定义
DPA（Data Processing Agreement，数据处理协议）是数据控制者（客户）与数据处理者（平台/服务商）之间订立的协议，约定数据处理的目的、范围、方式、安全措施、子处理者、审计权等。与 SCC 标准合同条款配合，满足 GDPR 第 28 条对数据处理者的要求，是跨境物联网平台合规运营的法律基础。
GDPR 要求
GDPR 第 28 条规定，数据控制者委托数据处理者处理个人数据时，必须签订书面协议，约定：处理目的与期限；数据类型与数据主体类别；数据处理者的义务与责任；安全措施；子处理者的管理；审计与合规配合；数据删除或返还。DPA 是客户与平台之间的必备法律文件，缺失将导致合规风险。
跨境传输
当数据处理涉及跨境传输（如欧盟数据传至非 adequacy 国家）时，DPA 需结合 SCC（Standard Contractual Clauses）标准合同条款。欧盟委员会发布的 SCC 模板为跨境传输提供合规框架，平台与客户签署 DPA 时可纳入 SCC 附录。DPA 与 SCC 共同构成跨境传输的法律依据。
在 ICMP 中的实践
达希物联 ICMP 提供标准 DPA 模板，涵盖 GDPR 要求的各项条款；支持 SCC 附录；约定 Data Residency、Audit Trail、安全措施、子处理者清单等。客户签署 DPA 后，平台数据处理活动具备合法依据，满足企业客户与监管的合规要求。
协议划定的处理目的和子处理者
数据处理协议把“平台可以碰哪些个人数据、为了什么、交给谁”写成双方的指令。控制者决定目的和手段，通常是购买连接服务的企业；处理者按指令处理，通常是提供平台的一方。目的要具体到连接管理里的动作，例如开通、计费、故障排查和安全审计，而不能只写“提供物联网服务”。数据类别应点明卡标识、设备标识、用量、位置和联系人里哪些会处理。
子处理者是处理者再委托的云设施、短信通道或支付机构。名单里要有名称和所在地，新增或替换前按协议通知控制者。协议没有列出的供应商，就不应当收到可识别个人的导出文件。安全措施写的是实际做得到的控制，例如访问权限、加密传输和日志，而不是空泛的“采取先进手段”。审计配合的范围也要写清，避免日后要求提供平台并不保存的材料。
签署之后平台才开展的处理活动
在适用欧盟规则、且平台作为处理者时，没有书面协议就不应开始处理客户的个人数据。这包括把生产详单导入、为客户开通带个人联系方式的账号、把位置用于诊断。内部测试应使用不能识别到真实个人的数据。协议生效日之前产生的处理，事后补签并不能自动变成当时已经获得的指令，需要单独说明如何处理已经收集的数据。
协议还限定保存多久、结束后删除还是返还。和通用数据保护条例的关系是：条例提出必须有这份书面安排，协议把安排写成可执行条款。跨境到没有充分性认定的地区时，协议本身不够，还要配合标准合同条款或控制者另行确定的合法机制。平台不能用一份只覆盖境内处理的协议，去支撑已经发生的出境分析。目的变更，例如把计费数据用于模型训练，需要新的指令，不能从旧协议里推断。
条款没有覆盖实际跨境路径
常见缺口是协议写数据留在某一区域，架构却把备份、日志或客服工具放在另一区域。条款描述的路径和数据包实际走过的路径不一致时，协议没有覆盖真实处理。第二种缺口是子处理者名单过期：对象存储已经换成另一家，协议仍写着原来的名字。第三种是数据类别漏了位置和设备标识，工程上却在诊断里导出这些字段，导出行为落在指令之外。
期限条款写“业务需要期间”，运营上就变成永久保留。结束后只停用账号、不删除备份，也超出返还或删除条款。签署主体错误同样致命：合同和集团公司签，实际处理发生在未列入的子公司。发现路径不一致时，应先停止新增的出境复制，再修改协议或把系统迁回条款描述的区域，而不是只在隐私声明里改一句话。处理记录要能对上协议版本号。没有版本号，无法知道某一次导出当时被哪一版指令允许。
协议版本要能对上每次处理实际使用的系统配置。新增短信服务商、更换对象存储或把诊断导出交给另一家支持台，都属于子处理者或路径变化，应先改协议再开通流量。紧急排障若必须让未列入的人员查看数据，应限定时间、字段和账号，并在结束后撤销，同时补记这次例外。不能因为一次紧急查看就长期打开共享目录。控制者发出的指令若和协议目的冲突，处理者应停下来确认，而不是为了赶工先处理再补文件。