客服外包数据安全合规清单：GDPR / 个人信息保护法 12 项必查（可直接复用）

客服外包数据安全合规听起来像律师的活儿——其实可以拆成 12 项可勾选的具体指标。幻想客服用 13 年合规经验把这件事工程化：本文整理出 12 项必查清单，按”签约前 / 合作中 / 合作结束”三个阶段分组，配每项的检查方式和合格标准。商家拿这份清单去对供应商，能筛掉不合格的供应商 + 把合作中的隐患提前消化掉。配合前两篇的「必问 8 个问题」+「数据安全架构」，合规专题三联完整收尾。

本文要点

• 12 项合规指标按 3 个阶段分组
• 每项的检查方式和合格标准
• 合规自检表（可下载复用）
• 出事时合规清单怎么救命

一、12 项总表

阶段	#	指标	重要级
签约前	1	平台官方资质	必查
签约前	2	第三方安全认证	推荐
签约前	3	合规清单覆盖	必查
签约前	4	数据流转图	必查
合作中	5	实时审计权	必查
合作中	6	权限分层执行	必查
合作中	7	操作日志保留	必查
合作中	8	应急响应 SOP	必查
合作中	9	培训与考核	推荐
结束	10	数据销毁证明	必查
结束	11	销毁覆盖范围	必查
结束	12	保密期延续	必查

💡 12 项里有 10 项是”必查”——任意一项不合格都意味着合规体系有漏洞。幻想客服内部每季度按这 12 项做一次自检，13 年走下来这套清单一直在迭代。

二、签约前 4 项（4 项）

2.1 # 1 平台官方资质

检查方式：要求供应商提供持有的平台官方服务商资质证书（截图 / 复印件）

合格标准：

• 主营业务覆盖的平台至少 2 家官方资质
• 资质在有效期内
• 资质对应的业务范围匹配你的需求

例如：跨平台运营商家应该要求至少 2 家平台资质；幻想客服持有抖音 / 天猫 / 京东 / 拼多多四家官方服务商资质，是这一项最直接的对标参考。

2.2 # 2 第三方安全认证

检查方式：要求出示 ISO 27001 / ISO 27701 等第三方认证

合格标准：

• ISO 27001 信息安全管理体系
• ISO 27701 隐私信息管理体系
• 行业相关认证（如 PCI DSS 涉及支付）

重要级：推荐（不是必须，但有比没有强）

2.3 # 3 合规清单覆盖

检查方式：要求供应商出具合规法规清单

合格标准：

• 国内：个人信息保护法 + 数据安全法 + 网络安全法 + 消保法
• 跨境（如适用）：GDPR + CCPA + 各市场本地法
• 平台合规：所服务平台的合规要求

2.4 # 4 数据流转图

检查方式：要求供应商提供”客户信息从平台到坐席终端的数据流转图”

合格标准：

• 能画出图（不能空口承诺）
• 每个环节标注：加密 / 网络隔离 / 操作日志
• 商家可索取详细技术文档

三、合作中 5 项（5 项）

3.1 # 5 实时审计权

检查方式：合同里查找”商家审计权”条款 + 实际试用

合格标准：

• 商家有任意时间审计权
• 提前 1 工作日通知即可
• 在线审计 + 现场审计都支持

3.2 # 6 权限分层执行

检查方式：抽查 10 个工单的”谁操作过”日志，看权限分配是否合规

合格标准：

• 至少 5 级权限（参架构篇）
• 一线坐席无导出 / 大额退款权限
• 异常操作触发审计预警

3.3 # 7 操作日志保留

检查方式：抽查某个日期的操作日志

合格标准：

• 完整保留 ≥ 2 年（GDPR 等要求）
• 关键操作可追溯到具体坐席
• 商家可调取自己店铺数据相关日志

3.4 # 8 应急响应 SOP

检查方式：要求供应商演示应急响应流程

合格标准：

• 四级事件分级清晰
• 各级响应时效有具体数字
• < 1 小时通知商家（无论级别）
• < 72 小时上报监管（按 GDPR 等要求）

3.5 # 9 培训与考核

检查方式：要求供应商出示坐席合规培训记录

合格标准：

• 新人入职合规培训 ≥ 4 小时
• 季度复训 ≥ 2 小时
• 培训考核通过率有数据

重要级：推荐

四、合作结束 3 项（3 项）

4.1 # 10 数据销毁证明

检查方式：合同结束 30 天内，要求供应商出具销毁证明

合格标准：

• 出具书面销毁证明
• 含销毁时间 / 方法 / 范围
• 商家可在销毁前申请数据导出备份

4.2 # 11 销毁覆盖范围

检查方式：销毁证明里查”销毁了什么”

合格标准：

• 工单系统数据
• 备份介质（生产 + 异地）
• 坐席本地缓存
• 第三方系统的数据（如 BI / 数据中台）

4.3 # 12 保密期延续

检查方式：合同里”保密义务期限”条款

合格标准：

• 合同结束后保密义务延续 ≥ 3 年
• 适用所有员工（含已离职）
• 违反保密责任写明赔偿条款

五、合规自检表（推荐用法）

把这 12 项整理成清单，按 3 个阶段分别走：

5.1 签约前自检（4 项）

#	检查项	状态（✅/❌/⚠️）	备注
1	平台官方资质
2	第三方安全认证
3	合规清单覆盖
4	数据流转图

所有”必查”项必须 ✅ 才签合同。

5.2 合作中半年自检（5 项）

每 6 个月走一次：

#	检查项	状态	备注
5	实时审计权
6	权限分层执行
7	操作日志保留
8	应急响应 SOP
9	培训与考核

5.3 合作结束自检（3 项）

合同终止后 30-60 天走：

#	检查项	状态	备注
10	数据销毁证明
11	销毁覆盖范围
12	保密期延续

六、出事时合规清单怎么救命

数据安全事件爆发时，这 12 项的检查记录是商家自我保护的关键证据：

• 监管调查时：证明商家已尽合规义务
• 客户索赔时：证明商家选择的供应商有合规体系
• 民事诉讼时：证明商家与供应商分清责任
• 公关危机时：可对外说明商家的合规态度

💡 幻想客服 13 年沉淀下来的一条经验：出事时合规检查记录比 PR 稿管用 100 倍。

七、常见问题

Q1：这 12 项检查需要多少时间？

签约前 4 项：1-2 小时 半年合作中 5 项：3-4 小时 结束 3 项：1 小时

总计：每年大约 10-15 小时——但能避免 80% 合规事件。

Q2：商家自己没法查的怎么办？

可以请第三方合规咨询公司协助。也可以请供应商主动出具检查报告 —— 透明的供应商通常愿意配合。

Q3：12 项一项不合格能签合同吗？

必查 10 项里任一项不合格都不应该签。推荐 2 项（# 2 # 9）有一项合格就可以接受。

Q4：合规要求会不会让外包价格大幅上涨？

不会。合规是基础设施，做到一次就摊薄到所有商家。幻想客服 10 万+ 商家的合规建设成本均摊到每个商家，年增加不到 2%。

Q5：幻想客服自己的 12 项自检结果？

12 项全部合格。意向商家可以申请查看我们的完整自检报告。

写在最后

合规不是律师的事——是商家选型 + 日常管理的标准动作。幻想客服用 13 年合规经验把这件事拆成 12 项可勾选的清单，今天免费给你做参考。配合前两篇的「必问 8 个问题」+「数据安全架构」，合规专题三联完整收尾——商家在客服外包数据安全这件事上的工具基本齐了。