一句话说清楚
GDPR 确立了个人数据处理的几根支柱:知情同意(明确、具体、可撤回)、最小必要(只为目的收集)、可携带与被遗忘权(用户可导出或要求删除数据)、数据外泄通知(72 小时内上报)。它管的是「处理欧盟居民数据」的行为而非企业所在地——中国公司服务欧洲用户同样在管辖内。国内对应的《个人信息保护法》框架与之相近。
这对你选工具意味着什么
选 SaaS 工具时看三点隐私基本面:隐私政策是否清晰(数据存哪、谁可见、删号后数据怎么办)、是否支持数据导出与彻底删除、子处理商(如云厂商)是否透明。
常见误区
最大的合规坑是「用 AI 工具处理客户数据」:把含个人信息的文档丢给不承诺不训练的 AI 服务,可能构成数据外泄。企业应明确允许清单,用企业版数据协议兜底。