直接答案：制造业出海的数据跨境，先看数据实际从哪里收集、传到哪里、谁访问；官网表单、CRM、AI 客服和邮件只要把境内个人信息或重要数据传到境外，就可能构成出境，要先做数据地图再选路径。
本文面向有海外官网、海外 CRM、AI 客服、跨境销售或海外员工的制造企业，讨论官网表单、客户数据、聊天记录、图纸/BOM 和员工数据的出境判断与合同/评估准备。资料截止 2026-10-29。本文不是法律意见，也不承诺备案、评估或认证结果；具体适用按现行法规、属地网信部门和专业意见确认。
先画数据流，再谈合同；先判断个人信息/重要数据，再选评估、标准合同或认证；欧盟客户还要同时看 GDPR 和转移机制。
制造业出海，哪些数据算“出境”？
看数据实际从哪里收集、传到哪里、谁访问；官网表单、CRM、AI 客服和邮件只要把境内个人信息或重要数据传到境外，就可能构成出境。
判断“出境”看实际传输和访问路径，不看服务器品牌或合同名称。境内收集的客户姓名、邮箱、电话、聊天记录、报价/订单信息，传输到境外 CRM、云客服、邮件平台或模型 API，可能构成个人信息出境；图纸、BOM、工艺参数、客户名单等还可能涉及重要数据或商业秘密。反过来，境外收集的数据传到境内处理，也要看处理后再出境的情况。
| 数据类型 | 常见例子 | 先判断什么 | 验收证据 |
|---|---|---|---|
| 官网表单/询盘 | 姓名、邮箱、电话、公司、需求 | 是否个人信息、存哪里、转给谁 | 字段表、隐私政策、传输记录 |
| CRM/邮件 | 联系人、沟通记录、报价 | 供应商/子处理者/服务器位置 | 系统清单、DPA |
| AI 客服/聊天 | 对话、订单、联系方式 | 提示词/日志是否含个人信息、模型在哪 | 数据流图、日志配置 |
| 图纸/BOM/工艺 | 产品结构、参数、客户图纸 | 是否重要数据/商业秘密 | 分类清单、授权 |
| 海外员工/HR | 员工信息、外派、薪酬 | HR 豁免是否适用、接收方 | 告知/合同/记录 |
| Cookie/分析 | IP、设备、行为、广告标识 | 是否个人信息、是否跨境 | Cookie 清单、同意记录 |
| 公开资料 | 已公开产品资料、样本 | 是否含个人信息/保密内容 | 来源、版权/保密确认 |
数据分类是项目判断，不是法律结论；个人信息、重要数据和商业秘密的识别需按法规、行业要求和企业实际确认。
先做数据地图，还是先选合同？
先做数据地图和分类，再选合同/评估；不知道数据在哪、谁接收、传多少，直接套模板合同无法判断路径。
数据地图至少写清：数据来源、字段、存储位置、接收方、传输方式、访问人员、保留期限和删除方式。官网表单可能同时进入邮件、CRM 和客服工具；AI 客服可能把对话发给模型 API；海外销售可能用个人网盘/微信传文件。先把这些路径画出来，才能判断是否出境、走哪条路径、合同和告知怎么写。
| 地图字段 | 要写什么 | 证据 | 常见问题 |
|---|---|---|---|
| 来源 | 官网、展会、邮件、客服、员工 | 表单/来源记录 | 只写“客户提供” |
| 字段 | 姓名、联系方式、需求、订单、敏感信息 | 字段表 | 收集过多 |
| 存储 | 境内/境外、云/本地、谁运维 | 系统清单 | 不知道服务器位置 |
| 接收方 | CRM/客服/模型/邮件/经销商 | 合同、子处理者清单 | 转给外包但不知情 |
| 传输 | API、邮件、文件、人工导出 | 数据流图 | 个人微信/网盘 |
| 保留/删除 | 期限、删除、备份、退出 | 策略/记录 | 永久保存 |
数据地图应覆盖官网、CRM、客服、邮件、广告、HR 和供应商；本文不提供法律分类结论，具体按企业法务/网信要求确认。
中国路径怎么选：评估、标准合同还是认证？
按数据类别和年度累计量选：重要数据/CIIO/百万人以上或敏感万人以上走评估；十万人以上走标准合同/认证；以下仍需履行告知同意。
《促进和规范数据跨境流动规定》给出了分档：关键信息基础设施运营者、重要数据、累计向境外提供 100 万人以上个人信息（不含敏感）或 1 万人以上敏感个人信息，通常走数据出境安全评估；10 万人以上、不满 100 万人（不含敏感）或不满 1 万人敏感个人信息，走标准合同或认证；不满 10 万人（不含敏感）可免于三种机制，但仍要履行告知、同意、影响评估等义务。自由贸易试验区负面清单外还有豁免安排。具体适用以现行原文和属地网信部门为准。
| 情形（自当年 1 月 1 日累计） | 通常路径 | 关键动作 | 验收证据 |
|---|---|---|---|
| 重要数据 / CIIO / ≥100 万人非敏感 / ≥1 万人敏感 | 数据出境安全评估 | 省级网信申报、评估、整改 | 评估结果/整改记录 |
| 10 万–<100 万人非敏感 / <1 万人敏感 | 标准合同或认证 | 与境外接收方签约/认证、履行义务 | 合同/认证/记录 |
| <10 万人非敏感 | 免三种机制 | 告知、同意、PIA、合同/安全措施 | 告知/同意/PIA 记录 |
| 合同必需、HR、紧急等豁免 | 免三种机制 | 核对适用条件、保留证据 | 事实/合同/记录 |
| 自贸区负面清单外 | 按清单豁免 | 核对清单版本/适用区域 | 清单/适用记录 |
阈值/路径依据《促进和规范数据跨境流动规定》；标准合同还涉及《个人信息出境标准合同办法》，安全评估涉及《数据出境安全评估办法》。具体适用以现行原文和属地网信部门为准，本文不构成法律意见。
官网表单、CRM 和 AI 客服各看什么？
官网表单看字段/存储/转发，CRM 看供应商和子处理者，AI 客服看提示词/日志/模型位置；三者都可能把个人信息送出境。
官网表单最容易“收集了就到处转发”：一封通知邮件、一个 CRM 插件、一个在线客服工具，可能把数据送到不同国家。CRM 要看供应商、子处理者、数据中心和备份；AI 客服要看提示词、对话日志、模型 API 和人工复核是否在境外。不要只看“工具在境内有页面”就判断数据不出境。
| 场景 | 典型数据流 | 先确认 | 常见误区 |
|---|---|---|---|
| 官网表单 | 访客→表单→邮件/CRM/客服 | 字段、接收方、存储地、转发 | 只改隐私政策 |
| CRM | 销售→CRM→供应商/备份 | 数据中心、子处理者、导出 | 以为 SaaS 不出境 |
| AI 客服 | 访客→聊天→模型 API→日志 | 提示词/日志、模型位置、人工 | 只测回答质量 |
| 邮件营销 | 联系人→邮件平台→分析 | 平台位置、退订、打开追踪 | 群发无同意 |
| 海外 HR | 员工→HR 系统→总部 | HR 豁免、接收方、保留 | 默认集团共享 |
| 图纸/BOM | 工程师→网盘/邮件/客户 | 重要数据/商业秘密、授权 | 用个人网盘 |
| Cookie/分析 | 访客→分析/广告平台 | 同意、跨境、匿名化 | 默认开启追踪 |
场景清单用于提问和排查，不替代数据分类、PIA/TIA 或法律意见；具体路径按实际数据流确认。
欧盟/海外客户还要满足什么？
欧盟客户还要看 GDPR 的合法性、告知、转移机制（充分性/SCC/BCR）、TIA 和 DPA；中国路径与欧盟要求要同时满足，具体按法律意见确认。
如果数据涉及欧盟/欧洲经济区数据主体，除中国出境路径外，还要看 GDPR 的法律依据、告知、数据主体权利、保留期限和跨境转移工具。向欧盟以外传输通常需要充分性决定或适当保障（如 SCC/BCR），并做转移影响评估；与处理器之间要有 DPA。中国合规和欧盟合规不是二选一，同一数据流可能两边都要满足。
| 项目 | 要确认 | 证据 | 常见问题 |
|---|---|---|---|
| 法律依据/告知 | 合同、同意、合法利益等 | 隐私政策、告知记录 | 只放一段英文 |
| 转移机制 | 充分性/SCC/BCR 等 | 协议/决定 | 以为有 DPA 就够 |
| TIA | 目的地法律、访问、救济 | 评估记录 | 不做风险分析 |
| DPA | 角色、子处理者、安全、删除 | 合同 | 只签保密协议 |
| 数据主体权利 | 访问、更正、删除、反对 | 流程/记录 | 没有入口 |
| 保留/删除 | 期限、备份、退出 | 策略/记录 | 永久保存 |
欧盟规则可参考欧盟委员会数据保护页面和SCC 页面；具体适用按法律意见和合同确认，本文不构成法律意见。
供应商合同怎么验收？
合同要写数据角色、位置、子处理者、安全、跨境机制、删除、审计、泄露和终止；只签“保密协议”不够，条款要能核验。
官网/CRM/AI 客服/云服务合同要能回答：谁是处理者/共同控制者、数据存哪里、哪些子处理者、是否有跨境机制、如何通知变更、如何删除/返还、泄露多久通知、能否审计、终止后怎么办。合同条款要和隐私政策、数据地图、实际配置一致；只写“我们会保密”不能覆盖跨境和删除义务。
| 条款 | 要写什么 | 验收证据 | 常见问题 |
|---|---|---|---|
| 角色/范围 | 处理者/控制者、目的、数据类型 | 合同/附件 | 角色不清 |
| 位置/子处理者 | 数据中心、远程访问、分包 | 清单/变更通知 | 不知情转包 |
| 跨境机制 | 评估/标准合同/认证/SCC | 协议/记录 | 只写“可跨境” |
| 安全 | 访问控制、加密、日志、漏洞 | 安全说明/审计 | 空泛承诺 |
| 删除/返还 | 期限、备份、终止后处理 | 流程/记录 | 永久保留 |
| 泄露/审计 | 通知时限、配合、审计权 | 条款/演练 | 出事才找 |
合同条款按角色、数据流和适用法律确认；本文不提供合同模板或法律意见。
90 天怎么落地？
前两周做数据地图，3–4 周定路径，5–8 周补合同/安全，9–12 周测试和留档；每阶段设暂停门槛，不留口头例外，并保留记录。
先覆盖官网、CRM、客服、邮件、HR 和供应商，再按数据类别/累计量判断路径；需要评估/合同/认证的，留出法务和网信沟通时间。上线前做一次真实数据流测试：表单提交、CRM 同步、AI 对话、删除请求、供应商变更，确认配置和合同一致。
| 阶段 | 动作 | 验收证据 | 暂停门槛 |
|---|---|---|---|
| 第 0–2 周 | 数据地图、字段、系统、供应商 | 数据流图、系统清单 | 不知道数据在哪：暂停 |
| 第 3–4 周 | 分类、累计量、路径判断 | 分类/路径记录 | 重要数据/CIIO：找专业意见 |
| 第 5–8 周 | 合同、SCC/标准合同、评估/认证 | 合同/受理/整改 | 无合同/机制：不上线 |
| 第 9–12 周 | 真实数据流测试、删除、留档 | 测试/删除记录 | 配置与合同不一致：整改 |
90 天是编辑建议，不含审批/评估时限承诺；实际周期取决于数据、属地网信和合同。
哪些情况应暂停/找专业意见？
涉及重要数据、CIIO、大规模敏感信息、无法确定接收方或合同缺失时暂停，找法务/网信/专业机构确认，不要先上线。
数据跨境不是“填个模板”就完成。涉及重要数据、关键信息基础设施、大规模敏感个人信息、向境外执法/监管提供数据、供应商拒绝说明子处理者、合同/评估缺失、或业务部门私自发数据时，先暂停并找专业意见。不要把“已提交评估/已签合同”写成“已批准/已合规”。
| 情况 | 先做什么 | 不要做什么 | 决策 |
|---|---|---|---|
| 重要数据/CIIO | 识别、评估、专业意见 | 直接走标准合同 | 暂停/评估 |
| 大规模敏感信息 | PIA、路径判断、加固 | 只改隐私政策 | 评估/认证 |
| 供应商不披露子处理者 | 补充尽调/合同 | 先上线再说 | 暂停 |
| 无合同/无机制 | 补合同/机制 | 用“保密协议”代替 | 不上线 |
| 业务私自发数据 | 阻断、留证、培训 | 只口头提醒 | 整改 |
| 已提交未获批 | 按流程等待/整改 | 写成“已合规” | 待确认 |
暂停/决策门槛是编辑建议，不是法律结论；具体按法规、属地网信和专业意见处理。
谁该读、谁不适合、能支持什么决策？
适合有海外官网/CRM/AI 客服/出海员工的制造企业；不适合纯国内、无个人信息或不愿做数据地图的团队。
该读：有海外官网、海外 CRM、AI 客服、跨境销售、海外子公司/员工，或准备上线这些系统的制造企业；市场、IT、法务、采购和负责人。 不适合：纯国内、不涉及个人信息/重要数据；没有官网/系统 owner；只想找“免责模板”；期待“签了合同就一定合规”。 能支持：是否需要暂停、走哪条路径、先补什么合同/记录、如何验收供应商、如何向管理层说明风险。
常见问题
官网表单收集海外客户信息，算数据出境吗？
看数据实际传到哪里。如果境内收集后传到境外 CRM、邮件/客服平台或模型 API，可能构成出境；如果只在境内存储和处理，则按境内规则看。不要只看工具品牌或服务器页面。
10 万人以下是不是不用管？
不一定。不满 10 万人非敏感个人信息可免于安全评估、标准合同/认证三种机制，但仍要履行告知、同意、个人信息保护影响评估等义务；敏感信息、重要数据或特殊场景另有要求。
标准合同和安全评估怎么选？
按数据类别和年度累计量判断：重要数据/CIIO、100 万人以上非敏感或 1 万人以上敏感通常走评估；10 万–100 万人非敏感或 1 万人以下敏感可走标准合同/认证。具体以现行规定和属地网信意见为准。
用海外 SaaS/云客服要注意什么？
看数据中心、子处理者、远程访问、备份、日志和删除；合同要有跨境机制、DPA、泄露通知和终止处理。不要只看“有中文界面”或“销售说数据在本地”。
GDPR 和中国规定要同时满足吗？
如果涉及欧盟数据主体，通常两边都要看：中国出境路径 + GDPR 的合法性、告知、转移机制/TIA/DPA。两者不是二选一，具体适用按法律意见。
评估有效期多久？变了怎么办？
通过数据出境安全评估的结果有效期通常为 3 年；有效期届满前可按规定申请延长。数据、接收方、目的或路径发生重大变化时，要重新评估/更新记录，不能沿用旧结果。
一句话总结
制造业出海的数据跨境，先画清官网、CRM、AI 客服和供应商的数据流，再按个人信息/重要数据和累计量选评估、标准合同/认证或豁免；中国路径与 GDPR 同时看，合同、记录和真实配置要一致，不要把“提交/签约”写成“已合规”。
研究方法与局限
本文为公开法规、官方页面与编辑方法整理，不是对任何企业、系统、合同或数据流的法律意见、合规审计或备案/评估承诺。文中没有使用未公开客户数据、合同或系统截图；阈值、路径和 90 天计划是编辑整理，具体适用按现行法规、属地网信部门、合同和专业意见确认。法规和平台规则会变化，以现行原文为准。
数据来源与口径
资料截止 2026-10-29；以下为公开官方页面，具体适用范围、版本和条款以原文为准。
- 《促进和规范数据跨境流动规定》（2024-03-22）：国家网信办。数据出境路径、累计量阈值、豁免和自贸区负面清单参考；具体适用按现行原文和属地网信部门确认。
- 《个人信息出境标准合同办法》（2023-02-22）：国家网信办。标准合同适用、订立/备案和履行参考；本文不提供合同模板或法律意见。
- 《数据出境安全评估办法》（2022-07-07）：国家网信办。安全评估适用、材料和流程参考；具体按现行规定和受理要求确认。
- European Commission, Data protection：commission.europa.eu。GDPR 和欧盟数据保护框架参考；不是对具体数据流的合规结论。
- European Commission, Standard Contractual Clauses (SCC)：commission.europa.eu。欧盟跨境转移工具参考；具体适用按法律意见和合同确认。