数据安全合规：外包和技术服务商手里的数据怎么管

不少企业的数据合规工作只盯着内部：账号权限管了、加密做了、备份有了，却漏了一块——代账机构、软件服务商、云厂商、短信和营销外包手里都拿着企业的数据，这部分往往没人管。数据合规的漏点，多半在合作方这一侧。

先盘点谁在碰你的数据

把与企业有数据往来的服务商列一遍：代理记账机构掌握财务和员工信息，软件服务商能碰到业务库，云厂商托管全部系统数据，营销外包拿客户名单。对每一家，问清楚三件事：接触哪些数据、数据存在哪里、处理依据是什么合同。盘点结果列成一张表，数据范围、存储位置、联系人、合同编号写清楚，这张表本身就是合规留痕。

委托处理要约定清楚，别用模板糊弄

把数据交给外部机构处理，在法律上属于委托处理。按《个人信息保护法》第二十一条，委托方要与受托方约定处理目的、处理方式、个人信息种类、保护措施以及双方权利义务，并监督受托方的处理活动；受托方不得超出约定范围处理，不得擅自转委托。

监督也不是签完合同就结束，对接触敏感数据量大的受托方，可以约定年度核查或抽查，发现问题按违约责任处理。落到合同上，至少写清这几条：不得超范围使用、不得转给第三方、员工个人信息处理要符合授权范围、合作终止后删除或返还数据、配合企业响应员工的查询更正删除请求。模板条款往往只写了保密，没写处理边界，出事时兜不住。

换服务商和项目结束时，权限和数据一起收

服务商的人员流动、项目结束、更换代账或软件供应商，都是数据风险高发点。项目收尾时做数据交接，让服务商签字确认数据已删除或返还，备份归属写进合同；服务商那边的账号权限及时回收，别让人走了一年后还能登录你的系统。企业自己这边，员工离职当天冻结账号、回收权限。对中小企业来说，把外部合作方的数据管住，数据安全合规才算完整，应付客户审查和招标核查时才拿得出东西。

这项管理不是一次性工程，服务商清单和数据范围要按年更新，合同续签时把数据条款重新过一遍。企业规模不大，用一张简单的台账就能管住：哪家服务商、接触什么数据、合同何时到期、上次核查日期，几列记清楚。台账在手，内部审计和客户尽调来的时候，几分钟就能讲明白数据都放在谁手里。