TG咨询移动应用上云后，数据可能经过应用容器、数据库、对象存储和监控系统。判断谁能决定数据用途、谁按指令处理、出了问题谁负责，比只看服务名称更重要。核对移动应用云运行服务的责任共担模型与数据控制者界定，建议从以下五项逐条落实。
一、先按实际行为界定角色
合同写谁是“控制者”并不能单独定性。欧盟《通用数据保护条例》（GDPR）以控制者和处理者区分决定处理目的、方式的一方与受指示处理的一方；中国《个人信息保护法》使用“个人信息处理者”和“受托处理”等概念。具体适用规则取决于业务和所在地，不能把不同法律术语简单等同。
例如，应用运营方决定收集哪些账户资料、用于何种功能，通常需要评估其个人信息处理者责任；云服务商若只按约提供计算、存储和运维，可能属于受托处理方。但服务商若为自身安全运营而独立使用部分日志，该部分用途需另行评估。核对移动应用云运行服务的责任共担模型与数据控制者界定时，应按每项数据处理活动判断，而非给整家公司贴一个标签。
二、把数据范围和用途写成清单
采购前制作数据流清单，至少记录数据类别、来源、用途、存放位置、接收方和保留规则。以一个常见架构为例：移动端请求进入云端应用容器，账户信息写入PostgreSQL，附件进入对象存储，运行日志进入监控系统。逐一确认数据库字段、对象存储桶、日志字段是否包含个人信息或业务敏感内容。
- 按注册、登录、核心功能、故障排查等场景标注必要数据。
- 区分生产、测试和分析用途；测试环境优先使用合成数据或去标识化数据。
- 在合同附件中列出处理目的、数据类别、指令方式及保存、删除要求。
数据清单还应覆盖备份和日志。只检查主数据库，容易漏掉日志中的账号标识、请求内容或错误堆栈。
三、明确谁能访问，谁掌握密钥
责任共担不等于责任平均分配。云厂商一般负责其服务基础设施的安全措施，客户仍需管理应用配置、账号权限和数据使用；具体边界要以所购服务类型和合同为准。核验控制台中的角色权限、运维访问审批、操作审计记录，以及密钥由谁创建、轮换和撤销。
可执行的权限检查
- 列出开发、运维、客服等角色，只授予完成工作所需权限。
- 确认服务商支持何种运维访问审批与审计，并约定紧急访问后的复核流程。
- 比较服务商托管密钥与客户管理密钥：前者配置较省事，后者控制更强，但客户需承担密钥保管、轮换和恢复责任。
不要仅凭“加密存储”判断控制权；还要问清传输加密、备份加密、密钥撤销后的影响，以及服务商人员在何种条件下能够接触明文。
四、核对分包、地点和跨境路径
列出实际参与处理的子处理方及其服务用途，例如云端日志、邮件发送或推送环节。确认服务商是否须事先通知分包变更、是否对分包方施加同等保护义务，以及企业能否提出异议或终止服务。
还要区分数据中心所在地区、备份所在地和远程运维人员可能访问的地点。所谓数据驻留不一定覆盖所有副本或支持访问。涉及跨境提供个人信息时，应根据适用法律评估告知、授权、合同或其他合规要求，不要把“区域可选”直接当作已完成合规。
五、把事件处理和退出写进合同
发生泄露、误删或服务中断时，运营方需要及时获得足够信息以评估影响；服务商则应按约协助调查、保全日志并提供处置进展。合同应明确通知渠道、所需事件资料、双方联系人和配合方式。法定报告或通知时限因适用法律和事件情况而异，不能用一个固定时限替代评估。
退出同样是数据控制的一部分。提前确认导出格式、迁移协助、主副本删除、备份到期清除及删除证明的提供方式，并在签约前验证关键数据能否读取。这样才能让移动应用云运行服务的责任共担模型与数据控制者界定落到可检查的流程，而不只停留在合同术语。
常见问题
云服务商是不是一定属于受托处理方？
不是。若服务商按企业指令处理数据，可能属于受托处理方；若其对某项数据另行决定用途，则需针对该活动单独判断。
责任共担模型能否替代合同审查？
不能。模型可说明服务边界，合同仍需写明数据范围、双方义务、分包、事件协助和终止后的删除安排。
采购前最值得索取什么材料？
优先索取数据处理条款、分包方信息、数据存放与备份说明、访问审计能力及退出删除流程，再与自身数据流清单逐项核对。