你们总部在欧盟，中国这边有团队、有供应商、有数据在跑，法务经常被问到三个问题：这套做法在欧盟合规了，在中国还行不行？员工和客户数据能不能传回欧洲？和本地伙伴签的合同里，哪些条款是必须补的？这篇不给法律意见，只给一张可自查的清单和判断顺序，具体数字和条目到站内相应页面核对。
你们总部在欧盟，中国这边有团队、有供应商、有数据在跑。法务最常被问到的就三类问题：这套做法在欧盟合规了，在中国还行不行？员工和客户数据能不能传回欧洲？和本地伙伴签的合同里，哪些条款是必须补的？这篇不给法律意见，只给一张可自查的清单和判断顺序。
先明确一件事：下面所有条目的具体口径、申报门槛、材料清单都在变，本文只讲判断逻辑和动作顺序，凡是涉及数字和最新要求的地方，都请到站内对应页面核对当时的内容，别拿本文当条文依据。
先分清两套规则，别把欧盟结论直接搬过来
欧盟那套以数据保护、反垄断、制裁为主线，规则集中、判例多；中国这边是多部法律并行、分行业主管，同一件事的判定口径和申报对象都可能不一样。最危险的做法是拿一份欧盟合规文档改个抬头就当地政策用。
| 事项 | 欧盟侧常见思路 | 中国侧要先确认什么 |
|---|---|---|
| 个人信息处理 | 以同意与合法性基础为核心 | 处理目的、告知方式、以及是否触发出境程序 |
| 反垄断申报 | 按欧盟营业额门槛判断 | 申报对象和门槛口径不同，需单独核对 |
| 出口与制裁 | 清单导向、以欧盟规则为准 | 同时看中国侧的出口管制与技术出口要求 |
| 劳动用工 | 集体协商与工会传统不同 | 合同、社保、加班与解除程序要按本地规则重写 |
- 把公司现有制度按「面向欧盟」和「面向中国」两栏摊开，逐条标注：直接复用、需要修改、必须本地重写
- 标注时要写清理由，避免下次换人又推翻一遍
- 涉及中国员工与消费者的部分，默认按需要重写处理，不要先假设可以复用
数据能不能出境，先看链路再看文件
很多团队的第一步是去找政策文件，其实应该先画数据流。文件是结果，链路才是事实。链路没画清，文件写得再漂亮也覆盖不到真实风险。
- 第一步：画数据流列出中国员工与客户的信息存在哪、经过哪些系统、有没有落到境外服务器或境外 SaaS 账号里。落到境外，就要单独评估，而不是当成内部系统看待。
- 第二步：盘点三处盲区HR 系统、客服工单、以及用境外 AI 工具处理中文业务内容的记录，这三处最常被漏掉。术语边界到 /ai-dict/category/safety 对照，口径以监管答复为准。
- 第三步：设前置动作把「新增一个境外系统」列成需要法务前置确认的动作。触发申报或安全评估时，材料不是一天能补齐的，等出事再补通常来不及。
- 第四步：留证据审批记录、评估结论、员工告知材料按固定位置存放，别只留在个人邮箱里。
- 链路里出现境外主体，就要确认是否有对应的告知与评估材料
- 数据在境外只是备份，也改变不了向境外披露这个事实
- 数据和权限分开管：谁能访问，和谁能导出，是两张表
合同与供应商：三个必须写实的条款
和本地伙伴、境外 SaaS 供应商签的合同，最容易出问题的地方不是价格，而是三句模糊表述。写实这三处，能挡掉后面大部分的扯皮。
- 数据处理与再委托
- 对方能不能把数据交给下一层供应商、能不能用于自己训练模型，要写清具体场景，别只写「保密」
- 审计与终止
- 出现安全事件时你有权要求什么、多久内响应、终止时数据如何返还或删除，都要写成可执行的动作
- 变更通知
- 对方更换子处理方或调整数据用途时，是否必须提前告知并给你反对的机会
用 AI 类服务时，先做两步判断：哪些业务内容不能进第三方工具，参考 /guides/before-you-paste-key 的清单；账号和权限怎么按人按项目切开，参考 /guides/key-rotation-least-privilege 的做法。这两步做完再签，顺序反了后面很难补救。
- 合同里出现「依法处理」「另行协商」这类表述时，要求对方改成具体动作和时间
- 供应商清单每季度过一遍，新增加的要补签条款
- 把关键条款做成检查表，谈判时逐条打勾，而不是通读一遍凭印象
落地顺序：一张可照着走的清单
上面几节是分块看的，实际执行要有先后。建议按下面四步走，每一步都有可验证的产出物，做完一步再进下一步。
- 定责任人明确谁对中国这边的合规负责、谁向总部汇报，两边口径不一致时以谁为准，写进文件而不是靠默契。产出物是一页纸的职责说明。
- 建三张表数据流表、合同清单、账号权限表。缺哪张补哪张，不必一次做完，但要有人负责更新。
- 设触发条件新增境外系统、新增涉及个人信息的产品功能、更换主要供应商，这三类变动必须先过法务，再动手。产出物是一段写进流程的文字。
- 留痕归档沟通过程、审批记录、员工告知与同意材料按固定位置存放。出事时的举证逻辑可参考 /guides/dispute-evidence-keep，别等到需要时才发现材料散在各处。
几个容易误判的点
最后列几个内部讨论时经常出现的说法，这些说法本身没错，但用来当结论往往站不住。逐条对一下你们自己的情况。
- 「我们在欧盟已经合规了」不是理由，两套体系的申报对象和判定主体不同，需要各自准备材料
- 「数据在境外只是备份」不改变披露事实，位置和用途都要算进去
- 「是供应商在收集」不等于你没责任，作为委托方通常仍要承担相应的管理和告知义务
- 「先上线再说，回头补材料」在有前置审批要求的事项上会把风险放到最大
具体条文和最新要求会变，判断前到 /safety 与 /ai-dict/category/safety 看当时的更新。别拿一年前的内部结论直接套今年的业务，两边的口径都可能已经调整过。
下一步想把上面这些判断落到具体工具和服务上，可以先去站内的合规与安全条目对照术语，再回到自己的数据流和合同清单逐条核对当时的数字与要求。→常见问题
欧盟企业在中国经营，合规上最先要处理的是哪一块？
优先把数据流和合同两件事理清：数据存在哪、会不会出境，以及供应商合同里关于再委托、审计、终止的条款是否写实。这两块一旦出问题，后面补救的空间最小，其他事项可以随后按清单推进。
总部已经按欧盟标准做了合规，中国这边能直接沿用吗？
不能直接沿用。两套体系的适用对象、申报流程和主管机构都不一样，欧盟的文档可以作为起点，但员工与客户信息的处理、跨境传输判断、供应商管理都需要按本地要求重新过一遍，建议分两栏维护。
我们用了境外 AI 工具处理业务，这算不算数据出境？
只要中文业务内容被发到境外服务器处理，就存在向境外提供信息的可能，需要评估而不是默认没事。先把哪些内容进了哪个工具列清楚，再判断能不能继续用；工具侧的安全要求可先参考 /safety 的相关说明。
