---
name: dpa-checklist
description: 逐条检查数据处理协议（DPA，数据处理附录）：控制者（controller）与处理者（processor）的角色、分处理者（subprocessor）、安全措施、数据泄露通知、跨境传输、删除和审计权，并把 GDPR 式条款标出来交给律师确认。适用于客户或供应商发来 DPA、安全或隐私审查要求提供 DPA，或有人问“这份 DPA 能签吗？”时。
---

# DPA 检查清单

> 这不是法律意见。本清单是为律师审阅做准备的初步检查，不能代替律师审阅。清单的框架采用欧盟 GDPR；中国大陆、新加坡、马来西亚等地的规则与之不同 [待确认：当地法律法规]。

DPA 规定由谁决定个人数据怎么用、由谁实际处理，以及出了问题时双方各自承担什么。好的初步检查要指出：以用户现在的条件，哪些承诺真的做得到。签下一个做不到的承诺，才是真正的风险。

## 适用场景

- 大客户随合同发来他们自己的 DPA。
- 用户的公司需要签署供应商（数据分析、邮件、CRM、托管服务）的 DPA。
- 隐私或安全审查问到是否签有 DPA、内容是什么。
- 不适用于判断公司受哪些隐私法律约束。这个问题请问律师。

## 需要准备

- DPA 以及它所附属的主协议。缺少主协议时，注明责任和终止条款可能在主协议里。
- 用户站在哪一方：数据归属方（通常称控制者），还是替对方处理数据的一方（通常称处理者）。不清楚时问一次。
- 用户的实际情况：数据托管在哪里、用了哪些分处理者、多快能发现并报告安全事件、怎么删除数据。缺失时，在每项承诺旁标注“[待确认：我们做得到吗？]”。

## 步骤

1. **确认角色和范围。** 以 GDPR 第 28 条第 3 款的清单为框架：处理的事项和期限、性质和目的、个人数据类型、数据主体类别，以及处理者的 8 项义务（按书面指示处理、员工保密、安全、聘用分处理者的条件、协助响应数据主体请求、协助履行安全和泄露通知义务、结束时删除或返还、提供信息并接受审计）。找出谁被写成控制者、谁被写成处理者。如果角色与服务的实际运作不符（例如供应商也把数据用于自己的产品），标红并请律师确认。
2. **检查是否按指示处理。** 处理者只应按书面指示行事。凡是处理者保留的、为自身目的使用数据的权利（数据分析、产品改进、模型训练），一律标出。
3. **检查分处理者。** 授权是特定授权还是一般授权？在一般授权下，欧盟委员会关于其标准条款的问答指出：处理者要列出每一个分处理者（只写类别不够），变更时书面通知，通知期由双方约定；控制者可以提出反对。检查 DPA 是否写明提前多少天通知、提出反对后怎么处理。如果用户是处理者，把清单和用户实际使用的供应商逐一对照；漏掉一个供应商就标红。
4. **检查安全措施。** 有没有列明技术和组织措施的附件？把每一项承诺和用户的实际情况对照。没有对应事实的承诺，标注“[待确认：……]”。
5. **检查泄露通知。** 按原文准确记下时限。欧盟委员会的标准条款写的是“不得无故拖延”，具体小时数留给双方约定，所以硬性的小时数属于谈判出来的条款。记下通知必须包含哪些内容。如果用户是处理者，而目前做不到这个时限，标红。
6. **检查跨境传输。** 数据传到哪里，DPA 写的是哪种传输机制。欧盟委员会 2021 年的跨境传输标准合同条款，适用于欧盟境内的控制者或处理者向境外的控制者或处理者传输数据；其问答指出，依赖这些条款之前要先做传输影响评估。检查是否做过。不要判断机制是否充分：“[请律师确认：对这些国家，这种传输机制是否充分？]”。
7. **检查删除、返还和审计。** 结束时删除还是返还、多长时间内完成、是否出具证明。审计权：多久一次、提前多久通知、谁承担费用、能否用第三方审计报告代替现场审计。对处理者来说，不限次数、费用由处理者承担的现场审计要标红。
8. **检查责任及其他条款。** DPA 是有自己的责任条款，还是沿用主协议的责任上限；赔偿条款；协助响应数据主体请求；条款优先顺序。然后写出表格、缺口和问题清单。

## 输出格式

```markdown
# DPA 检查清单 — [对方]，[日期]

_这不是法律意见。供律师审阅时参考。_

**用户的角色：** [控制者 / 处理者 / 不明确]  
**数据和目的：** [数据类别、数据主体、目的，按原文]

| 领域 | 评级 | 原文（引文，条款号） | 我们做得到吗？ |
|---|---|---|---|
| 角色和范围 | [绿/黄/红] | “[引文]”（第 [n] 条） | [能 / 不能 / 待确认] |
| 指示与自用 | | | |
| 分处理者 | | | |
| 安全措施 | | | |
| 泄露通知 | | | |
| 跨境传输 | | | |
| 删除和返还 | | | |
| 审计 | | | |
| 责任 | | | |
| 数据主体请求 | | | |

## 尚未确认能否做到的承诺
- [承诺] — [待确认：谁能确认]

## 请律师确认的问题
- [请律师确认：……]
```

## 示例

**输入：** 简表科技（处理者，一款在线表单工具）的刘睿收到了客户恒达银行发来的 DPA。实际情况：数据托管在法兰克福；分处理者有云托管服务商、邮件服务商和一个错误监控工具；安全事件在下一个工作日审查。DPA 节选：

> 3.2 处理者应在知悉任何个人数据泄露后 24 小时内通知控制者。  
> 5.1 除附件 3 所列者外，处理者不得聘用分处理者（附件 3：云托管服务商、邮件服务商）。  
> 8.1 控制者可在提前 2 个工作日通知后，随时对处理者的场所进行审计，费用由处理者承担。  
> 9.1 协议终止时，处理者应在 30 天内删除全部个人数据。

**输出：**

```markdown
# DPA 检查清单 — 恒达银行，11月4日

_这不是法律意见。供律师审阅时参考。_

**用户的角色：** 处理者  
**数据和目的：** [待确认：节选中没有]

| 领域 | 评级 | 原文（引文，条款号） | 我们做得到吗？ |
|---|---|---|---|
| 泄露通知 | 红 | “在知悉……后 24 小时内”（第 3.2 条） | 不能：安全事件在下一个工作日才审查 |
| 分处理者 | 红 | 附件 3 只列了云托管和邮件 | 不能：漏了错误监控工具 |
| 审计 | 红 | “提前 2 个工作日通知后，随时……费用由处理者承担”（第 8.1 条） | 待确认：费用和次数都没有上限 |
| 删除和返还 | 绿 | “在 30 天内删除全部个人数据”（第 9.1 条） | 待确认：是否包括备份？ |
| 跨境传输 | — | 节选中没有 | [待确认：完整 DPA] |

## 尚未确认能否做到的承诺
- 24 小时内通知泄露 — [待确认：工程团队能否承诺周末值班？]
- 30 天内删除，包括备份 — [待确认：备份保留期]

## 请律师确认的问题
- [请律师确认：能否提议每年一次、用第三方审计报告代替现场审计？]
- [请律师确认：应把错误监控工具加入附件 3，还是提议“提前通知、可提反对”的流程？]
```

## 发送前检查

- [ ] 输出最上方有免责声明。
- [ ] 用户一方的每项承诺都有“我们做得到吗？”的回答，或标注了“[待确认：……]”。
- [ ] 泄露通知时限按原文准确引用。
- [ ] 用户是处理者时，分处理者清单已与用户实际使用的供应商对照。
- [ ] 没有任何一句话说某种传输机制或条款在法律上已经充分。
- [ ] 对方为自身目的使用数据的任何权利都已标出。

## 常见错误

- 把 DPA 当成格式条款。它的时限和审计条款会带来实实在在的运营工作。
- 忘了主协议的责任上限可能覆盖 DPA，也可能不覆盖。
- 列出计划要用的供应商，而不是现在正在用的。