场景
园区一家做跨境电商的苏州公司，销售团队图省事，直接用一款美国公司运营的CRM系统管理客户名单——里面有名、电话、收货地址，还有聊天记录里客户随口说的“我孩子对花生过敏”。老板觉得，工具是正规付费订阅的，注册时点过“同意服务条款”，应该没什么问题。
直到有一位客户投诉到市场监管部门，说自己从没同意信息被传到国外。老板这才发现：那份全英文的《Terms of Service》里，只写了“我们可能将数据传输至您所在国家以外”，既没有双方的数据处理约定，也没提安全措施和删除义务。公司连一份单独签的协议都拿不出来。
问题就来了：用境外SaaS处理客户数据，光点“同意”够不够？要签什么协议？
法律规定
先说结论：点“同意”不等于签了合规的协议。
《民法典》第一千零三十五条讲得很清楚，处理个人信息要遵循合法、正当、必要原则，而且要征得该自然人或其监护人的同意——这里的“同意”指的是信息主体本人的同意，跟你和SaaS厂商之间的合同是两码事，不能互相替代。
再看《个人信息保护法》。第二十一条规定，个人信息处理者委托处理个人信息的，应当与受托人约定委托处理的目的、期限、处理方式、个人信息的种类、保护措施以及双方的权利义务等。这条针对的是“委托处理”，SaaS厂商帮你存数据、跑分析，性质上基本落在这一档。
关键在第三十八条：向境外提供个人信息，要满足下列条件之一——通过国家网信部门组织的安全评估、经专业机构进行个人信息保护认证、按标准合同与境外接收方订立合同，或者法律、行政法规规定的其他条件。也就是说，数据一旦出境，“签协议”不是可选项，而是法定的合规路径之一。
配套的《个人信息出境标准合同办法》规定，通过订立标准合同方式出境的，应当与境外接收方订立国家网信部门制定的标准合同，并在生效之日起10个工作日内向省级网信部门备案。标准合同不是随便改的，条款是固定的。
另外，用户是普通消费者的话，《消费者权益保护法》第二十九条也要求经营者收集、使用消费者个人信息应当明示目的、方式和范围，并征得同意。
法院实务怎么判
苏州法院处理这类纠纷，通常不是直接判“协议无效”，而是围绕几个点看：
第一，看有没有“告知—同意”的完整链条。个人信息权益纠纷中，法院一般会审查企业有没有以显著方式、清晰易懂的语言告知处理目的、方式、种类、保存期限，以及向境外提供的情况。藏在几十页英文条款里的概括授权，往往难以被认定为充分告知。
第二，看企业与境外服务商之间有没有实质性的数据处理约定。如果只有一份厂商单方拟定的服务条款，且其中对数据用途、安全保障、删除返还、再委托等事项语焉不详，法院在认定企业是否尽到合规义务时，通常不会给出有利评价。
第三，看损害后果与因果关系。个人信息侵权案件中，原告要证明损害往往比较困难，法院对精神损害赔偿的把控一般偏审慎，但如果存在信息被用于营销骚扰、被泄露导致诈骗等具体情形，支持的可能性会明显上升。
还有一点需要注意，苏州法院在审理涉外服务合同纠纷时，如果合同约定了境外法律适用和境外仲裁条款，可能会影响本地诉讼的推进，这也是很多企业事后维权的现实障碍。
边界与例外
不是所有用境外SaaS的情况都要走标准合同。以下几种情形结论会变：
一是数量豁免。《个人信息保护法》第三十八条规定的是向境外提供；而按照《个人信息出境标准合同办法》第四条，符合一定条件的可以豁免，比如非关键信息基础设施运营者，自当年1月1日起累计向境外提供不满10万人个人信息（不含敏感个人信息）的，可以不申报安全评估、不订立标准合同、不进行认证。但注意，敏感个人信息单独计算，不在豁免之列，场景里提到的“孩子过敏”这种健康信息就可能落入敏感个人信息范畴。
二是“境内存储、境内处理”。如果只是采购境外软件，但数据实际存放在境内节点、由境内主体运维，没有发生真正的出境传输，那处理规则不同，重点转向委托处理协议。
三是重要数据。如果企业属于关键信息基础设施运营者，或者处理的数据被认定为重要数据，那就不是签不签合同的问题，而是必须申报安全评估。
四是员工数据。若SaaS里存的是员工信息而非客户信息，虽然同样受《个人信息保护法》约束，但在必要性判断和同意方式上（比如人力资源管理所必需）会有所不同。
普通人能怎么做
第一，先做数据盘点。把SaaS里实际存了哪些字段列出来，标出手机号、身份证号、健康信息、行踪轨迹等敏感项，敏感信息越多，合规要求越高。
第二，向厂商索要两份文件：一份是数据处理协议（DPA），一份是数据出境的具体说明（存储地、再委托方、安全措施）。正规厂商一般都有标准DPA，可以在此基础上补充。
第三，涉及出境的，按《个人信息出境标准合同办法》订立标准合同，并在生效后10个工作日内向江苏省网信部门备案；达到安全评估门槛的，走评估程序。
第四，把告知做在明处。在隐私政策里单独一节写明“向境外提供个人信息”的情况，包括接收方名称、联系方式、处理目的、种类、行权方式，别塞进附件。
第五，保留证据。协议文本、同意记录、备案回执、厂商安全承诺函，都归档保存。真出了争议，这些是证明自己尽到义务的关键材料。
律师温馨提示
董坤律师在苏州执业期间，代理过涉及服务合同、数据处理约定不清引发的民商事纠纷，也参与过企业个人信息合规的文本审查。这类事情的难点往往不在法条本身，而在于企业不知道自己到底处理了哪些数据、数据流到了哪里。先把这两件事弄清楚，再谈签什么协议，路会顺很多。
董坤律师主要代理民商事案件，尤其擅长数据处理相关合同纠纷、个人信息权益争议以及企业合规文本审查等本篇主题相关的法律事务。