一句话说清楚
当你把用户数据交给第三方服务(云存储、AI API、客服系统)时,你是数据控制者,对方是数据处理者,DPA 约定后者的义务:处理范围、安全措施、子处理者披露、数据删除与出境。GDPR 明确要求控制者与处理者签 DPA;国内个人信息保护法下的「委托处理协议」同构。
这对你选工具意味着什么
采购 AI/云服务时把「能签 DPA」作为合规门槛:重点看子处理者清单(对方又把数据给了谁)、数据留存期限、训练数据是否用于模型训练(AI 服务的关键条款)。
常见误区
只看主条款不看附件——很多 SaaS 的 DPA 附件默认「同意将数据用于服务改进」,你的用户数据可能正在喂别人的模型。