# 支付合规：SaaS 的 GDPR 和 PSD2 义务

> 了解 GDPR 和 PSD2 如何影响你的 SaaS 支付流程。涵盖数据处理义务、强客户身份验证，以及 MoR（名义商户）如何简化合规。
- **Author**: Ayush Agarwal
- **Published**: 2026-04-15
- **Category**: Compliance
- **URL**: https://dodopayments.com/blogs/zh/payment-compliance-gdpr-psd2

---

如果你向欧洲客户销售产品，有两项法规会影响你的支付处理方式：GDPR 和 PSD2。GDPR 规定了你如何收集、存储和处理个人数据，包括支付数据。PSD2 要求欧洲经济区内的在线支付进行强客户身份验证。

不合规会面临高额处罚。GDPR 罚款最高可达全球年度营业额的 4%。不遵守 PSD2 则可能导致交易被拒，以及潜在的监管行动。

对于面向全球销售的 SaaS 公司来说，了解这些法规并非可选项。本指南将介绍你需要了解的内容，以及如何在不组建法务部门的情况下实现合规。

## GDPR 与支付数据

《通用数据保护条例》将支付信息视为个人数据。卡号、账单地址、交易历史，甚至支付行为模式，都属于 GDPR 的保护范围。

### GDPR 对支付数据的要求

- **处理的合法依据**：你需要为收集支付数据提供法律依据（购买交易以履行合同为依据，防范风控以合法利益为依据）
- **数据最小化**：只收集实际需要的支付数据
- **目的限定**：支付数据只能用于声明的目的（处理支付，而不是无关的营销活动）
- **存储期限限制**：保存支付数据的时间不得超过必要期限
- **删除权**：客户可以请求删除其支付数据（但须遵守法定留存要求）
- **数据泄露通知**：在 72 小时内向监管机构报告支付数据泄露
- **数据保护影响评估**：高风险处理活动必须进行评估

```mermaid
flowchart TD
    A[客户进行支付] --> B{你收集哪些数据？}
    B -->|"卡号、CVV"| C[高敏感度 - 尽量减少存储]
    B -->|"账单地址、电子邮件"| D[个人数据 - 适用 GDPR]
    B -->|"交易历史"| E[个人数据 - 有留存期限限制]
    C --> F[使用令牌化 - 绝不存储原始卡数据]
    D --> G[记录处理的合法依据]
    E --> H[设定留存期限并自动删除]
```

### 支付场景下的 GDPR 实际合规措施

**使用令牌化**：绝不存储原始卡号。使用支付服务商提供的令牌。由于没有支付服务商的解密密钥，令牌无法识别个人，因此在 GDPR 下不属于个人数据。

**尽量减少数据收集**：只收集完成交易所需的数据。不要存储 CVV 代码，也不要保留完整卡号。

**记录你的处理活动**：维护一份处理活动记录（ROPA），其中包括支付数据处理活动。

**更新隐私政策**：明确说明你收集哪些支付数据、收集原因、保存期限，以及会与哪些对象共享（支付处理商、[MoR（名义商户）](https://dodopayments.com/blogs/what-is-a-merchant-of-record)等）。

> 对支付数据而言，最简单的 GDPR 策略就是不持有这些数据。当 MoR（名义商户）处理支付时，它是卡信息的数据控制者。你的应用只会收到令牌和交易确认信息----这些数据带来的 GDPR 风险极低。
>
> - Ayush Agarwal，Dodo Payments 联合创始人兼 CPTO

## PSD2 与强客户身份验证

《支付服务指令 2》（PSD2）是一项欧盟法规，其中一项要求是在线支付必须进行强客户身份验证（SCA）。

### 什么是强客户身份验证？

SCA 要求在线支付至少使用以下三类因素中的两类进行身份验证：

- **客户知道的信息**：密码、PIN
- **客户拥有的物品**：手机、硬件令牌
- **客户本人的特征**：指纹、人脸识别

实际操作中，这通常意味着使用 [3D Secure 2（3DS2）](https://dodopayments.com/blogs/3d-secure-3ds-payment-authentication)进行身份验证：客户的银行会发送推送通知或短信验证码，以验证交易。

### SCA 适用的场景

以下情况必须进行 SCA：

- 欧洲经济区内由客户发起的在线支付
- 将银行卡添加到数字钱包
- 新订阅的首次支付

### SCA 豁免

并非每笔交易都需要 SCA。常见的豁免包括：

| 豁免类型       | 条件                              |
| -------------- | --------------------------------- |
| 小额交易       | 低于 30 EUR                       |
| 定期支付       | 首次通过身份验证的支付之后        |
| 受信任的收款方 | 客户已将你列入白名单              |
| 低风险交易     | 支付服务商进行交易风险分析（TRA） |
| 商户发起的交易 | 订阅续费、按使用量计费            |

对于 [订阅业务](https://dodopayments.com/blogs/subscription-pricing-models)，SCA 适用于首次支付。后续续费由商户发起，只要首次支付已完成身份验证，通常即可豁免。

### SCA 对转化率的影响

SCA 会增加结账流程的阻力。身份验证步骤（打开银行应用、输入验证码）会导致用户流失。研究显示，在需要身份验证的交易中，SCA 会使转化率降低 5%-15%。

要将影响降至最低：

- 使用 3DS2（体验比 3DS1 更顺畅）
- 在符合条件时申请豁免
- 优化你的[结账流程](https://dodopayments.com/blogs/checkout-optimization)，减少其他阻力点
- 使用能够自动处理豁免申请的支付服务商

## MoR（名义商户）如何简化合规

[MoR（名义商户）](https://dodopayments.com/blogs/merchant-of-record-for-saas)可以大幅简化 GDPR 和 PSD2 合规：

### GDPR

- MoR（名义商户）是支付数据的数据控制者，而不是你
- 卡数据保存在 MoR（名义商户）符合 PCI 标准的基础设施中
- 你只会收到令牌和交易确认信息
- MoR（名义商户）负责处理与支付数据相关的数据主体请求
- MoR（名义商户）会为支付处理维护自己的 ROPA 和 DPIA

### PSD2/SCA

- MoR（名义商户）实施 3DS2 并处理身份验证流程
- MoR（名义商户）会自动申请 SCA 豁免
- MoR（名义商户）管理定期支付的身份验证
- 你无需构建或维护 SCA 流程

[Dodo Payments](https://dodopayments.com)会将符合 GDPR 的数据处理和 PSD2/SCA 身份验证作为其[MoR（名义商户）服务](https://dodopayments.com/blogs/best-merchant-of-record-platforms)的一部分提供。

## 除 GDPR 和 PSD2 之外：其他支付法规

如果你面向全球销售，还需要遵守其他法规：

- **[欧盟数字服务税](https://dodopayments.com/blogs/eu-digital-services-tax)**：向欧盟消费者销售数字服务所涉及的税务义务
- **RBI 法规（印度）**：对存储卡数据的限制，以及对 [UPI](https://dodopayments.com/blogs/upi-payments-global-business) 和境内处理的要求
- **PCI DSS**：全球卡数据安全标准（参阅我们的 [PCI 合规检查清单](https://dodopayments.com/blogs/pci-compliance-checklist-saas)）
- **CCPA（加利福尼亚州）**：适用于加利福尼亚州居民的、类似 GDPR 的法规
- **LGPD（巴西）**：影响支付数据的巴西数据保护法

在[220 多个国家和地区](https://dodopayments.com/blogs/global-billing)运营的 MoR（名义商户）会负责管理各市场的当地法规合规，帮助你免于跟踪数十个司法管辖区的监管变化。

## SaaS 公司的合规检查清单

### GDPR 支付合规

- [ ] 记录处理支付数据的合法依据
- [ ] 实施数据最小化（进行令牌化，不存储原始卡数据）
- [ ] 为支付记录定义并执行数据留存期限
- [ ] 在隐私政策中说明支付数据处理活动
- [ ] 确保支付处理商拥有充分的数据处理协议
- [ ] 针对支付数据实施泄露通知流程
- [ ] 处理与支付数据相关的数据主体访问和删除请求
- [ ] 维护包含支付流程的处理活动记录

### PSD2/SCA 合规

- [ ] 为欧洲经济区客户交易实施 3DS2
- [ ] 在符合条件时申请 SCA 豁免，减少结账阻力
- [ ] 对首次订阅支付进行身份验证，续费使用商户发起的交易
- [ ] 使用欧洲测试卡测试 SCA 流程
- [ ] 监控与 SCA 相关的拒付率并进行优化

如需了解相关合规主题，请参阅我们的指南：[MoR（名义商户）法律合规](https://dodopayments.com/blogs/merchant-of-record-legal-compliance)、[电子商务销售税](https://dodopayments.com/blogs/ecommerce-sales-tax-compliance)和[跨境税务挑战](https://dodopayments.com/blogs/top-sales-tax-challenges-for-cross-border-businesses)。

## 合规的入驻环节

GDPR 和 PSD2 规定了你开始运营后如何处理数据和验证支付。除此之外，在此之前还有第三套规则适用：反洗钱规则要求你的服务商核实你的身份。

实际操作中，服务商会根据官方登记信息识别法律实体，将所有权链追溯至自然人，对所有相关人员进行制裁名单和政治公众人物名单筛查，并确认申报的业务与线上网站一致。这不是可自行决定的事项，也不能为了加快流程而豁免。

我们的 [KYB 验证指南](https://dodopayments.com/blogs/kyb-verification)介绍了所需文件，以及后续定期重新验证的流程----这是大多数团队上线后最容易忽略的环节。如需了解并行开展的商业风险审查，请参阅[商户承保审核](https://dodopayments.com/blogs/merchant-underwriting-explained)。

## 常见问题

### GDPR 是否适用于非欧盟客户的支付数据？

只要你处理的是欧盟/欧洲经济区个人的数据，无论你的企业位于何处，GDPR 都适用。如果你向欧盟客户销售产品，GDPR 就适用于他们的支付数据。对于非欧盟客户，GDPR 不适用，但其他隐私法律（如 CCPA、LGPD 等）可能适用。

### 我是否需要与支付服务商签订数据处理协议？

需要。根据 GDPR，如果你的支付服务商代表你处理个人数据（作为数据处理者），你就需要签订 DPA。大多数服务商会在服务条款中包含相关协议。如果你使用 MoR（名义商户），对支付数据而言，它通常是数据控制者，这会改变双方的法律关系，但你仍应进行确认。

### PSD2 如何影响订阅计费？

PSD2 要求对订阅的首次支付进行 SCA。后续定期扣款被视为商户发起的交易，只要首次支付已正确完成身份验证，就可以豁免 SCA。如果银行卡被重新签发，或订阅金额发生较大变化，可能需要重新进行身份验证。

### 根据 GDPR，我可以存储交易历史吗？

可以，但有限制。你有合法依据（税务和会计记录的法律义务）按照税法要求的期限（通常为 5-7 年）保留交易记录。不过，你不应保留超出必要范围的详细信息，并应在留存期限届满后删除记录。

### 如果我不为欧盟支付实施 SCA，会发生什么？

客户的银行会拒绝交易。SCA 由发卡行执行，因此不合规的交易会直接被拒绝。这会导致欧盟客户的拒付率上升，直接影响你在这一全球最大数字市场之一的收入。

## 最后

对于向欧洲销售产品的 SaaS 公司来说，遵守 GDPR 和 PSD2 不容妥协。最简单的方式是使用一家 MoR（名义商户），由其负责支付数据处理、SCA 身份验证以及所有市场的监管合规。

如需获得包含符合 GDPR 的数据处理、PSD2/SCA 和全球税务合规在内的支付基础设施，请访问 [Dodo Payments](https://dodopayments.com)，并查看[定价](https://dodopayments.com/pricing)。
---
- [More Compliance articles](https://dodopayments.com/blogs/category/compliance)
- [All articles](https://dodopayments.com/blogs)