只要你的独立站有欧洲或加州用户，数据合规就已经适用——这与公司注册在哪无关，与用户在哪有关。GDPR（欧盟）与 CCPA/CPRA（加州）是两套必须理解的规则，这篇给一份可执行的合规清单。
GDPR 的核心要求
- 合法依据。处理个人数据需要有合法依据，营销场景通常是“同意”——Cookie 弹窗（明确同意，不能默认勾选）是欧洲站的标配。
- 最小化与目的限定。只收集实现 stated 目的所需的数据，别超范围收集。
- 用户权利响应。用户有权要求导出、更正、删除其数据（“被遗忘权”）——需要提供响应通道与流程。
- 隐私政策。清晰说明收集什么、为什么、存多久、与谁共享。
CCPA/CPRA 的要点
加州居民有权知道收集了什么数据、要求删除、选择退出“数据出售/共享”——“Do Not Sell My Personal Information”链接是标志性要求。如果你的独立站符合适用门槛（营收或数据量阈值），就需要配置。
数据跨境的特别提醒
欧盟数据传出到欧盟之外（包括传回中国处理），需要合法的传输机制（标准合同条款 SCCs 等）。实际操作上：尽量让欧洲用户数据存放在欧洲节点（主流云厂商都有欧盟区域），减少跨境传输的合规负担。
务实清单
Cookie 同意管理工具接入；隐私政策按业务实际重写（抄模板是常见翻车点）；建立数据请求响应流程（30 天时限）；订阅邮件的双重确认（Double Opt-in，欧洲实践标配）。数据合规是一次性的改造成本+持续的纪律，换来的是进入成熟市场的资格。