跳到正文
返回按行业看合规

企业软件 SaaS：出海合规要点

45 部法规、252 条义务，覆盖 18 个辖区。

阿联酋澳大利亚巴西加拿大中国大陆欧盟印度日本韩国马来西亚沙特阿拉伯新加坡泰国英国美国·加州美国·科罗拉多州美国·伊利诺伊州美国·纽约州
按我们的目标市场再筛一遍

这个赛道最硬的几条义务

  • 第三国控制者/处理者的欧盟代表指定欧盟 · 高

    依第 3(2) 条适用 GDPR 但未在欧盟设立的控制者或处理者，须书面指定一名欧盟代表，设立于其数据主体所在的成员国之一。代表须被授权在处理相关的所有事项上，代替或同时与控制者/处理者一起接受监管机构与数据主体的联络。豁免仅限于：处理属偶发、不涉及大规模处理第 9(1) 条特殊类别数据或第 10 条犯罪记录数据、且不太可能对自然人权利自由造成风险；或主体为公共机关。

  • 数据保护官（DPO）的指定与独立性保障欧盟 · 高

    在三种情形下必须指定 DPO：处理由公共机关或机构进行（司法职能中的法院除外）；控制者或处理者的核心活动由于其性质、范围或目的而需要对数据主体进行大规模的定期与系统性监测；或核心活动为大规模处理第 9 条特殊类别数据或第 10 条犯罪记录数据。DPO 须基于专业素质尤其是数据保护法律与实务专长指定，可为雇员或依服务合同履职；企业集团可指定单一 DPO，但须确保各机构均能便捷联系。

  • 处理活动记录（ROPA）欧盟 · 高

    控制者（及其代表）须维护其职责下的处理活动记录，至少包含控制者/共同控制者/代表/DPO 的名称与联系方式、处理目的、数据主体类别与个人数据类别、接收方类别（含第三国接收方）、跨境传输的第三国识别与保障措施、各类数据的预定删除期限、以及第 32(1) 条技术与组织安全措施的一般性描述。第 30(5) 条的 250 人以下豁免适用范围极窄：只要处理可能对数据主体权利自由造成风险、处理非偶发、或涉及特殊类别或犯罪记录数据，豁免即不适用。

  • 训练与推理场景的合法性基础与告知欧盟 · 极高

    每一项处理活动（含用用户数据训练或微调模型）须确定并记录第 6 条合法性基础；涉及第 9(1) 条特殊类别数据的须另行满足第 9(2) 条例外。依赖同意的，须符合第 4(11) 与第 7 条的有效同意要件（自由作出、具体、知情、明确，可随时撤回且撤回与给予同样容易）；依赖合法利益的，须完成并留存三步利益权衡测试。向数据主体的告知须按第 13、14 条提供全部要素，其中第 14(3) 条要求间接获取个人数据时在合理期限内（最迟一个月）告知。

  • 数据主体权利响应机制（一个月时限）欧盟 · 高

    建立可举证的响应流程，覆盖访问、更正、删除、限制处理、可携、反对以及与自动化决策相关的权利。依第 12(3) 条，须在收到请求后无不当延迟且不迟于一个月内告知处理结果；考虑请求复杂性与数量，可再延长两个月，但须在首个月内告知延期及理由。响应须免费提供（明显无依据或过度的请求除外）。对 AI 企业而言，难点在于识别并处理已进入训练集与向量索引的个人数据，以及说明模型输出中是否仍可复现该个人数据。

  • 数据保护影响评估（DPIA）与事前咨询欧盟 · 高

    当某类处理（尤其是使用新技术，并结合处理的性质、范围、背景与目的）可能对自然人权利自由造成高风险时，控制者须在处理前开展 DPIA。第 35(3) 条列明三类必须开展的情形：基于自动化处理（含画像）对个人方面进行系统全面的评估，并据以作出对该人产生法律效果或类似重大影响的决定；大规模处理第 9(1) 条特殊类别数据或第 10 条犯罪记录数据；大规模系统性监测公共可进入区域。已指定 DPO 的，须征询 DPO 意见。若 DPIA 表明在无缓释措施时存在高风险，须在处理前咨询监管机构（第 36 条）。

  • 完全自动化决策的限制与保障措施欧盟 · 高

    数据主体有权不受仅基于自动化处理（含画像）、对其产生法律效果或类似重大影响的决定约束。例外仅三种：该决定对于订立或履行数据主体与控制者之间的合同是必要的；经欧盟或成员国法律授权且该法律规定了适当的保障措施；或基于数据主体的明确同意。在合同必要性与明确同意两种情形下，控制者须实施适当保障措施，至少包括数据主体获得人工干预、表达自身观点与对该决定提出异议的权利。此外，此类决定不得基于第 9(1) 条特殊类别数据，除非适用第 9(2)(a) 或 (g) 项且已有适当保障。

  • 个人数据泄露的 72 小时通报与数据主体告知欧盟 · 极高

    发生个人数据泄露时，控制者须无不当延迟，并在可行情况下自知悉起不迟于 72 小时向主管监督机构通报，除非该泄露不太可能对自然人权利自由造成风险；超过 72 小时的须附延迟理由。通报至少包含泄露性质（含涉及的数据主体与记录的类别与大致数量）、DPO 或其他联络点、可能后果、已采取或拟采取的措施。信息可分阶段提供。处理者在知悉后须无不当延迟通知控制者。若泄露可能对自然人权利自由造成高风险，还须无不当延迟以清晰通俗的语言告知数据主体。控制者须记录所有泄露事件的事实、影响与补救措施以备监管核查。

  • 处理者合同与再委托管理欧盟 · 高

    控制者只能选用能提供充分保证、实施适当技术与组织措施的处理者，且处理须以合同或其他具约束力的法律行为为依据，约定处理的标的、期限、性质与目的、个人数据类型与数据主体类别，以及控制者的权利与义务。处理者未经控制者的特定或一般书面授权不得再委托其他处理者；一般授权情形下，处理者须就增删再处理者告知控制者，使其有机会反对。

  • 处理安全与设计/默认数据保护欧盟 · 高

    控制者与处理者须考虑最新技术水平、实施成本、处理的性质范围背景目的以及对自然人权利自由的风险，实施适当的技术与组织措施以确保与风险相称的安全水平，措施可包括假名化与加密、保障系统与服务持续保密性完整性可用性与韧性的能力、事故后及时恢复可用性与访问的能力、以及定期测试评估与评价措施有效性的流程。同时须在确定处理方式时与处理进行中落实设计与默认的数据保护（第 25 条）。

  • 向中国等第三国传输个人数据的机制与评估欧盟 · 极高

    向第三国或国际组织传输个人数据，仅在满足第五章条件时方可进行：存在委员会作出的充分性决定（第 45 条）；或已提供适当保障（第 46 条，包括委员会通过的标准数据保护条款、有约束力的公司规则、经批准的行为准则或认证机制，并配套可执行的数据主体权利与有效救济）；或适用第 49 条的特定情形减损。中国目前不在欧盟充分性决定名单内，因此中国 AI 企业的默认路径是签署标准合同条款并完成传输影响评估，识别目的地法律对条款有效性的影响并采取补充措施。

  • 连接产品与相关服务的数据"设计即可访问"欧盟 · 高 · 2026-09-12

    连接产品的设计与制造、相关服务的设计与提供，须使产品数据与相关服务数据（含解读和使用这些数据所必需的元数据）默认、便捷、安全、免费、以全面、结构化、通用且机器可读的格式可用，并在相关且技术可行时可由用户直接访问。该义务适用于 2026-09-12 之后投放欧盟市场的连接产品及其相关服务。

  • 应用户请求提供数据并按用户指示向第三方共享欧盟 · 高 · 2025-09-12

    当用户无法从产品或相关服务直接获取数据时，数据持有者须无不当延迟地向用户提供可随时获得的数据及必要元数据，质量与其自身可得者相同，且便捷、安全、免费，采用全面、结构化、通用且机器可读的格式，在相关且技术可行时连续实时提供，并应支持通过电子方式的简单请求。用户还有权要求数据持有者以同等条件将该等数据提供给其指定的第三方。数据持有者仅在共享会危及欧盟或成员国法律规定的产品安全要求并对人身健康安全造成严重不利影响时，方可与用户约定限制或禁止，且拒绝共享时须通知依第 37 条指定的主管机关。依《数字市场法》被指定为守门人的企业不得作为本条下的合格第三方。

  • 数据处理服务的切换支持与切换费用取消欧盟 · 高 · 2025-09-12

    数据处理服务提供者须采取第 25、26、27、29、30 条规定的措施，使客户能切换到同一服务类型的其他提供者、迁移至本地 ICT 基础设施，或在相关时同时使用多个提供者；并须移除阻碍客户终止合同、与其他提供者订立新合同、移植其可导出数据与数字资产（含在使用免费额度后）的商业、技术、合同与组织障碍。自 2027-01-12 起不得收取任何切换费；2024-01-11 至 2027-01-12 期间只能收取不超过与该次切换直接相关成本的削减后费用。签约前须向潜在客户清晰说明标准服务费、可能的提前终止罚金与过渡期内可能收取的削减后切换费，并在网站专区或其他易访问方式向客户公开。

  • 防止第三国政府非法获取在欧盟持有的非个人数据欧盟 · 极高 · 2025-09-12

    数据处理服务提供者须采取一切适当的技术、组织与法律措施（包括合同安排），防止在与欧盟法或相关成员国国内法相冲突的情况下发生国际与第三国政府对其在欧盟持有的非个人数据的获取与传输。第三国法院、法庭或行政机关要求传输或提供访问的决定或判决，仅在基于该第三国与欧盟之间、或与某成员国之间生效的国际协定（如司法协助条约）时方可被承认或执行。无此类协定时，只有同时满足第 32(3) 条三项条件（第三国制度要求说明决定的理由与比例性并具有特定性；被要求方的合理反对可由该国有权法院审查；作出或审查该决定的法院有权充分考虑受欧盟法或成员国法保护的数据提供者的相关法律利益）方可传输或提供访问。

给这个赛道的现成材料

大模型 API 与生成式 AI 服务进入欧盟企业市场AI SaaS 进入美国企业市场：SOC 2、州级隐私与 AI 法、DOJ 大宗数据规则计算机视觉与智慧城市方案进入海湾市场（阿联酋 / 沙特）AI 应用进入东南亚：以新加坡为支点，落地印尼与越南日韩市场进入：个人信息保护法、韩国个人信息保护法与韩国人工智能基本法港股上市前 ESG 与可持续披露准备（AI 企业口径）欧盟企业客户尽调与招投标：48 小时应答机制出海前的国内侧合规：算法与大模型备案、生成内容标识、数据出境路径GDPR 数据保护影响评估（DPIA）——面向 AI 训练与推理场景欧盟人工智能法案 第 27 条 基本权利影响评估（FRIA）传输影响评估（TIA）——配合欧盟标准合同条款第 14 条数据出境风险自评估报告（按网信办申报指南模板）个人信息保护影响评估报告（PIPIA）生成式人工智能服务备案与算法备案材料清单（含安全评估报告）模型卡（Model Card）ISSB（IFRS S1 / S2）可持续相关财务披露报告大纲温室气体清单编制工作底稿（GHG Protocol 范围一 / 二 / 三）双重重要性评估工作底稿（CSRD / ESRS 口径）香港联交所 ESG 报告目录（上市规则附录 C2，含第 D 部分气候披露）沪深北交易所上市公司可持续发展报告目录（含财政部基本准则口径）客户安全与隐私问卷答案库（按 CAIQ / CCM 主题分组）招投标 / RFP 合规应答包（含欧盟公共采购与企业采购两条线）SOC 2 Type II 就绪清单（信托服务准则）供应商与分包商 ESG 与安全尽调问卷（本企业作为采购方使用）投资人 ESG 尽调资料包（融资与上市前）可持续信息第三方保证准备清单（有限保证起步）

同赛道发生过什么

来源（97）

内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理，标注了来源链接与复核日期，供合规决策参考；监管要求可能变化，正式对外披露、监管申报或合同承诺前请由持证专业人士复核。

GDPR · PIPL · CCPA 控制映射
AI 决策可追溯 · 有来源即标注
ISO 27001 对标推进中
WCAG 2.1 AA 可访问性目标
企业软件 SaaS：出海合规要点 | 海问 HQ