一句话定义：数据控制者（Data Controller，中国法里对应「个人信息处理者」）决定为什么收集数据、拿去做什么；数据处理者（Data Processor，对应「受托处理者」）只是按前者的指示干活。前者握方向盘，后者踩油门。
打个比方：装修。业主决定厨房改成什么样、用什么材料，他是控制者；装修队按图纸施工，是处理者。房子装完漏水，业主对结果负责。但装修队要是擅自改图纸，或者把拆下来的电线转手卖掉，这部分责任就得自己扛。
三个问题分出两个身份：谁定处理目的？谁签 DPA？出事谁先顶着？
| 数据控制者 Controller | 数据处理者 Processor | |
|---|---|---|
| 决定目的与方式 | 是 | 否，仅在指示范围内 |
| 合同 | 与处理者签 DPA | 签 DPA 并按约行事 |
| 数据泄露 | 向监管和当事人通报 | 及时通报给控制者 |
| 对监管和个人的责任 | 首要责任主体 | 违反处理者义务、越权或违背指示时才担责 |
欧盟《通用数据保护条例》（GDPR）第 28 条要求控制者与处理者之间必须签数据处理协议（Data Processing Agreement，DPA），这不是走过场，而是把上面那几栏的责任写死。第 82 条则明确了双方在损害赔偿上的位置：控制者兜底，处理者只在越界时上前。
最容易踩的坑是身份会变。处理者一旦“自作主张”，比如把客户数据拿去训练自己的模型、拿来做二次营销，就越界成了控制者，责任跟着一起搬过来。所以用第三方大模型 API 之前，一定要问清：数据进不进训练集？留存多久？子处理者（sub-processor）有谁？答案不同，你的身份和 DPA 条款都得跟着改。上传即训练，往往意味着一纸合同把身份悄悄换了。
还要当心中文术语的字面陷阱：中国《个人信息保护法》用的是「个人信息处理者」，扮演的正是 GDPR 里控制者的角色，才是责任主体；受委托那一方才是 processor。看到“处理者”三个字别急着对号入座。
实际意义：对从业者来说，DPA 划的是责任线，数据泄露后谁通知监管、谁面对用户索赔、跨境传输靠什么合法依据，全写在身份里。对普通人来说，注册服务时那句“我们如何使用您的信息”，本质是这家公司给自己定的身份，值得多看一眼。