规则出处与规范指向

本条（《中华人民共和国个人信息保护法》第四十一条，境内存储义务与出境安全评估）：《个人信息保护法》第四十一条规定：个人信息处理者处理个人信息，应当依照法律、行政法规的规定，在中华人民共和国境内存储境内运营中收集和产生的个人信息；确需向境外提供的，应当通过国家网信部门组织的安全评估。此外，非经中华人民共和国主管机关批准，个人信息处理者不得向外国司法或者执法机构提供境内存储的个人信息。

一、文本要覆盖三类对象

涉及境内存储与境外调取的事项，通常需要在三类文本中体现：集团内部的治理规则、与境外接收方之间的合同，以及面向用户的告知文本。三类文本的关注点不同，但结论必须一致。

二、内部治理规则的内容

规则应当明确：各类数据的存储位置要求、境外访问的审批流程与权限范围、跨境传输的出口管控、以及收到境外调取要求时的报告路径与决策主体。规则的价值在于事前明确，而非事后解释。

三、合同中的相关约定

与境外接收方的合同中，应当约定接收方不得未经我方同意向第三方（包括所在国或地区的机构）提供数据，并约定其收到此类要求时应当及时通知我方。这一条与第四十一条第二层的要求直接相关，是控制风险的关键条款。

四、告知文本的写法

面向用户的说明应当清楚交代：个人信息在境内存储；确有出境需要的，说明出境的目的、接收方与所依据的路径；以及个人就此享有的权利与行使途径。表述应具体，不宜用「我们会按照法律法规要求处理」这类无信息量的句子。