供應商有 ISO 27001 證書，不等於你把個資或營運系統交給它之後，品牌就沒有管理責任。 證書是評估輸入之一；真正要確認的是服務範圍、資料接點、實際控制與例外處理。
先列清楚誰碰得到什麼資料
電商品牌最容易忽略的不一定是購物車，而是購物車以外的資料副本：CRM、廣告受眾、LINE 工具、簡訊平台、物流服務、客服外包與 Excel 匯出。
| 問題 | 應保留的資料 |
|---|---|
| 委外廠商處理什麼資料？ | 資料類型、用途、接口、資料流向圖 |
| 為什麼需要存取？ | 商業目的、契約與最小必要性判斷 |
| 權限怎麼授予和撤銷？ | 帳號清單、核准／停權紀錄 |
| 出事時多久通知？ | 契約條款、聯絡窗口、演練或事故紀錄 |
| 合約結束資料怎麼處理？ | 返還／刪除約定與可取得的完成證據 |
三種常見錯誤
錯誤一： 只蒐集供應商 ISO 證書，未確認認證範圍是否涵蓋實際購買的 SaaS 服務。
錯誤二： 契約寫「供應商應確保資料安全」，卻沒有事故通知、分包、停用與刪除的具體作業方式。
錯誤三： 停用一套行銷工具後沒有處理舊資料副本，幾個月後還能從前任代理商帳號下載名單。
不要把查核做成供應商填問卷比賽
一份 200 題問卷若沒有重要性排序，也沒有誰負責追蹤，很容易只增加雙方行政負擔。先區分高風險委外：大量會員資料、特權系統權限、跨境傳輸、關鍵營運功能，再決定抽樣與查核頻率。
對高風險供應商，可以要求與其承諾相符的證據，例如證書和驗證範圍、第三方報告可揭露部分、存取日誌能力、事故通知流程以及合約終止時的資料處理說明。
平台不提供操作日誌怎麼辦？
把「無法取得」記錄為查核受限，與供應商確認可用的替代證據、留存期間與改善可能性。不能因為平台沒提供，就自行生成一份不存在的日誌。
導入 ISO 的企業可把委外風險串接風險評鑑、適用性聲明與定期內稽；純粹想確認品牌端個資現況的企業，也可先做範圍較小的資料流與證據盤點。
新增、續約、終止三個時間點都需要查
新增供應商： 查服務涉及哪些資料與權限、是否有分包商、取得哪些合約承諾及稽核資訊。
續約或重大變更： 查系統／資料流是否改變，事故通報時限、保存政策和證書範圍有沒有異動；必要時針對高風險事項重新評估。
終止合作： 撤銷帳號和 API 金鑰、停止自動同步、取得資料返還／刪除佐證，並確認備份或法定保存例外如何處理。沒有終止程序，供應商清冊就只是採購名單，不是資料風險管理。
資料來源：ISO/IEC 27001、台灣個資法與施行細則。
委外供應商初審用的 8 個問題
不必一開始寄給所有廠商一份上百題問卷，先分辨服務到底會碰到什麼資料與系統，再問：
- 廠商是否直接接觸個資或只提供不含客戶資訊的工具？
- 哪些系統、帳號與資料類別會交給廠商處理？
- 外包商是否另有子處理者？如何告知重要變更？
- 可以提供哪些安全措施摘要、驗證範圍或稽核結果？
- 事故發生時透過誰、何時及什麼管道通知？
- 誰能要求暫停處理、刪除副本或撤銷權限？
- 合約終止時的資料返還、備份清除及查核方式如何安排？
- 本公司誰負責定期重新確認，會留什麼紀錄？
答不出來應記為待澄清，不是自動把所有廠商判成高風險。 若對方處理個資，還需要回到適用法令與契約界定委外監督。台灣企業可參考 個資法施行細則第 8 條。
同主題延伸閱讀：ecommerce outsourcing personal data supervision、platform responsibility。