採購代理服務前如何稽核資料駐留：供應商證據化評估指南
代理出口位於目標國家，只能回答路由位置這一個問題。它無法說明驗證事件在哪裡處理、請求中繼資料在哪裡保存、哪些支援團隊能查看診斷資訊、備份多久刪除，也不能說明次處理者是否接觸營運資料。對安全與採購團隊而言，「擁有某地區 IP」與「資料駐留在某地區」必須分開驗證。
以下方法把籠統的合規問卷改造成可留證、可複核的採購稽核，適用於已獲授權的網頁資料蒐集、市場研究、廣告驗證與應用測試。它不構成法律意見；實際義務取決於資料類型、參與者、所在地與處理目的。
先建立真實的資料流清單
不要從「你們是否合規」這種是非題開始。應按所選產品與整合方式逐層列出：帳戶與帳務欄位；憑證識別、來源位址與時間；代理平面的目的地主機類別、連接埠、流量、出口識別與工作階段鍵；控制台設定、允許清單與 API 操作；支援工單、診斷包與臨時存取；濫用調查與稽核事件；副本、災難復原與刪除延遲。
尤其要單獨詢問是否檢查或保存 URL、標頭、查詢參數、請求內容與回應內容。將每個欄位標記為必要、選用、衍生或禁止。若供應商無法精確定義某欄位，應記為「未知」，不能推定為「未蒐集」。
將六種位置分開記錄
「託管在歐洲」只有在範圍明確時才有意義。至少拆分：目標網站看到的代理出口；接收驗證連線的閘道；管理帳戶與工作階段的控制平面；日誌與分析資料的主要儲存區；備份及災難復原區域；員工與次處理者可遠端存取資料的位置。
即使資料靜態存放在一個地區，跨境遠端存取仍可能改變風險。應詢問其他地區的客服、安全或工程人員是否能查詢正式環境日誌，存取是否需要核准、是否留痕、是否自動失效。
建立「聲明—證據」登記表
供應商每一項聲明都應單獨成列，保留原文與核對日期。欄位包括產品與方案、涵蓋的資料類別與系統、儲存地區、存取地區、保留規則、刪除時限、次處理者、合約條款、技術證據、負責人、複核日期與狀態。
不要合併不同聲明。「不記錄流量」不等於不保留驗證、頻寬、濫用或支援日誌。「零日誌」只有在欄位、系統、例外與期限清楚後才可評估。
用合成標記驗證可觀察邊界
採購方通常無法直接檢查所有後端，但可驗證說明是否與產品可見行為一致。
使用專用試用帳戶、自己控制的測試目的地，以及不含個人或機密資訊的唯一合成標記。以小型矩陣覆蓋候選產品與區域，記錄連線時間、路由別名、目的地、工作階段模式、請求大小、回應類別與試驗編號。
接著檢查控制台、用量匯出、API、帳單、安全事件及支援流程，確認哪些試驗屬性會再次出現、粒度多細、延遲多久。可請客服依正常除錯流程定位一個標記，但不要提供不必要的正式環境權限。
這項測試不能證明後端不存在未揭露副本，但能建立可觀察證據，並把矛盾轉化為必須書面回答的問題。
驗證保留與刪除規則
完整保留說明必須包含觸發點、期限、範圍及刪除路徑。觸發點可能是建立、最後使用、關閉帳戶、關閉工單或合約結束；期限應為明確時長或可重複計算的規則；範圍要涵蓋主儲存、衍生分析、支援系統、匯出與備份；刪除路徑要區分自動到期、客戶請求、帳戶刪除與合法保留例外。
測試分兩階段：先確認試驗記錄按聲明出現；再超過最短承諾期限後，以受支援的查詢或匯出方式複核。備份方面應取得最長刪除延遲與復原後再次刪除的控制。控制台不再顯示，不代表所有實體副本均已刪除。
核對次處理者與變更機制
次處理者清單只有在映射到具體服務後才有價值。逐項記錄其功能、接觸資料、處理區域及是否適用於所選產品，並區分核心基礎設施、選用分析和客服工具。
合約或營運流程還應說明變更如何通知、提前多久、寄給誰，以及新增處理者顯著改變風險時客戶有哪些選擇。只有名單而沒有產品映射，只是調查入口，不代表稽核完成。
用三個情境檢查存取控制
請供應商分別說明：客服工程師排查驗證失敗；安全分析師調查疑似濫用；管理員匯出帳戶或用量資料。每個情境都要核對誰核准、是否最小權限、存取是否到期、查詢是否稽核、客戶能否取得紀錄，以及緊急存取如何複盤。
書面控制若能搭配去識別化稽核事件，或由涵蓋相關服務與期間的獨立查核支持，可信度更高。
依證據評分，而不是依承諾評分
每項採購要求使用 0—3 分：0 分為無答案或廣告口號；1 分為有書面聲明但缺少範圍及證據；2 分為有明確政策、合約或架構資料；3 分為資料之外還有可觀察試驗、稽核證據或可執行的合約控制。
權重隨工作負載敏感度調整。供應商即使地理覆蓋優秀，只要日誌欄位、客服存取或刪除邊界未釐清，仍可能不適合。商業價格也應與隱私及安全殘餘風險分開計算。
建議同時執行代理回應完整性測試、代理並行飽和測試及每次成功請求成本基準，形成治理、正確性、容量與成本四類證據。
採購放行檢查清單
- [ ] 產品、方案、區域與用途已明確。
- [ ] 出口、閘道、控制面、日誌、備份和存取位置已分開。
- [ ] 日誌欄位逐項命名，未以「中繼資料」籠統代替。
- [ ] 是否檢查或保存請求及回應內容已有明確答案。
- [ ] 保留規則含觸發點、期限、範圍與刪除路徑。
- [ ] 備份刪除延遲與復原控制已記錄。
- [ ] 次處理者已映射到功能、資料類別和區域。
- [ ] 支援與緊急存取均需核准、限時並留痕。
- [ ] 區域或次處理者變更有通知機制。
- [ ] 合成標記試驗與聲明行為一致。
- [ ] 未知項目均有負責人、期限和正式環境限制。
- [ ] 法務、隱私和安全團隊已按真實場景評估。
- [ ] 共享證據不含憑證與個人資料。
常見問題
出口 IP 所在地等於資料駐留地嗎？
不等於。出口只是一個網路位置，帳戶系統、遙測、客服工具、分析及備份可能走完全不同的路徑。
「不記錄流量」代表完全不保留資料嗎？
不一定。驗證、用量、濫用、設定和支援紀錄仍可能保留，必須取得欄位級定義與例外。
試用能證明供應商沒有隱藏資料嗎？
不能。它只能驗證可觀察行為並發現衝突。後端保證還需要明確文件、合約承諾與適當的獨立證據。
評估時可以傳送真實客戶資料嗎？
優先使用合成且非個人的標記。只有在核准和保護措施到位後，才使用最低必要資料進行接近正式環境的測試。
多久複核一次？
採購前、重大擴充前、區域或次處理者變更後都應複核，並按風險定期執行；高風險證據可至少每年重審一次，或依企業政策辦理。
合規說明
代理僅可用於合法且已獲授權的目的。遵守目標服務條款及速率限制，落實資料最小化並保護憑證，不得以路由規避存取控制或掩飾遭禁止的活動。不同司法管轄區與合約關係下的資料傳輸及駐留義務不同，具約束力的結論應由合格法律專業人士確認。
資料說明：歐洲資料保護委員會《第 05/2021 號指南：第 3 條與第五章國際傳輸規定的相互作用》，最終版，2023 年 2 月 24 日；歐洲委員會《標準合約條款》資料，2021 年 6 月 4 日發布，實務問答於 2022 年 5 月 25 日更新。
