规则出处与规范指向

本条（《中华人民共和国个人信息保护法》第二十八条，敏感个人信息的界定与处理门槛）：《个人信息保护法》第二十八条规定：敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。只有在具有特定的目的和充分的必要性，并采取严格保护措施的情形下，方可处理敏感个人信息。

一、这类采购的风险特征

采购人脸识别、声纹核验、信用评估等服务时，服务商通常需要获取敏感信息才能提供能力。此时风险不只在于采集本身，还在于服务商是否留存原始数据、是否用于模型训练、是否有二次利用安排。谈判中如果不把这些问清楚，后续风险难以控制。

二、采购方要争取的四点

第一，优先争取本地比对方案，即原始生物特征不出本地设备，服务商仅接收比对结论。第二，若必须传输，约定加密方式、传输链路与存储期限，明确不得长期留存原始数据。

第三，约定数据用途仅限本次服务，不得用于模型训练、产品优化或对外提供。第四，约定服务终止后的删除义务与核验方式，并要求服务商配合我方履行告知与同意义务。

三、对价格与技术选型的权衡

本地方案在识别精度或部署成本上可能略高于云端方案，这一差异应当与合规风险一并纳入评估。把风险成本提前计入选型判断，通常比事后补救更划算。

四、谈不动时的替代路径

若服务商坚持留存原始数据用于训练，可考虑改用不涉及敏感信息的风控手段，例如设备指纹配合行为分析，或采用仅返回评分结果的服务形态。把敏感信息的处理环节压缩到最小，同时保留业务目标。