外贸独立站要放哪些法律页？

客户点开你的页脚，找不到隐私政策；弹出的 Cookie 横幅只有一个「全部接受」可以点。这两种情况在不少外贸独立站上同时存在，而它们各自对应不同的要求，不能用一张「法律声明」页面糊过去。

这篇把面向海外客户时最常被要求的两类页面拆开讲：每张页面解决什么问题、必须写清哪些内容、放在哪里、上线后由谁维护，最后给一张上线前可以逐条核对的清单。文中涉及法规的部分以官方原文和监管机构公开指南为依据，具体条款措辞建议由熟悉目标市场的专业人士复核。

直接答案

直接答案：先把页面补齐，再谈措辞。面向海外客户的外贸独立站，通常至少需要三类页面：隐私政策，说明收集哪些数据、为什么收集、保存多久、提供给谁、用户如何行使权利；Cookie 同意机制，非必要 Cookie 在获得同意前不加载，用户拒绝后网站仍可正常使用；服务条款与免责说明，讲清网站内容与正式报价、合同之间的关系。主攻德国或德语市场时，另需一张 Impressum，它不能被隐私政策替代。本文只解决页面结构和必备字段的落地问题，不构成法律意见。

先看核心结论

1. 三类页面各管一件事，合并成一张「法律声明」后，字段基本都写不全。
2. Cookie 同意看行为不看横幅样式：同意前不加载非必要脚本、拒绝也能正常浏览、撤回和给出一样容易。
3. 隐私政策要能被业务员用普通话讲明白。写不清楚的部分，通常是这部分数据其实没有收集。
4. 面向德国市场的站，Impressum 是独立要求，无法用隐私政策顶替。
5. 法律页不是上线做一次就结束。改收集方式、加统计工具、换服务商、开新市场，都要回来更新。

一、先把三类页面分开

把三类页面分开写，最大的好处是字段不容易漏。三类页面责任不同、对应要求不同，读者也不同。

这张表可以直接当分工表用：每张页面指定一位负责人，谁负责内容、谁负责上线、谁负责复核。这几张页面不会直接带来排名，和独立站SEO 的关联也弱，但它们决定了客户在你站上停留时的信任判断。

二、隐私政策要写清六件事

很多模板隐私政策读起来很长，读完却不知道这家公司到底拿走了什么。判断写得够不够，看六件事有没有说明白。

1. 收集了哪些数据。询盘表单的姓名、邮箱、公司、电话，加上服务器日志里的 IP 与访问记录，再加上统计工具生成的行为数据。逐项列，不要写「我们可能收集相关信息」。
2. 为什么收集。回复询盘、跟进报价、履行合同、改进产品，这些是目的。目的要具体到能对应到页面上的某个功能。
3. 保存多久。给出保留期或者保留期的判断方式，比如「询盘相关数据在最后一次联系后保留一段时间，超期删除或匿名化」。保留期写不出来，往往说明没人想过这件事。
4. 提供给谁。统计工具、邮件服务、在线客服、CDN、CRM 这类第三方服务商，通常会接触到部分数据。逐个列出服务类型。
5. 用户有哪些权利。访问、更正、删除、限制处理、反对处理、撤回同意、要求数据可携带。同时写清行使这些权利的联系方式。
6. 找谁。数据保护相关的联系人或者邮箱，要能直接写出来，不能只留一个通用客服邮箱兜底。

有一条容易忽略：隐私政策里的措辞要和你实际启用的工具对齐。技术同事在页面上多加了一个统计脚本，隐私政策没跟着改，这种情况很常见。把「新增第三方脚本」写进发布检查单，可以少踩很多次。

三、Cookie 同意怎么写才算数

Cookie 横幅是很多外贸独立站上唯一被认真做过的合规动作，问题也最集中。先看规则本身。

欧盟《电子隐私指令》（ePrivacy Directive，2002/58/EC）第 5(3) 条要求：在用户设备上存储或读取信息（必要 Cookie 除外）需要事先取得同意。而同意的有效性，按照《通用数据保护条例》（GDPR，EU 2016/679）的标准判断。

欧洲数据保护委员会（EDPB）《关于 GDPR 下同意的指南 05/2020》在 2020 年 5 月 4 日通过，其中两处澄清对 Cookie 横幅影响最直接：把「访问内容」作为接受非必要 Cookie 的条件（也就是常说的 Cookie wall）取得的同意不算自由给出，因而无效；滚动、滑动或者类似的用户动作，不构成清晰肯定的同意表示。

转换为可执行的四条：

1. 分层。至少把必要与非必要分开。统计类和营销类如果分开授权，用户能选得更细，后续要证明同意也更容易。
2. 同意前不加载。非必要脚本在取得同意之前不执行。只在横幅上写着「点击即表示同意」，脚本却已经跑了，这种写法没有意义。
3. 拒绝也能用。用户拒绝非必要 Cookie 后，网站的主要功能应当照常可用。把内容藏起来逼用户点同意，是典型的无效做法。
4. 撤回同样容易。页脚保留一个常驻入口，让用户可以随时改回选择，步骤不比给出同意更麻烦。

几个反复出现的错误做法：默认勾选；横幅上只有「全部接受」，拒绝藏在第二层；用「继续浏览即表示同意」这类文案代替明确的同意动作；把同意状态只存在本地浏览器里，用户换设备或者清缓存后又重新弹一次。最后一项不影响合规判断，但会让重复出现的横幅变成客户体验问题。

四、服务条款与免责说明：写什么，别写什么

服务条款容易走向两个极端，一种是照抄模板，长达数页但和你的业务毫无关系；另一种是只写一句「本网站内容不构成任何承诺」。

该有的四块：网站内容的性质（产品参数、价格、交期等信息仅供参考，以正式报价与合同为准）；使用规则（禁止抓取、禁止冒用品牌）；知识产权归属（图片、文案、技术资料的权属）；争议解决方式与适用法律。

要避免的是堆砌通用免责声明。在部分市场，这类声明不仅不能有效排除责任，还可能成为竞争对手提出整改要求的由头。责任边界由法律和你页面上的实际表述决定，不取决于免责声明写得多长。更实际的做法是：页面上少写无法兑现的话，比如无法核实的性能承诺、没有依据的行业排名。

五、面向特定市场才需要的页面

下面这几项不是所有外贸独立站都需要，按你的客户在哪里决定。

德国。自 2024 年 5 月 14 日起，德国《数字服务法》（DDG）取代了原来的《电信媒体法》（TMG），Impressum 义务的依据从旧法第 5 条移到了 DDG 第 5 条，要求的信息内容基本沿用。判断标准有三层：容易识别（页面名称直接写 Impressum）、直接可达（实践中要求任一子页面两跳内可到）、持续可用（Cookie 横幅不能挡住 Impressum 与隐私政策的入口）。Impressum 通常需要主体名称与法律形式、可送达的实体地址、邮箱与另一种可快速联系的渠道、登记信息、增值税识别号，以及其他按业务类型决定的内容。站点如果发布博客、新闻这类编辑内容，德国《媒体国家条约》（MStV）第 18 条第 2 款还要求标注内容负责人。页脚里如果还挂着欧盟在线争议解决平台（ODR）的链接，需要删掉，该平台已于 2025 年 7 月 20 日停止服务；但德国消费者争议解决相关的其他义务并不因此消失。

奥地利与瑞士。两地各有自己的披露要求，字段与德国不完全相同，按目标市场逐一核对，不要拿德国的 Impressum 直接套用。

美国加州。达到规模门槛的企业，需要向加州用户提供不出售或不共享个人信息的入口。门槛以法规原文为准，未达门槛的企业不在此列。

同时面向国内客户。如果网站在国内也有访问与收集行为，还需要单独考虑国内个人信息保护的相关要求，不能只按海外市场准备一套。

六、上线之后由谁维护

法律页是会被改动的页面，维护机制比初稿质量更重要。独立站搭建阶段就把下面三个动作固定进流程，比上线之后再补要省事得多。

1. 每张页面标注更新日期。改动过什么、什么时候改的，交付给外部复核时能省很多沟通。
2. 指定一位负责人。通常由负责网站运营的人牵头，涉及数据处理的改动同步给业务负责人。
3. 把四类变化写进发布检查单：新增或更换第三方脚本，改动询盘表单字段，更换邮件或客服服务商，进入新市场。

这四项里任何一项发生，法律页都有可能需要更新，而不是等到被客户或竞争对手指出来才处理。

七、上线前验收清单

常见问题

问：只有询盘表单，没有在线交易，还需要隐私政策吗？

答：需要。只要网站上存在收集个人数据的动作，包括表单、统计工具或者邮件订阅，就需要有对应的说明页面，与是否在线收款无关。

问：可以从同行网站上把隐私政策复制过来吗？

答：不建议。隐私政策描述的是你实际的数据处理行为，包括你用了哪些工具、数据给了谁。照抄同行的文本，会出现声明与实际处理不一致的情况，这种不一致本身就是风险点。

问：Cookie 横幅必须让用户逐项选择吗？

答：规则要求的是同意必须具体、知情、自由给出。实际操作中，把统计与营销分开授权，管理成本上升不多，说明力明显更强。只提供「全部接受」一个选项，通常难以满足要求。

问：Impressum 和隐私政策能不能合并成一页？

答：不建议合并。两者的功能不同，Impressum 披露运营主体身份与联系渠道，隐私政策说明数据处理行为。合并后往往出现主体信息被淹没、联系渠道不明确的问题。

问：这些页面多久检查一次？

答：按变化触发更实际。新增脚本、改动表单、更换服务商、进入新市场，这四种情况发生时就要检查一次，另外每年做一次完整复核。

结论：先补齐，再核对，最后固定流程

回到最开始那个场景：客户点开页脚找不到隐私政策，弹出的横幅只有一个接受按钮。这两件事对应的动作并不复杂，把页面补齐、把触发条件理顺、把维护责任定下来，多数问题在结构层面就能解决。

顺序建议是先列出站点上所有会接触个人数据的动作，逐一对应到页面字段，再检查 Cookie 的执行行为，最后把更新机制固定进发布流程。措辞层面存在市场差异，涉及具体条款时，交给熟悉目标市场的专业人士复核一遍，比事后补救成本低得多。

适用限制与边界说明：本文是网站内容与结构层面的操作说明，不构成法律意见，也不能替代针对具体业务的专业判断。文中涉及的法规框架、生效日期与监管指南，来自公开的法规原文和监管机构文件，各市场的要求会随法规修订而变化，请以官方最新版本为准。文中的平台与工具描述只做方法说明，涉及产品功能与可用范围时，以 NEOGRESS 官网公开说明为准。

如果你正在搭外贸独立站，可以把法律页的结构规划放进建站阶段一起做：先确定页面分工与字段，再决定用哪种工具落地。用 NEOGRESS 建站时，页面结构可以在建站过程中一并确认，具体功能与可用范围以官网公开说明为准；外贸独立站规划方法与外贸网站建设方案里有对应的结构说明，可以先对照自己的站点核对一遍。

数字来源说明

1. 2024 年 5 月 14 日（第五节，德国 DDG 生效日期）：类别为法规生效日期；来源为德国《数字服务法》（Digitale-Dienste-Gesetz）第 5 条，条款原文可查 gesetze-im-internet.de/ddg/__5.html。
2. 2020 年 5 月 4 日（第三节，EDPB 指南通过日期）：类别为官方指南发布信息；来源为欧洲数据保护委员会《Guidelines 05/2020 on consent under Regulation 2016/679》，edpb.europa.eu（指南原文）。
3. 2025 年 7 月 20 日（第五节，欧盟在线争议解决平台停止服务日期）：类别为官方平台状态信息；该平台由欧盟委员会运营并已停用，链接应从页脚移除。相关法规文本见欧盟官方公报。
4. 第 5(3) 条、GDPR（EU 2016/679）（第三节，法规条款引用）：类别为法规条款；来源为《电子隐私指令》2002/58/EC 与《通用数据保护条例》，eur-lex.europa.eu（2002/58/EC）、eur-lex.europa.eu（2016/679）。
5. MStV 第 18 条第 2 款（第五节，德国编辑内容负责人要求）：类别为法规条款；来源为德国《媒体国家条约》，条款内容属于公开法规文本。
6. 两跳内可达、同意前不加载、拒绝后可用（第三、五节，操作判断标准）：类别为监管要求与行业实践的结合；其中 Cookie 相关的判断依据出自 EDPB 指南 05/2020，可访问性要求属于德国监管实践口径，并非法规原文中的量化条款。
7. 三类页面、六件事、四块内容、四类变化（全文，结构性数字）：类别为本文的方法划分，用于组织内容，不代表外部标准规定的数量。
8. 本文未引用任何外部流量、询盘、成交或转化统计数字，未使用任何案例企业数据。

数据口径总声明

本文未引用任何外部流量、询盘或成交统计数字，正文不出现此类精确数字；涉及的经验建议已逐条标注，读者应以自身数据为准。