适合谁
准备把独立产品推向海外市场的个人开发者或小团队。
开始前准备
- 一个明确的产品假设或已上线 MVP。
- 目标市场、目标用户和可接受成本上限。
- 可以访问来源页面并保存截图的浏览器环境。
操作步骤
- 列出每个页面和功能收集的数据：账户、支付、日志、分析、客服、邮件。
- 标注数据主体地区，尤其是欧盟、英国、加州等高合规要求市场。
- 为每类数据写明用途、法律基础、保留期限、第三方处理方和删除方式。
- 检查是否把数据传输到第三国，并准备 SCC 或等效保障说明。
- 把数据地图交给隐私政策、cookie banner 和 DPA 文档复用。
- 每次新增分析、支付、邮件或 AI 工具时更新数据地图。
关键判断和细节
- 欧盟委员会说明 GDPR 保护欧盟内外个人数据，并包含跨境传输保障机制。
- GDPR 文本可用于核对控制者、处理者、数据主体权利和合法处理基础。
常见坑
- 只看单一来源，忽略国家、币种、账户地区或套餐差异。
- 把测试环境能跑通当成生产环境可用，没有验证限制、风控和合规要求。
- 没有写下查阅日期，导致几个月后无法判断信息是否过期。
来源证据
- European Commission - Data protection，查阅日期：2026-07-12
- GDPR text - Regulation (EU) 2016/679，查阅日期：2026-07-12
下一步
把本篇得到的结论写进项目决策日志，并在上线前复查来源页面。