供应商说心理测评云平台的“数据全部存在境内”，采购人员还需要接着问：生成报告的计算在哪完成，备份存到哪里，遇到故障时，客服和运维人员又从哪里打开答案或报告？一份服务器所在地说明，无法独自回答这些问题。
机构真正需要的是一条能说清地点的处理路径。从受测者提交答案，到报告生成、日常保存，再到排障和恢复，每个会接触数据的环节都要有具体答案。这样才能看出“境内存储”的承诺覆盖了什么，哪些地方还没有确认。
访问发生在哪里，要单独问
先分清三个容易混在一起的信息：数据保存的地点、处理或访问动作发生的地点，以及操作人员所属机构的注册地。它们可以一致，也可以不同，不能互相代替。
国家网信办在2025年10月数据出境安全管理政策问答第5问中，解释了境内存储数据被境外查询、调用的场景：其中所说的“境外”，看的是访问或调用行为实际发生的地点。同一答复也说明，境外机构工作人员在境内访问境内数据、没有将数据传到境外时，不属于该答复描述的数据出境活动。
因此，“是国内账号”“是海外公司”“没有把数据库搬走”都不足以单独得出结论。采购时应让供应商回答动作发生在哪里、数据实际到过哪里；是否涉及出境、适用哪些要求，再由机构的法律和安全人员结合项目判断。
把一份答案和报告会经过的地方问完整
可以请供应商拿一项日常测评任务作说明，把下列环节逐项写明。表中的问题是一种采购核查办法，实际项目可以删减或补充。
| 环节 | 需要得到的具体回答 |
|---|---|
| 提交答案与生成报告 | 答案在哪接收、计算和生成报告？是否调用其他服务？这些服务接收哪些字段，处理发生在哪个国家或地区？ |
| 日常保存与备份 | 业务数据、报告文件和备份分别保存在哪里？故障恢复时会转到哪里，恢复过程中由谁接触数据？ |
| 客服处理问题 | 客服能看到什么？如果要查看报告、接收截图或把材料放进工单，人员所在地和工单保存地点分别在哪里？ |
| 运维排查故障 | 哪些团队可以远程访问？操作发生在哪里？能否查询答案、下载文件或导出数据，什么情况下才能开通权限？ |
| 第三方技术支持 | 云服务、报表或其他支持方实际接触哪些内容？谁在何处访问，是否还会请其他团队协助，协助材料如何传递和保留？ |
不要只收集一串地区名称。同一个“境内”回答，还应对应清楚主体、数据范围和访问条件。只查看不含个人答案的运行状态，与可以下载整份报告，采购判断所需的信息不同。“通常由本地团队处理”也应继续问清：夜间值班、重大故障、人员出差或请原厂协助时，安排是否会变。
下面是一个假设例子：某服务的业务库和备份都在境内，日常客服也在境内；遇到少见报错时，客服会把一份报告附件转交另一个地区的支持团队。此时数据库仍在原地，报告的接触路径却多了一段。需要核实的是附件内容、接收团队、访问地点和后续保存安排，单靠数据库部署说明查不到这些细节。
用材料和演示核对，再把承诺写进约定
供应商的书面说明可以先作为起点，随后请技术人员用架构说明、服务清单及相应的访问记录作交叉核对。材料应能对应刚才列出的动作。只给一张主机区域截图，客服如何接触报告、外部支持拿到什么，仍然没有答案。
演示排障流程时，可以先用完全虚构的姓名、答案和报告，查看一张工单如何创建、转交、关闭，以及需要哪些访问权限。这样能观察日常操作，又避免为了核查路径先把真实受测者材料扩散出去。演示只能证明当次看到的流程，不能据此保证所有后台路径都已覆盖，无法核实的项目应明确记为“未确认”。
这种做法是采购上的建议，与个人信息处理应有明确目的、尽量减少所需信息的原则相衔接。对于确实构成委托处理的关系，《个人信息保护法》第21条还要求约定处理目的、期限、方式、信息种类、保护措施及双方权利义务，并对受托人的活动进行监督；受托人转委托也有相应限制。各支持方在项目中属于什么角色，需要按真实关系确定。
落到采购约定时，可以写清允许的存储及访问地域、获准参与的服务方、可接触的数据、开通与撤销权限的条件，以及能提供哪些记录。还要约定：新增支持团队、更换分包服务、迁移备份或改变远程访问安排，谁应在何时通知机构，哪些变化需要先确认后实施。
地点清单应当随服务变化更新。对于已经采用数据出境安全评估或标准合同等安排的项目，相关变化还可能影响既有评估与约定；上述政策问答第6、8问分别解释了相应情形，具体处理需结合项目适用路径判断。
签约前最有用的结果，是拿到一份能逐项对应证据、标出未知处的路径说明。若客服排障、远程运维或第三方支持的地点仍说不清，就把这些问题带入后续技术和法律评审，别让一句“数据存在境内”替它们作答。