2026年汽車行業(yè)數(shù)據(jù)保護協(xié)議鑒于本協(xié)議雙方（以下簡稱“甲方”和“乙方”）希望就涉及2026年汽車行業(yè)的數(shù)據(jù)處理和保護事宜建立合作關系，并根據(jù)適用的數(shù)據(jù)保護法律、法規(guī)和標準（以下統(tǒng)稱“法律法規(guī)”），達成如下協(xié)議：第一條定義1.1在本協(xié)議中，除非上下文另有解釋，下列術語具有以下含義：1.1.1“數(shù)據(jù)控制者”是指確定數(shù)據(jù)處理目的和方式的主體。1.1.2“數(shù)據(jù)處理者”是指為數(shù)據(jù)控制者的利益而處理個人數(shù)據(jù)的主體，不包括僅以履行其作為數(shù)據(jù)控制者員工職責所必需的方式進行處理的個人。1.1.3“個人數(shù)據(jù)”是指任何與已識別或可識別的自然人（“數(shù)據(jù)主體”）相關的信息，無論該信息是否以電子形式或非電子形式收集或存儲。1.1.4“非個人數(shù)據(jù)”是指不與任何數(shù)據(jù)主體相關聯(lián)的數(shù)據(jù)。1.1.5“特殊類別個人數(shù)據(jù)”是指生物識別數(shù)據(jù)、健康數(shù)據(jù)、遺傳數(shù)據(jù)、個人身份數(shù)據(jù)、財務數(shù)據(jù)以及在特定情境下可能揭示種族或民族出身、宗教或哲學信仰、政治觀點、成員身份（屬于一個工會或其他組織）或游蕩歷史的個人數(shù)據(jù)。1.1.6“數(shù)據(jù)處理活動”是指收集、記錄、存儲、訪問、使用、披露、傳輸、刪除或以其他方式處理個人數(shù)據(jù)的所有操作或操作組合。1.1.7“數(shù)據(jù)泄露”是指未經(jīng)授權的訪問、披露、丟失、破壞或以其他方式不當處理個人數(shù)據(jù)的事件。1.1.8“安全措施”是指為保護個人數(shù)據(jù)而采取的技術和組織措施，包括加密、訪問控制、安全審計、漏洞管理等。1.1.9“隱私政策”是指向數(shù)據(jù)主體提供有關其個人數(shù)據(jù)處理實踐的詳細信息的官方文件。1.1.10“數(shù)據(jù)保護影響評估（DPIA）”是指評估處理活動對個人數(shù)據(jù)保護可能產(chǎn)生的風險，并確定必要緩解措施的系統(tǒng)性過程。1.1.11“數(shù)據(jù)保護官（DPO）”是指被指定負責監(jiān)督數(shù)據(jù)保護合規(guī)性、與監(jiān)管機構溝通以及向數(shù)據(jù)主體提供咨詢的個體。1.1.12“關聯(lián)方”是指與甲方或乙方有關聯(lián)的公司、子公司、關聯(lián)公司或?qū)嶓w。1.2除非本協(xié)議另有規(guī)定，否則本協(xié)議中提及的法律法規(guī)包括但不限于歐盟的《通用數(shù)據(jù)保護條例》（GDPR）、美國的《加州消費者隱私法案》（CCPA）以及各數(shù)據(jù)控制者或數(shù)據(jù)處理者運營所在地的適用法律法規(guī)。第二條數(shù)據(jù)處理目的與授權2.1除非本協(xié)議另有約定，乙方同意僅在符合以下一個或多個法律依據(jù)的情況下，代表甲方處理個人數(shù)據(jù)：(a)數(shù)據(jù)主體同意處理其個人數(shù)據(jù)。(b)為履行與甲方訂立的合同或為訂立合同所必需，且在合同訂立前已向數(shù)據(jù)主體明確說明處理目的、方式和數(shù)據(jù)接收方。(c)為履行甲方或關聯(lián)方的合法利益所必需，且該利益不與數(shù)據(jù)主體的基本權利和自由相沖突。(d)為保護數(shù)據(jù)主體的重大利益所必需。(e)為履行甲方的法律義務所必需。(f)為防止對數(shù)據(jù)主體或他人造成或可能造成嚴重損害所必需。(g)為將個人數(shù)據(jù)轉移至第三國或國際組織，且該轉移得到數(shù)據(jù)主體明確同意，或該轉移得到了適用的法律法規(guī)授權。2.2乙方處理個人數(shù)據(jù)的目的是為實現(xiàn)甲方在以下方面設定的具體目標：(a)車輛設計、開發(fā)、測試和制造。(b)車輛性能監(jiān)控、維護保養(yǎng)和故障診斷。(c)提供和改進車載服務，包括導航、娛樂、通信和遠程信息處理服務。(d)保障交通安全，例如通過事故數(shù)據(jù)分析、駕駛員狀態(tài)監(jiān)控（如疲勞駕駛檢測）。(e)進行市場分析、客戶細分和提供個性化產(chǎn)品或服務建議。(f)與其他車輛、基礎設施或用戶進行車輛對一切（V2X）通信。(g)管理和提供汽車相關保險、租賃或金融服務。(h)遵守法律法規(guī)要求，包括車輛安全、排放或召回規(guī)定。(i)進行科學研究、技術開發(fā)或統(tǒng)計分析，前提是數(shù)據(jù)已充分匿名化或假名化，且無法重新識別特定個人。2.3乙方應僅處理為實現(xiàn)本協(xié)議第二條第2款所述目的所必需的個人數(shù)據(jù)。第三條數(shù)據(jù)主體的權利3.1甲方應確保數(shù)據(jù)主體能夠行使其在適用的法律法規(guī)下享有的各項權利，包括但不限于：(a)訪問其個人數(shù)據(jù)的權利，并獲取甲方提供的關于數(shù)據(jù)處理活動的相關信息的權利。(b)要求甲方更正其不準確個人數(shù)據(jù)的權利。(c)要求甲方刪除其個人數(shù)據(jù)（被遺忘權）的權利，特別是在數(shù)據(jù)不再需要為實現(xiàn)處理目的、數(shù)據(jù)主體撤回同意、數(shù)據(jù)主體反對處理或數(shù)據(jù)已被非法處理等情況下。(d)要求甲方限制處理其個人數(shù)據(jù)的權利，特別是在數(shù)據(jù)準確性存疑、甲方處理數(shù)據(jù)違反法律法規(guī)但數(shù)據(jù)主體需要該數(shù)據(jù)以行使其權利、或甲方已停止處理但需為數(shù)據(jù)主體行使其權利而保留數(shù)據(jù)等情況下。(e)要求甲方將其個人數(shù)據(jù)轉移給另一者的權利（數(shù)據(jù)可攜帶權），前提是該數(shù)據(jù)由甲方以可訪問和結構化的格式處理，且處理基于同意或合同履行。(f)反對甲方基于自動化決策（包括profilering）對其進行法律上或商業(yè)上定性或評估的權利，且該決策對其產(chǎn)生法律效力或類似重大影響，除非甲方能夠證明該決策具有合法依據(jù)且已采取適當措施保障數(shù)據(jù)主體的權利和自由，或數(shù)據(jù)主體已明確同意。(g)要求甲方解釋自動化決策邏輯的權利，特別是該決策對數(shù)據(jù)主體產(chǎn)生法律效力或類似重大影響時。(h)在其個人數(shù)據(jù)被用于自動化決策（包括profilering）的情況下，要求甲方人工干預、表達自己觀點或要求人類介入的權利。(i)對于涉及其個人敏感數(shù)據(jù)的處理，有權撤回同意（如果處理基于同意）。(j)對于涉及其車輛位置、駕駛行為等高度敏感數(shù)據(jù)的處理，有權要求甲方采取額外的保障措施。3.2甲方應建立有效的流程和機制，以響應用戶的數(shù)據(jù)主體權利請求，并在適用的法律法規(guī)規(guī)定的期限內(nèi)響應。第四條數(shù)據(jù)分類與特殊類別數(shù)據(jù)處理4.1除非獲得數(shù)據(jù)主體明確同意或適用的法律法規(guī)另有授權，乙方不得處理數(shù)據(jù)主體的特殊類別個人數(shù)據(jù)，除非處理對于：(a)保護數(shù)據(jù)主體的生命安全所必需。(b)為履行甲方的法律義務所必需。(c)為保護甲方或關聯(lián)方的重大利益所必需，且該利益不與數(shù)據(jù)主體的基本權利和自由相沖突，除非甲方能夠證明存在所必需的、且與數(shù)據(jù)主體的基本權利和自由不相沖突的合法理由。(d)為履行醫(yī)療診斷、提供醫(yī)療或療養(yǎng)服務或管理醫(yī)療保健系統(tǒng)所必需。(e)為科學或歷史研究或統(tǒng)計學目的進行處理，且數(shù)據(jù)主體已給予同意或該處理是為了公共利益。4.2甲方應在隱私政策中明確說明將處理哪些特殊類別個人數(shù)據(jù)、處理目的、法律依據(jù)以及數(shù)據(jù)主體的相關權利。4.3在處理特殊類別個人數(shù)據(jù)時，乙方應采取額外的安全措施，并確保處理活動符合適用的法律法規(guī)要求。第五條數(shù)據(jù)安全5.1乙方同意采取與其處理個人數(shù)據(jù)所面臨的風險相稱的、充分的技術和組織措施（安全措施），以保護個人數(shù)據(jù)免受未經(jīng)授權或非法的處理，以及意外丟失、破壞或損壞。5.2具體安全措施應包括但不限于：(a)采取加密措施，保護個人數(shù)據(jù)在傳輸和存儲過程中的機密性。(b)實施訪問控制措施，確保只有授權人員才能訪問個人數(shù)據(jù)，并根據(jù)其職責分配最小必要權限。(c)定期進行安全審計和風險評估，識別和緩解潛在的安全漏洞。(d)對所有人員（特別是處理個人數(shù)據(jù)的員工）進行數(shù)據(jù)保護和安全意識培訓。(e)建立和維護事件響應計劃，以檢測、報告和調(diào)查安全事件，包括數(shù)據(jù)泄露。(f)確保物理環(huán)境（如服務器機房）的安全。(g)對傳輸個人數(shù)據(jù)的系統(tǒng)（包括云服務）進行安全評估。(h)實施數(shù)據(jù)備份和恢復機制。5.3乙方應遵守甲方就數(shù)據(jù)安全設定的具體要求，并應允許甲方或其指定的代表對其安全措施進行定期或不定期的審計和評估。5.4在發(fā)生或發(fā)現(xiàn)可能的數(shù)據(jù)泄露時，乙方應立即通知甲方，并協(xié)助甲方采取補救措施和履行通知數(shù)據(jù)主體及監(jiān)管機構的義務。第六條數(shù)據(jù)共享與轉讓6.1除非獲得數(shù)據(jù)主體的明確同意或適用的法律法規(guī)另有授權，乙方不得將個人數(shù)據(jù)披露給任何第三方。6.2乙方可能需要將個人數(shù)據(jù)共享給以下類型的第三方，但僅限于為實現(xiàn)本協(xié)議第二條約定的處理目的所必需，并且乙方應確保這些第三方遵守與本協(xié)議類似的數(shù)據(jù)保護義務：(a)甲方的關聯(lián)方，以支持甲方提供的與車輛相關的服務或產(chǎn)品。(b)為甲方提供技術支持、維護服務、軟件開發(fā)、云服務、數(shù)據(jù)分析或類似服務的供應商。(c)為甲方提供市場營銷、客戶關系管理或類似服務的第三方。(d)法律法規(guī)要求或法院、監(jiān)管機構命令要求披露個人數(shù)據(jù)的機構。(e)為履行甲方與數(shù)據(jù)主體的合同所必需，且數(shù)據(jù)主體已被告知該共享。6.3在將個人數(shù)據(jù)共享給或轉讓給本協(xié)議第六條第6.2款(b)項和(c)項所述的第三方之前，乙方應：(a)與該第三方簽訂書面協(xié)議（可包括數(shù)據(jù)處理協(xié)議或標準合同條款），確保該第三方在數(shù)據(jù)處理活動中遵守本協(xié)議的規(guī)定，特別是關于安全、數(shù)據(jù)主體權利和跨境傳輸?shù)囊蟆?b)獲取甲方的事先書面同意（如果適用）。6.4如需將個人數(shù)據(jù)轉移至位于歐盟以外的國家或地區(qū)，乙方應確保該轉移符合適用的法律法規(guī)要求，例如，通過獲得數(shù)據(jù)主體的明確同意、依賴于適用法律法規(guī)的充分性認定，或采用具有約束力的公司規(guī)則（BCRs）或標準合同條款（SCCs）。6.5乙方不得將個人數(shù)據(jù)轉讓給任何違反本協(xié)議數(shù)據(jù)保護義務的第三方。第七條數(shù)據(jù)跨境傳輸7.1乙方在處理個人數(shù)據(jù)時，如涉及跨境傳輸（包括傳輸至第三國或國際組織），應遵守適用的法律法規(guī)要求。7.2對于傳輸至歐盟委員會已認定其數(shù)據(jù)保護水平充分的國家/地區(qū)的個人數(shù)據(jù)，適用法律法規(guī)的要求得到滿足。7.3對于傳輸至歐盟委員會未認定其數(shù)據(jù)保護水平充分的國家/地區(qū)的個人數(shù)據(jù)，乙方應：(a)在獲得數(shù)據(jù)主體的明確、單獨同意前，不得進行傳輸。(b)使用歐盟委員會批準的標準合同條款（SCCs）。(c)使用經(jīng)監(jiān)管機構批準或登記的具有約束力的公司規(guī)則（BCRs）。(d)如果傳輸是基于履行與數(shù)據(jù)主體的合同或為履行甲方的法律義務所必需，且數(shù)據(jù)主體已被告知傳輸細節(jié)及數(shù)據(jù)保護水平，則可以在特定條件下進行傳輸。7.4乙方應向甲方提供必要的協(xié)助，以證明其跨境傳輸活動符合適用法律法規(guī)的要求。第八條數(shù)據(jù)保留8.1乙方應僅保留個人數(shù)據(jù)，直至其為實現(xiàn)本協(xié)議第二條約定的處理目的所必需，或直至適用法律法規(guī)要求保留更長時間，或直至甲方明確要求刪除，或直至安全刪除該數(shù)據(jù)。8.2甲方應在隱私政策中說明不同類型個人數(shù)據(jù)的預期保留期限。8.3在本協(xié)議終止后，乙方應根據(jù)本協(xié)議第八條的約定處理個人數(shù)據(jù)，包括刪除或返回數(shù)據(jù)。乙方有義務刪除或返回所有未明確標記為歸甲方所有且甲方要求返還的個人數(shù)據(jù)，或在甲方明確指示的期限內(nèi)安全刪除。無論本協(xié)議是否終止，乙方均有義務在合理期限內(nèi)（具體期限由甲方在必要時書面通知）繼續(xù)保護個人數(shù)據(jù)，直至數(shù)據(jù)被刪除或返回。第九條數(shù)據(jù)主體權利的履行9.1甲方負責建立和維護處理個人數(shù)據(jù)的適當記錄，包括處理活動的詳細描述、數(shù)據(jù)控制者和處理者的聯(lián)系方式、數(shù)據(jù)傳輸至第三國的細節(jié)以及數(shù)據(jù)主體權利請求的記錄。9.2甲方應確保數(shù)據(jù)主體能夠便捷地行使其數(shù)據(jù)主體權利。甲方應提供清晰、易懂的隱私政策，說明其數(shù)據(jù)處理實踐。9.3如乙方收到數(shù)據(jù)主體的數(shù)據(jù)主體權利請求，乙方應立即將其轉達給甲方，并協(xié)助甲方收集必要的信息以響應該請求。乙方應向甲方提供其處理個人數(shù)據(jù)的記錄，以支持甲方的響應。9.4甲方應負責處理數(shù)據(jù)主體的反對請求、撤回同意請求以及訪問、更正、刪除或限制處理請求，并應向乙方提供必要的協(xié)助。第十條數(shù)據(jù)保護盡職調(diào)查與合規(guī)10.1在簽訂本協(xié)議前，雙方應根據(jù)各自的角色，對對方的合規(guī)狀況進行盡職調(diào)查。10.2雙方同意各自遵守其運營所在地的適用法律法規(guī)，并采取必要措施確保其處理個人數(shù)據(jù)的活動符合本協(xié)議的規(guī)定和適用的法律法規(guī)要求。10.3甲方應確保其處理者（包括乙方）遵守適用的法律法規(guī)，并應采取必要的監(jiān)督和審計措施。10.4乙方應向甲方提供其為遵守適用的法律法規(guī)和本協(xié)議而采取的措施的證據(jù)，包括安全措施、培訓記錄、事件響應報告等，應甲方合理要求。第十一條責任11.1乙方應盡其最大努力，并采取合理的商業(yè)謹慎，確保其處理活動符合本協(xié)議的規(guī)定和適用的法律法規(guī)要求。11.2乙方對因其違反本協(xié)議或適用的法律法規(guī)而導致的任何損害承擔責任，但該責任受以下限制：(a)乙方不對因數(shù)據(jù)控制者的指令或因其未能遵守甲方明確指令而造成的損害承擔責任。(b)乙方不對因數(shù)據(jù)主體對其個人數(shù)據(jù)提供的錯誤信息或無意的錯誤信息而造成的損害承擔責任，前提是乙方在處理該數(shù)據(jù)時已采取了合理的措施。(c)乙方的責任以在任何12個月期間內(nèi)每個數(shù)據(jù)主體不超過歐盟GDPR規(guī)定的上限（或適用法律規(guī)定的其他更高上限）為限，除非本協(xié)議另有約定。11.3上述責任限制不適用于因乙方故意不當行為、重大過失、違反保密義務、違反本協(xié)議關于安全措施或數(shù)據(jù)主體權利的核心義務、或違反其在DPIA中識別并承諾緩解的重大風險所造成的損害。第十二條期限與終止12.1本協(xié)議自雙方授權代表簽字之日起生效，有效期為[請插入年限，例如：三年]，除非在本協(xié)議期限屆滿前三十天，任何一方未書面通知另一方其意圖不續(xù)簽，則本協(xié)議自動續(xù)展[請插入續(xù)展年限，例如：一年]，此后可按相同方式續(xù)展。12.2除非本協(xié)議另有規(guī)定，任何一方可在另一方發(fā)生重大違約（且在收到書面通知后[請插入天數(shù)，例如：三十]天內(nèi)未能糾正）時，通過書面通知另一方終止本協(xié)議。12.3發(fā)生以下情況時，甲方有權立即終止本協(xié)議：(a)乙方被認定為非法運營或其運營違反了重要的法律法規(guī)。(b)乙方未能遵守本協(xié)議關于數(shù)據(jù)安全或數(shù)據(jù)主體權利的條款。(c)乙方處理的數(shù)據(jù)對甲方或其關聯(lián)方造成或可能導致重大損害。12.4乙方在收到甲方根據(jù)本協(xié)議第12.3款終止通知后，應立即停止所有數(shù)據(jù)處理活動，并僅根據(jù)本協(xié)議第八條的規(guī)定處理剩余的個人數(shù)據(jù)。12.5本協(xié)議的終止不影響任何一方根據(jù)本協(xié)議產(chǎn)生的權利或義務，特別是關于保密、數(shù)據(jù)安全、數(shù)據(jù)保留和責任的限制。在本協(xié)議終止后，關于數(shù)據(jù)刪除或返回的義務，以及因違反保密義務而產(chǎn)生的義務，應繼續(xù)有效。第十三條爭議解決13.1因本協(xié)議引起的或與本協(xié)議有關的任何爭議，雙方應首先通過友好協(xié)商解決。13.2如果協(xié)商在[請插入天數(shù)，例如：六十]天內(nèi)未能解決爭議，該爭議應提交至[請選擇一個具體的仲裁機構，例如：倫敦國際仲裁院]，按照該機構的屆時有效的仲裁規(guī)則進行仲裁。仲裁裁決是終局的，對雙方均有約束力，并可依任何司法管轄區(qū)的法律在法院予以承認和執(zhí)行。（或者選擇訴訟：13.2如果協(xié)商在[請插入天數(shù)，例如：六十]天內(nèi)未能解決爭議，該爭議應提交至[請選擇一個具體的法院，例如：甲方運營所在地的有管轄權的高級法院]，根據(jù)適用法律進行審理。）第十四條法律適用14.1本協(xié)議的訂立、效力、解釋、履行及爭議解決均適用中華人民共和國法律。雙方應受其各自所在地法律的管轄。第十五條通知15.1與本協(xié)議有關的任何通知或通訊應以書面形式，通過本協(xié)議首頁載明的地址、傳真或電子郵件發(fā)送。15.2通知在以下時間視為送達：(a)如果通過專人遞送，在交付時。(b)如果通過傳真，在成功發(fā)送時。(c)如果通過電子郵件，在郵件進入收件人指定的電子郵件系統(tǒng)時。15.3任何一方變更其聯(lián)系方式，應至少提前[請插入天數(shù)，例如：十]天以書面形式通知另一方。第十六條完整協(xié)議16.1本協(xié)議構成雙方就本協(xié)議主題達成的完整協(xié)議，取代雙方此前就該主題達成的所有口頭或書面協(xié)議、諒解或安排。16.2對本協(xié)議的任何修改或補充，均應以書面形式作出，并經(jīng)雙方授權代表簽署后生效。第十七條可分割性17.1如果本協(xié)議的任何條款被認定為無效、非法或不可執(zhí)行，該條款應被視為從本協(xié)議中刪除，但本協(xié)議的其余部分應繼續(xù)完全有效。第十八條利益相關方18.1雙方確認，除了本協(xié)議明確授予或授予給對方的權利和承擔的義務外，雙方或其關聯(lián)方之間不存在其他未在本協(xié)議中明確說明的利益關系或義務。第十九條保密19.1除非事先獲得另一方的書面同意，任何一方不得向任何第三方（包括其關聯(lián)方，除非為履行本協(xié)議所必需）披露本協(xié)議的內(nèi)容或其作為本協(xié)議一方所知悉的對方