企业客户发送安全问卷：亚美尼亚供应商核对清单

亚美尼亚不在欧盟委员会的充分性认定国家名单之列，而这一事实正是企业安全调查问卷要求贵公司提供大部分资料的主要依据。您的客户不能仅凭信任就将个人数据传输给位于非充分性认定国家的供应商。根据《通用数据保护条例》(GDPR)第五章的规定，贵公司需要建立数据传输机制，实际上需要采用欧盟委员会根据第46条第2款(c)项采纳的标准合同条款，并且需要提供文件证明与贵公司签署这些条款是合理的。

这份问卷就是那份文件。其中的每一项都对应着客户承担的一项义务，因此，任何闪烁其词的回答都会在采购部门内部阻碍交易，甚至在法务部门看到之前就会发生这种情况。

企业客户为何发送这些调查问卷

《通用数据保护条例》(GDPR) 第 28 条允许数据控制者仅聘用能够提供充分保证的适当技术和组织措施的数据处理者。数据控制者必须能够证明其已评估过这些保证，而填写完整的问卷及其所附证据即为该证明。审计人员会要求查看该问卷，监管机构有时也会要求查看。

位于欧洲经济区以外的供应商会添加第二个文件。客户必须记录数据传输过程，明确其第五章机制，并评估目的地国家的法律是否会削弱这些条款所承诺的保护。您的回答是进行此项评估的原始资料，因此，关于政府访问请求以及谁可以访问数据的问题与常规安全事项并列。

远程访问也算在内。根据欧洲数据保护委员会的三项测试标准，以及欧洲数据保护委员会第22/2024号意见，即使没有数据被复制且数据保留在客户的服务器上，将个人数据提供给第三国的实体也构成数据传输。例如，一位持有欧盟客户生产系统支持登录权限的亚美尼亚工程师，其行为与数据库导出具有相同的分析标准。

亚美尼亚供应商有何不同之处？

欧盟委员会的充分性名单涵盖安道尔、阿根廷、巴西、加拿大（针对商业组织）、法罗群岛、根西岛、以色列、马恩岛、日本、泽西岛、新西兰、韩国、瑞士、英国、乌拉圭以及欧盟-美国数据隐私框架的参与者。亚美尼亚不在名单之列。如需了解这两个制度更广泛差异的背景信息，请参阅我们的《GDPR与亚美尼亚数据保护法指南》 。

标准合同条款是切实可行的途径。第47条规定的具有约束力的公司规则适用于集团内部转让，独立供应商无法适用。第46条第(2)款(d)项涵盖监管机构采纳并经委员会批准的条款，这与委员会根据第46条第(2)款(c)项制定的条款是不同的文件。采购团队有时会同时引用这两项条款；您将收到的文件是委员会的文件。

术语颠倒了

亚美尼亚2015年5月18日颁布的《个人数据保护法》（经修订，有效期至2025年12月4日）将决定数据处理目的的一方称为“处理者”，将根据指示处理数据的一方称为“授权人”。GDPR则相反，如果供应商直接照搬亚美尼亚的术语，会导致问卷调查结果混乱。GDPR第14条要求双方之间必须有书面指示，并且指示方对另一方处理数据的行为承担法定责任。一份精心起草的数据处理协议可以同时满足客户的GDPR第28条要求和亚美尼亚的书面指示要求，前提是协议的起草方式允许这样做。

转出亚美尼亚

同一法律第27条规定了个人数据离开亚美尼亚的情况，即您将客户数据传输给第三国的子处理者。而数据流入（即您的欧盟客户向您发送数据）则受客户方的GDPR约束。在国外运营托管、错误监控或支持工具的供应商经常会在不知不觉中触犯第27条。

向亚美尼亚官方“充分保护名单”上的国家或根据国际条约进行的转移无需另行授权。亚美尼亚维护着这样一份名单，该名单于2026年6月18日更新，涵盖约53个国家和条目，其中包括欧盟和欧洲经济区成员国、阿根廷、加拿大、以色列、日本、新西兰、新加坡、韩国、乌拉圭和俄罗斯，以及一份关于美国组织的条目，但这些组织的转移限制尚未在已发布的指南中明确规定。对于名单之外的目的地，转移需要事先获得授权机构的许可，并附有该机构批准的合同保障措施。法定审查期为30天，名单每年重新发布。

文件清单

六份文件就能解答大部分问题。把它们整理好之后，下次的问卷调查就只需要进行编辑了。

1. 数据处理协议。 客户会寄送自己的文件。签署前，请对照亚美尼亚的书面指示要求仔细阅读，并检查其保留和删除条款是否与您系统的实际操作一致。
2. 子处理器寄存器。 每个子处理者一行：法律实体和国家/地区、处理目的、涉及的个人数据类别、访问级别、处理和访问的实际发生地点、该子处理者的数据传输依据，以及客户授权确认。请附上您的审查和离职流程。
3. 转学文件。 已执行的标准合同条款与适用于该关系的正确模块，加上您对客户转移影响评估的书面意见，涵盖您可能收到的访问请求以及您质疑这些请求的能力。
4. 安全策略概要。 两到四页的内容涵盖访问控制、传输中和静态数据加密、日志记录、变更管理和安全开发。客户很少会接受断然拒绝分享任何信息，他们也很少需要你完整的内部策略。
5. 事件响应概要。 内部通知对象、通知客户的触发条件、使用的渠道以及您准备承诺的合同通知期限。
6. 认证和测试结果。 请提供 ISO 27001 认证及其适用性声明、SOC 2 Type II 报告（如有）以及您最近一次渗透测试的总结和修复情况。目前尚无 GDPR 认证，提供此类认证会被认为经验不足。

常见问卷部分及作答方法

实体及所有权详情

问卷开头会要求填写公司注册名称、注册号、法定地址和所有权链。请务必从公司注册记录中获取这些信息，确保答案与州注册记录完全一致。如果信息不匹配，问卷会在任何人读取安全内容之前就被退回。

数据流和托管

请列出相关国家/地区。如果只是简单地说数据安全地托管在云端，每次都会引发后续询问。请说明托管服务提供商、所在地区、是否存在其他副本或备份，以及该地区以外的员工是否可以访问生产环境。如果您在亚美尼亚的工程师可以访问欧盟托管环境，请务必在此处披露；客户的传输分析依赖于此，如果事后才发现，会降低您之前所有回答的可信度。

分加工商

请列出所有实体，包括那些看似隐形的实体：例如工单系统、错误监控系统、交易邮件、分析平台以及处理客户联系数据的薪资平台。GDPR 第 28 条第 2 款规定，启用新的子处理者需要事先获得客户的授权，因此注册表需要包含变更通知承诺，其中应包含通知期限以及客户可以实际行使的异议权。

违规和事件通知

您的合同中会包含一个通知客户的窗口期。请务必只选择一个您的值班人员能在周六晚上完成的窗口期，因为根据 GDPR 第 33 条，客户的 72 小时期限从其知悉之日起算，并且会将压力向下传递至您。

亚美尼亚的监管通知是另一个问题，首先要确定的是自身情况。亚美尼亚《网络安全法》（HO-442-N）并非仅限于关键基础设施运营商。该法第1条第3款第1项规定，凡在第16条第4款所列行业之一开展业务，且运营信息系统或关键信息基础设施的法人实体或个体经营者均须遵守该法。这两项是相互关联的，而非单一的。信息技术（明确包括数字基础设施）见第16条第4款第9项；数据库管理和运营见第16条第4款第12项。这两项均不仅限于基础设施运营商，即使供应商的客户全部为外国客户，也不例外。因此，通常的回答——公司不运营关键基础设施——并不能解决问题。

许多供应商之所以能免于遵守相关规定，是因为《国家支持中小企业法》第1条第4款的规定。符合微型或小型企业标准的实体完全不受该法约束，除非其运营关键信息基础设施。根据《国家支持中小企业法》第2条第1款，小型企业的标准是：平均登记员工人数不超过50人，且上年度收入或上年度末资产负债表资产不超过500,000,000亿亚美尼亚德拉姆。许多亚美尼亚开发和业务流程外包（BPO）公司都符合这一豁免条件。这取决于贵公司的员工人数和财务状况，因此请在填写问卷前确认相关情况。

如果该除外条款不涵盖您，则您的义务载于第 11 条。一旦知悉事件，应立即通知信息系统监管委员会（即自治机构），且无论如何，如果事件造成重大影响或可合理推断造成重大影响，则应在24 小时内通知。第 11 条第 (2) 款对“重大影响”进行了定义，因此并非所有轻微事件都需要报告。在知悉事件后 72 小时内，应提交关于事件严重程度和后果的最新信息。该时限从知悉事件之日起算，而非从首次通知之日起算，这一点也应在合同中明确规定。应立即通知可能受影响的人员，如果无法立即通知，则应在两天内通知。最终报告应在 72 小时报告提交后一个月内提交。

这些义务是否在今天生效尚存争议。该法律于2026年1月4日生效，但第25条第(1)款第(2)项规定，第9条第(3)款第(5)项规定的普遍通知义务应推迟至相应的附属法案生效之时，而这些附属法案尚未公布。第11条并未明确推迟，且目前尚未公布任何文件以消除争议。此外，政府尚未根据第16条第(5)款通过服务分类，该分类将告知特定供应商其是否受该法律约束。2026年2月13日总理第117-A号决定将这些分类的实施日期定为2026年11月21日至30日，关键基础设施运营商名单将于12月公布。这些只是预定日期，并非已通过的正式文件。

以下三点至关重要。首先，不要基于“不存在亚美尼亚监管义务”这一前提起草合同通知条款。其次，不要将未列入欧盟委员会登记册视为安全港，因为仔细解读第1条和第3条可知，根据第7条第4款设立的登记册记录的是状态，而非状态的创设。最后，务必关注11月份的分类结果，因为它们将决定你的最终立场。

保留和删除

按数据类别提供时间表，并注明每个时钟周期的起始事件。然后说明终止时会发生什么：以指定格式返回、在指定天数内删除，以及备份中保留哪些数据直到下一个备份周期覆盖它们。备份残留数据是大多数供应商都搞错的问题，他们承诺立即删除，但他们的架构实际上无法做到这一点。

门禁和人员

涵盖基于角色的访问权限（需指定审批人）、生产系统和身份提供商的多因素身份验证、员工入职和离职的工作日时间，以及雇佣合同中的保密承诺。如果问卷中假设的筛选步骤对您不可用，请明确说明。客户可以接受有据可查的限制，但无法接受含糊不清的回答。

常见问题

从哪儿开始

1. 询问客户其哪个法律实体是数据控制者，以及哪些类别的个人数据实际会发送给您。在您回答任何问题之前，范围筛选功能会缩小问卷的范围。
2. 首先构建子处理器寄存器。数据处理协议、传输文件和数据流响应都依赖于此。
3. 与客户确认哪个标准合同条款模块适合双方关系，这取决于客户是作为其客户的控制者还是处理者。
4. 在签署数据处理协议之前，应根据亚美尼亚的书面指示要求对其进行审查，以便一份文件即可涵盖所有义务。
5. 在确定合同规定的通知期限之前，请先明确您自身运营中关于亚美尼亚网络安全通知的立场。

上次更新时间：21九月2026