第三方服务与外包管理规则

一、哪些外部服务需要检查

云服务器、AI、邮件、代码托管、统计、支付等服务，以及参与项目的外包人员，都可能接触客户资料或影响系统运行。项目负责人应在使用前登记并取得批准。免费工具、试用账号和浏览器插件也执行同样要求，不能因为没有采购费用就直接使用。

可以访问生产环境、处理保密资料或支撑关键业务的服务，必须重点检查。只处理公开资料的工具，也要确认资料是否允许使用，并防止把客户批注、联系方式等非公开内容一起上传。

二、接入前查清六件事

项目负责人应保存对应的合同、条款或书面回复，标明来源和核对日期。材料必须适用于实际使用的产品及账号；企业API的约定不能自动套用到个人网页版。

销售人员的口头承诺与合同不一致时，应核实后再决定是否接入。供应商的认证也只能证明其相应范围，不能写成我方已取得认证。

三、先约定责任，再发送客户数据

涉及客户资料时，协议应写清处理目的、数据种类、使用方式和期限，以及保密、访问权限、安全事件通知、监督配合、数据返还和删除要求。供应商继续交给其他单位处理，或改变处理地区时，须按项目约定及法律要求完成相应授权和手续。

受客户委托处理个人信息的项目，不能擅自再交给其他服务商。项目负责人应先核对客户授权，明确我们和供应商各自的责任；普通采购订单不能代替所需的数据处理约定。

涉及AI时，要明确服务商是否会把输入和输出用于训练、测试或改进产品，以及是否有人员查看和额外保存。客户要求不得用于训练，而服务商不能作出适用承诺的，就不得向其发送这些客户数据。具体按AI使用规则执行。

使用云服务时，应分别写清机房、硬件、操作系统、应用、数据和账号由谁维护。出现故障后，按分工立即处理，不等到事后再讨论谁负责。

四、控制技术接入和外包权限

开发和运维人员应为每项服务使用独立凭据，只开放需要的接口、数据和存储目录，并限制有效期及调用额度。试用账号转为生产前，重新检查用途、权限和费用。还要通过实际调用确认设置有效，检查请求、日志和文件删除结果。

外包人员接触项目之前，应确认身份、工作范围、保密义务、培训和设备要求。按任务分配个人账号及到期时间，禁止共用公司个人管理员账号，也不得将资料继续转给未经批准的人。

外包交付的代码、文件和配置，由我方继续负责审查、测试及验收。任务结束后，撤销其访问并确认资料归还或清理。

五、使用期间定期复查

关键服务至少每季度检查重要通知、费用、配额和账号状态；至少每年重新检查条款、数据去向、安全材料及停止使用的方案。其他服务按风险安排检查。更换模型、产品、账号方案或处理地区前，应重新核对，必要时先取得客户确认。

发现服务商扩大数据用途、异常访问、连续故障或安全保障失效时，项目负责人应立即限制新的数据发送，并与安全负责人判断是否暂停。要求供应商说明已受影响的数据、时间、措施和后续处理，同时向客户提供已核实的信息。

关键服务应有可执行的故障办法，例如切换替代服务、临时人工处理或暂停相关功能。要核对切换所需的时间、费用、数据格式和权限。暂时没有替代方案的，应把影响和处理安排提交负责人决定，不能只写“可随时替换”。

六、停止使用与记录保存

停止服务前，项目负责人应核对未结费用，导出需要保留的数据，并验证文件可读、内容完整。随后撤销接口密钥、子账号、第三方授权和外包访问，关闭自动任务及回调。

要求服务商按约定清理上传文件、调用记录、搜索索引和缓存。备份暂时不能逐条删除的，记录停止使用和最终清除期限。保存服务商回复及我方检查结果；没有确认删除的部分，要继续跟进，不能直接写成全部删除。

合同、授权、检查和退出记录应在内部限制访问。向其他处理者提供或委托处理个人信息和重要数据的情况记录，按《网络数据安全管理条例》至少保留3年。向客户提供材料时，仅提供其项目所需且有权披露的内容。