协议向小满科技提供的个人信息等数据的范围、方式、处理目的等方面的指示，详见本协议附件1：委托数据明细清单。
4. 数据提供方权利和职责
4.1 数据提供方承诺，已按照适用数据保护法律开展收集、使用等数据处理行为。其提供委托数据给受托人的行为不违反数据保护规定，不违反与其他方的合同约定，或侵害第三方权益等。
4.2 数据提供方认为数据接收方数据安全能力与委托数据的敏感程度及数量不匹配时，有权向数据接收方发出问询。
5. 数据接收方权利和职责
5.1 数据接收方承诺，将按照本协议及适用数据保护法律的要求处理其从数据提供方接收的个人信息等数据。
5.2 受托人如需将委托数据转委托他人处理，需事先取得数据处理者同意。如需增加转委托范围，应以补充协议的方式进行约定。除非双方已书面约定的情形或为数据处理活动所必需，且符合适用数据保护法律的要求，否则受托人不得将全部或者任何部分的受托处理数据提供给任何第三方或者进行公开披露；以及
5.3 在任何情况下都不得以将导致数据提供方违反其在适用数据保护法律下的任何义务的方式处理委托数据。
5.4 数据接收方应当按照适用数据保护法律要求，建立相对应的数据安全能力，落实必要的管理和技术措施，为委托数据提供充分的安全保障，防止委托数据遭受未经授权的使用、泄漏、损毁、丢失。
5.5 数据安全保障措施应当考虑到现有技术水平，实施成本，处理的性质、范围、背景和目的，以及给个人信息主体的权利和自由造成损害的风险的可能性。包括但不限于：
(a) 场所及设施的权限控制。必须采取措施以防止对存放个人信息等数据的场所和设备未经授权的物理访问，例如权限控制系统，身份识别读卡器、磁卡及芯片卡，监控设备，设施出/入记录等。
(b) 访问限制。贯彻访问权限的人数最小化以及访问信息的数量最小化原则，仅供确有需要，且经授权的员工访问。未经授权的人员不得访问数据处理方获取的委托数据及其处理系统，无论是物理接触还是逻辑访问。
(c) 可用性控制。采取措施确保委托数据得到保护而不受意外破坏或丢失，至少应包括以下内容：确保已安装的系统在发生中断后能够恢复，确保系统正常运行并报告故障，确保储存的个人信息等数据不会因系统故障而被损坏，业务连续性程序，远程存储和防病毒/防火墙系统。
(d) 密码、加密和匿名化。数据处理方应采用合理的商业物理安全技术和电子安全技术来创建和保护密码，以及采取匿名化处理。如存储个人敏感信息、与关键信息基础设施有关的信息、重要数据，数据处理方应使用行业标准加密工具实施加密措施。
数据接收方应对技术和组织措施进行定期检查，以确保这些措施持续提供适当的安全水平。
5.6 数据接收方储存个人信息的期限应为实现其处理目的所需或适用数据保护法律所要求的最短时间，超出上述储存期限后，数据接收方应对个人信息（包括备份信息）进行删除或匿名化处理。
5.7 本协议本协议不生效、无效、被撤销或者终止的，数据接收方应当将委托数据返还给数据提供方并且删除和销毁委托处理的信息及所有副本/备份。
5.8 以下任一情形发生时，数据接收方应当立即停止使用接收的数据，并删除和销毁对应的委托数据及所有副本/备份，并向数据提供方提供书面确认：
（1）收到数据提供方书面通知；
（2）委托处理事项完成，委托处理事项无法实现或者为实现处理目的不再必要；
（3）个人信息主体撤回同意；
（4）用户停止向个人信息主体提供服务，或者保存期限已届满；
（5）其他不删除信息可能会导致违法违规的情形。
6. 安全事件处置
6.1 数据接收方应当落实必要的监测和响应措施，如果发生数据泄露事件，数据接收方应当本着及时、有效、诚信的原则采取行动及措施。
6.2 数据接收方在知晓安全事件时，数据接收方应当：
(a) 毫不迟延地通知数据提供方并在数据提供方为履行适用数据保护法律下的安全事件上报义务而要求时向数据提供方提供所有该等及时的信息和合作；
(b)按照适用数据保护法律的要求采取补救措施以降低安全事件的影响，且应当使数据提供方知晓与安全事件相关的进展；
(c) 根据适用数据保护法律通知个人信息主体，告知其可采取何种措施避免泄漏造成损害。如数据接收方采取的措施能够有效避免数据泄漏造成危害的，可不通知个人信息主体。以及
(d) 记录所有与数据泄漏相关的事实，包括其影响以及采取的任何补救措施，向监管报告的内容，并留存相应的记录，视情况按照数据提供方的需求向数据提供方提供该记录。
7. 配合义务及审计
7.1 数据接收方应当按照数据提供方的要求配合监管机关，并向数据提供方提供为了证明数据提供方遵守适用数据保护法律等相关目的而需要的必要信息。数据接收方应当将从监管机关收到的关于委托数据处理的任何要求、通知或其他通讯立即同步告知数据提供方，但法律法规有相反规定的除外。
7.2 数据接收方应当向数据提供方提供合理和及时的帮助以使数据提供方可以响应:
(a) 个人信息主体要求行使其在适用数据保护法律下的任何权利的请求；以及
(b) 从个人信息主体或者其他与委托数据处理相关的第三方处收到的任何其他通信、询问或者投诉。如果该等通信、询问或者投诉直接向数据接收方做出，数据接收方应当通知数据提供方并提供所有该等通信、询问或者投诉的细节。
7.3 经双方事先协商一致，数据接收方应当允许数据提供方或者数据提供方委派的第三方审计机构对数据接收方进行审计，以确认数据接收方处理委托数据是否符合适用数据保护法律和本协议的要求。
数据接收方应向数据提供方的授权代表或者数据提供方委托的第三方提供进行该等审计必要的协助。
8. 数据跨境传输
未经数据提供方书面同意，数据接收方不应将委托数据向中华人民共和国以外的国家和区域提供。为避免歧义，在本协议项下，向香港、澳门或台湾地区的组织或个人提供委托数据，亦视为本条约定下的跨境传输情形。
经数据提供方同意后，数据接收方向境外传输委托数据的，应当按照适用数据保护法律，以及双方之间的合同约定（如有），由数据接收方自行或指定部门，完成跨境安全评估后方可实施跨境传输。
9. 生效和终止
9.1 本协议自用户点击、勾选确认/同意或以其他方式选择接受本协议之日起开始生效，持续有效直至当事方最后一次的数据共享事项完成。
9.2 尽管有第9.1条的上述规定，但双方仍可依据如下方式终止本协议：
（a）双方可以随时通过书面协议的方式终止本协议；以及
（b）本协议任何一方向另一方提前三个月发出书面通知的方式，终止本协议。
10. 其他约定
10.1如果监管机构认为本协议条款的任何部分全部或部分无效或不可执行，本协议其他条款的有效性以及所涉条款的其余部分均不受影响。
10.2 本协议作为服务合同的附件，与服务合同具有同等法律效力，亦具有独立性可单独使用。如本协议中就数据处理相关约定与服务合同不一致的，以本协议约定为准；如双方另行签订的协议就数据处理相关约定与本协议不一致，以本协议约定为准。
10.3本协议由中华人民共和国法律法规管辖并据其解释。如双方因本协议及其附件发生争议，双方应友好协商解决，如协商不成，任何一方均有权向原告所在地人民法院发起诉讼。
用户再次确认并声明：已经仔细阅读并完全理解本协议的条款，并愿意接受上述所有条款的约束。
