数据处理协议（DPA）模板

什么是 数据处理协议？

数据处理协议通常称为 DPA 或数据处理附录，是服务提供商代表企业处理个人数据时签署的协议。常见例子包括薪资服务机构、云主机服务商、电子邮件平台或 IT 支持公司。企业决定使用数据的目的。服务提供商只能使用数据来提供服务。欧盟《通用数据保护条例》（GDPR）和英国《通用数据保护条例》（UK GDPR）等隐私法律要求企业与处理者签订此类书面合同，美国多个州的隐私法也要求企业与服务提供商约定类似条款。

此模板与主服务合同配套使用。它规定服务提供商只能按照你的书面指示行事，不得出售、共享或为自身目的使用数据。协议还涵盖员工保密义务、基本安全措施及你补充的措施、拥有通知和异议权的分处理者、跨国数据传输、协助处理个人请求、在你选择的期限内（24 至 72 小时）通知违规事件、审计，以及服务结束时返还或删除数据。你需要说明服务内容、涉及哪些人的数据以及数据类型，还可以列出已批准的分处理者和约定的数据存储地点。

何时使用数据处理协议

• 聘用持有员工记录的薪资或人力资源软件服务商
• 将客户数据库迁移至托管或云服务商
• 使用电子邮件营销、客户关系管理（CRM）或客户支持平台
• 让 IT 支持或开发机构访问存有个人数据的系统
• 供应商的安全问卷或客户的审计要求确认你是否已签订数据处理协议

填写内容

19 个空白项，然后填写每位签署人的姓名和邮箱：业务方, 服务提供方。

数据处理协议的内容

1. 定义
2. 角色和范围
3. 指示
4. 保密
5. 安全
6. 次处理者
7. 地点和传输
8. 协助业务方
9. 安全事件
10. 记录和审计
11. 返还和删除
12. 一般条款

逐步使用数据处理协议

1 与主合同关联

注明 DPA 所支持的服务协议，例如“2026 年 3 月 1 日签订的《薪资服务协议》”，并说明服务提供商如何处理数据。如果两份文件在个人数据问题上存在冲突，以 DPA 为准。

2 说明数据内容

说明数据属于哪些人（客户、员工、网站用户），以及包含哪些类型（姓名、联系方式、订单历史）。如果包含健康信息或金融账户信息等敏感数据，也要补充说明，以便服务提供商了解需要采取额外保护措施。

3 确定安全措施、分处理者和地点

协议已列出基本安全措施。补充你们已约定的具体措施。列出你今天批准的分处理者，并设定新增分处理者的通知期限。如果数据必须留在特定国家，请列明这些国家。

4 选择违规、审计和退出条款，然后发送

选择违规通知时限、审计前的通知期限，以及服务结束时返还并删除数据，还是仅删除数据。填写服务提供商签署人的信息，然后发送签署。

发送前提示

• 有些法律要求企业自行在很短期限内向监管机构或个人报告违规事件。选择服务提供商的通知期限时，要为你采取行动留出时间。
• 如果个人数据将跨国传输（例如传出欧盟或英国），你可能还需要标准传输条款或其他保护措施。此模板要求采取这些措施，但不包含相关条款。
• 许多大型服务提供商坚持使用自己的 DPA。请将其与你的这份协议进行比较：处理指示、分处理者通知、违规通知时限和删除是关键要点。
• 及时更新分处理者名单。这通常是客户或审计人员首先索要的资料。

数据处理协议：常见问题

更多协议模板

全部 商务与合同 模板 · 所有电子签名模板

此模板仅为通用起点，不构成法律建议。各国和各州法律不同——在依赖协议前，请律师根据你的情况进行审阅。 页面最后审核于 2026-09-29。