数据跨境
数据跨境不是先选“评估、合同还是认证”，而是先识别有没有数据出境，以及当前场景是否命中豁免或特定管理路径。
判断路径
是否存在数据出境
↓
识别数据类型、主体、数量和场景
↓
先判断现行豁免/特殊规则
↓
仍需管理时判断适用路径
├─ 数据出境安全评估
├─ 个人信息出境标准合同
└─ 个人信息出境认证
↓
持续满足个人信息保护、数据安全和合同/评估要求
《促进和规范数据跨境流动规定》调整了部分门槛和豁免条件，不能只按早期规则判断。
核心规则
企业验收
至少能回答：哪些数据从哪里到哪里、谁访问、数据量和敏感性、采用什么路径、为什么适用、审批/备案/合同/认证证据在哪里，以及业务和数据量变化后由什么机制触发重新判断。
海外当地监管另见海外业务安全合规。
变更触发
跨境路径不是一次判断永久有效。以下变化至少应触发重新评估：数据类型或敏感性变化、数量显著变化、境外接收方变化、处理目的变化、访问方式变化、系统部署地域变化，以及适用规则或业务主体变化。
因此跨境台账应同时记录“为什么当前路径适用”和“什么变化需要重新判断”，而不只保存一次性的合同或评估材料。