适用场景
面向为中国境内企业提供SaaS服务，或自身有数据出境需求的SaaS企业，以及使用SaaS服务并涉及数据出境的中国出海企业。在产品设计、服务交付及面临监管评估阶段均需关注。
核心要点
1. 明确SaaS企业的数据法身份
SaaS企业在不同业务模式下，如云部署、本地化部署或提供数据产品，其数据法身份（数据处理受托方、网络产品服务提供者或数据处理者）各异。这直接影响其在《数据出境安全评估办法》下的合规角色和义务。
2. 数据出境评估申报主体与协助义务
多数情况下，SaaS企业并非数据出境安全评估的直接申报主体，但作为数据处理受托方或境外接收方，有义务协助或配合客户及网信部门完成评估工作。若SaaS企业自身作为数据处理者向境外提供数据产品或员工数据，则需自行申报。
3. 数据出境场景与合规责任
SaaS企业涉及的数据出境场景多样，例如境内SaaS为跨国公司提供服务、境外主体访问境内SaaS数据、境内主体使用境外SaaS软件，以及SaaS企业自身向境外提供数据产品。不同场景下，SaaS企业需履行的合规义务和配合工作各有侧重。
4. 将合规融入产品与服务全生命周期
SaaS企业应在售前产品设计、数据传输、以及配合监管调查等各个阶段，预先规划并实施相应的合规措施和产品功能。这不仅能帮助客户顺利完成数据出境合规，也能提升自身SaaS服务的市场竞争力。
实务建议
- 在售前阶段，根据客户是否有数据出境需求，提供定制化的部署方案，并针对无出境需求的客户设置访问限制或脱敏功能。
- 准备数据出境常见问题解答（FAQ），并对客户进行基本尽职调查，了解其行业及可能涉及的重要数据或敏感个人信息类型。
- 为有数据出境需求的客户匹配或推荐具备出境数量记录、监测及安全保障措施等功能的服务，并提前制定配合客户进行安全评估的方案。
- 在数据出境传输阶段，区分境内外用户并设置境外IP访问权限，对敏感操作（如数据出境、开放境外访问）提供明确提示和警示。
- 确保所有数据出境活动均基于客户的明确指示和授权范围，并妥善保留与客户关于数据出境的沟通记录及必要的数据处理记录。
- 在客户配合监管调查时，SaaS企业应根据调查要求，提供产品合规性、数据出境合法性的证明材料，以及保护出境数据的技术和管理措施说明。
风险提示
- SaaS企业可能错误地认为只要不是数据出境的直接申报主体，就无需承担任何合规义务，从而忽视其作为受托方的协助责任。
- 未能提前在产品设计和服务流程中融入数据出境合规功能，可能导致客户在申报评估时遇到障碍，影响SaaS服务的市场竞争力。
- 在未获得客户明确授权或超出授权范围的情况下进行数据出境处理，将面临严重的法律和合规风险。
- 缺乏对数据出境活动（如境外访问、数据传输）的有效记录和监控，导致在监管审查时无法提供充分的证明材料。