第三方处理者披露指南

披露真实运营情况

处理者披露应反映当前真正用于运行产品的工具，而不是首次上线时的旧清单。常见遗漏包括客服组件、会话回放、产品分析、支付、邮件、AI API、日志和云基础设施。

审查应从证据出发：软件配置、标签管理器、后端集成、支付与邮件流程、OAuth、客服软件及基础设施账户。可追溯到真实系统的公开文本更可信。

只有供应商名称通常不够。披露应连接供应商或接收方类别、用途、数据类别，以及适用时的位置和传输背景。

支付服务可能处理账单标识和交易元数据，而错误监控工具可能接收设备信息与诊断上下文。两者风险不同，不应合并成模糊的“服务提供商”表述。

并非所有第三方都具有相同隐私角色。有些仅依照书面指示处理数据，有些则可能因自身法律义务或服务目的成为独立控制者。

支付服务、应用市场、身份提供商和通信平台的角色可能因产品而异。合同和通知不应错误承诺所有接收方都只是处理者。

一般授权模式下，处理者应在新增或替换次级处理者前通知控制者，使其有机会提出异议。因此许多 SaaS 公司维护公开的次级处理者页面。

实用清单应包含名称、用途、位置背景以及隐私或数据处理资料链接，并说明客户如何订阅变更通知。

新增分析 SDK、客服平台、AI 功能或邮件服务时，隐私材料最容易被遗忘。

供应商审查应成为发布准备的一部分。产品、工程、法务和安全团队需要共同记录工具、数据类别、用途、传输机制、合同状态和公开披露影响。