先回答：我们的活动是否落入范围？
GDPR 可以适用于在欧盟设立机构的相关数据处理，也可能适用于设在欧盟以外、向欧盟境内个人提供商品或服务，或监测其在欧盟境内行为的企业。判断点是具体处理活动与面向的人群，不能只凭服务器位置、公司注册地或“有欧洲客户”作结论。客户偶然在欧盟旅行时使用并非面向当地提供的服务，也不自动构成同一种触发情境。
| 情境 | 第一轮需要问清什么 |
|---|---|
| 中国 SaaS 团队主动面向欧盟个人销售 | 向谁提供服务、如何招揽当地用户、收集哪些个人数据？ |
| B2B 服务商处理欧洲客户交付的数据 | 谁决定处理目的与方式？合同中的数据角色和指令是什么？ |
| 网站或 App 部署追踪工具 | 实际追踪谁、为哪些目的、由谁接收数据？ |
| 海外客户只在问卷中写“符合 GDPR” | 要求覆盖哪项服务、哪些数据和哪类合同承诺？ |
上述情境只是初筛。若涉及欧盟以外的其他国家或美国州法，应分别核对；GDPR 不是全球隐私要求的统称。
用一张数据流图替代抽象承诺
开始前把产品、网站和客户交付流程拆开，列出数据从哪里来、为什么收集、存在哪里、由谁访问、向谁披露、何时删除。特别标记分析 SDK、邮件工具、云服务、客服系统及其他接收方。随后确认企业在每项处理活动中的角色，以及合同和隐私告知是否与真实做法一致。
对于跨境传输，先确认数据从哪个地区传往哪里、传输双方的角色和所依据的机制；不能把“签了 SCC”当成所有数据处理活动的万能答案。是否需要特定安排及其形式，应由具备相应资质的专业人员结合实际数据流判断。
GDPR 第一轮准备清单
- 目标市场、服务对象及面向当地用户的实际方式。
- 产品与网站的数据字段、目的、保存地点和期限。
- 参与处理的实体、供应商、SDK 与转移路径。
- 现有隐私说明、客户数据处理条款和内部权限记录。
- 客户问题的原文，以及希望在何时给出何种证明。
首次沟通提供流程摘要即可，不要通过公开询盘入口上传完整用户数据或敏感合同。
谁做什么，得到什么
企业需要对实际处理活动、产品配置和合同承诺负责。准备顾问可帮助梳理数据流与差距；适格隐私或法律专业人员判断具体法律适用和义务。GDPR 本身不是一张通用“认证证书”，SOC 2 报告或 ISO/IEC 27001 证书也不能单独替代隐私法律分析。
如果客户只需要回答安全问卷，先确定其问的是控制证据、合同条款还是法律适用。不同问题需要不同材料，避免用一份通用声明覆盖全部。
关于 GDPR 的常见误区
- “公司不在欧洲，GDPR 就一定无关。” 面向欧盟境内个人提供服务或监测行为时仍可能适用。
- “网站能从欧洲打开，就一定要做完整 GDPR 项目。” 可访问性本身不足以替代对目标用户和处理活动的判断。
- “做了安全认证就等于隐私合规。” 安全控制是其中一部分，数据处理依据、告知、权利与合同仍需单独分析。