一、处理目的与期限

受托方按约定的目的、期限与方式处理个人信息，不超出约定范围。处理期限与项目周期一致，项目结束后按约定返还或删除。

二、数据种类与保护措施

双方在附件中列明数据类型、字段范围、脱敏规则、访问权限、加密与日志要求，并按最小必要原则执行。

三、子处理者

如需使用子处理者，应事先书面告知并取得同意，说明其名称、处理内容与所在地，不自行转委托。

四、安全事件

发生或可能发生安全事件时，受托方按约定时限通知委托方，配合调查与处置，并保留处置记录。

五、审计与返还

委托方有权在合理范围内开展合规审计；项目结束后按约定归还或删除数据并出具删除证明。