跨境传输往往跟随供应商

团队可能在本地运营，但托管、分析、支持、邮件或 AI 供应商会把个人数据带到其他司法辖区。供应商的子处理者和远程支持访问也可能构成传输。

因此传输清单应从真实供应商和数据流建立，而不是只看公司注册地址。

明确说明保障机制

如果依赖标准合同条款、充分性决定、约束性公司规则或特定例外，政策应使用清晰名称并说明如何获得更多信息。

只写“我们采取适当保障”通常不足以让用户理解实际机制。

充分性并非唯一途径

有充分性决定时，数据可在相关范围内传输；没有充分性时，SCC 等工具可能适用，并可能需要传输影响评估和补充措施。

不同供应商可能使用不同机制，因此统一一句话往往会掩盖真实差异。

传输文字应符合供应商现实

供应商的实体、数据中心、子处理者或合同会变化。公开政策、数据处理协议、供应商清单和实际配置必须定期核对。

如果产品可以选择数据区域，也要准确解释哪些元数据、支持访问或备份仍可能跨境。

让用户知道如何获取信息

政策应说明传输发生的背景、使用的保障类型，以及用户如何索取副本或更多资料。

清晰路径能支持透明度，也能减少销售、安全审查和个人请求中的重复工作。