跨境与供应商：七个处理者、四十二个欧盟用户与一份传输评估

跨境不是一个服务器地址，而是一整条「谁经手、依据什么、出事找谁」的链条。

一、DPA 里的三个问题

二月，第一个欧盟客户在签约前发来一份 DPA，正文不长，附件里三个问题：数据存在哪个区域、经过哪些子处理者、跨境传输依据什么机制。

以下情境为教学假设，人物、引语和数字不代表经核实的真实案例。

他很快答出第一个：主库在 us-east-1。第二个问题卡住了——他数得出支付、邮件、对象存储、模型、分析、搜索、鉴权七个服务，却从没把它们和美国、欧盟的坐标对上过。

第三个问题更麻烦。他一直以为「服务条款里写了数据处理」，就等于有了 DPA；翻出来一看，七份条款里只有少数附了可签的数据处理协议，多数只写了「可能使用子处理者」。

客户没有追问，只是把签约推迟了两周。这两周里他做的事，比过去两年做过的隐私工作都具体：把七个服务列成一张表，标上区域，逐个补协议，再为每个目的地写一页评估。

他原以为「数据在哪个区域」是一个字段就能回答的问题，真正去查才发现，区域藏在每个服务的控制台里，备份、日志、CDN 还各有各的区域。

补协议的过程暴露了另一个问题：七份条款散在七个账号里，有两份是注册时勾选的，连签署人都找不到。他把协议、区域、联系邮箱放进同一张表，才算第一次真正「知道」数据在哪。

这一篇讲的就是这张表：七个处理者、两个区域、三件套（DPA、传输评估、子处理者变更通知），以及多花 40 美元/月到底值不值。

二、七个处理者，五个在美国

把「数据流向」写成域名很容易，写成处理者很难，因为处理者要回答的是「谁有权访问、依据什么、能留多久」。本组实际在用的外部服务是 7 个，加上 5 个自有域名，一共 12 个网络域名。

五个在美国、两个在欧盟，这个分布不是设计出来的，是「哪个好用就用哪个」累积出来的。主库在 us-east-1、备份在 eu-central-1，看起来像做了区域隔离，其实欧盟用户的数据仍然先写到美国，再复制回欧洲。

欧盟用户 42 个，占 344 个账号的 42 ÷ 344 = 12.2%。比例不大，但他们适用的是最愿意问细节的一套规则，一份 DPA 就能让签约停两周。

处理者的区域不等于数据的区域。支付服务在美国，不代表卡号一定存美国——它可能转发给另一个收单方；邮件服务在美国，不代表邮件正文不出境——它可能经过第三地的中继。这些都要写进子处理者清单，而不是靠猜。

支付与模型的区域最敏感：前者碰财务字段，后者碰用户内容。两者都在美国，意味着欧盟用户的账单信息与被提交的文本都会出境，评估要分别写，不能用一份通用模板覆盖。

自有域名与外部域名要分开数。5 个自有域名走自己的基础设施，区域由你决定；7 个外部服务走别人的，区域由合同决定。混在一起数，会得出「数据都在自己手里」的错觉。

七个处理者里，最容易被忽略的是「搜索」和「鉴权」：它们不产生新数据，只读已有数据，所以在数据地图上常被画成内部组件。但只要请求出了你的网络，它们就是处理者。

三、DPA、传输评估与子处理者变更

三件套的分工要分清：DPA 管「你和我之间怎么处理」，传输评估管「数据到了那个国家还安不安全」，子处理者变更通知管「换了人之后你还认不认」。

一份能签的 DPA 至少要有七项：处理目的与期限、数据类别与主体类别、子处理者清单与变更机制、删除或返还条款、审计与协助义务、泄露通知时限、跨境传输条款。七份不能是同一份模板直接签——对象存储的重点在删除与返还，模型的重点在「内容会不会被用于训练」。

签署方也要对。和个人开发者签、和境外主体签、和集团总部签，责任主体不同；七份里只要有一份签给了没有签约权的实体，出事时条款可能落空。

传输评估不是把 DPA 再读一遍。它要写清四件事：目的地、传输机制（充分性决定或标准合同条款）、当地法律环境对数据的影响、补充措施（加密、密钥留在本地、最小化）。45 分钟一份是下限，前提是模板已经写好、字段已经列全。

评估不必写成法律意见书，一页纸就够：数据是什么、去哪里、依据什么、补了什么措施、下次复核什么时候。写不满一页纸，通常说明你还没想清楚。

传输机制的选择要以适用法域与专业意见为准。充分性决定、标准合同条款、例外情形各有适用条件，同一份数据发往不同国家可能走不同路径，不能用一个「我们签了 SCC」概括全部。

子处理者变更一年 3 次 × 30 分钟 = 1.5 h。变更要提前通知客户、给出反对窗口，通知渠道写进 DPA，而不是发在博客上——客户不会每天读你的更新日志。

变更通知要留痕：谁在什么时候收到、有没有反对、反对后怎么处理。30 分钟里大部分花在发通知和归档，而不是判断。

把三项加起来：5.25 + 3.5 + 1.5 = 10.25 h/年。首年还要加上 7 份 DPA 的谈判与核对时间，那部分取决于对方律师的回信速度，不取决于你的技术。

四、多花 40 美元/月，值不值

欧盟区域多花 40 美元/月，一年 40 × 12 = 480 美元，摊到 42 个欧盟用户是 480 ÷ 42 = 11.43 美元/人/年。这个数字本身不说明值不值，要看你拿它换掉了什么。

第一种方案不是「什么都不做」：仍然要签 SCC、做评估、写补充措施。第二种方案也不是「迁完就没事」：路由、备份、日志、支持工单都可能把数据带回美国。第三种方案的成本不止托管费，还有迁移、双区域运维与故障排查的复杂度。

判断顺序建议是：先看合同要求，再看用户比例，最后看成本。42 个用户占 12.2%，如果其中一半的合同明确要求区域处理，那 480 美元/年买到的是签约能力，不是存储空间。

反过来，如果没有任何客户提出区域要求，480 美元/年买到的只是「更安心」，那就该先把 SCC、评估与子处理者清单补齐——那三件事的成本是时间，不是账单。

还有一种常被忽略的成本：双区域的运维。两套备份、两套告警、两套对账，出问题时先判断数据在哪一边——这部分人力不会出现在 480 美元的账单上。

如果最终决定不迁，也要把「为什么不用区域处理」写下来，和评估放在一起。客户问起时，一份写清理由的说明，比一句「我们用了 SCC」更能推进签约。

复算：占比、评估工时与区域成本各算一遍，注意「分钟」与「小时」的换算。

EU 用户占比：42 ÷ 344 = 12.2%
传输评估：7 × 45 = 315 分钟 = 5.25 h
年度复核：7 × 30 = 210 分钟 = 3.5 h
子处理者变更：3 × 30 = 90 分钟 = 1.5 h
合计：5.25 + 3.5 + 1.5 = 10.25 h/年
区域成本：40 × 12 = 480/年；480 ÷ 42 = 11.43 美元/人/年

10.25 h/年这个量级，大概是一个工作日加两个晚上。它的价值不在「合规」两个字，而在于客户问起时，你能在十分钟内把七个处理者的区域、协议与评估一起发过去。

五、行动清单与复算验收

• 列出 7 个处理者及区域，明确 5 个美国、2 个欧盟
• 逐个确认是否有可签的 DPA，缺的补签，7 份齐
• 每份 DPA 核对子处理者清单、删除或返还、泄露通知时限
• 为 7 个处理者各写一份传输评估，单份控制在 45 分钟
• 建立子处理者变更通知流程，3 次/年的变更都留通知记录
• 年度复核 7 份 DPA 与评估，按 30 分钟/份排期
• 把主库、备份与处理者区域写进隐私政策和 DPA 附件
• 算一次 480 ÷ 42，再决定要不要为欧盟用户单开区域

验收标准： 随机挑一个处理者，能说出它处理哪类字段、数据落在哪个区域、依据哪份 DPA 与哪份评估、换子处理者时谁通知谁。

使用边界与实操验收

边界一：跨境不只是服务器位置。 远程运维、支持工单、日志聚合、备份恢复都可能把数据带出境；只盯主库区域，等于只检查了链条的第一环。

边界二：DPA 不替代传输评估。 合同条款解决「你和我」的责任分配，评估解决「数据到了那里是否仍有足够保护」；两份文件互相引用，但不能互相代替。

边界三：40 美元/月是教学假设。 它只用来演示「年成本 ÷ 受影响用户数」这个算法，不含迁移、双区域运维与人力成本，也不构成任何供应商报价。

边界四：供应商可能再外包。 子处理者清单是活的，不是签完就 frozen；一年 3 次变更要做成流程，而不是等客户来问才去查。

边界五：法律机制以专业意见为准。 充分性决定、标准合同条款与例外情形的适用条件随法域与判例变化，正式对外承诺前应让专业意见过一遍；以适用法域与专业意见为准。

关键参考与核验范围

• GDPR Art 44 ：跨境传输的一般原则，用于核对「传输必须有机制、有保障」这一条。
• GDPR Art 28 ：处理者义务与 DPA 必备条款的原文，对应本篇七项清单。
• EDPB 中小企业数据泄露 ：面向中小企业的风险管理材料，可借其风险分级思路检查评估是否写全。
• GDPR 全文（EUR-Lex） ：条文编号与修订状态的权威来源，用于核对引用。
• NIST 隐私框架 ：把供应商管理与数据传输放进整体隐私治理的参考框架。

以上链接于 2026-10-26 实测可公开访问；未核验版本、价格与配额。核验日期：2026-10-26。

系列导航

• 回到本组目录：一个人的隐私工程：数据地图、最小化与删除权
• 上一篇：保留期：六类数据、四个清理任务与一次没跑的备份清理
• 下一篇：数据泄露：七十二小时、三级分级与一次两小时演练
• 相关：隐私政策与产品行为：十二个域名、九个披露与三个漏项