家电企业交付客服方言录音前，应将允许的标注任务、输出内容和使用期限写清，并约束录音切片、转写文本、标签及其他派生数据的去向。供应商不得凭“改善算法”一句话，把受托标注的数据留作自有模型训练、其他客户服务或公开展示。若确需增加用途，应先核验新的处理依据和个人权益要求，再决定是否调整协议；企业签字不能替代依法应当取得的个人同意。

标注一段报修对话，究竟授权了什么

假设顺德一家家电企业希望客服系统听懂粤语中的故障描述，将售后通话交给算法公司转写并标注故障类别。采购订单写着“方言识别优化”，附件却允许供应商永久保留样本用于产品研发。这个示例中的两处表述，会造成不同理解：企业想拿回一批转写结果，供应商却准备积累可反复使用的语音资料。

签约时应将任务落到可验收的操作。例如，仅允许在指定环境内切分录音、转写语句、纠正方言词义和标记故障类别，交付文件应包含哪些字段也一并确定。若确实包括为本企业训练专用识别模型，应另列训练范围、数据隔离和成果使用边界，不能仅凭“标注质检”的笼统定义取得训练授权。

《个人信息保护法》第二十一条要求约定委托处理的目的、期限、方式、个人信息种类、保护措施和双方权利义务，并由委托方监督。供应商只按企业指令完成任务，与其自行决定拿录音开发通用产品，法律关系可能不同。双方共同决定处理目的和方式时，还应审查共同处理规则；不能仅凭合同标题为“委托处理协议”就认定全部活动属于受托处理。[个人信息保护法官方文本](https://www.stats.gov.cn/gk/tjfg/xgfxfg/202503/t20250310_1958923.html)

交付前还要回看录音从哪里来。客服播放“本次通话将录音”，能否完整说明实际用途，需要结合当时告知内容及处理依据判断。用于售后核实的录音，并不自然覆盖算法公司的通用训练。基于同意开展处理时，用途、方式或信息种类变化应依法重新取得同意；如拟依据履行个人合同所必需处理，也应解释为何外部标注及其范围确为履约所需，不能把提升企业经营效率一概当作合同必需。

再利用限制要覆盖副本和派生成果

保密条款主要回答能否向外泄露，无法完整回答供应商能否自己反复使用。协议应另设用途限制，覆盖从原始录音生成的中间文件。审查时可逐项对照下列行为，而不要只留下“不得违法使用”的原则句。

拟发生的行为	协议宜明确的边界	验收时查看什么
放入通用训练集、测试集或评测库	本次标注不授权此类用途，新增任务须另行审批并完成合法性审查	数据集清单、样本编号、训练任务引用记录
把转写和标签混入其他客户项目	限定项目空间，禁止跨客户复用可关联个人的样本；商业保密限制另作约定	项目隔离配置、跨空间复制和导出记录
提取声纹、推断身份或生成仿声样本	在本标注任务外明确禁止，不以“技术研究”作为概括豁免	特征提取任务、输出字段及样本试听记录
用片段制作案例、演示或出售语料	不授予宣传、公开、交易权限，展示需求单独审查	演示环境、交付清单及外发日志
将标注分包给其他团队或平台	转委托须取得企业同意，并明确接收方、任务和安全要求	获准名单、账号访问记录及下游约束文件

这些具体限制是企业围绕任务提出的合同安排，不表示法律禁止一切语音训练。即使供应商承诺不对外披露，把资料持续用于自己的产品开发仍可能超出委托范围。对确需变更用途的申请，应要求说明使用哪些文件、由谁决定用途、保存多久、是否再向他人提供，审批应留下具体对象和版本。

如果算法公司转为自主决定处理目的和方式的个人信息处理者，企业向其提供个人信息时应审查第二十三条的告知和单独同意要求，并结合第十三条判断是否存在法定无需同意的情形。企业同意供应商新增用途，不当然代表录音中的消费者、客服人员已经同意。双方也不能用成果知识产权归属条款，取代个人信息处理的合法依据。

删除电话号码，仍可能认出说话的人

方言标注需要保留发音特点，处理人员可能听到姓名、小区、上门时间，甚至家庭健康情况。只删工单号码，原音频仍可能包含这些线索；只对姓名消音，关联文件中的设备序列号、地址和报修时间也可能帮助对应具体住户。应从录音、转写、标签和关联表的组合判断可识别性。

《个人信息保护法》第四条、第七十三条区分个人信息、去标识化和匿名化。匿名化要求无法识别特定自然人且不能复原，供应商宣称“已经脱敏”不足以证明达到这一条件。仅用编号替代姓名、另有映射表可以恢复关联的，仍应按个人信息安排保护。达到匿名化条件后，个人信息保护法中的相关适用边界会变化，企业仍可约定不用于其他产品，约定依据和商业目的应写清。

普通通话录音不宜一概定为生物识别信息；若提取用于识别身份的声纹特征，应按敏感个人信息要求审查。录音中已经包含医疗健康等敏感内容的，也需要单独识别。依第二十八条至第三十条，处理敏感个人信息应有特定目的、充分必要性和严格保护措施，并依法履行单独同意及额外告知等义务；具体同意要求仍需结合第十三条的法定例外判断。只为辨认“异响”还是“不制冷”，通常没有必要一并交付完整家庭地址和无关病情。

把监督安排到交付前和退出时

项目启动前，客服部门宜提交样本目录和收集告知版本，技术人员确定最少交付字段，合规人员核验处理依据及供应商方案。依《个人信息保护法》第五十五条、第五十六条，委托处理个人信息须事前进行个人信息保护影响评估，评估报告和处理情况记录至少保存三年。评估要回答录音外流、二次训练和下游访问风险如何受控，不能只留一张“供应商承诺合规”的盖章纸。

对通过网络开展的数据处理，《网络数据安全管理条例》第十二条还要求约定处理目的、方式、范围及安全保护义务并监督履行，提供、委托处理个人信息和重要数据的处理情况记录至少保存三年。这是处理记录的留存要求，不是要求所有原始录音一律保存三年。[网络数据安全管理条例官方文本](https://www.cac.gov.cn/2024-09/30/c_1729384452307680.htm)

实际交付可采用限时账号、受控工作空间和批次编号，要求供应商报告获准访问人员及外部服务。不要一边在合同里禁止转委托，一边默认标注人员可将录音上传到任意在线转写工具。外部平台若实际接收并处理录音，应查清其角色和条款；拟使用境外服务时，应暂停该流转安排，另行核验适用的出境规则，不能认为有保密协议便已足够。

验收也应覆盖数据退出。第二十一条规定，委托合同不生效、无效、被撤销或者终止时，受托人应返还或删除个人信息，不得保留。企业宜按样本编号核对原音频、切片、转写、标签、缓存和备份中的个人信息，写明删除范围、完成时间、证明材料及抽查方式。备份技术上暂时难以删除时，应核验实际困难，并结合第四十七条停止除存储和必要安全保护以外的处理，约定隔离和后续清理，不能继续拿来训练。

如发现录音已进入未经授权的数据集，应先停止相关使用、限制访问，保全能够说明流转过程的必要日志，再核查受影响的数据和模型。不能未经技术评估就声称删掉原文件等于清除了模型影响，也不宜无依据要求所有模型一律销毁。应检查是否可输出个人内容、能否定位相关训练版本，并据此确定隔离、删除、重新训练等处置方案。发生或可能发生泄露、篡改、丢失时，还须依第五十七条采取补救并履行相应通知义务；合同中的报告流程应为企业及时处理留出时间。

佛山孟翔律师实务提醒

孟翔律师，广东佛山执业律师，广东尚尧律师事务所执行主任，兰州大学法律硕士。

佛山家电售后可能同时涉及品牌方、制造厂和维修服务商。同一段报修录音由谁收集、谁决定交给算法公司，宜与售后合作协议和实际操作对应。制造厂拿到录音副本，不代表可以自行扩大用途；品牌方认可标注项目，也不代表下游维修商可以把资料放进另一套训练库。审批人应先确认自己有权批准哪些处理活动。

正在签约的采购负责人，可以请供应商选一条拟交付录音，列出它将生成的全部文件、进入的项目空间和最终删除位置。将这份实际流转说明与合同逐项比对：凡是出现通用训练库、外部转写账号或未说明的留存副本，先要求补足用途、权限和退出安排，再批准交付该批录音。