🌍 从 GDPR 到 PIPL，从医疗到支付，跨境传输规则一网打尽。本模块以中小学生也能理解的色系与结构，清晰呈现法规地图。
📋 全球主要数据保护法规 GDPR · CCPA · PIPL · DSGVO
| 法规 | 全称 / 区域 | 核心要点 | 供应商影响 |
|---|
| GDPR | 欧盟通用数据保护条例 | 数据主体权利、同意、DPIA、数据可携带权、罚则最高2000万欧元或4%全球年营业额 | 供应商需DPA、记录处理活动、任命代表 |
| CCPA | 加州消费者隐私法案 | 消费者知情权、删除权、选择退出销售、非歧视；2023年CPRA修正 | 供应商合同需限制处理目的，支持消费者请求 |
| PIPL | 中华人民共和国个人信息保护法 | 告知同意、最小必要、跨境安全评估、个人信息保护影响评估 | 供应商需签署数据处理协议，配合跨境认证 |
| DSGVO | 德語地区 GDPR 实施 (德/奥) | 与GDPR基本一致，但部分领域有国内补充（如视频监控、员工数据） | 供应商需关注德国联邦与州数据保护机构要求 |
🏥 行业特定法规 HIPAA · PCI-DSS · SOX
- HIPAA (健康保险流通与责任法案) — 美国医疗数据隐私与安全规则，供应商需签署商业伙伴协议(BAA)，实施物理、技术、管理 safeguard。
- PCI-DSS (支付卡行业数据安全标准) — 保护持卡人数据，12大要求，供应商若存储/处理/传输卡号必须合规，每年评估。
- SOX (萨班斯-奥克斯利法案) — 上市公司财务与内控合规，影响供应商的ITGC（一般控制）及数据保留、访问审计。
🌐 跨境数据传输规则 核心机制与路径
⚙️ 供应商合同条款示例 数据跨境传输安全
// 供应商数据处理条款 (基于PIPL + GDPR 双重要求)
“数据输出方与数据接收方应按照适用法律的要求，
就跨境数据传输签署《个人信息跨境处理合同》。
接收方承诺：
1. 采取不低于输出方所在法域标准的保护措施；
2. 仅限合同约定目的处理数据；
3. 发生数据泄露时48小时内通知输出方；
4. 配合输出方进行个人信息保护影响评估（PIA）。”
📌 GDPR 第28条 DPA
📌 CCPA 第1798.100节
📌 PIPL 第38-43条
📌 HIPAA 45 CFR 164.504
📌 PCI-DSS 要求12