数据处理协议 DPA 是什么
数据处理协议（DPA）是控制者与处理者之间的书面约定，GDPR 第 28 条要求它覆盖处理的范围与目的、期限、个人数据类别与数据主体类别，以及处理者的具体义务：仅按控制者指示处理、人员保密、采取安全措施、子处理者需授权、协助响应数据主体请求、协助事件通知与影响评估、终止时删除或返还数据、配合审计。签了协议不等于合规——子处理者变更与安全措施落实情况需要持续核查。
基本信息
| 要素 | 处理范围与目的、安全措施、子处理者、协助、审计、删除 |
|---|---|
| 场景 | 云服务、客服外包、数据分析供应商 |
| 联动 | 与供应商审计、事件通知流程配套 |
| 必备项 | 处理期限、个人数据类别、数据主体类别 |
| 存续 | 数据删除或返还义务在合同终止后继续有效 |
典型使用场景
- 引入 SaaS 或云服务，供应商会处理用户个人信息
- 客服或风控业务外包，第三方接触客户数据
- 数据分析与营销供应商需要接收用户行为数据
- 集团内不同实体之间共享人员或客户数据
- 供应商更换子处理者，需要评估变更影响
条款要点示例
条款要点示例
处理范围：仅限提供客服系统服务所必需 # 范围要具体到业务用途
子处理者：变更需提前通知并征得同意 # 通知期与异议权要写清
事件通知：发现后 24 小时内书面通知 # 与自身 72 小时义务衔接，留出内部评估时间
删除返还：终止后 30 天内删除并出具证明 # 删除范围要含备份与日志副本
审计权：每年一次现场或书面审计 # 明确审计方式与费用承担条款模块与核查
| 条款模块 | 要求 | 核查方式 |
|---|---|---|
| 处理范围 | 只处理约定用途所需数据 | 抽查数据字段与调用日志 |
| 子处理者 | 授权清单与变更通知机制 | 索取最新子处理者清单并比对 |
| 安全措施 | 与风险匹配的技术与管理措施 | 要求提供安全评估或认证材料 |
| 协助义务 | 响应数据主体请求与事件通知 | 演练一次请求转办流程 |
| 删除返还 | 终止后限期删除或返还并出证 | 索取删除证明模板并约定格式 |
子处理者变更与删除返还两条最常被跳过核查：终止时数据是否真的删除、多久出具证明，必须在合同与内部流程里都写清楚，否则出问题时既无依据也无证据。