2. 合规性基础

第三方集成并非仅技术对接，其本质是数据主权与法律责任的延伸。任何后端系统在引入第三方SDK、API或数据通道时，必须同时满足数据流入、流出、存储与处理环节的合规要求。本章聚焦GDPR、CCPA与等保2.0三大核心框架，梳理其对第三方集成的具体约束。

2.1 三大合规框架核心差异

2.2 GDPR：数据处理协议（DPA）与第三方责任

GDPR第28条明确规定：数据控制者（你方）必须与数据处理者（第三方）签订具有法律约束力的数据处理协议（DPA）。DPA是第三方集成的合规起点，缺失DPA即构成违规。

DPA必须包含的条款清单

• 处理范围与目的：明确第三方只能按你方书面指令处理数据，不得用于自身目的。
• 数据安全措施：第三方需实施适当的技术与组织措施（加密、访问控制、审计日志等）。
• 子处理者管理：第三方若转包给子处理者，必须提前获得你方书面授权。
• 数据泄露通知：第三方发现数据泄露后，须在72小时内通知你方。
• 数据删除/返还：合同终止后，第三方须删除或返还所有数据，并提供书面证明。

2.3 CCPA：消费者数据“出售”与第三方限制

CCPA对第三方集成的核心约束在于“出售”消费者个人信息的定义。CCPA对“出售”的定义极为宽泛：以口头、书面或电子方式，将个人信息交换为金钱或其他有价对价。这意味着：

• API数据共享：若你方通过API向第三方传输消费者数据，且第三方因此向你方支付费用（或提供免费服务作为对价），可能构成“出售”。
• SDK数据收集：第三方SDK在用户设备上收集数据并回传至其服务器，若你方未获得用户明确同意，同样可能被认定为“出售”。
• 服务商例外：仅当第三方被明确界定为“服务商”（Service Provider），且合同禁止其保留、使用或披露数据用于自身目的时，方可豁免“出售”限制。

CCPA合规检查清单（第三方集成场景）

1. 识别数据流：绘制第三方集成中消费者数据的完整流向图。
2. 分类第三方角色：区分“服务商”与“第三方”（Third Party），后者需额外签署“不转售”条款。
3. 更新隐私政策：明确披露你方共享数据的第三方类别与目的。
4. 实现选择退出机制：提供“请勿出售我的个人信息”链接，并确保第三方同步执行退出请求。
5. 合同约束：与所有第三方签订包含CCPA合规条款的书面协议。

2.4 等保2.0：安全等级保护与第三方集成评估

中国《网络安全等级保护制度2.0》（等保2.0）要求网络运营者根据系统安全等级（一级至五级）实施相应保护措施。第三方集成场景下，等保2.0的约束主要体现在：

• 安全评估：第三方系统接入前，须进行安全评估，评估内容包括身份鉴别、访问控制、数据完整性、审计日志等。
• 数据出境安全评估：若第三方为境外实体，且涉及向境外传输个人信息或重要数据，须通过国家网信办组织的数据出境安全评估。
• 等级保护测评：第三方系统若与你方核心系统互联，其安全等级不得低于你方系统等级，且须通过等级保护测评。
• 供应链安全管理：等保2.0新增“供应链安全”要求，需对第三方供应商进行安全背景审查与持续监控。

2.5 合规约束下的第三方集成架构

下图展示了在GDPR、CCPA与等保2.0三重约束下，第三方集成的合规边界与数据流控制点：

2.6 合规约束下的第三方集成实施步骤

1. 合规分类：根据第三方处理的数据类型（个人信息、重要数据、敏感数据）与处理目的，确定适用的合规框架（GDPR/CCPA/等保2.0）。
2. 合同审查：确保第三方合同包含DPA（GDPR）、服务商条款（CCPA）与安全评估条款（等保2.0）。
3. 安全评估：对第三方系统进行安全评估，包括身份认证、加密强度、日志审计、漏洞扫描等。
4. 数据流映射：绘制完整的数据流图，标注数据存储位置、传输路径与第三方访问权限。
5. 持续监控：建立第三方合规监控机制，定期审查第三方安全状态与合规证书（如ISO 27001、SOC 2、等保测评报告）。
6. 退出预案：制定第三方退出时的数据迁移、删除与合同终止流程，确保数据不残留。

2.7 常见合规风险与应对