哪些合同应当约定数据相关条款？

• 一方要接触、存储、使用另一方的个人信息或数据；

• 一方向另一方提供、共享、传输数据；

• 一方委托另一方处理数据；

• 数据需要出境；

• 涉及重要数据、核心数据、数据权属或安全运维。

存在上述任一情形的，应当考虑在合同中设置相应数据条款。具体判断不能仅以合同类型为依据。咨询服务合同，若顾问仅出具报告、不接触数据，通常无需数据条款；但顾问需访谈客户、调取用户数据进行分析时，则另当别论。劳动合同通常不按数据合同处理，但涉及背景调查的单独同意、考勤监控的边界，或集团内员工信息的跨境传输时，相应数据条款仍应补充。保密协议同理，尽调材料中含个人信息的，保密条款仅能约束对外披露，无法覆盖使用范围、删除及事件通知，需另行约定。

决定条款位置与强度的，是数据在合同中的实际角色，而非合同名称。角色不同，条款的详略、所处位置以及与其他条款的联动关系亦不同。下文按数据在合同中的角色分为三类。

02.

第一类，数据本身就是交易内容

这一类的共同点，是合同的主要义务就是处理数据。委托处理、数据共享、共同处理、数据交易、数据许可、API数据服务、数据出境、跨境传输、集团内数据共享，以及SaaS、云服务、运维、系统开发、AI模型训练、数据标注、算法服务，都属于这一类。

这类合同里，数据条款不是附属条款，而是合同的主要条款。写不完整，合同的核心义务就很难确定，更谈不上执行。

条款设计从角色和关系开始。谁是个人信息处理者，谁是受托处理者，谁是共同处理者，要先定下来。角色不同，义务就不同，受托处理者只能在委托方指示范围内处理。共同处理者要约定各自的权利义务，但内部约定只在追偿层面有意义，不影响个人向其中任何一个处理者主张权利。造成损害的，各处理者对外依法承担连带责任。角色界定一旦有误，后续责任分配也容易出现偏差。

处理目的、范围和方式，适合用清单来列。目的不要用“包括但不限于”这类开放表述。字段要逐项列明，敏感个人信息单独标注。最小必要尽量量化，落到数据量上限、访问人员范围、权限级别和存储期限。清单之外的目的，原则上不处理。

转委托和出境是重点。未经书面同意，不得转委托，关联方、云厂商、外包商也不例外。确需转委托的，要披露分包商名称、注册地、处理目的、字段、期限、安全措施以及是否出境，经书面同意后方可实施。分包商的行为，处理方要向委托方承担全部责任。出境要写明路径，是安全评估、标准合同备案、认证，还是依法适用的豁免情形，并约定维持路径有效的义务。

安全措施在实务中经常写得笼统。等保定级、传输与存储加密、基于角色的访问控制、日志留存、漏洞修复时限，这些如果不落到条款里，出了事很难验收。属于《网络安全法》规定的网络运营者的，应按法定要求留存网络运行与安全日志不少于六个月；不属于网络运营者的，双方也可以另行约定访问日志和操作日志的留存要求。

事件通知同样要写到可操作。触发标准覆盖“发现或合理怀疑”，合同可以约定初报、补充报告和调查报告的节奏。法定通知义务仍应遵循立即通知的要求，这一点不能用合同约定的时限去替代。对外口径由谁控制、处置费用由谁承担，也要事先说清楚，否则事件发生后各方各说各话。

主体权利响应和删除返还，需要具体到操作层面。主体请求的协助时限应具体到工作日，处理方不得自行向个人答复，统一转交委托方响应。合同终止后，数据按通用可机读格式返还，从生产、测试、备份和第三方副本中不可恢复地删除，并出具删除确认函。因法律、行政法规规定的保存期限未届满或技术上确难立即删除的，处理方应停止除存储和必要安全保护之外的处理，障碍消除后立即删除。

责任分配要分层。一般违约和重大违约分开，数据泄露、超范围处理、未经同意转委托、违规出境，列为重大违约，触发解除权，并明确是否受责任上限限制。行政处罚和第三方索赔是否可赔，也应在条款中写清楚。这类损失金额往往不小，事前不写，事后很难谈拢。

03.

第二类，数据是业务履行中绕不开的环节

有些合同不以数据处理为主要内容，但履行过程中数据会经过对方。客服外包，坐席需要查看客户信息。劳动合同，背景调查、考勤监控、集团内员工信息传输都可能涉及个人信息。这类合同不是数据合同，但数据条款无法回避。

这类合同的数据条款是嵌入性的。条款的详略程度，取决于主合同本身的风险分配。条款约定过宽，会改变主合同原本的责任结构；约定过窄，发生数据事件时缺少可直接援引的依据。

使用范围是首先要写清的。数据仅用于履行本合同，不得用于其他目的，不得二次利用、转售、对外提供。这一条不能停留在原则层面，要落到具体场景。如，营销合同中，应写明人群包仅用于本次投放，不得沉淀为服务商自有数据。

告知同意的责任要分清。谁负责取得同意，谁负责保留记录，应在合同中明确。涉及生物识别、医疗健康、行踪轨迹等敏感个人信息的，还应明确由哪一方取得单独同意，并留存完整记录。采购合同中，供应商接触客户信息的，应写明供应商不得以自己名义收集、使用。

权限和最小必要不能只停留在原则层面。谁可以访问、权限怎么审批、人员离开后怎么收回、日志留多久，这些都要在合同里约定清楚。不同业务场景可以有不同的要求，比如一线人员大量接触客户信息的，权限要限定到最小必要。涉及敏感信息的，传输和展示环节应做脱敏处理。有外部人员提供维护服务的，应通过合同约定的安全方式接入，临时权限用完即停。履约期间，业务数据不得擅自复制、转移或存储到合同约定之外的场所和设备。确有需要的，应当事先取得书面同意，并记录使用范围、期限和责任人。

删除和证明是这类合同最容易遗漏的部分。合同结束后，数据怎么删、什么时候删、怎么证明已经删了，要写到删除范围包括生产、测试、备份和分包商持有的副本，并要求出具删除确认函。事件通知同样要写清楚：发现数据事件后多长时间内通知、通知谁、如何配合调查、费用由谁承担。责任分配要区分一般违约和重大违约，明确赔偿范围。

保密条款的规制对象是未经授权的披露行为，而数据条款需要解决的是处理活动本身是否被允许、终止后如何处置、发生事件如何通知以及责任如何划分。两者规范的对象不同，保密条款无法替代数据条款的功能。

04.

第三类，数据不是主角但交易绕不开它

这类合同的核心是交易本身，数据不是交易标的，但交易绕不开它。股权收购、资产转让、融资、合资、重组，交易标的或交易过程中都可能涉及数据。买方尽调时要看目标公司的用户数据，估值时要考虑数据的权属和使用安排，交割后员工信息、客户信息还要迁移或删除。数据不是主角，但交易前后都得处理。

物业安防、门禁、生物识别是否归入这一类，要看数据在合同中的功能。日常管理中持续采集人脸、指纹用于通行或考勤，属于业务履行环节，归入第二类。只有在交易尽调、资产评估或交割环节临时调取这些数据时，才适用本类条款。

这类合同的重点不在日常处理，而在交易前后的数据风险分配。

权属和陈述保证是首先要处理的问题。目标公司持有的数据权属是否清晰，来源是否合法，授权链条是否完整，有没有未决的数据纠纷，这些要写进陈述与保证，并和赔偿挂钩。权属的表述宜落到权属安排、使用许可与收益安排，简单套用所有权概念并不准确。

尽调数据的使用限制要明确。数据室里的数据只能用于评估交易，不得复制、不得用于其他目的、不得向无关人员披露。交易终止后要删除并证明。

交割之后的数据整合、迁移和删除，也要在交易文件里提前安排。交易完成后数据怎么整合、员工信息怎么转移、客户同意如何衔接或是否需要重新取得、不再需要的数据怎么删除。涉及批量员工信息或客户信息转移的，不能只靠交易条款，还要完成告知和同意的衔接，否则即便签了保证条款，仍然可能产生个人信息侵权风险。涉及出境的，要确认路径是否仍然有效。违反数据合规陈述保证的，应承担赔偿责任，严重时可行使退出权。

这些条款往往嵌在交易条款或保密条款里，负责交易本身的律师容易忽略数据合规问题。但一旦交易涉及数据资产，缺了这些条款，交割后的风险很难分配。

合同类型只能提供初步定位，具体条款仍应结合数据的来源、流转路径、使用主体以及合同终止后的处理安排确定。这些要素与合同实际相符，条款才具备针对性和可执行性。

【星球更新】21类常用协议模板及条款审核要点状