數(shù)據安全

一、數(shù)據安全的原則

進行任何個人信息等數(shù)據處理活動，簡博研究遵循以下原則：

1.權責一致原則：采取管理、技術和其他必要的措施保障個人信息等數(shù)據的安全，對其個人信息等數(shù)據處理活動對個人信息主體合法權益造成的損害承擔責任。

2.最小必要原則：只處理滿足個人信息主體授權同意的目的所需的最少個人信息類型和數(shù)量。目的達成后，應及時刪除個人信息。

3.確保安全原則：具備與所面臨的安全風險相匹配的安全能力，并采取足夠的管理措施和技術手段，保護個人信息的保密性、完整性和可用性。

二、數(shù)據安全的基本要求

簡博研究按照適用數(shù)據保護法律的要求，采取必要措施為數(shù)據處理活動提供充分的安全保障。這些措施應當考慮到現(xiàn)有技術水平，實施成本，處理的性質、范圍、背景和目的，以及給個人信息主體的權利和自由造成損害的風險的可能性。包括但不限于：

1.建立符合數(shù)據保護法律要求的個人信息保護管理部門、工作流程和安全管理制度。

2.涉及網絡安全的設備、技術等內容，均符合國家相關法律法規(guī)、行業(yè)標準及國家標準有關內容及要求，并已經取得相應許可或資質證明。

3.貫徹訪問權限的人數(shù)最小化以及訪問信息的數(shù)量最小化原則，定期審查數(shù)據的重要操作（如數(shù)據的批量導出、復制、銷毀等），并采取防泄密措施；對數(shù)據的重要操作設置內部審批流程，并對安全管理人員、數(shù)據操作人員、審計人員的角色進行分離設置。

4.采用數(shù)據分類、備份、加密等措施，確保數(shù)據在存儲與傳輸過程的安全性、保密性與完整性；妥善保管記錄數(shù)據的紙介質、光介質、電磁介質等載體，并采取相應的安全儲存措施；對個人信息進行去標識化處理，將可用于恢復識別個人的信息與去標識化后的信息分開存儲并加強訪問和使用的權限管理。

5.采取措施以防止對存放個人信息的場所和設備的未經授權的物理訪問；采取措施確保數(shù)據得到保護而不受意外破壞或丟失。

6.建立安全事件響應機制和應急預案。定期（至少每年一次）組織內部相關人員進行應急響應培訓和應急演練，使其掌握崗位職責和應急處理策略和規(guī)程。合作任何一方對相關數(shù)據已發(fā)生或存在的潛在安全問題，特別是個人信息安全事件，通過郵件、傳真或其他書面方式向對方及時進行通報，第一時間采取有效措施梳理，防止安全事件進一步擴大并盡最大可能消除不利影響。

7.數(shù)據合作情況的記錄與保存。按照數(shù)據保護法律的要求或自身內部管理制度要求保存數(shù)據處理的記錄。

8.如合作方要求，允許和協(xié)助合作對方的授權代表或者委派的第三方審計機構對數(shù)據提供方進行審計，以確認提供的數(shù)據和對數(shù)據處理成果的使用是否符合適用數(shù)據保護法律。若審計或檢查活動涉及的商業(yè)秘密，遵守相應保密義務，但為配合監(jiān)管部門調查提供必要的信息或為解決雙方爭議所必須的信息披露（如產生糾紛后向司法/執(zhí)法/行政機構或已簽署保密協(xié)議的專業(yè)咨詢機構披露）不視為違反保密義務。

9.未經合作方書面同意，不將數(shù)據或數(shù)據處理成果向中華人民共和國大陸以外的國家和區(qū)域提供。

10.除非經合作方書面同意確認，不將達成合作一事情進行媒體宣傳。

11.除非經雙方共同書面同意確認，不得將合同的權利、義務和/或責任以任何方式轉讓給任何第三方。

12.根據有關數(shù)據保護法律的規(guī)定，對其各自以數(shù)據處理者的身份處理的個人信息分別履行數(shù)據處理者的義務，并分別享有且分別行使其作為數(shù)據處理者的合法權益。為個人信息主體提供權利響應路徑，配合響應個人信息主體權利要求，予以配合并提供相關信息，以幫助個人信息主體實現(xiàn)其合法權益。

13.如因保護數(shù)據安全配合監(jiān)管部門要求等需要，需合作方配合處理的，雙方互相配合，妥善解決相關事宜。若收到監(jiān)管部門的質詢、處罰或任何人的索賠等，其應在收到質詢、處罰、索賠等通知后24小時內以書面形式通知另一方，并將雙方損失控制在最小范圍內。

14.其他為履行合作方數(shù)據安全的其他安全保護措施，特別是雙方針對合作項目提出的安全要求或中國法律、法規(guī)、國家標準提出的信息保護與安全要求。