官方技能 · 法務基礎

資料處理協議（DPA）檢查清單

v1.0.0 · 2026 年 11 月 4 日更新

檢查 DPA 的角色、次處理者、安全措施、外洩通知、跨境傳輸、刪除與稽核，並對照你的團隊實際做得到的事。

加入我團隊的 Pod

可在 Claude、ChatGPT 和程式設計代理中使用。使用 Team 和 Business 方案時，我們改進官方技能後，你 Pod 裡的這個技能會自動更新。

適用情境

企業客戶隨合約寄來他們的 DPA
你必須簽署廠商的資料處理協議

你要提供的內容

DPA 和主合約
你在資料上的角色
你的主機代管、廠商和事故處理流程

你會得到的內容

一張有評等的條款表（附「我們做得到嗎？」欄位）、還要確認的承諾，以及要請教律師的問題。

運作方式

確認角色與範圍 以 GDPR 第 28 條第 3 項（歐盟規則）的清單作為檢查框架：處理的標的與期間、性質與目的、個人資料類型、當事人類別，接著是處理者的 8 項義務（依書面指示處理、人員保密、安全、次處理者的條件、協助回應當事人請求、協助履行安全與外洩相關義務、終止時刪除或返還、提供資訊與接受稽核）。[待確認：台灣、香港等當地個資法規可能另有規定／律師] 找出誰被列為控制者、誰是處理者。如果角色和服務的實際運作不符（例如廠商也把資料用在自家產品上），標紅並請教律師。
檢查是否依指示處理 處理者應只依書面指示行事。記下處理者保留的任何自用權利（分析、產品改善、模型訓練）：一律標出來。
檢查次處理者 授權是個別授權還是概括授權？根據歐盟執委會就其標準契約條款發布的問答集，在概括授權下，處理者要列出每一個次處理者（只列類別不夠）、以書面通知變更，通知期間由雙方約定；控制者可以提出異議。確認 DPA 寫明了幾天前通知，以及提出異議後怎麼處理。如果使用者是處理者，把清單和使用者實際在用的廠商比對；缺漏任何一家就標紅。
檢查安全措施 是否附有技術與組織措施的附件？把每項承諾和使用者的實際情況比對。找不到對應實際情況的承諾，標上「[待確認：…]」。
檢查外洩通知 期限照原文一字不改記下來。執委會的標準契約條款用的是「無不當延遲」，具體時數留給雙方約定，所以寫死的時數是談判出來的條件。記下通知必須包含哪些內容。如果使用者是處理者，而且目前無法在期限內通知，標紅。
檢查跨境傳輸 資料傳到哪裡，DPA 指定了哪種傳輸機制。執委會 2021 年的跨境傳輸標準契約條款，適用於歐盟境內的控制者或處理者把資料傳給境外的控制者或處理者；它的問答集指出，依賴這些條款之前要先做傳輸影響評估，確認是否已經做過。不要判斷傳輸機制是否足夠：「[請教律師：這個傳輸機制對這些國家是否足夠？]」。
檢查刪除、返還與稽核 終止時刪除或返還、多久內完成、是否出具證明。稽核權：多久一次、幾天前通知、誰負擔費用、能否以第三方報告取代實地稽核。對處理者而言，不限次數、費用由處理者負擔的實地稽核要標紅。
檢查責任與其他條款 DPA 是有自己的責任條款，還是適用主合約的責任上限；賠償條款、協助回應當事人請求、文件優先順序。接著寫出表格、缺口和問題。

分享給你的團隊

把它加入 AI Skill Pod，團隊每個人（外包人員也包括在內）都能從自己的 AI 使用同一個版本。看看和團隊分享 AI 技能的最佳做法