一句话定义：DPA（Data Processing Agreement，数据处理协议；有时叫 Data Processing Addendum，数据处理附录）是数据控制者与数据处理者之间的一份合同文件，专门约定"你替我用数据时，能做什么、不能做什么、出事怎么办"。
先分清两个人
- 控制者（Controller）：决定为什么处理数据、处理哪些数据、处理多久。通常是你所在的公司。
- 处理者（Processor）：只按控制者的指示处理，不得有自己的目的。通常是云厂商、大模型 API 供应商、企业版 AI 工具。
打个比方：你请装修队进家门施工。你是房主（控制者），装修队是处理者。合同要写清楚：只能装修，不能翻抽屉；钥匙怎么保管；能不能转包给水电工（这就是"子处理者" sub-processor）；干完钥匙交回、垃圾清走；你能不能中途进屋检查。DPA 就是这份"进你家干活的规定"。
关键开关：供应商有没有"自己的目的"
如果供应商把你的数据拿去训练自家模型、做产品改进，它在这一刻就不是纯处理者了，实质上变成了控制者——它决定了一个你没有授权的新目的。这是 AI 采购里最需要盯的一条，也是 DPA 里必须明确写"是否用于训练、能否关闭、默认状态是什么"的原因。
DPA 里常见的条款：处理目的与范围、数据类别与数据主体类型、合同期限、仅按指示处理、人员保密、技术与组织安全措施、子处理者名单及变更通知、协助响应数据主体权利请求（访问、删除等）、到期删除或返还、审计权、跨境传输机制（如 SCC，Standard Contractual Clauses，标准合同条款）、数据泄露通知义务。
别把它和这几份文件搞混
| 文件 | 双方是谁 | 主要作用 |
|---|---|---|
| 主服务协议 / 服务条款（ToS） | 供应商 ↔ 客户 | 商业条款：价格、SLA、责任上限 |
| 隐私政策（Privacy Policy） | 供应商 → 公众 | 对外告知：收集什么、怎么用 |
| DPA | 客户 ↔ 供应商 | 合规附件：作为处理者时的处理规则 |
| SCC | 客户 ↔ 供应商 | 跨境传输的法定条款，常作为 DPA 附件 |
一句话记：隐私政策是"说给世界听"，DPA 是"签给你一个人兜底"。
对从业者的实际意义
签字前看四件事就够了：① 数据是否用于模型训练，是默认开还是默认关；② 子处理者清单，新增时是否提前通知、你能否反对；③ 留存与删除，日志、滥用监控记录留多久（具体天数各家不同，以官方页面为准）；④ 跨境与审计，数据落在哪个区域、你有多大检查权。
给普通职场人的版本：当同事说"直接把客户名单传上去试试"，问一句"我们有 DPA 吗、里面写没写不训练"就够了。没有 DPA 不代表不能用人家的服务，但意味着出了问题，你手上没有可援引的约定。