公司要把业务数据、用户信息或模型调用日志发到境外，老板问一句「这个要不要申报、怎么申报」，多数人卡在第一句就说不清。这篇不讲法条背景，只给一条能落地的流程：先做自评判断走哪条路径，再按材料清单逐项准备，最后走申报与补正环节。每一步都写明产出物和常见卡点，你拿着就能对着做。
老板把一句话丢过来：「我们要把业务数据发到境外，要不要申报、怎么申报？」大多数人卡在第一句就说不清。其实这件事没那么玄，它是一条固定流程：先自评判断走哪条路径，再按清单凑材料，最后提交和补正，拿到结论后还要维护台账。
这篇不讲法条背景，只给能照做的动作。每一步都写明产出物和常见卡点，你拿着当 checklist 走就行。具体路径的适用边界和判断口径，到站内 /data-export-route-choice 核对当时的说明。
第一步：自评，先判断你到底走哪条路
自评不是写作文，是回答三个问题：出境的到底是什么数据、涉及多少人、接收方是谁。三个问题里任何一个答不上来，就别急着去填表，先把数据摸清楚。摸不清数据范围就申报，返工基本是必然的。
- 把数据分堆按「个人信息 / 重要数据 / 一般业务数据」三堆分开，每一堆记下字段、来源和用途。分堆结果直接决定你走评估、标准合同还是其他路径，具体对照到 /data-export-compliance-paths 看。
- 确认接收方身份接收方是境外关联公司、第三方服务商还是云厂商，性质不同，后续要提供的合同和法律文件也不同。把接收方的注册地、实际处理地点写清楚。
- 留痕一页纸自评结论写成固定格式的一页纸：谁评的、依据什么口径、结论是什么、日期是什么。这份东西后面申报会被问、复查也会被问，缺了就得重来。
第二步：材料准备，按清单逐项凑齐
材料环节决定申报快慢。很多人以为难点在审批，其实大部分时间耗在自己这边材料对不齐。先按类别把清单列出来，再逐项填空，比一边写一边想效率高得多。
| 材料类别 | 包含什么 | 最容易卡在哪 |
|---|---|---|
| 申报书与自评报告 | 申报主体信息、出境场景说明、自评结论 | 自评结论和数据清单对不上口径 |
| 合同或法律文件 | 与境外接收方的协议、约束性条款 | 条款只写商务不写数据安全义务 |
| 数据清单与流程说明 | 字段、数量级、来源、用途、存储位置、保留期限 | 只写一句「用户信息」，颗粒度不够 |
| 安全与应急措施 | 传输加密、访问控制、泄露响应流程 | 写得太笼统，看不出实际能不能执行 |
- 数据清单要写到字段级别，数量级用区间不要用精确值，来源写清是用户提交还是系统生成
- 合同条款要能对应上安全义务，接收方所在地区的法律环境说明也得单独准备一份
- 流程说明画一张图比写三段文字管用，数据从哪进、经过谁、落到哪，一条线走完
- 版本管理：每次改动留日期和改动点，提交时用的版本号要和存档的一致
- 可以和法务并行推进，别串行等地，材料准备期是最长的
如果涉及的是大模型调用日志这类新型数据，字段定义、脱敏口径和保留周期都要单独说明，别套用普通业务数据的模板。相关判断标准到 /data-export-compliance-paths 核对当时的描述。
第三步：申报提交与补正，节奏怎么控
提交走主管渠道的线上系统。提交前把材料按要求的格式和编号整理好，扫描件按目录排序。审核方翻材料的时间有限，你排得越清楚，来回沟通越少。
- 提交前自查一遍对着前面的材料清单逐项打钩，重点检查自评结论、数据清单和合同三者的数据范围是否一致。有对不上的先改再交。
- 提交并记录编号提交后记下受理编号和提交时间，把当时提交的完整材料包另存一份，后面补正时以这一版为基准。
- 收到补正按表格回被要求补正是常态不是失败。把问题逐条抄成表格，一列写问题、一列写回答、一列写对应附件，回填时标注修改位置。
- 盯住有效期评估结果有有效期，什么时候到期、到期前多久要重做，去 /data-export-assessment-validity 核对自己的时间点，别等过期才发现。
拿到结论之后：台账与复评怎么维持
很多人以为拿到结论就结束了，其实这才是日常管理的开始。没有台账，下次新增一个出境场景你还是不知道要不要重新申报，只能从头再摸一遍。
| 管理动作 | 记录什么 | 什么时候做 |
|---|---|---|
| 建出境台账 | 场景、数据类别、接收方、依据的评估结论 | 每次新增出境场景时登记 |
| 设定复评触发条件 | 接收方变更、数据范围扩大、监管口径调整 | 任一触发就启动重评 |
| 归档受控目录 | 评估结论、合同、数据清单放同一目录 | 材料定稿后立即归档 |
| 权限控制 | 只给实际做事的人 | 人员变动时同步调整 |
- 新增场景先查台账再决定要不要重新申报，不要凭印象拍脑袋
- 评估结论、合同、数据清单放进同一个受控目录，权限只给做事的人，相关原则看 /key-safety
- 接收方换人、数据范围扩大、监管口径调整，任一发生就启动重评，别等到有效期临近
- 日常检查的口径和模板可以到 /safety 与 /tools/quality-check 找现成工具，不用从零搭
过渡期或者业务调整频繁的团队，可以把复评触发条件写成一张简单的判断表贴在内部文档首页，谁看到变化谁发起，比等一个人盯要靠谱。涉及具体数据量级和费用口径的，到 /price-watch 核对当时的数字。
常见问题
自评做完了，怎么知道该走评估还是标准合同？
看数据类别、涉及人数规模和接收方所在地三个变量，再对照站内路径对比页的判断条件。拿不准时按更严的路径准备，材料是通用的，改方向不会白做。涉及重要数据或规模较大的个人信息，通常绕不开评估。
材料里最容易被退回的是哪一块？
数据清单和合同条款对应不上。清单写了某类数据，合同里没有对应的安全义务描述，审核方就会打回。建议准备时让技术和法务坐一起，把清单里每一类数据都能在合同里指到条款。
评估结论能用多久，快到期要提前多久动手？
有效期和起算方式按当时的规则执行，具体到自己这份结论的有效期，去站内数据出境安全评估有效期页面核对。实操建议提前一个季度启动复评准备，材料更新和内部审批都要时间。
