# 海外隐私合规：GDPR、CCPA 与数据跨境

> 隐私合规没有一张“通用证书”。我们从数据地图开始，判断哪些法律适用、你在其中是控制者还是处理者，再把义务落实为文件、流程和产品改动。

来源页面: https://assurelane.ai/services/privacy-compliance/
更新: 2026-10-10 · 来源核验: 2026-10-10

## 交付物

- 数据地图与处理活动记录（RoPA）
- 适用法律与角色判断备忘
- 隐私政策、Cookie 告知与同意方案
- DPA 模板与客户 DPA 审阅要点
- 子处理者清单与供应商隐私评估
- 跨境传输机制（SCCs、传输影响评估）
- 数据主体权利请求处理流程
- 数据保护影响评估（DPIA）模板与首批评估

典型周期: 基础合规项目常见 2–4 个月

## 需要你提供

- 产品与网站的数据收集点、SDK 与第三方服务清单
- 用户所在地区、业务模式与客户合同模板
- 产品、工程、法务与客服对接人

## 不包含

- 欧盟代表或数据保护官的外部担任服务（可协助安排）
- 正式法律意见（可协调律师）
- 监管机构调查或诉讼代理

## 适合哪些情况

- 进入欧洲市场，客户要求签 DPA、填写隐私问卷
- App、游戏或电商面向美国或欧洲消费者，需要隐私政策、Cookie 同意和权利请求机制
- 数据在中国、美国、欧洲之间流动，需要梳理跨境传输机制
- 准备 ISO/IEC 27701 认证或在 SOC 2 中加入隐私类别

## 项目如何推进

| 阶段 | 主要工作 | 常见时长 |
| --- | --- | --- |
| 1. 数据地图 | 识别收集点、数据类别、用途、存储地点、接收方和跨境流向 | 2–3 周 |
| 2. 适用性判断 | 判断适用的法律、你的角色、合法性基础与高风险处理 | 1–2 周 |
| 3. 文件与机制 | 隐私政策、告知与同意、DPA、SCCs、RoPA、DPIA | 3–6 周 |
| 4. 产品与流程落地 | Cookie 同意、权利请求入口、数据保留与删除、供应商合同 | 1–2 个月 |
| 5. 维护 | 新功能上线前的隐私评估、子处理者变更、年度复核 | 持续 |

## 交付分工

隐私合规的文件、流程与评估由交付合作方承担，AssureLane 负责需求判断与项目协调。涉及具体法律适用的正式意见，由具备执业资格的律师出具。

## 常见问题

### 我们是 B2B SaaS，GDPR 的主要义务在客户那边吧？

作为处理者，你同样有直接义务：按指示处理、安全措施、子处理者管理、协助客户响应权利请求、数据泄露通知、处理活动记录等。客户的 DPA 会把这些要求写清楚。

### 数据存在中国的服务器上，欧洲客户能接受吗？

这属于向第三国传输，需要使用标准合同条款等传输机制，并完成传输影响评估。是否接受由客户决定，很多客户会要求欧洲数据存储在欧盟境内。

## 参考来源

- [European Commission — Data protection rules for business](https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations_en)
- [California Attorney General — CCPA](https://oag.ca.gov/privacy/ccpa)

---
本页为一般性信息，不构成法律、审计或认证意见。AssureLane 不出具 SOC 2 报告或 ISO 证书。