TG咨询同一项移动应用运行服务，可能处理设备标识符、推送令牌、诊断日志或用户提交的内容；这些数据的用途和保存期限并不相同。审查移动应用运行服务的客户数据处理协议，不能只看“提供技术支持”之类的概括表述，而要核对每类数据由谁、因何目的、处理多久，以及合同终止后如何处置。
先把服务流程拆成可核对的数据清单
先依据服务说明、配置页面和数据流图列清单，再逐项对照协议附件。不要仅依赖供应商提供的宽泛数据类别。
- 数据类别：区分账户信息、设备或网络信息、运行日志、用户主动提交的内容及敏感信息。设备标识符不应与姓名、联系方式混为一类。
- 处理动作：写明收集、存储、查询、传输、分析、备份和删除中实际发生的操作；没有发生的动作不应靠模板默认带入。
- 服务边界：区分核心服务与可选功能。比如，应用运行诊断与向用户发送营销推送不是同一目的，不能用一个“改善服务体验”笼统覆盖。
- 参与方：确认客户、服务商及分包商各自能访问什么数据，是否会将数据转交给其他服务商。
如果协议附件只写“必要业务数据”，应要求列明字段或类别、来源、目的、接收方和保留规则。还要检查服务商是否将数据用于独立产品分析、广告或模型训练；若有，须单独说明依据和责任，不能混写成受客户指示处理。
把目的、指示和变更机制写具体
合格条款应把每个处理目的对应到服务功能，并约束服务商仅按客户书面指示处理数据。移动应用运行服务的客户数据处理协议审查要点之一，是判断“服务改进”“安全保障”等措辞是否过宽：它们应能对应到明确的数据类型、处理方式和必要范围。
用功能场景验证目的边界
例如，应用使用推送功能时，可核对推送令牌由谁接收、用于投递还是也用于其他分析，以及用户关闭推送后哪些处理停止。若服务商新增用途、改变数据接收方或启用新的分包商，应约定提前通知、客户提出异议的渠道，以及无法达成一致时暂停相关功能或终止服务的安排。客户也应避免向服务商发送完成服务并不需要的字段。
留存期限要覆盖主数据、备份与退出
协议若只约定“按业务需要保存”，责任边界仍不清楚。应分别规定在线数据、运行日志、备份数据和安全事件记录的保存期限或确定期限的方法，并写明起算点，例如数据生成、工单关闭或合同终止。保存时间应与具体目的相称；法律或安全要求需要额外留存时，应说明适用数据、原因和期限，不能默认为无限期保存。
- 标明合同终止或服务停止后，客户可以选择导出并要求返还，或要求删除。
- 约定完成删除的期限、例外情况及书面确认方式；对备份数据说明删除周期和恢复后再次删除的措施。
- 确认删除范围包括服务商控制的副本及分包商持有的副本；依法不能删除的部分应隔离使用，并在法定留存期结束后处置。
不要把“从生产环境删除”直接等同于全部销毁。备份轮换周期、日志系统和分包商副本都可能影响实际完成时间，合同应要求服务商说明并落实这些环节。
责任条款要能落到双方的操作上
客户通常负责确定处理目的、确保数据来源和指示合法，并管理自身应用权限；服务商则应保护其受托处理的数据、限制授权人员访问、协助处理数据主体请求和安全事件，并约束分包商。协议应写明事件通知的触发条件、通知对象和所需信息，避免只写“及时通知”而没有可执行要求。
审阅时可按“条款—证据—负责人”做一张核对表：数据清单对应配置或接口说明，分包商条款对应现行名单，安全义务对应审计资料或控制说明，删除承诺对应退出流程。移动应用运行服务的客户数据处理协议审查要点还包括责任限制与赔偿条款：应检查其是否与保密、安全、分包和删除义务相互矛盾，并结合适用法律及双方议价能力评估，不宜仅凭一个责任上限判断风险。
常见问题
协议附件没有字段清单，可以签吗？
先补充数据类别、来源、用途和接收方；确实无法逐字段列明时，也应给出可验证的分类和更新机制。
分包商名称变动，必须逐家签字同意吗？
取决于适用规则和合同安排。至少应明确事先通知、异议期限、替代方案及无法接受时的退出权。
合同终止后，备份能否晚于在线数据删除？
可以约定不同完成期限，但要写清备份保留原因、访问限制、轮换或删除安排，以及恢复时的处置要求。
服务商能否把汇总数据用于产品改进？
先核实汇总后是否仍可识别个人或关联客户，并要求明确用途、去标识处理标准和禁止反向识别等限制；“汇总”这个名称本身不代表风险已经消除。