为了执行欧盟指令 94/46/EC 第 26(2) 款（参见本承诺书附件）“关于向第三国的数据处理方传输个人数据”的规定，我方：

数据保护承诺书

为了执行欧盟指令 94/46/EC 第 26(2) 款（参见本承诺书附件）“关于向第三国的数据处理方传输个人数据”的规定，我方：

中国银行股份有限公司，

xx：xxxxxx 0 x，xx 000000，xx

中国国家工商行政管理总局登记号 100000000001349

（以下简称“中国银行”）向位于欧盟的数据输出方（在欧盟注册的分支机构）承诺：

为了在数据输出方和数据输入方之间的个人数据传输过程中(附件 1 所示)，保护个人 隐私、个人基本权利和自由，中国银行必须遵守下述内容，确保采取足够的安全措施。

第 1 条

定义

为达到本承诺书的目的，使用以下概念：

（a） “个人数据”、“特殊数据类别”、“数据处理”、“数据实际控制方”、 “数据处理方”，“数据主体”和“监管机构”的定义，均与欧洲议会和欧盟理事会于 1995 年 10 月 24 日通过的第 95/46/EC 号《关于涉及个人数据处理的个人保护以及数据自由流动》指令的规定一致；

（b） “数据输出方”是指负责处理个人数据传输的一方（中国银行的分支机构；以下简称 BOC 分支机构）；

（c） “数据输入方”是指同意从数据输出方接收个人数据，并根据数据输出方的委托、指示和本承诺书条款的规定，将所收到的个人数据以数据输出方的名义进行处理的数据处理方(中国银行)。“数据输入方”经常营业地的数据保护法对数据尚未采取等同于欧盟第 95/46/EC 号《关于涉及个人数据处理的个人保护以及此类数据自由流动的指令》 第 25 条第 1 款规定的保护措施；

（d） “数据处理转承包方”是指受数据输入方或数据输入方的另一数据处理转承包方的委托进行工作，同意从数据输入方或数据输入方的另一数据处理转承包方处接受个人数据，并根据数据输出方的要求、数据输出方的合同条款和书面转包合同的条款和规定，仅以数据输出方的名义在传输数据后对数据进行处理的数据处理方；

（e） “适用的数据保护法”是指用于保护个人的基本权利和自由的立法规定，特别是指在个人数据处理过程中，负责数据处理的数据输出方所在欧盟成员国所适用的保护个人隐私权的规定；

（f） “技术和组织安全措施”是指以下的各项措施：为保护个人数据，使其免受意 外或非法破坏、意外丢失、修改、擅自被发布或未经授权被访问，以及任何其 他非法处理形式所采取的措施。特别是当数据处理涉及到通过网络传输数据时，需要采取上述措施。

第 2 条 数据传输内容

数据传输的具体内容，特别是可以传输的个人数据类别，定义在承诺书附件 1 中。该附件是本承诺书不可缺少的部分。

第 3 条

第三方受益人条款

1. 数据主体可向作为第三方受益人的数据输出方请求履行本条款、第 4 条 b 项 至 i 项、第 5 条 a 项 至 e 项 及 g 项 至 j 项、第 6 条第 1 款及第 2 款、第 7 条、第 8 条第 2 款，以及第 9 条至第 12 条。

2. 当数据输出方的企业事实上已不存在，或法律资格消灭时，数据主体可向数据输入方请求履行本条款、第 5 条 a 项至 e 项及 g 项，第 6 条，第 7 条，第 8 条第 2 款，第 9 条至第 12 条，但在有继承方依照合同约定或法律规定继承数据输出方的权利和义务时，数据主体可以向该继承方请求履行上述条款。

3. 当数据输出方和数据输入方的企业事实上已不存在，或法律资格消灭，或丧失偿付能力时，数据主体可向数据处理转承包方请求履行本条款、第 5 条 a 项至 e 项及 g项，第 6 条，第 7 条，第 8 条第 2 款，第 9 条至第 12 条，但在有继承方依照合同约定或法律规定继承数据输出方的权利和义务时，数据主体可以向该继承方请求履行上述条款。数据处理转承包方的赔偿责任仅限于根据本承诺书条款所进行的数据处理工作。

4. 在数据主体明确希望且国内法许可的情况下，“数据主体”可指定某一团体或其他机构代表其利益。数据输入方对此无任何异议。

第 4 条

数据输出方的义务

数据输出方保证：

（a） 在个人数据处理及数据传输过程中，已遵守并将持续遵守适用的数据保护法的相关规定（必要时，通知数据输出方所在的欧盟成员国的监管机构），且不违反所在国的其他相关规定；

（b） 已要求并在数据处理的过程中持续要求数据输入方仅以数据输出方的名义，根据适用的数据保护法和本承诺书的各项规定进行个人数据的处理；

（c） 数据输入方充分确保采用本承诺书附件 2 规定的技术和组织安全措施；

（d） 在考量适用的数据保护法的要求后，特别是当数据处理涉及到通过网络传输数据时，保证采取适当的安全措施保护个人数据，使其免受意外或非法破坏、意外丢失、修改、擅自被发布或未经授权被访问，以及任何其他非法处理形式。在考量最新的技术水平和安全措施的实施费用后，确保这些安全措施需要达到一定的安全等级，和处理数据存在的风险、受保护数据的性质相适应；

（e） 确保遵守相关安全措施；

（f） 在传输特殊类别的数据时，应在数据传输之前通知数据主体，或者在数据传输 之后尽快通知数据主体， 该类数据可能被传输到不能达到等同于欧盟第 95/46/EC 号《关于涉及个人数据处理的个人保护以及此类数据自由流动的指令》所示数据保护等级的第三国；

（g） 当数据输出方作出维持数据传输或终止数据传输的决定时，根据第 5 条 b 项和第 8 条第 3 款，将从数据输入方或数据处理转承包方处收到的通知转交给数据保护监督机构；

（h） 应数据主体的要求，向其提供一份除去附件 2 内容的相关条款复印件、有关安全措施的概述文件；此外，根据本承诺书的要求，向其提供一份数据处理转承包合同的副本，但在本承诺书或合同包含业务信息的情形下，应将业务信息删除再提供；

（i） 将数据处理转承包，数据处理转承包方根据本承诺书第 11 条处理数据时，数据处理转承包方需要对个人数据采取一定的保护措施，保护措施的等级至少需要和本承诺书对数据输入方的要求相同，并需要同数据输入方一样，保障数据主体的权利；

（j） 确保遵守第 4 条a 项 至 i 项 的要求。

第 5 条

数据输入方的义务

数据输入方保证：

（a） 仅以数据输出方的名义，并按照数据输出方的委托和指示以及本承诺书处理数据。如果出于某些原因未能遵守上述规定，立即通知数据输出方，数据输出方有权中止数据传输和/或解除合同；

（b） 在数据输入方所知适用的法律范围内，不存在妨碍其遵守数据输出方的指示以及履行合同义务的情况。当适用的法律被改变，且这种改变可能对本承诺书上的义务以及保证事项造成实质性的不利影响时，数据输入方应当在发现法律被改变后，立即将法律的改变通知数据输出方，数据输出方有权中止数据传输和/或解除合同；

（c） 在处理所传输的个人数据前，已采取附件 2 所示的“技术措施和组织安全措施”；

（d） 以下内容应立即通知给数据输出方：

i. 除数据输入方的通知义务被禁止的情形（如依照刑法，为了对强制执行机构的调查进行保密，禁止数据输入方将强制执行机构的调查通知数据输出方）之外，强制执行机构做出的、具有法律约束力的、对个人数据进行披露的要求，

ii. 出现任何意外或未经授权的访问，以及

iii. 除数据输入方获得答复询问的授权之外，直接由数据主体向数据输入方提出的询问，数据输入方无需答复；

（e） 由数据输出方提出的所有询问，当涉及所传输的个人数据的处理时，应立即按规定处理，并遵照检查机构对数据传输提出的建议；

（f） 根据数据输出方的要求，提供数据处理设备，以便进行检查。这些设备是指本承诺书所示数据处理工作所需的设备。应由数据输出方检查，或由数据输出方与监管机构协商一致后所选择的检测机构检查。检测机构应由独立成员构成、具备专业资质并负有保密义务；

（g） 应数据主体的要求，向其提供本承诺书或数据处理转承包合同的复印件，但当本承诺书或数据处理转委托合同含有业务信息时，应将业务信息删除再向其提供。同时，当数据主体无法从数据输出者处获得附件 2 的复印件时，数据输入者只能向数据主体提供一份关于安全措施的概述文件；

（h） 若将数据处理转承包，则应提前通知数据输出方且事前须得到数据输出方的书面同意；

（i） 数据处理转承包方应根据第 11 条提供数据处理服务；

（j） 应将数据处理转承包协议（根据本承诺书的要求签订）的副本立即发送给数据输出方。

第 6 条责任

1. 中国银行承诺，凡因任意一方或数据处理转承包方违反第 3 条或第 11 条所示义务而遭受损失的数据主体，均有权从数据输出方获得损害赔偿。

5. 当数据输出方的企业事实上已不存在，或法律资格消灭，或丧失偿付能力，数据输入方或其数据处理转承包方违反第 3 条和第 11 条所示义务，数据主体无法根据本条第 1 款向数据输出方请求损害赔偿时，数据输入方同意，数据主体可将数据输入方视为数据输出方，向其请求损害赔偿。但当有继承方根据合同约定或法律规定承担数据输出方的全部义务时，数据主体可向该继承方请求损害赔偿。

2. 当数据处理转承包方违反义务时，中国银行的责任不能因此被免除。当数据输出方和数据输入方的企业已不存在，或法律资格消灭，或丧失偿付能力，数据处理转承包方违反第 3 条和第 11 条所示义务，数据主体无法根据本条第 1 款和第 2 款向数据输出方或数据输入方请求损害赔偿时，数据处理转承包方同意，数据主体可以将其视为数据输出方和数据输入方，向其请求损害赔偿。但当有继承方根据合同约定或法律规定承担数据输出方的全部义务时，数据主体可向该继承方请求损害赔偿。数据处理转承包方的责任仅限于根据本承诺书条款所进行的数据处理工作。

第 7 条

调解程序和司法管辖权

1. 当数据主体向中国银行主张作为第三方受益人的权利和/或依据合同条款请求损害赔偿时，中国银行同意接受数据主体的要求，并且采取以下两种方案之一：

（a） 将争议提交与争议无关的中立人，或提交监管机构，进行调解；

（b） 将争议诉至数据输出方所在欧盟成员国的法院。

2. 中国银行承诺，数据主体做出的决定不损害数据主体在实体法或程序法上的权利，数据主体有权依照国内法或国际法的其他规定寻求法律救济。

第 8 条

与监管机构的合作

1. 中国银行同意并保证，如果监管机构请求或适用的数据保护法有规定，将本保证书的副本提交给监管机构。

2. 中国银行同意并保证，检查机构有权对数据输入方和数据处理转承包方进行检查。检查的规模和条件应当和监管机构依照适用的数据保护法对数据输出方进行的检查相同。

3. 当存在法律规定，阻止监管机构按照本条第 2 款对数据输入方或数据处理转承包方进行检查时，中国银行应当及时告知数据输出方相关法律规定。此时，数据输出方有权采取前述第 5 条 b 项 所规定的措施。

第 9 条 适用的法律

以上条款适用于数据输出方所在的欧盟成员国法律，即德国法律。

第 10 条

承诺书内容的变更

中国银行保证不修改或变更本承诺书的条款。然而，这并不妨碍中国银行或数据输出方增添其他与业务有关的条款，只要增添的条款不与本保证书的条款相抵触。

第 11 款

数据处理转承包方的转包

1. 未经数据输出方的事先书面同意，中国银行保证不将根据本委托书条款，以数据输出方名义进行的数据处理转承包给数据处理转承包方。 如果中国银行在数据输出方同意的条件下，按照本保证书条款将中国银行的义务进行转承包，中国银行必须与数据处理转包方签订书面协议，并约定数据处理转包方负有和数据输入方相同的义务，该义务规定在本保证书中1。如果数据处理转承包方未能履行书面协议所规定的数据处理义务，数据输入方仍应对数据输出方负责，根据协议完全履行数据处理转承包方的义务。

1 这一要求可以通过让数据输入方和数据处理转承包方共同在本保证书上签字实现。

2. 中国银行和数据处理转承包方之间的事先书面协议必须包含本承诺书第 3 条所规定的第三方受益者条款涉及的情形。该情形是指，数据主体无法根据本承诺书第 6条第 1 款向数据输出方或数据输出方请求损害赔偿，因数据输出方和数据输入方的企业在事实上已不存在，或法律资格消灭，或无偿付能力，且无其他继承方依照合同约定或法律规定承担数据输出方或数据输入方的全部义务。数据处理转承包方的赔偿责任仅限于根据本承诺书条款条款所进行的数据处理工作。

3. 本条第 1 款所示的有关数据处理转包合同的数据保护规定适用数据输出方所在的欧盟成员国法律，即德国法律。

4. 数据输出方应当保存根据本承诺书条款与数据处理转承包方签订的所有协议的目录，并对该目录每年至少进行一次更新。中国银行应按照本承诺书第 5 条 j 项履行对数 据输出方的通知义务。该目录应当被提供给数据输出方的数据保护监督机构。

第 12 条

终止数据处理服务后的义务

1. 中国银行承诺，中国银行与数据处理转承包方在数据处理服务终止后，中国银行应按照数据输出方的要求，将所有已传输的个人数据及其复印件归还给数据输出方，或者对所有个人信息进行销毁，并向数据输出方证明已完成销毁工作。但当有法律禁止数据输入方归还或销毁全部或部分已传输的数据时，中国银行保证，对已传输的个人数据进行保密，并且不会再主动对这些数据进行处理。

2. 中国银行与数据处理转承包方保证，为检查本条第 1 款 所示的数据保护措施的实施情况，按照数据输出方和/或检查机构的要求，提供相关数据处理设备。

代表中国银行签署人：

姓名（全称）：xx

职位：中国银行股份有限公司信息科技部xxxxx：xxxxxx 0 x，xx 000000，xx

签字：„„„„„„„„„„„„„

姓名（全称）：xx

职位：中国银行股份有限公司数据中心xxxxx：xxxxxx 0 x，xx 000000，xx

签字：„„„„„„„„„„„„

姓名（全称）：xxx

职位：中国银行股份有限公司软件中心xxxxx：xxxxxx 0 x，xx 000000，xx

签字：„„„„„„„„„„„„„

（组织机构印章）

标准合同条款附件 1

本附件是标准合同条款的组成部分，必须由 中国银行 完成填写并签署。

数据输出方（中国银行股份有限公司驻德国的分行）数据输出方传输客户与交易信息至数据输入方。

数据输入方（中国银行股份有限公司）

数据输入方存储并处理数据输入方的客户与交易信息。

数据主体

所传输的个人数据涉及以下类别：

数据输出方的客户信息，以及数据输出方的借款人的担保方信息。

数据类别

所传输的个人数据涉及以下类别：

客户身份识别：

名、姓、邮件地址和电子邮件、电话、性别、缴税地点、出生地和日期、国籍、业务开始时间等。

银行账户信息：

开户行名称、账户类型(结算账户、存款账户等)、账户业务往来、客户在中国银行内账户之间业务往来、与客户账户有关的服务(例如：贷款、借记卡、支票、担保等)、纳税信息、涉账户案件、账户有权签字人和证明签字样本的重要文档（例如：身份证明文件副本）、经济受益人、账户服务条款（授信额度）、客户提供的担保(类型、价值、转让价等)。

银行提供的贷款信息：

贷款合同号、婚姻状况、职业背景(雇佣类型和工作年限)、借款人家庭成员、存款和其他资产、借款用途、约定借款条件(例如：金额、期限、利率和提款条件等)。

由数据输出方提供的担保信息：

担保合同号、债务人信息(身份识别、婚姻状况、职业背景包括雇佣类型和工作年限、家庭成员、存款和其他资产)、经济受益人、担保性质、提供担保的贷款关系的信息(贷款金额、期限、贷款条件)、担保金额、担保条件等。

以数据输出方为受益方的贷款担保信息：

担保合同号、担保人和债务人信息(身份识别、婚姻状况、职业背景包括雇佣类型和工作年限、借款人家庭成员、存款和其他资产)、提供担保的贷款关系的信息(贷款金额、期限、贷款条件)、担保金额、担保条件等。

我方确认为了遵守数据输出方德国当地数据保护的规定，其他数据输出方从客户处获取的信息在德国进行存储，不会上传到中国。

特殊的数据类别（如存在）

没有特殊数据类别被上传到中国。

后续处理

被传输的个人数据需经过下列基本的后续处理步骤：

被传输的个人数据将进行存储、维护和处理，以确保数据输出方为客户提供合规的银行金融服务。

数据输入方

名称: 中国银行股份有限公司，xxxxxx 0 x，xx 000000，xx

全权代表 1 签字：„„„„„„„„„„„„„„„„

全权代表 2 签字：„„„„„„„„„„„„„„„„

全权代表 3 签字：„„„„„„„„„„„„„„„„

标准合同条款附件 2

本附件是标准合同条款的组成部分，必须由中国银行有限公司完成填写和签字。

介绍数据输入方根据第 4 款字母 d 和第 5 款字母 c 已采取的技术或组织安全措施

（或附上文件/法律规定）：

中国银行的信息科技基础设施由若干地点的多个信息中心构成，信息中心的作用在于确保客户信息不会在突发事件中丢失，例如灾难情形。

中国银行信息中心成立于 2007 年。信息中心在建筑安全、供电保障、网络读取和信息安全方面采用领先的国际或者行业技术，属于中国最大和最先进的数据处理中心。

信息中心完成中国银行所有大型信息系统的电子数据服务，电子数据处理与存储的任务。为此，数据存储量达到 6000TB。

信息中心的信息技术管理体系获得 GB/T 24405.1-2009/ISO/IEC 20000-1:2005 质量认证，其信息安全标准获得 GB/T 22080-2008/ISO/IEC 27001:2005 质量认证。

信息安全管理

中国银行拥有全方位的信息安全系统，以确保存储数据的安全性和防止非法入侵。

信息安全基础设施

中国银行在信息安全基础设施、系统和应用层方面配置了多层次的信息安全方案（例如：防火墙、防毒软件、数据加密、防止非法入侵银行信息系统防护软件等）。中国银行有义务持续致力于提高信息安全措施。

数据保护

中国银行信息系统采用多种信息安全措施，以确保跨越国界数据传输的保密性和有效屏蔽：

客户授权信息（如：密码）使用加密存储。所有客户敏感信息将进行

数据加密存储：

安全存储并对未经授权的第三方访问进行的访问控制。

数据传输加密：敏感客户信息使用加密传输。

数据访问控制：所有数据的使用与管理必须经过德国分行的授权。所有数据传输均可经过审计进行审核。

数据隔离：各分支机构的数据进行独立分区处理和存储。

应急事件和灾难事件发生后的系统功能与客户数据恢复

为确保持续应用关键信息系统功能，中国银行采用全方位的应急反应机制并制定了应急预案，定期进行应急演练。

应急事件和灾难事件发生后系统功能恢复机制可以有效地应对由于断电、洪灾、地震、疫情等造成的负面影响。中国银行对灾备恢复的有效性进行了验证，并通过了相应的 灾备演练。