从您的网站到获批的处理记录。
智能体读取您已有的资料，填写 GDPR 要求的内容，起草文档，并将每一份交给您批准。
- 01
调研
智能体阅读您的公开网站和您上传的文档，并列出所用的每一个页面。
- 02
预填差距分析
企业信息、隐私政策、代表和数据传输根据找到的信息自动填写。每个答案由您核对。
- 03
起草文档
处理活动记录逐节写成，从控制者信息到技术与组织措施。
- 04
由您批准
在您团队中的成员批准之前，任何文档都不算定稿。已批准的文档连同状态保存在资料库中。
GDPR 要求的文档。
每一份都从您自己的信息起草，只有经您批准才成为定稿。
记录与评估
- 处理活动记录（第 30 条）
- 数据保护影响评估（DPIA）
- 传输影响评估（TIA）
- 合法利益评估（LIA）
- 基本权利影响评估（FRIA，欧盟人工智能法案）
合同
- 数据处理协议（第 28 条）
- 共同控制者协议（第 26 条）
- 标准合同条款，全部四个模块
- 保密协议
- 企业职工委员会协议
告知与政策
- 隐私告知
- Cookie 政策
- 技术与组织措施（TOM）
- 数据保留政策
- 数据主体请求处理流程
- 同意书
数据泄露
- 向监管机构的通报
- 对受影响人员的通知
- 数据泄露登记册
- 数据泄露应对计划
智能体的工作基础。
每份草稿都基于同样的基础，也都要等您团队中的成员批准。
法律研究
判例与监管机构的决定。
您企业的档案
根据您的网站和您上传的文档不断充实。
问卷检查清单
以问题形式呈现的差距分析，并为特定行业提供专属问题包。
中英文模板
草稿遵循 Marsstein 自有的中英文模板库。
适合各种规模的企业。
同一套智能体，服务创始团队、配有数据保护官的中型企业、拥有多个法律实体的集团，以及为客户处理 GDPR 合规的咨询公司。
在第一笔企业订单前做好 GDPR 准备。
预算有限，合规也能做到位。为节奏快的创始团队打造。
完整的合规文档，不必养合规团队。
您在打造产品，不是在组建合规部门。大型企业向顾问采购的合规文档，Marsstein 的智能体根据您自身的业务情况生成，价格适合早期团队。团队成长，Marsstein 随之扩展。
在尽职调查之前备好文档。
预约咨询
- 01GDPR 门槛高
GDPR 条款众多、要求繁杂。专注于产品市场匹配的创始团队，很难搞清楚从哪里入手。中国初创企业出海欧洲，还需理解 PIPL 与 GDPR 的差异。
- 02投资人尽职调查
欧洲风投机构越来越多地在尽职调查中要求提供 GDPR 合规文档。缺少这些文档，可能延误甚至影响融资。
- 03没有法务预算
隐私律师按小时收费，一个 GDPR 项目的费用可能超出初创企业全年的法务预算。
01初创企业什么时候应该开始考虑 GDPR？
02投资人真的会检查 GDPR 合规吗？
03种子轮前的初创企业至少需要哪些 GDPR 文档？
04独立创始人可以使用 Marsstein 吗？
让团队摆脱 GDPR 文书工作。
您的数据保护官和团队始终掌握决定权。Marsstein 智能体承担文档工作，价格适合中小企业。
数据保护官做决定，智能体打好基础。
合规项目往往以一本政策手册收尾，而法规一变，手册就过时了。Marsstein 与您的数据保护官（内部或外部）及团队协同工作。AI 智能体调研您的企业、起草文档，并把尚未解决的差距列入任务和风险清单，让数据保护官审阅决策，而不必从零开始。
给您的 DPO 一份初稿，而不是一张白纸。
预约咨询
- 01员工数据处理
在没有专职法务的情况下，履行人事记录、薪资和员工监控方面的 GDPR 义务。中国出海企业还需同时考虑 PIPL（《个人信息保护法》）的合规要求。
- 02供应商与 DPA 管理
在众多 SaaS 工具、云服务商和供应商之间跟踪数据处理协议（DPA），每一份都需符合 GDPR 第 28 条的要求。
- 03合规预算有限
外部 GDPR 审计和咨询项目费用高昂，大多数中小企业没有这笔预算。
01我的中小企业需要设立数据保护官（DPO）吗？
02使用 Marsstein 多久可以达到 GDPR 合规？
03如果我已经有一些合规文档怎么办？
04中小企业的合规通常需要多少费用？
为您的每个实体准备 GDPR 文档。
每个法律实体拥有独立隔离的工作区。智能体起草其处理记录、DPIA 和传输文件，由您的团队审阅并批准。
每个实体一个工作区，由一个团队决策。
当各子公司使用不同的咨询公司、各框架使用不同的工具时，企业合规很难统一。在 Marsstein 中，每个法律实体拥有独立隔离的工作区，您邀请的成员可在其间切换。智能体调研每个实体，预填其差距分析，并起草处理记录、DPIA、数据处理协议、标准合同条款和传输影响评估。在您的团队批准之前，任何文档都不算定稿。目前覆盖 GDPR，ISO 27001 与欧盟人工智能法案筹备中。
从一个实体开始，再逐步纳入其余实体。
预约咨询
- 01多实体治理
中国总部、欧洲子公司、合资企业和区域办事处各自面对不同的司法管辖区、处理活动和合规义务。PIPL 与 GDPR 的双重要求让治理更加复杂。
- 02跨境传输
每一项欧盟境外传输都需要标准合同条款和传输影响评估，按实体、按接收方分别准备。
- 03AI 系统分类
欧盟人工智能法案要求企业清查所有 AI 系统并按风险等级分类。随着模型在各业务单元部署，这份清单会不断变化。
01Marsstein 如何处理多实体合规？
02在欧盟以外运营的实体怎么办？
所有客户的 GDPR 合规，集中一处管理。
每个客户一个隔离的工作区，您的团队只需一次登录。智能体起草 GDPR 文档，您的顾问审阅并决策。
业务增长，团队不必同步扩张。
合规咨询受制于计费工时。Marsstein 接手文档密集的工作：智能体调研每个客户，预填差距分析，并起草客户专属的处理记录、第 28 条数据处理协议和第 26 条共同控制者协议。每个客户的数据都保留在其自己的工作区中。您的顾问专注于咨询判断，智能体处理文书工作。
带一个客户项目来做首次沟通。
预约咨询
- 01多客户数据隔离
同时为多个客户推进合规项目，并确保各项目之间严格的数据隔离。
- 02处理者协议的复杂性
作为客户的数据处理者，您需要为每个项目签订符合 GDPR 第 28 条的协议，每份协议的范围、次级处理者和数据保留要求各不相同。
- 03共同控制者场景
咨询项目经常形成 GDPR 第 26 条下的共同控制者关系，需要明确划分数据处理活动的责任。
01Marsstein 如何支持多客户管理？
02智能体可以起草共同控制者协议吗？
03跨客户的次级处理者如何管理？
欧洲路测画面能否传回中国？一张流程图说清楚。
为在欧洲路测、在国内研发的车企和供应商准备：GDPR 跨境传输规则何时适用、有哪些要求、中国侧有哪些要求，每项依据均附链接。
一个问题决定路径。
- 04
中国侧的规定，两条路径都适用
不包含个人信息或重要数据、在国际贸易或跨国生产制造等活动中收集和产生的数据，免予数据出境申报（2024 年规定第三条）。境外采集、传入境内处理后再向境外提供的个人信息，处理过程中未引入境内个人信息或重要数据的，依据第四条免予申报。
如果仍是个人数据：四步完成标准合同条款。
- 01
先判断是否仍属个人数据
如果数据集经评估已经匿名，第五章不适用，也无需签订条款。上方的流程说明了判断过程。
- 02
选择模块
标准合同条款分为四个模块：控制者对控制者、控制者对处理者、处理者对处理者、处理者对控制者。适用哪一个，取决于在中国由谁决定数据的用途。
- 03
评估中国的法律与实践
依据第 14 条，双方须保证没有理由认为目的地国的法律与实践会妨碍条款的履行，并在评估时考虑传输的具体情况以及该国的法律与实践。
- 04
记录并持续关注
评估须形成书面记录，并应要求提交监管机构（第 14 条 (d) 款）；数据进口方如受到与之冲突的法律或实践约束，须通知数据出口方（第 14 条 (e) 款）。
跨境传输文档，按数据集保存。
对于每一项欧盟境外传输，智能体会根据您的情况起草标准合同条款（全部四个模块）和传输影响评估，由您的团队审阅并批准。
Marsstein Compliance 将匿名化评估、所选机制及相关文件与数据集一并记录。
Marsstein 不出具数据集已匿名的认证，也不替代法律意见；最终由您的法律顾问或数据保护官确认。
查看法律依据。
欧盟侧：是否构成匿名数据。
GDPR 只适用于个人数据。序言第 26 条将匿名信息排除在外，即考虑到所有可能被合理使用的识别手段后，已不再与已识别或可识别自然人相关的数据。
车载摄像头数据本身很少是匿名的。给人脸和车牌打码遮住了直接标识，但画面之外的数据集往往还包含 GPS 轨迹、精确时间戳、激光雷达点云和车辆标识。第 29 条工作组第 05/2014 号意见从三个风险检验匿名化：识别出单一个体、可关联性和可推断性。若未能满足其中任何一项，第 29 条工作组要求对识别风险进行全面评估。
欧洲数据保护委员会第 01/2020 号网联汽车指南建议尽量在本地处理数据；如需将数据传出车辆，应考虑在传输前进行匿名化。假名化数据对于能够重新识别的一方仍是个人数据。欧盟法院在 C-413/23 P 案（2025 年 9 月 4 日）中认定：对无法以合理手段重新识别个人的接收方而言，假名化数据可能不构成个人数据。
如果仍是个人数据：适用第五章。
向第三国传输个人数据由 GDPR 第五章（第 44 至 49 条）规范。中国不在欧盟委员会充分性认定的国家名单中，因此传输需要第 46 条规定的适当保障措施，实践中即第 (EU) 2021/914 号实施决定规定的标准合同条款。
仅签署条款还不够。依据第 14 条，双方须保证目的地国的法律与实践不妨碍条款的履行，对该评估形成书面记录，并应要求提交监管机构。
这些规则会被执行。2025 年 5 月 2 日，爱尔兰数据保护委员会对 TikTok 处以总计 5.3 亿欧元罚款，其中 4.85 亿欧元针对其向中国传输欧洲经济区用户数据违反 GDPR 第 46(1) 条。
中国侧：关键在于数据在哪里采集。
对于在中国境内采集的数据，《汽车数据安全管理若干规定（试行）》（2021 年 10 月 1 日起施行）将包含人脸信息、车牌信息等的车外视频、图像数据列为重要数据。重要数据应当在境内存储，确需向境外提供的，应当通过数据出境安全评估。
对于在欧洲采集的数据，适用 2024 年《促进和规范数据跨境流动规定》。第四条规定，数据处理者在境外收集和产生的个人信息传输至境内处理后向境外提供，处理过程中没有引入境内个人信息或者重要数据的，免予申报数据出境安全评估、订立个人信息出境标准合同、通过个人信息保护认证。第三条对国际贸易、跨国生产制造等活动中收集和产生、不包含个人信息或重要数据的数据给予同样豁免。
因此，在欧盟境内先完成匿名化，对两侧都有帮助：数据可能不再适用 GDPR；若数据集通过匿名性评估，回传与处理过程中也不再携带个人信息。
原始法规与文件
请查阅原文；本页仅为摘要，不构成法律意见。
GDPR 序言第 26 条
匿名数据不适用 GDPR。
GDPR 第五章（第 44-49 条）
向第三国传输个人数据的规则。
第 29 条工作组第 05/2014 号意见
以可识别单一个体、可关联性和可推断性检验匿名化。
欧洲数据保护委员会（EDPB）第 01/2020 号网联汽车指南
尽量在本地处理；数据传出车辆前考虑匿名化。
欧盟法院 C-413/23 P 案，EDPS 诉 SRB（2025 年 9 月 4 日）
从接收方角度判断假名化数据。
欧盟委员会充分性认定清单
获得欧盟充分性认定的国家，中国不在其中。
爱尔兰数据保护委员会 TikTok 决定（2025 年 5 月 2 日）
因向中国传输数据违反 GDPR 第 46(1) 条被罚 4.85 亿欧元。
国家网信办等《汽车数据安全管理若干规定（试行）》（2021）
含人脸、车牌信息的车外视频、图像数据属于重要数据。
国家网信办《促进和规范数据跨境流动规定》（2024）
第三条、第四条：数据出境豁免情形。
欧盟委员会第 (EU) 2021/914 号实施决定
标准合同条款，包括关于目的地国法律与实践的第 14 条。