一句话定义：标准合同条款（Standard Contractual Clauses，简称 SCC）是监管机构预先拟好的一套合同模板，当个人数据要传输到法律保护水平被认为"不够格"的国家时，双方签署这份模板，用合同义务把保护责任固定下来。
打个比方
你要把孩子送去外地的寄宿家庭住半年。你可以说"我信得过这家人"，但真出了事，光靠信任没用。更靠谱的做法是签一份由律师事先拟好的协议：几点睡觉、生病了送哪家医院、能不能随便拍照发朋友圈、违约了怎么赔。这份协议的关键在于，条款并不是你和对方临时商量的，而是行业里公认的范本，核心部分不能删改，只能填空。
SCC 就是数据跨境场景里的这份范本。数据出口方（比如你所在的公司）和数据进口方（海外云厂商、海外子公司、外包标注团队）签署它，承诺"收到数据后只能按约定用途处理""发生泄露要在期限内通知""要配合数据主体的查阅删除请求""接受出口方所在国监管机构的管辖"等。核心条款不允许双方私自削弱，这就是"标准"二字的含义。
和相邻概念的区别
跨境传输的合法路径不止一条，常见的有三种：
| 路径 | 是什么 | 特点 |
|---|---|---|
| 充分性认定（Adequacy Decision） | 监管机构认定某国整体保护水平达标，数据可自由流向该国 | 一劳永逸，但需要政府间谈判，覆盖面有限 |
| 标准合同条款（SCC） | 双方签署官方模板，把义务写进合同 | 无需事前逐份审批，落地快，但要自己先做风险评估 |
| 约束性公司规则（Binding Corporate Rules，BCR） | 跨国集团自建一套内部规则，报监管机构批准后集团内通用 | 适合大型集团，准备周期长、成本高 |
一句话区分：充分性认定是"国家给你担保"，BCR 是"自己给自己立法"，SCC 是"照范本签合同"。
对从业者的实际意义
做 AI 产品的人几乎都会撞上这件事：调用海外模型 API、把用户对话数据交给境外团队标注、用海外云服务存训练数据、跨境调取日志做模型评估——只要数据里可能含个人信息，就构成跨境传输。SCC 提供的是一份可执行的纸面凭证：一旦对方滥用数据，你至少有合同依据去追责、去终止合作，而不是只能干瞪眼。
但别把它当免责符。签署 SCC 只是起点，通常还需要评估接收国法律是否会让合同义务落空（例如当地政府调取数据的权力），并尽量叠加加密、去标识化、最小化传输等技术措施。欧盟法院曾推翻此前用于跨大西洋传输的协议，就是因为担心合同挡不住当地监控，这也说明"签了字"不等于"万事大吉"。
另外，中国《个人信息保护法》同样规定了"标准合同"这条出境路径，要求与境外接收方订立合同并向监管部门备案，具体模板和流程以官方发布为准。无论走哪套规则，逻辑都一样：跨境数据的安全感，来自可核查的条款，而不是来自"我们关系很好"。对普通职场人来说，这意味着你的数据被传出境时，接收方是背着白纸黑字的义务的——这比一句"请放心"值钱得多。