欧盟
先区分个人数据保护与金融ICT风险，再核对经营国和具体牌照要求。两套规则可能约束同一业务，但对象、报告条件和时钟不同。
按当前问题阅读
| 业务问题 | 阅读 | 先取得的事实 |
|---|---|---|
| 欧盟设立机构，或面向欧盟境内个人提供服务和监测行为 | GDPR | 处理活动、地域和控制者或处理者角色 |
| 作为支付或其他金融实体运营 | DORA | 第2条主体类型、排除或简化条件及主管机构 |
| ICT供应商向金融客户提供服务 | DORA | 合同义务、关键依赖及是否属于特定监督对象 |
| 数据跨境 | GDPR与中国数据跨境 | 数据来源、输出方、接收方、国家和处理目的 |
GDPR和DORA的正式文本、条款和实施边界见对应页。成员国补充规则、支付牌照及其他产品要求不在这两篇中全部展开，应按实际业务继续核对。
同一事故如何分开处理
支付服务中断伴随个人数据泄露时，先用同一事实时间线分别判断DORA的重大ICT事件和GDPR的数据泄露通知。记录获知、分类、提交及后续变化；不能把DORA首报的计算方法直接套给GDPR，或报给一个机关后关闭所有任务。
上线验收保留什么
建议保存法律实体和牌照、处理活动、数据流、关键业务依赖、供应商合同、DPIA等适用材料、测试及整改、事件报告矩阵。使用实际业务实例复核材料和系统一致性，跨境支持、共享身份和关键分包商尤其需要进入范围。