名词百科
什么是 GDPR / 跨境数据合规？
一句话定义
GDPR（General Data Protection Regulation，通用数据保护条例）是欧盟的个人数据保护法规，2018 年生效。适用于在欧盟境内设立的主体，以及向欧盟数据主体提供产品或服务、监控其行为的境外主体。
它到底是什么
GDPR 的核心是把个人数据的处理建立在合法基础上（同意、合同履行、法定义务、重大利益、公共任务、正当利益），并赋予数据主体一系列可执行的权利。
它的域外效力是最需要注意的地方：即使公司不在欧盟，只要面向欧盟用户提供服务或监控其行为（如投放定向广告、做行为分析），就可能受其约束。
怎么运作的
合法性基础：每一项处理活动都要对应一个基础，不能笼统地说「用户同意了」。
数据主体权利：访问、更正、删除（被遗忘权）、限制处理、数据可携带、反对自动化决策。系统需具备响应能力，且有响应时限要求。
问责与记录：需保存处理活动记录、开展数据保护影响评估（高风险处理）、设置数据保护官（特定情形）。
跨境传输：向欧盟以外传输需有合法机制，如充分性认定、标准合同条款。
通报：发生数据泄露需按规定时限向监管机构通报，高风险时还需通知数据主体。
容易混的几个概念
- PIPL：中国的个人信息保护法，思路相近但具体要求与主管机构不同。
- 数据控制者与处理者：前者决定目的与方式，后者受托处理，义务不同。
- 充分性认定：欧盟认定某国提供足够保护水平的机制。
- 标准合同条款（SCC）：跨境传输的合同工具。
常见问题
不做欧盟业务也要管 GDPR 吗？
看有没有面向欧盟数据主体的处理活动。仅服务境内用户通常不涉及；但如果网站面向欧盟投放、提供多语言服务、或分析欧盟用户行为，就可能落入适用范围。
GDPR 和 PIPL 能一套方案通吃吗？
不能。两者在合法性基础、权利清单、跨境机制、通报义务上都有差异。可以共用技术能力（如权限、脱敏、审计），但合规文本与流程需分别设计。
G 合规资质 · 同组词条
数据备份数据备份是把数据复制到另一位置以防丢失；容灾是在灾难发生时保证系统能继续运行或快速恢复的能力。备份关注数据，容灾关注服务。类目资质平台类目资质是电商或服务平台在特定经营类目下需具备的许可证或备案，如食品经营许可、医疗器械经营许可。平台需审核商家资质，无证经营会导致类目被下架。日志审计日志审计是记录并留存系统中关键操作的日志，用于事后追溯「谁在什么时间做了什么」。它与调试日志不同，强调完整性、不可篡改与长期保留。风控风控是识别并阻断异常请求与欺诈行为的机制，常见手段有限流、验证码、设备指纹、行为分析与黑名单。防刷是其针对批量恶意请求的具体应用。零信任零信任是一种安全架构理念：不默认信任任何内部或外部的访问请求，每次访问都要验证身份、设备与权限，并按最小权限授予。数据加密数据加密是把明文转换为密文以防止未授权读取的技术；数据脱敏是对敏感字段做遮蔽、替换或变形，使数据在保留可用性的同时不暴露原始值。SSL证书SSL 证书是用于在浏览器与服务器之间建立加密通道的数字证书，部署后网站通过 HTTPS 访问。它解决传输过程中的窃听与篡改问题，并验证网站身份。隐私政策隐私政策是企业告知用户如何收集、使用、存储、共享和保护个人信息的法律文本；用户授权是取得处理个人信息的合法基础的具体机制。