跨境数据合规对科技券申请的影响
科技券（Technology Voucher Programme，简称 TVP）是香港生产力促进局负责执行的政府资助计划，旨在资助本地中小企业使用科技服务和方案提升营运效率。资助比例通常为项目核准开支的 2/3，每家企业累计资助上限以官方最新公布为准。
很多申请人在准备 TVP 项目时，只关注报价单、技术规格、报价供应商资质，却忽略了另一条隐形的”审核线”——跨境数据合规。当项目涉及云服务器在境外、个人资料跨境传输、或供应商将数据存放于香港以外地区时，企业的数据合规状况会直接决定项目能否立项、能否通过中期检查、能否顺利拿到尾款。
本文聚焦三个最易踩坑的合规维度：跨境数据传输、个人资料（隐私）保护、以及供应商数据处理协议（DPA）。每节附实操清单，便于直接对照准备。
一、跨境数据传输：什么情况需要特别说明？
1. 什么算”跨境”？
只要项目使用的科技服务会把以下任何一项数据传输、存储、备份或处理到香港以外的服务器，就属于跨境数据流动：
- 公司内部数据（订单、客户名单、营运记录）
- 客户个人资料（姓名、电话、身份证号、消费记录）
- 系统日志、备份文件、测试数据
- 通过 SaaS、AI 模型 API、远程运维等渠道间接出境的数据
常见的跨境触发场景包括：使用境外云服务（如部分海外云厂商的香港区域节点仍可能涉及境外运维）、AI 工具调用海外大模型 API、跨境电商平台同步数据到海外总部、聘请境外供应商进行系统开发或运维。
2. TVP 对跨境的态度
TVP 本身并未禁止项目使用境外服务器或服务，但要求申请企业在项目建议书中如实披露数据流向，并在最终报告中说明数据存储位置。这一披露要求并非走过场——生产局（HKPC）审核员会结合项目类型评估跨境带来的风险敞口。
3. 实操清单
- 在项目建议书的”数据管理”章节，列出全部数据存储节点（香港、新加坡、内地、其他）
- 如使用境外云，需说明选择理由（如境内无对应服务、灾备需要、性能要求）
- 保留供应商书面确认的数据存储地点证明，存档备查
- 项目交付时，确保实际数据流向与建议书一致，不一致的需提前书面说明
二、个人资料保护：第 486 章《个人资料（私隐）条例》是硬门槛
香港《个人资料（私隐）条例》（Personal Data (Privacy) Ordinance，简称 PDPO，第 486 章）是规管个人资料处理的核心法律。TVP 申请表格中明确要求企业声明遵守香港现行法例，PDPO 是其中关键一项。
1. 哪些项目会触发 PDPO 审查？
只要项目涉及的科技方案会处理香港居民的个人资料，无论数据最终存储在哪里，都受 PDPO 约束：
- 客户关系管理（CRM）、会员系统
- 人力资源系统、考勤系统
- 营销自动化、邮件群发、短信平台
- 任何涉及收集姓名、电话、地址、身份证号、消费习惯的系统
- 含人脸识别、定位追踪、行为分析的方案
2. 六项保障原则
PDPO 围绕六项原则展开，申请时建议在建议书中体现以下要点：
| 原则 | 核心要求 | TVP 项目常见做法 |
|---|---|---|
| 收集目的 | 须为合法且直接与目的相关 | 在建议书写明收集目的、字段清单 |
| 准确性 | 保持资料准确、最新 | 说明数据更新机制 |
| 使用限制 | 仅用于声明目的 | 在隐私政策中列明 |
| 安全保障 | 采取合理措施防止未经授权访问 | 列明加密、权限控制、备份策略 |
| 公开透明 | 制定清晰的隐私政策 | 提供隐私政策链接 |
| 数据访问与更正 | 配合当事人查阅与更正请求 | 说明响应流程与时限 |
3. 跨境传输个人资料的额外义务
PDPO 第 33 条对跨境传输设有原则性限制：当数据接收地的隐私保护水平”明显低于”香港标准时，数据使用者须采取合同或其他手段确保接收方按 PDPO 标准处理数据。
实务中，企业通常通过与境外接收方签署标准合同条款（Standard Contractual Clauses, SCC）或类似协议，把 PDPO 的保护水平”延伸”到境外接收方。这份协议应作为 TVP 项目文件归档。
4. 实操清单
- 准备一份隐私政策（Privacy Policy），覆盖项目涉及的所有个人资料处理场景
- 与境外供应商或合作方签订数据处理协议（Data Processing Agreement, DPA）
- 若涉及内地子公司或内地云，参考《内地与香港关于数据跨境流动的合作安排》——内地与香港之间的数据跨境已设有”标准合同”或”安全评估”通道，以官方最新公布为准
- 内部指定一名”资料保护主任”或相应联络人，便于审计时对接
三、供应商数据处理协议（DPA）：审计时的关键证据
TVP 项目审计不仅查发票、查交付物，还会查供应商是否合规处理了项目产生的数据。一份完整的 DPA 是企业证明自身履行”资料使用者”责任的核心证据。
1. DPA 应包含的核心条款
- 处理目的与范围：明确供应商代表企业处理哪些数据、用于什么目的
- 数据类别与主体类型：列出涉及的个人资料类别（如姓名、电话、消费记录）
- 安全措施：加密、访问控制、日志审计、漏洞响应
- 跨境传输限制：未经书面同意，不得向第三方或境外进一步传输
- 分包限制：供应商使用分包商需事先获得企业同意
- 数据返还或销毁：项目结束后，数据归属与处置方式
- 审计权：企业有权核查供应商的处理活动
- 违约责任与赔偿：明确数据泄露时的责任分担
- 协助义务：供应商须协助企业响应当事人查阅、更正、删除请求
2. 没有 DPA 会怎样？
如果项目结束时审计发现供应商未签署 DPA 或 DPA 内容空泛，审核员可能：
- 要求补充签署，作为拨款的前置条件
- 在最终报告中标注合规瑕疵，影响尾款发放
- 在严重情况下视作项目未达要求，影响企业未来申请资格
3. 实操清单
- 在与供应商签约时，将 DPA 作为合同附件同时签署
- 模板建议使用生产力局或行业协会发布的参考版本，但需根据项目实际情况调整
- DPA 中必须明确”项目结束后数据归属与销毁方式”——这是审计必查项
- 保留 DPA 签署版本、修订记录、履行证据至少 7 年（与香港一般账簿保存期一致）
四、合规自查：三步判断你的项目风险等级
| 风险等级 | 典型场景 | 建议动作 |
|---|---|---|
| 低风险 | 项目数据完全存储于香港境内、不涉及个人资料 | 建议书中简要说明数据流向，留存供应商合同即可 |
| 中风险 | 数据存储于香港境外，但接收地有完善隐私法律；涉及非敏感个人资料 | 建议书详细说明跨境理由；签署 SCC 或类似协议；准备隐私政策 |
| 高风险 | 数据存储于隐私保护水平明显低于香港的地区；涉及身份证号、人脸、金融账户等敏感资料 | 建议书专章说明合规方案；签署并可执行的 DPA；建议聘请合规顾问出具意见书 |
五、常见误区
误区一：”我们公司小，不需要管数据合规。” TVP 资助审核与公司规模无关。审核员按项目类型判断合规要求，小公司同样适用 PDPO。
误区二：”供应商说数据在香港，就一定在香港。” 供应商口头承诺不具备审计效力。务必索取书面确认，并核对合同条款中的数据存储条款。
误区三：”项目结束就万事大吉。” TVP 项目结项后仍保留抽查权，数据保留期限、隐私政策的持续性都是后续合规要点。
误区四：”AI 工具调用一下 API 不算跨境。” 每次 API 调用都会触发数据出境。如果 prompt 中含个人资料、商业秘密或敏感字段，跨境传输事实成立。
六、合规准备时间表
| 阶段 | 关键动作 | 建议时长 |
|---|---|---|
| 立项前 | 评估项目是否涉及跨境与个人资料 | 1-2 周 |
| 建议书撰写 | 在”数据管理”与”合规”章节如实披露 | 与建议书同步 |
| 供应商签约 | 同时签署 DPA、SCC、保密协议（NDA） | 1-2 周 |
| 项目执行 | 定期复核数据流向与隐私政策 | 持续 |
| 最终报告与审计 | 准备合规证据包、隐私政策版本、DPA 履行记录 | 2-4 周 |
结语
科技券是一项以”提升中小企业科技应用”为目标的资助计划，但其审核逻辑已明显向数据合规倾斜。对中小企业而言，跨境数据合规不是”额外负担”，而是项目能否顺利立项、按时拨款、长期合规运营的基础。建议在准备 TVP 申请前，先完成一次内部的数据流向梳理与合规差距评估，再进入方案设计阶段。
香港大全 整理了更多香港中小企业资助、税务、注册与合规相关指南，欢迎访问获取完整内容。
常见问答
TVP 科技券申请会因为数据不合规被直接拒掉吗？
文章指出 TVP 资助本身并不直接审查数据合规，但生产局审核员会结合项目类型评估跨境带来的风险敞口。如果项目涉及跨境数据流动、个人资料处理，却未在建议书中如实披露数据流向或未准备相应合规文件，可能在立项、中期检查或尾款拨付阶段被要求补正，严重时会影响拨款进度。
什么情况下 TVP 项目会被认定为”跨境”数据流动？
只要项目使用的科技服务把公司内部数据、客户个人资料、系统日志、备份文件，或通过 SaaS、AI 模型 API、跨境电商平台同步、境外供应商远程运维等渠道，让数据落到香港以外的服务器，都属于跨境数据流动，文章建议在建议书中列出全部数据存储节点并保留供应商书面确认。
个人资料（私隐）条例（PDPO）对 TVP 申请有什么硬性要求？
文章强调 PDPO 是 TVP 申请表格中要求企业声明遵守的香港现行法例之一。只要项目处理的科技方案涉及香港居民的个人资料——例如 CRM、会员系统、考勤、营销自动化、人脸识别或定位追踪等——无论数据最终存储在哪里，都受 PDPO 约束；建议在建议书中体现六项保障原则，并准备覆盖所有处理场景的隐私政策。
内地与香港之间的数据传输，是否有现成的合规通道？
文章提到，TVP 申请中若项目涉及内地子公司或内地云，可参考《内地与香港关于数据跨境流动的合作安排》，内地与香港之间的数据跨境已设有”标准合同”或”安全评估”通道，具体适用情形以官方最新公布为准。
供应商数据处理协议（DPA）没签，会影响尾款吗？
文章指出 DPA 是企业证明自身履行”资料使用者”责任的核心证据。如果项目结束时审计发现供应商未签署 DPA 或内容空泛，审核员可能要求补签作为拨款前置条件、在最终报告中标注合规瑕疵影响尾款发放，严重情况下可能影响企业未来申请资格。建议在与供应商签约时将 DPA 作为合同附件同时签署，并保留签署版本至少 7 年。