外贸独立站隐私合规实战：你的站在欧盟违法了——你甚至不知道

一个测试：打开你的站。按 F12 → Application → Cookies。

你的站存了几个 Cookie？Google Analytics 的 _ga？Facebook Pixel 的 _fbp？Google Ads 的 _gcl_aw？一个即时聊天工具的 Cookie？一个有 12 个跟踪器的插件？

如果你卖到欧盟或者有欧盟客户访问你的站——你的站可能是违法的。

GDPR（欧盟《通用数据保护条例》）罚款上限：2000 万欧元或全球年营收的 4%——取较高者。CCPA（加州消费者隐私法）罚款：每次违规 $2,500，故意违规 $7,500。

大多数中国外贸企业对这个话题的态度分两类：

1. “我在中国——欧洲的法律管不到我”（错）
2. “我们有隐私政策——在 Footer 里放了一个链接”（不够）

一、为什么你在中国但需要遵守 GDPR/CCPA

关键点：GDPR 是属地+属效——不是属人。只要你的站有欧盟访客、你在欧盟市场销售、你参加了欧盟展会收了名片——GDPR 对你的站有效。

二、你的站正在收集什么——你大概率不知道

打开你的站，以下每一项都在收集用户的个人信息：

这些不是"不收集个人信息"——这里面每一项都在收集。 你不需要去刻意收集——这些工具默认就在做。

三、GDPR 合规的核心要求——6 件事你需要做

四、怎么做——5 步让一个普通外贸站实现基本合规

第 1 步：Cookie 同意横幅——必须弹，且按类别分区

❌ “By using this site, you accept cookies”——这种"隐形同意"不符合 GDPR（需要主动选择）

✅ 分类选择：

工具推荐：

1. CookieYes / Cookiebot：免费版支持基础 Cookie 弹窗，会扫描你的站自动识别 Cookie
2. Termly：免费版隐私政策生成器 + Cookie 弹窗
3. WordPress 插件：Complianz（免费 + 强大）

注意：Google Fonts 不要动态加载——下载到本地（@font-face 本地版本）。这样不传用户的 IP 给 Google，不用在 Cookie 弹窗里批。

第 2 步：隐私政策页——不是复制粘贴模板

隐私政策需要针对你的实际情况写。模板是骨架——你要填肉。

第 3 步：联系表单——加一个同意复选框

你的联系表单下面加一行：

→ 不勾——不能提交。这给了你 GDPR 要求的"同意"法律依据。

第 4 步：数据处理协议（DPA）

你用的每个处理用户数据的第三方服务——理论上都需要签 DPA。

好消息：大部分主流服务（Google Analytics、Mailchimp、HubSpot、Hotjar）已经公开了 DPA——你接受他们的条款时自动覆盖。

你需要在隐私政策中列明这些第三方——且确认他们各自有 DPA。

第 5 步：数据访问/删除请求的处理流程

如果有人发邮件说 “Delete all my data”——你需要在 30 天内响应。

对于大多数外贸站：

1. 表单提交的数据→在你的邮件/后台里搜索这个人的邮箱→删除
2. Google Analytics→GA4 里有数据删除请求功能
3. 聊天记录→在聊天工具后台删除
4. 回复用户：“We have deleted your data from [系统 1] [系统 2] [系统 3]。确认完毕。”

五、4 个最常见的错误——踩一个都有风险

六、立即可做的 5 件事——按优先级

总共 2 小时。避免潜在的数万到数百万欧元的罚款。

底线思维

GDPR/CCPA 合规不是"大公司才需要做"的事——是你的站面向欧盟/加州客户的那一刻你就需要做的事。大多数中国外贸站的实际情况是没有 Cookie 弹窗、隐私政策是从 OtherPage 上的模板摘的、Google Fonts 在动态加载、第三方工具没审查过。

这不是逼迫——是保护你的业务。合规不是为了通过审查——是不让你的客户数据暴露给没有保障的第三方、不让你的客户失去对你的信任、不让你的业务在欧盟的法律环境下有一根可以被罚款的辫子。

用 NeoGress AI 建站的内置隐私合规模块——GDPR Cookie 弹窗自动配置（分类型同意/拒绝+拒绝与接受同样容易）、隐私政策自动生成（基于你的实际工具和数据处理方式）、表单同意复选框内置、Google Fonts 自动本地化、第三方工具 DPA 审查清单——建站就合规，不是建完再补。