不只檢查主要資料庫
列出收集的資料、涉及人士、處理目的及接收方，包括備份、支援存取、日誌、分析及 AI 供應商。資料庫放在某地，不代表所有相關處理都留在當地。應把流程圖交給法律及私隱審查負責人。
描繪海外支援連線
示例服務把主資料庫放在香港，但容許海外支援團隊查看錯誤報告。此工程清單供私隱審查了解資料流向，並不判定傳輸是否合法。
| 須記錄的流向 | 審查人所需事實 |
|---|---|
| 錯誤報告送交支援 | 所含欄位、接收方、處理地點及目的 |
| 供應商複製備份 | 實際儲存地區、分包商及保留設定 |
| 遠端資料庫存取 | 允許角色、存取時段、批准人及審計紀錄 |
評估實際傳輸安排
香港、內地及歐洲要求不應互相套用，適用責任取決於實際情況及相關司法管轄區。私隱專員公署提供跨境傳輸建議合約條款，可作審查參考，但不能證明個別傳輸必然合規。
把決定轉化為系統行為
顧問確認要求後，列出系統所需存取限制、地點選擇、保留規則及證據，同時檢查供應商與後續處理。新增連接或支援安排時更新流程圖，避免原有審查在不知情下失效。
進行前先確認
- 資料流程圖包括日誌、備份及遠端支援。
- 按實際安排評估適用要求。
- 記錄供應商責任並檢視變動。
