定义
GDPR（General Data Protection Regulation，欧盟通用数据保护条例）是欧盟于 2018 年 5 月生效的数据保护法规，适用于处理欧盟居民个人数据的任何组织。GDPR 要求平台具备 Data Localization、Data Residency、DPA、SCC、Audit Trail 等合规能力，违规可面临高额罚款（最高全球营收 4% 或 2000 万欧元）。
核心原则
GDPR 的核心原则包括：合法、公平、透明——数据处理需有合法依据，向数据主体透明告知；目的限制——数据仅用于明确、合法的目的；数据最小化——仅收集必要数据；准确性——保持数据准确并及时更新；存储限制——超期删除或匿名化；安全——采取适当技术组织措施保护数据；问责——数据控制者需证明合规。
对 ICMP 的要求
ICMP 作为数据处理者，需与客户（数据控制者）签订 DPA；跨境传输至非 adequacy 国家需使用 SCC；支持 Data Residency 将欧盟数据存储于 EU 区域；提供 Audit Trail 证明处理活动合规；支持数据主体权利（访问、更正、删除、可携带、反对等）；数据泄露 72 小时内通知监管机构。平台需在架构、流程、文档各环节落实 GDPR 要求。
在 ICMP 中的实践
达希物联 ICMP 满足 GDPR 合规要求：提供标准 DPA 与 SCC；支持 Data Residency 欧盟区域部署；Audit Trail 记录数据处理活动；支持数据主体权利请求的处理流程；定期进行合规审计与风险评估。
条例约束的处理活动与角色划分
条例约束的是对欧盟境内个人数据的处理，不限于服务器放在哪里。国际连接业务里，能够关联到个人的账户联系人、卡与设备标识、用量记录、位置和诊断导出，都可能落入个人数据。关键是角色：决定为何收集、保存多久的一方是控制者，通常是使用连接服务的企业；按对方指令处理这些数据的平台是处理者。平台不能因为接触了数据就自行决定拿去训练模型或向第三方推广。
合法依据由控制者确定并告知数据主体。处理者的义务是只在指令范围内处理、帮助控制者响应个人权利、在约定条件下通知安全事件，并保证再委托的对象受约束。位置数据尤其敏感，因为它能把卡和具体的人联系起来。只说“我们处理的是卡不是人”，在卡已经绑定到使用人时并不成立。
处理者必须具备的配合条件
作为处理者，平台要在处理开始前有书面的数据处理协议，跨境到没有充分性认定的目的地时还要有标准合同条款或控制者提供的其他机制。技术上要能按客户把数据放在约定区域，能导出某一个人或其名下卡所涉及的字段，也能在保留期结束后删除或去标识。访问要能审计。这些是配合条件，不是用一份隐私声明代替的。
安全事件的通知时钟从平台发现时起算，所以日志和告警要能判断是否涉及个人数据、影响哪些控制者。做不到分类，就会要么漏通知，要么把无关故障都报出去。子处理者变更要能通知客户。备份里的个人数据要纳入删除范围，否则主库删除了，恢复时又回来。权利请求的入口在控制者，平台提供检索和执行能力，不直接替控制者决定拒绝对方的请求。
存放在欧盟区域不等于权利请求已完成
把数据库放在欧盟，只解决了存放位置的一部分问题。数据主体要求访问、更正或删除时，系统仍要找到所有副本：主库、备份、日志、导出文件和客服工单。只删主库，请求没有完成。更正请求若只改联系人姓名、不改已经生成且作为账务凭证保留的账单，需要区分哪些字段可以改、哪些按法律义务保留，并记录保留理由。
另一类误区是用区域合规代替目的限制。数据在欧盟，仍不能超出控制者指令去使用。把详单同步给未列入协议的分析服务，即使服务也在欧盟，依然超出处理范围。删除请求与未结账单冲突时，应保留法律要求的最小账务记录，去掉不再需要的位置和联系方式，而不是整单永久保存或整单立即物理清除。响应客户时要说明做了哪些系统、哪些因义务保留。不能用“数据已在欧盟”作为请求已关闭的理由。处理记录本身也应能证明当时的角色、目的和区域。
权利请求的检索范围要事先列成清单：主库、备份、日志、导出文件、工单和消息回执。每处理一次请求，按清单勾选实际查找了哪里、删除了什么、因账务义务保留了什么。保留项只留最小字段，例如账单所需的金额和期间，去掉精确位置和联系方式。请求人身份由控制者核验，平台不凭一封转发邮件就删除生产数据。跨租户的卡不能因为标识相似被一起删除。完成后把结果交还控制者，由对方回复数据主体，平台不直接承诺对方没有其他系统仍持有副本。