规则出处与规范指向

本条（《中华人民共和国个人信息保护法》第三十八条，个人信息出境的条件与路径选择）：《个人信息保护法》第三十八条规定：个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备下列条件之一：通过国家网信部门组织的安全评估；按照国家网信部门的规定经专业机构进行个人信息保护认证；按照国家网信部门制定的标准合同与境外接收方订立合同，约定双方的权利和义务；法律、行政法规或者国家网信部门规定的其他条件。

一、两份文本各有分工

出境事项通常需要两类文本：一是与境外接收方之间的合同，用以固定双方权利义务；二是面向用户的告知文本，用以说明出境事实与接收方情况。两者关注的对象不同，但内容必须一致。

二、合同中的关键约定

合同应当明确：双方的角色与责任划分；出境的目的、方式与个人信息种类；境外接收方的处理范围与限制；安全保护措施与事件通知义务；再向第三方提供或再次转移的条件；合同终止后的数据处理与删除安排；以及配合境内处理者履行告知义务的承诺。

采用标准合同路径的，应当依照规定文本订立，不擅自删减核心条款。确有业务需要的补充约定，应当在不减损个人权利的前提下作出。

三、告知文本的写法

面向用户的告知应当说明：个人信息将出境至哪些国家或地区、接收方的名称与联系方式、处理目的与方式、涉及的信息种类，以及个人行使权利的方式与途径。表述应当具体，避免使用「可能传输至境外关联公司」这类无法核对的笼统写法。

四、文本之间的对齐

起草完成后，应当把合同、告知文本与内部的实际数据流动作一次核对，确认三者指向的接收方、字段与目的彼此对应。文件之间口径不一，在检查中最容易暴露问题。