跨境电商的海外用户数据回流到国内处理订单、做分析，几乎不可避免，而各国对数据跨境的执法又在收紧。隐私政策里“怎么说”因此成了合规的第一道关：既要满足跨境披露义务，又要把风险控制到最小。Kaamel Labs 研究了 SHEIN 与亚马逊这两家有资深隐私团队、又有大量跨境数据的企业，发现它们对美国用户和欧洲用户给出的措辞差异明显，而差异恰恰对应美欧对数据跨境的不同要求。
TL;DR
SHEIN 供应链总部位于广州，绝大部分订单从国内发货，海外用户信息跨境几乎是必然。其网站按用户所选地区展示不同的跨境条款。
美国用户看到的提示相当宽泛，重点有三：提示使用服务时数据可能离开美国；第三方国家的隐私保护可能弱于美国，SHEIN 会按“适用法律”标准保障跨境；不希望数据跨境的用户需停止使用服务。“适用法律”一词留足了解释空间：因为美国隐私法对跨境没有明确要求，多数公司选择简单带过。
欧洲用户看到的则具体得多：第一段告知数据可能离开欧盟，去往美国、中国或新加坡，这些国家的保护可能弱于 GDPR；第二段交代保障措施（Appropriate Safeguards）与例外情况（Derogations）都按 GDPR 完成：SHEIN 使用标准合同条款（SCC）作为保障措施，并援引 GDPR 第49(1)(b)条（为履行与用户的合同所必要）作为例外。用户还可通过隐私中心索取签署好的 SCC 备份。
亚马逊的自营商来自世界各地、就地发货，跨境同样不可避免。有趣的是，其美国用户隐私页面不含跨境内容，相关表述只出现在欧洲用户页面。
亚马逊欧洲版言简意赅：向欧盟以外传输数据时按欧盟委员会要求办事，用户可向客服索证。与 SHEIN 不同的是，它提到了两条路径：一是充分性认定（Adequacy Decision），二是标准化保障。“充分性认定”本质是白名单：欧盟审核认为某国隐私保护达到或超过 GDPR 水平，该国即可与欧盟自由互通数据。当时在册的国家与地区包括安道尔、阿根廷、加拿大（商业组织）、法罗群岛、根西岛、以色列、马恩岛、日本、泽西岛、新西兰、韩国、瑞士、英国及乌拉圭。
GDPR 第44条起对数据跨境提出系统要求，合法路径大体按以下顺序考虑。
充分性认定（第45条）：确认目的地是否在白名单上，在册则可自由互通，无需其他操作。
适当保障（第46条）：白名单国家有限，美国当时都不在其列，而跨境往往是必要商业活动。为此欧盟提供了几类保障措施：
公司约束规则（BCR，第47条）：也属保障措施，但仅适用于同一公司或集团内部的跨境（如母公司传给分公司）。需向 EDPB 提交并获批，耗时较长，见 https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/binding-corporate-rules-bcr_en 。
例外情况（Derogations，第49条）：当既不在白名单、又无保障措施时的最后手段，包括用户明确同意、为履行与用户的合同所必要、为重大公共利益、为法律诉讼等共8种。需注意：这里的“同意”“履行合同”不等同于数据处理的合法性基础；监管机构会按上述顺序依次审查，若发现企业未先尝试 SCC 或 CoC 就打着“用户同意”“履行合同”的旗号跨境，罚款风险很高；且例外不可重复使用，每次传输都需重新满足条件。可以说例外只能应急、不能长期依赖。
美国侧的要点是“真实”，即隐私政策写了什么就要做到什么，虚假或故意遗漏都可能成为罚款或集体诉讼的依据。欧盟侧则要求把跨境路径讲清楚并落地：白名单指望不上时，SCC 是最常用的保障措施，集团内部可考虑 BCR，例外仅作应急。“纸面”只是第一步，接下来还要确保 SCC 的完整性、签署双方关系、责任明确性以及持续监控都落到实处，否则同样面临监管与诉讼风险。相关实务可对照 CNIL 的数据转移影响评估（TIA）指南、Meta 因 SCC 失效被罚12亿欧元 与 巴西数据保护机构发布的 SCC。企业“言行一致”地履行义务，才能把风险控制在最小范围。
