解读GDPR | 你应该知道的那些事儿

欧盟的“通用数据保护条例”（GDPR，General Data Protection Regulation）于2018年5月25日生效，而好多企业对GDPR并不十分了解。就目前看来，行业对于这项条例的观念仍有不当之处。尽管企业为GDPR的作了大量准备工做，才能合规，可是许多人还在拖拖拉拉。

数十年来，欧洲一直是隐私和数据保护问题的先行者。随着通用数据保护条例（GDPR）全面隐私法的生效，欧盟（EU）又开创了新局面。若是你的企业有收集，存储或使用有关欧洲居民的我的信息，那么GDPR可能会对你的业务流程产生深远影响。

1、什么是GDPR？

通过四年多的协商，2016年4月欧洲议会和欧洲理事会经过GDPR。这项条例赋予欧盟公民更多的我的数据控制权，另外对那些收集、处理和存储我的数据的公司提出更高的责任要求，特别是数据泄露。

从2016年5月开始，除非有明确的法律依据，不然企业将再也不被容许收集或处理一个欧洲公民的消费者数据，例如得到公民自愿给予和“明确的”赞成。 若是没有提供适当通知或管理办法，公司也将被禁止使用之前收集的数据。

GDPR取代了1995年数据保护指令的条例，将使28个欧盟及欧洲经济共同体成员国的隐私保护法，更具备一致性和现代性。根据1995年指令，每一个成员国都制定了本身的数据保护规则，这致使了在欧盟开展业务的公司监管环境和合规不一致的难题。

GDPR的大部份内容实际上并不新鲜，由于包含了“数据保护指令”中既存的理念。 但GDPR确实引入了一些新的概念，包括针对不合规对象的巨额罚款和加强的数据主体权利。这对任何在欧盟开展业务的公司或任何在其数据库中存有欧盟公民我的数据的公司都具备约束力。

一、如下是相关的GDPR的术语，能够帮咱们更好的理解文章中的概念：

数据主题：能够经过姓名，位置数据，在线标识符（如用户名）或其身份，遗传或其余身份等信息直接或间接识别的“天然人”。例：Marie Dubois

我的数据：任何与识别或可识别数据主题有关的信息。例：女性。 年龄48. Ph＃：33 1 7210 940.地址：99 Place de l'Étoile，75008 Paris，France。 喜欢帽子。 天天在线阅读。

敏感我的数据：有关种族或族裔出身，政治观点，宗教或哲学信仰，工会会员资格，有关健康，性生活和性取向的信息以及遗传或生物识别数据的我的数据。例：恩马尔凯成员！ 派对。天主教徒。 去年打破了腿。 指纹和视网膜扫描的副本。

处理：任何对我的数据或与我的数据有关的事情。例：收集，存储，传输，共享，修改，使用或删除我的数据。

数据控制方：肯定我的数据处理目的和手段的实体。例：Grande Banque du Nord是一家向玛丽提供抵押贷款以购买房屋的金融机构。 当玛丽首次在大银行的网站上注册以得到更多关于抵押贷款的信息时，大银行成为玛丽提供的我的数据的控制者。

数据处理方：根据数据控制方的指令处理我的数据的实体。例：Grande Banque将她的数据上传到Sales Cloud对象上时，Salesforce成为Marie我的数据的处理方。

假名数据：不能与特定数据主体绑定的我的数据，没有单独存储的附加信息，采用技术措施确保数据不与该附加信息相结合。例：当Marie访问Community Cloud上托管的Grande Banque网站社区以了解有关抵押贷款流程的更多信息时，系统会以散列形式记录她的IP地址并将其连接到Marie查看的页面。 散列IP地址被视为假名数据，由于尽管散列IP地址自己并不能识别Marie，但仍能够将其与其余与Marie相关的信息关联起来。

匿名数据：没法链接到已识别或可识别的人员的数据。例：Grande Banque网站要求人们留下评论。 该系统不收集来自评论者的任何信息 - 甚至不包括IP地址。 评论自己能够被认为是匿名的。

公正和透明：企业必须始终合法，公正，透明地处理我的数据。例：当Grande Banque du Nord要求Marie Dubois在其网站上注册为客时，Grande Banque必须明确通知Marie，该银行及其网站在收集她的哪些具体信息以及该银行将来如何使用该信息。 例如，若是Grande Banque追踪Marie的网站使用状况，Grande Banque必须在隐私声明中描述它们会追踪Marie的网站使用状况。

目的限制：企业能够收集我的数据仅用于指定的，明确的和合法的目的。 他们不能以与这些目的不相符的方式对人数据进一步处理。例：当Grande Banque要求Marie 注册为客户时，银行必须通知她将会如何处理她的我的数据。 Grande Banque必须仅将Marie的我的数据用于该通知中描述的目的。 例如，若是隐私声明没有声明Grande Banque与搬家公司共享我的数据，则Grande Banque不得将其信息卖给给寻找新客户的住宅搬家公司。

数据最小化：组织只收集足够的，相关的我的数据，而且仅限于预约目的所需的我的数据。例：当Marie在Grande Banque移动应用上下载并设置帐户时，Grande Banque只能收集与Marie服务相关的信息。 该应用不得记录她的确切位置，访问手机上的联系人，或收集手机上其余应用的信息。 Grande Banque不得要求Marie提供与抵押贷款流程无关的信息，例如她的宗教信仰或种族信息。

准确性：我的数据必须准确，并在必要时保持最新。例：当Marie填写格兰特银行的详细表格以准备购买新的房子时，她提供了她目前的薪水。 然而，当她在工做中得到晋升和加薪时，她会与Grande Banque联系。 Grande Banque必须更新其记录以反映她最新的薪水。

数据删除：我的资料只有在须要实现收集的最初目的时才能保留。例：Marie发现另外一家银行PetitCréditdu Sud提供了低得多的利率。 Marie决定从Grande Banque转到PetitCrédit，她告诉Grande Banque她正在终止他们的关系。在没有合法理由保留的状况下， Grande Banque必须删除Marie的全部我的数据; 例如Marie收入，储蓄帐户和债务的信息。

安全：企业必须使用适当的技术和组织安全措施来保护我的数据免遭未经受权的处理和意外泄露，访问，丢失，破坏或更改。 根据具体的使用状况和处理的我的数据，建议使用数据隔离，加密，假名和匿名处理，并在某些状况下须要提供保护我的数据的帮助。例：做为抵押申请程序的其中一步，PetitCrédit要求Marie在其网站上填写一份表格，要求提供详细和敏感的我的信息。 PetitCrédit必须确保表单在安全的网页上，而且数据在传输过程当中进行了加密。 当PetitCrédit将这些数据存储在其Salesforce实例中时，它必须确保只有那些有合法需求访问数据的PetitCrédit员工才有权限访问该数据。

问责制：数据控制方负责整个策略的实施以确保企业控制的我的数据按照GDPR原则处理。这包括指定数据保护官员，数据处理者受到合同条款约束，并使用“隐私设计”和“默认隐私”原则。此外，数据控制方必须可以证实合规性，包括保存处理记录活动和进行隐私影响评估等。例：为了将Marie的我的数据放入PetitCrédit的Salesforce实例中，该银行必须确保其与Salesforce签署书面协议容许处理我的数据处理，例如数据处理附录。 PetitCrédit还必须记录银行如何以及为什么收集Marie的信息，收集哪些类型的信息，与谁共享数据，以及保护数据的安全性。

二、如下是组织可使用的三种方法将隐私原则运用到他们的文化中：

隐私设计：当企业规划新的处理活动或开发或实施新产品，服务或功能时，他们必须设计符合GDPR原则的活动和产品，以确保他们采起适当的保护措施以保护隐私。

默认隐私：这是企业在收集，处理或存储数据时必须始终使用最“私密性”默认设置的思路。 例如，当给予我的对他们的数据处理数量的选择时，默认设置应该始终是处理量最少的选择。 选择保留期限时，默认值必须尽量短。

数据保护的影响评估：分析新的处理活动以识别和解决隐私风险。

2、GDPR有什么新东西？

一、我的数据：之前的隐私制度将我的数据定义为姓名、照片、电子邮件地址、电话号码、实际地址或我的证件号码、银行账号或社保卡号。但GDPR扩大了定义，时期包括“已识别”（identified）和“可识别”(identifiable)的数据信息。这意味着我的数据指的是任何可用于识别我的的信息，包括位置数据、移动设备ID以及某些状况下的IP地址。（生物特征数据和遗传数据被认为是“敏感的我的数据”）

匿名数据是一种潜在的合规性信息，即通过散列、加密或以某种技术方法进行匿名处理的我的数据。 经过将其与附加数据相结合后从新定位识别的数据也被视为我的数据。以下类型的隐私数据将受到GDPR保护：

• 基本的身份信息，如姓名、地址和证件号码等；

• 网络数据，如位置、IP地址、Cookie数据和RFID标签等；

• 医疗保健和遗传数据；

• 生物识别数据，如指纹、虹膜等；

• 种族或民族数据；

• 政治观点；

• 性取向。

二、我的权利：GDPR授予数据主体关于控制方如何处理其数据的一些权利。 这些权利要求数据控制方制定适当的系统来回应并有效处理数据主体的要求。目前数据主体享有的我的权利有：

数据访问：数据主体有权向数据控制方确认企业是否正在处理他们的我的数据。若是是，控制方必须向数据主体提供有关此类处理的信息，包括处理的具体数据，处理目的以及与其共享此类数据的其余方。

对象权：在某些状况下，数据主体能够随时反对处理他们的我的数据，特别是若是处理是出于直接营销目的。

数据整改：若是数据不许确或不完整，数据主体可要求控制方更正或完善我的数据。

处理限制：数据主体能够要求控制方中止访问和修改其我的数据。例如，控制方能够标记或使用技术手段来确保这些数据不会被任何一方进一步处理。

数据可移植性：在某些状况下，数据主体有权要求控制方以结构化，经常使用和机器可读的格式（例如.csv文件）提供其我的数据，以便他们能够将本身的我的数据数据发送给其余公司。

删除权：也称为“被遗忘权”，该权利受权数据主体请求数据控制方在下列状况下删除或移除其我的数据：当数据再也不用于原始目的时，当数据主题撤回数据使用权时，或当数据主体反对处理方式时。

GDPR经过要求数据管理员采起合理步骤，确保参与数据共享的第三方删除，扩大了被删除的权利，也被称为被遗忘的权利。数据当事人也享有在多个平台数据不自动打通的权利，以及根据要求以电子形式免费得到经处理的我的数据副本的权利，包括这些数据被用于何处，以及使用数据的目的。

三、记录保存要求：数据管理员和任何外包商必须保存其数据处理活动的书面记录，包括他们处理数据的缘由以及他们计划保存数据的时间。 此信息必须根据要求提供给数据保护机构。

四、问责原则：虽然GDPR并无详细说明问责制，但数据控制者必须清楚地记录他们所采起的全部行动。GDPR称之为“经过设计和默认的数据保护”。若是监管机构要求提供合规证实，公司必须可以提供。

五、数据保护官员（DPO）：GDPR规定拥有250名或以上员工处理敏感数据或犯罪记录的组织必须指定数据保护官DPO。这根据他们是否处理敏感数据的状况而定，拥有少于250名员工的组织可能也须要指定DPO。那么，若是你的公司内已经存在了一个发挥相似做用的人员，可以确保PII安全是最好的。不然，你将须要从新聘请一名DPO。根据企业自身的状况，DPO能够不要求必定是全职，在这种状况下，企业就能够选择一名兼职DPO人员。加上GDPR新规容许一名DPO同时为多个企业工做，因此聘请一名兼职DPO人员将是一个很好的选择。

目前，根据GDPR如何普遍地解释“系统地监督或处理”仍然是一个悬而未决的问题。DPO旨在帮助企业遵照GDPR，直接向企业CXO汇报，同时保持彻底自主性。

六、更大的罚款：每一单GDPR违规行为将受到高达2000万欧元的严重处罚，或者上一年全球年营业额的4％，以较高者为准。

监管部门在设定罚款时能够考虑减轻因素，好比，尽快改正或是举报违规行为的企业能够受到稍微轻点的处罚。

不管如何，这些罚款意味着小公司巨大灾难，“这不是开玩笑的情。”Todd Ruback说。

“要么他们会倒闭，要么就会被吞并。” 他表示，“咱们将最终造成一个更清洁的生态系统，但也会减小竞争。Facebook和谷歌受到欧盟委员会严格的审查，除非有意外发生不然他们难以幸免”

3、违规通知

而对于企业来讲，其中最具挑战性的合规要求应该是，公司必须在发现违规事件的72小时内，向监管当局和受到违规事件影响的我的通报数据违规行为。执行影响评估的另外一个要求是，经过识别漏洞以及制定漏洞解决方案来帮助减轻漏洞致使的安全风险。

4、数据控制方与数据处理方

GDPR为数据控制方和数据处理方创建了不一样的规则。数据控制方决定为何以及如何处理我的数据，并被要求创建处理数据的法律依据。条例规定数据处理方“表明控制方处理我的数据”。处理方必须合法和负责任地进行处理，控制方必须确保处理方作着合规的工做。

虽然对控制方的规则更为严格，但控制方和处理方都处于GDPR之下。与之前的隐私制度不一样，数据处理方若是不遵照条例，可能要承担重大处罚。

5、合法理由

若是公司有法律依据，则能够处理数据。 例如，保险公司必须处理客户数据才能执行合同条款。 银行必须处理数据以遵照法律。但咱们应该知道两个法律基础：合法权益和许可。

一、合法权益

可以证实“合法利益”的公司在某些状况下能够在未经赞成的状况下合法处理我的数据：数据是合法收集的，有正当理由去使用数据以及数据处理的过程也是合规的。

要得到合法权益，数据控制方须要进行一个称为“平衡测试”。这个测试将数据控制方的利益与数据当事人的权利进行权衡，其中包括数据当事人对数据处理方式的合理指望是怎样的，以及控制方是否有正确的保障措施。

合法权益的例子包括预防犯罪、欺诈检测、网络安全，以及进行员工背景调查等。 “直效营销”在GDPR中也被认为特殊的对我的数据的合法使用，但也有必定的注意事项。

只要控制方确保用户能够有随时选择不参与（opt-out）的权利，那么个性化的沟通、汇总分析以建立趋势报告，受众测量在GDPR下均可行。

二、许可

许可一直是欧洲隐私法的基石，但GDPR大大提升了这个标准。

决定如何使用我的数据的数据控制方，必须获得他们计划使用数据的目的“明确的”许可。换句话说，若是一家企业不被许可作一件事，那它也不能使用这些数据来作其余事情。

许可必须是自愿以及明确的

选择退出模式（或者说，预选框的形式）不会消失。当网站在加载页面的同时，加载追踪cookie，务必通知访客，该网站会使用cookie。（一般是以弹出窗口的形式）。在用户赞成启用cookie以前须要有一个屏蔽页屏蔽该网页内容。

底线是消费者对行为必须是确定的和知晓的。英国、法国和德国的数据保护机构都赞成，消费者能够经过在网站上勾选一个框来表示赞成处理，可是只有在事先他们已经被用简单明了语言的通知告知了的状况下才能表示赞成处理。

不是每一个人都相信中间商能在GDPR下蓬勃发展。网站数据管理软件Tealium首席技术官兼创始人Mike Anderson说：“第三方生态系统不会在GDPR世界中占据一席之地。 GDPR是关于第一方关系的。”

6、当有问题时谁负责？

营销者和媒体方可能会对第三方犯下的错误负责，这意味着他们将更加挑剔与谁合做。GDPR所以促进了尽职调查和供应商管理的重要性。

许可不是GDPR合规的“万金油”。获得它后，“你必须确保供应链中没有人会滥用你所分享的数据以致于使你面临法律风险。”Johnny Ryan认为。

然而，对那些在问责制问题上充耳不闻的公司来讲，将来仍是有但愿的。

Forrester公司副总裁兼研究总监Melissa Parrish说：“事实是：若是出现问题，他们都会陷入困境。 没有任何方法能够推卸责任。”

7、与ePrivacy不一致

尽管GDPR成为头条新闻，但ePrivacy《电子隐私条例》，也就是Cookie指令，对于营销人员来讲可能更具影响力。GDPR涉及处理我的数据，ePrivacy涵盖与电子通讯相关的隐私。

若是您访问过欧洲的一个网站，看到一个弹出式横幅AD，警告您“访问本网站，您须要接受使用Cookie”，那么您已经体验过ePrivacy的措施。

欧洲监管机构正在更新ePrivacy，以使其与GDPR更加一致，并简化了cookie合规性，这已经转化为大量的许可请求。监管机构但愿在5月份以前完成ePrivacy并使之生效，以便正式推出GDPR。

可是，若是ePrivacy和GDPR都包含处理相同状况的法规，则以ePrivacy规则为准。目前正在审查的ePrivacy草案不包括处理合法利益的法律依据，所以2018年5月起，营销者可以处理数据的惟一法律依据可能就是许可。（在某些状况下，合同的履行可能会成为法律依据。）

通过修订的ePrivacy规定极有可能在5月份没法得到批准。毕竟GDPR用了四年的时间才能经过，而ePrivacy草案是从今年一月份以来才开始审核修订。

数据技术公司Acxiom全球首席隐私官Sheila Colclasure表示：“目前，ePrivacy与GDPR不一致，因此咱们有一个缺口。咱们须要确保Cookie法承认合法利益，而且不会破坏创新。可是，若是ePrivacy与GDPR没法同时生效，那针对ePrivacy的执行仍然存在一个灰色地带。”

不管哪一种方式，若是ePrivacy 条例不包括合法利益，“这对于AD技术公司来讲是个坏消息，”国际隐私专业协会研究和教育副总裁Omer Tene说。

Omer Tene说：“除非有合法利益修改，不然很难看出AD技术公司将如何遵照ePrivacy。 这对AD代理商来讲是很是重要的。”

特别是考虑到违规的可能性。 ePrivacy草案中规定的罚款与GDPR中的罚款密切相关：高达2000万欧元，即全球年营业额的4％。

8、GDPR的误解

对GDPR最大的误读就是，不在欧洲的公司没必要担忧GDPR。这不对。 GDPR对欧盟公民的我的资料拥有管辖权，不管在哪里（进行数据）处理。

Omer Tene说：“GDPR将在欧盟诞生，但它适用于世界上任何以欧洲受众为目标服务的公司，以有意义的方式收集我的数据或按期监控欧洲人的信息。与之前你必须在场才受到数据保护指令的政权相比，这是一个巨大的变化。”

不管如何，许多中小型AD技术公司和营销技术公司彷佛都采起观望GDPR的方法。而这不是一个明智之举，Evidon的 Todd Ruback说。

“他们没有积极主动地应对，这是一个糟糕的商业战略，特别是当媒体方和品牌主已经与他们的数字化供应商达成协议，并调整了他们与第三方之间的免责条款。”Todd Ruback说。

公司正在开始得到提示。根据国际隐私专业协会和安永会计师事务所10月份发布的联合年度治理报告，95％的受访者（75％位于欧盟之外）认为GDPR适用于他们，而美国的50％公司认为GDPR法规正在推进他们的隐私计划。

9、隐私盾

隐私盾（Privacy Shield）是取代避风港条款（Safe Harbor）的欧盟-美国数据传输协议。 它在十月中旬经过了第一次年度审查，这意味着欧洲官员认为它提供了适当的跨境数据保护。在2018年5月以前经过Privacy Shield进行自我认证是美国公司确保其拥有有效机制在欧盟和美国之间传输我的数据的一种方法。

一样，隐私保护只适用于国际数据传输，并不保证遵照GDPR的其余关键原则，包括得到许可，进行隐私影响评估和任命数据保护人员等。

10、清单

GDPR是一个庞大的立法文件，有99个密集的文章，要确保合规性并不容易。在处理最棘手的问题以前，最好先处理更简单的问题。

Todd Ruback表示：“监管机构须要的只是一台浏览器，一台笔记本电脑和一系列网站，以查看谁是透明的。你是否有消费者中心，并能够用简单的方式递交你的数据行为，以及让我的控制他们的我的数据？在监管机构开始深刻公司内部流程并查看是否实现信息可被遗忘的权利以前，这是他们最容易施行的所在。”

肯定您的公司是控制方仍是处理方。这将影响法规对你产生怎样的影响。

进行数据保护影响评估（DPIA）：对数据流程进行风险分析。第一步是绘制数据流导图，并清楚地了解你从哪里收集数据、与谁共享数据、数据泄漏的可能性以及您如何维护，保留和保护数据。 DPIA帮助企业弄清楚他们是否符合GDPR和/或他们还须要作多少工做才能知足。

看看你的合同：检查你的供应链合做伙伴，以肯定你与合做伙伴的协议是不是最新的，并包括与GDPR有关的条款。例如，若是出现违反或执法的状况，该怎么办。这能够是DPIA流程的一部分。

须要一个DPO（区间震荡线）吗？一家公司是否须要任命一名数据保护官员取决于其数据追踪的范围和规模。法律规定：“按期和系统的大规模监督”可是拥有DPO永远比没有DPO好。

文档：控制方必须证实，表现他们完成的数据处理符合GDPR的标准，包括（用户）许可选择，数据保存和管理的内部政策。若是一个数据保护监督机构敲门，你须要手头的书面证实。

11、准备GDPR合规

一、创建你的团队

企业须要创建一种隐私文化，而不只仅是将数据合规工做只交给一我的来管理。招聘并创建你的跨职能团队来执行GDPR政策和流程。 团队应该由技术，产品，营销，人力资源以及企业的其余团队成员的组成。

二、评估你的企业

一旦企业组建了跨职能团队，团队就能够分析企业现有的隐私和安全隐患，肯定重点关注的重点领域。 分析的一个重要环节是了解企业存储我的数据的位置。 许多企业有数十个存储我的数据的不一样数据库和系统。 我的数据能够来自员工，求职者，网站上的填写表格，或忠诚度计划，购买记录，填写退税或保修卡，参加活动或经过电子邮件，电话以及社交媒体与客户服务团队进行联系。

三、注意

存储我的数据的数据库和系统可能被公司内部许多不一样的部门使用。市场营销，销售，人力资源，财务，IT，采购，工资单，风险管理，健康与安全，审计和法律部门均可以运行这些系统，或当与不一样的供应商合做管理我的数据。

当企业识别出存储这些数据的位置时，团队能够创建一个数据清单，为每一个存储系统显示存储的数据类型，数据来源，用途，访问权限，如何得到保障，传输过给哪些第三方以及会保留多久。在完成这项工做时，团队还能够识别企业从哪些第三方接收我的数据，以及给哪些第三方传输我的数据。

经过分析，企业能够建立数据处理活动的登记册，并肯定哪些活动对数据隐私构成高风险。对于每项高风险活动，企业能够进行数据保护影响评估，以肯定他们须要采起的行动，以确保他们正确保护我的隐私权。

四、创建控制和流程

一旦企业对其数据有了更好的理解，该团队就能够建立必要的操做和技术变动的路线图。路线图能够确保组织有适当的控制和流程，例如：

隐私声明：必须在收集我的数据的任何地方提供隐私声明，包括经过使用网站Cookie和标签。

使用限制：可使用管理或技术控制来限制企业对其收集数据的目的使用数据。

安全：行政，物理和技术安全措施对于防止未经受权的访问，使用，修改，披露或删除我的数据是必要的。

数据主体权利：须要机制和程序来管理数据主体赞成偏好，并对投诉和访问请求，整改，限制，可移植性和删除进行响应。

供应商管理：组织必须与收集或接收我的数据的分支机构，供应商和其余第三方签定合同，其中包括标准合同条款或其余机制，以合法化欧盟境外的数据传输。

事件响应：必须建立流程来检测和响应安全漏洞，包括纠正漏洞并通知全部必要的参与方。

培训：必须提供员工和供应商培训，以提升有关隐私政策，流程和要求的意识，并报告关注事项和可疑数据活动。

评估：必须对每一个高风险数据处理活动进行数据保护影响评估。

五、文件合规性

一旦企业走上合规之路，团队能够专一于记录合规工做。企业能够编辑隐私声明和赞成书的副本，数据清单和数据处理活动的注册，书面政策和程序，培训材料，内部公司数据传输协议和供应商合同。若是须要，企业能够指定一名数据保护官员并肯定适当的欧盟监管机构。对于企业来讲，对隐私计划进行按期评估或审计以确保一切按计划运行也很是有必要的。

十二：Salesforce对GDPR合规计划关键要素的想法

怡海软件合做伙伴Salesforce致力于保护隐私。在Salesforce，信任是其第一价值，没有什么比客户取得成功和保护他们的数据更重要。 Salesforce是全球第一批经过欧洲数据保护机构批准的合规保护其客户数据的全球十大软件公司。 Salesforce也是全球首批认证符合欧盟 - 美国隐私保护框架和瑞士 - 美国隐私保护框架的公司之一。

Salesforce欢迎GDPR，这是在整个欧盟流程化数据保护要求方面迈出的重要一步。 在GDPR的开发和批准过程当中，Salesforce与欧洲立法者，欧盟数据保护机构和行业协会密切合做。Salesforce致力于遵照GDPR为客户提供服务。致力于确保Salesforce的客户在遵照GDPR的同时继续使用咱们的服务。 咱们知道，与现有法律要求相似，遵照GDPR要求Salesforce与咱们的客户创建伙伴关系。

Salesforce拥有强大的安全和隐私程序，符合行业最高标准。 它们使咱们可以遵照适用于Salesforce的各类数据保护法律和法规。 咱们的服务基于咱们用于保护客户我的数据的管理，技术和物理安全措施，赢得了众多安全相关认证。 对于咱们的一些服务，这些认证包括国际标准化组织（ISO）27001和27018标准，美国注册会计师协会（AICPA）系统和组织控制（SOC）报告，支付卡行业数据安全标准（PCI） ，德国莱茵TÜV认证云服务以及英国网络基础计划。 咱们的服务还得到了TRUSTe认证印章，代表隐私认证机构TRUSTe审查了咱们的隐私惯例，并证明了符合其认证标准。

此外，Salesforce为客户提供强大的数据处理附录，其中包含不多有软件公司能够匹配的强大隐私承诺。 本附录包含数据传输框架，确保客户能够依靠Salesforce具备约束力的公司规则，Salesforce的隐私保护证书或标准合同条款，容许我的数据合法地转移到欧盟之外的Salesforce系统中。

最后，Salesforce为咱们的每项主要服务发布信任与合规文档。 该文档描述了每种服务的体系结构，服务所得到的与安全性和隐私相关的审核和认证以及适用的管理，技术和物理控制。 该文件还介绍了咱们提供服务的基础设施环境和实体材料。

咱们来看一下Salesforce用来促进跨境数据传输的三种机制。（From：CRM日记本）

如需了解更多，欢迎访问怡海软件官网[http://www.frensworkz.com/]()