数据跨境传输

一项数据流是否触发义务，取决于分类——数据属于哪一类、涉及多大规模，以及这项数据流是否属于规则所针对的类型。它并不取决于主体是否为外资，也无法抽象地回答：它取决于主体自己的系统实际在做什么。

海南在一点上比国家层面走得更远。自贸港的数据出境清单列明了需要走正式路径的数据与场景，按已公布的内容，清单外的数据不适用国家规则另行要求的安全评估、标准合同备案或认证。这是一项真实的简化，而且只适用于已先行分类、并确认位于清单之外的数据流。该清单由地方管理并会修订；我们在每项委托中确认当前适用的规定。

多数缺口出现在供应商关系中——一款云工具、一个客服平台、一家服务器所在地无人梳理过的薪酬服务商。这份清单首先是运营层面的，然后才是法律层面的：每一个触及主体数据的系统和供应商，以及各自实际在哪里处理数据。

我们与主体的信息技术、人事和财务团队一起建立清单，确定每项数据流所需的路径，并协调出具法律意见、编制任何申报材料的中国律师事务所。提供法律意见的是律师事务所，而不是 HainanInc；我们把委托放在同一份日历上，并保持清单随时更新。