推文

@chuhaiqu · 2026-10-15 07:45

买了一个标着"GDPR 合规"的 SaaS，不代表你的产品就合规了。 作为 Controller 的责任不会因为采购转给供应商。签之前要看：DPA、子处理方列表、数据存在哪、安全措施、出事多久通知你、能不能导出和删除、备份怎么处理、终止以后怎么办。供应商后来加了新的子处理方、换了地区、默认开启拿数据训练，或者删不掉数据，都得重新评估。 另外，大家画数据流的时候通常只记主数据库，但 GA、Plausible、Clarity、Hotjar 这类分析和录屏工具，支付、客服、邮件工具，还有 Onboarding 里收的那些字段，都是个人数据的去处，都得进数据地图。 Onboarding 表单也要回头看。每个字段都要对应一个目的，核心服务必需的和"顺便调研一下"的分开，调研类的做成选填，写清楚用来干嘛。 隐私这块书里没法给一个通用答案，不同地区规则差很多。但先把数据地图画出来，之后和律师沟通会高效很多。

曝光 294 · 评论 1 · 点赞 0 · 书签 0 · 曝光/时 130.56828339117115