目錄（15 節）
轉寫委外合約八條：跨境處理、查閱時限同刪除 SLA
簽約時最常漏嘅唔係價錢，係「處理完之後幾時刪」。八條條款寫齊，出事時你才有東西可以拿出來。
錄音要唔要錄、要唔要通知在場人士，係另一個題目，我哋喺 會議錄音同意與保留 已經講清楚。
本文只講一件事：你已經決定錄，亦已經通知，之後把音檔交俾轉寫 vendor，合約同流程要點寫。
因為責任唔會因為外判而轉移。
重點摘要
- 外判唔等於免責：資料使用者仍然要為處理者嘅行為負責。
- 八條必寫條款：指示範圍、保密、保安、分判、保留刪除、查閱協助、事故通知、審計交還。
- 跨境：第 33 條至今未生效，但通知、用途限制、合約約束仍然適用。
- 查閱請求一般 40 日內要回覆，SLA 要由收件日起倒數切。
- 刪除要分三層做，並且留證明：存取權、主要副本、備份與衍生檔。
你同 vendor 之間，角色係咩
資料處理者 係指代另一個人在其指示下處理個人資料嘅人。轉寫 vendor 就係呢個角色。
資料使用者 係指控制收集、持有、處理或使用個人資料嘅人。你公司就係。
呢個分工唔係文字遊戲。條例明文要求資料使用者用合約或其他方法，防止處理者保留資料超過所需時間，亦要防止未獲授權嘅查閱。
換句話講：vendor 出事，你仍然要解釋。
公署亦講過，資料使用者要為獲授權人士嘅作為負責。所以「交咗俾 vendor」唔係一句免責聲明。
八條必寫條款
以下八條，係一份轉寫委外合約最低限度要有嘅內容。
| # | 條款 | 要寫嘅內容 | 冇寫會點 |
|---|---|---|---|
| 1 | 處理指示範圍 | 只可按書面指示處理；不得為自己目的使用 | vendor 可以拿你嘅音檔做產品改良 |
| 2 | 保密 | 員工及分判商同樣受保密約束 | 內部轉發無法追究 |
| 3 | 保安措施 | 傳輸加密、存取控制、存取紀錄 | 事故時無法證明有做措施 |
| 4 | 分判限制 | 未經書面同意不得再外判 | 資料靜靜流去第四個國家 |
| 5 | 保留與刪除 | 明確日數；完成後刪除或交還 | 錄音無限期待在 vendor 伺服器 |
| 6 | 查閱協助 | 收到請求後要在指定日數內配合 | 你無法在 40 日內回覆 |
| 7 | 事故通知 | 發現事故後多久通知、通知乜 | 你被客戶問先知出事 |
| 8 | 審計與終止 | 審計權、終止後交還格式同期限 | 轉換 vendor 時資料拿唔返 |
【獨家分析】 呢八條之中，最常被寫得含糊嘅係第 5 同第 8 條。前七條講「唔准做乜」，第 5 同第 8 條講「做完之後點收尾」。收尾寫得清，轉 vendor 或者結業時就唔會被困。
實務上，第 5 條要寫三個時間點：處理完成後幾日內刪、備份幾日內輪替、刪除後幾日內出書面確認。
三個時間點分開寫，因為三者通常唔同步。例如合約只寫「完成後刪除」，但冇寫日數，實際可能三個月後才清走。
跨境處理：第 33 條未生效嘅三個含義
跨境轉移 係指把個人資料傳送到香港以外地方。
條例第 33 條專門規管跨境轉移，但由 1995 年制定至今仍未生效，政府嘅書面答覆亦確認呢點（立法會答覆，2015-04-29）。
唔生效唔等於冇規管。實務上有三個含義：
第一，你仍然要在收集時講明資料可能轉移給邊類人士。呢個係通知責任，唔係同意責任。
第二，用途要一致。把香港錄音送去海外做轉寫，屬於處理，一般同原意直接相關；但拿去訓練模型就唔係。
第三，合約要管到境外處理者。條例要求用合約或其他方法，防止資料被未獲授權查閱，亦防止保留過久。
公署嘅跨境資料轉移指引（2026-10-31 查閱）雖然係為第 33 條實施而寫，但入面嘅合約條款思路，今日已經可以直接用。
實際簽約時，我會要求 vendor 書面回答三件事：處理地區、會不會轉去其他地方、用邊份標準合約條款。
完整條文見《個人資料（私隱）條例》第 486 章（2026-10-31 查閱）。
查閱請求：40 日點切 SLA
第 6 原則賦予資料當事人查閱同改正嘅權利。
公署嘅指引提到，就監察紀錄提出嘅查閱要求，一般要在 40 日內提供副本。做唔到，要在期限前書面通知理由。
所以合約要寫嘅唔係「盡快配合」，而係一個倒數時間表。
| 時間點 | 你嘅動作 | vendor 嘅責任 |
|---|---|---|
| D0 | 收到書面請求，開檔編號 | — |
| D1 | 確認收妥，講明回覆日期 | 指定單一聯絡人 |
| D3 | 界定範圍：日期、會議、參與者 | 提供儲存位置清單 |
| D7 | 決定要不要遮蔽第三方資料 | 提供逐段對照 |
| D14 | 草擬回覆同附件 | 交出文字稿同相關紀錄 |
| D25 | 內部覆核 | 補交缺漏 |
| D35 | 發出回覆 | 確認已交齊 |
| D40 | 法定時限 | — |
呢張表嘅重點係 D3 同 D7。太遲界定範圍，後面一定趕。
例如你要求 D7 決定遮蔽範圍，但 vendor 到 D10 才交逐段對照，之後每一步都會壓縮，最後只能草率回覆。
如果 vendor 只能「一星期內回覆」，你要當佢交唔到 40 日嘅承諾。
刪除 SLA：三層，唔係一句「已刪除」
刪除唔止一個動作。實際要分三層：
- 存取層：即刻撤銷連結、API key、共享資料夾權限。呢層最快，亦最常被當成「已完成」。
- 主要副本：刪除資料庫紀錄同物件儲存嘅原檔。次序應該係先刪紀錄，後刪檔案。
- 備份同衍生檔：按備份輪替週期自然淘汰，並在合約寫明最長日數。
次序係刻意嘅。先刪紀錄、後刪檔案，最壞情況只會留下孤兒檔案；反過來就會出現「有紀錄、冇檔案」嘅假完成狀態，之後每次查詢都失敗。
【獨家觀察】 刪除最容易出事嘅唔係技術，係「三層當一層」。存取權一撤，大家就當已完成；原檔同備份其實仲在。合約要逐層寫日數，唔係寫一句「已刪除」。
刪除證明要包含四樣：要求編號、刪除範圍、執行時間、執行人。
唔需要 vendor 交出內部截圖。書面確認加時間戳已經足夠。
審查 vendor 嘅十二條問題
簽約前問一次，續約前再問一次。
- 音檔同文字稿分別存放在邊個地區？
- 處理完成後幾日內刪除原檔？
- 備份最長保留幾日？
- 會不會用客戶資料訓練或改良模型？
- 有冇分包處理？分包商在邊個地區？
- 誰人可以存取客戶資料？有冇存取紀錄？
- 事故發現後幾小時內通知客戶？
- 收到查閱請求後，幾日內交得出逐段對照？
- 終止合約後，用咩格式交還資料？
- 有冇獨立保安認證？範圍包唔包儲存？
- 可唔可以提供刪除確認嘅樣本？
- 如果客戶要求指定地區處理，做唔做得到？
第十二條最容易被含糊過去。做唔到就要老實講，唔好簽一份做唔到嘅承諾。
三段可以直接抄嘅條款
處理指示：處理者只可按照資料使用者嘅書面指示處理個人資料，不得為自己或第三方目的使用、分析或組合有關資料。
保留與刪除：處理者應於服務完成後 7 日內刪除原檔及衍生文字檔，並於 14 日內提供書面刪除確認；備份應於 30 日內完成輪替。
查閱協助：資料使用者收到查閱要求後，處理者應於 5 個工作日內提供相關紀錄及逐段對照，並配合遮蔽第三方個人資料。
三段都係範例，唔係法律意見。實際條款要按你嘅行業要求同合約法調整。
我哋自己嘅處理方式
我哋嘅轉寫服務只會處理你上載嘅內容，唔會用你嘅音檔或文字訓練模型。
轉寫結果保留 90 日，可以逐條刪除，刪除即時生效，30 日內徹底清除。
付費按音頻秒數計，唔按人頭或座位。呢個設計係為咗令成本可預測，詳見 ASR API 選型五個規格位。
長會議錄音嘅分段同保存流程，見 四小時會議錄音轉寫流程。
但要講清楚：工具負責處理同刪除，合約同通知仍然係你嘅責任。
常見問題
同 vendor 簽咗保密協議，仲要唔要寫處理者條款？
要。保密協議講「唔好講出去」，處理者條款講「點處理、幾時刪、出事點通知」。兩件事唔可以互相代替。
Vendor 喺海外，第 33 條未生效係唔係等於唔使管？
唔係。通知、用途限制、保安同合約約束嘅要求仍然存在，只是唔適用第 33 條嗰套轉移條件。
查閱請求一定要 40 日內交齊？
一般係。做唔到要在期限前書面通知理由，並在可行範圍內盡快提供。所以合約要留緩衝，唔好把 40 日全部用盡。
刪除之後，備份仲有資料算唔算未刪？
備份按輪替週期淘汰係常見做法，但要在合約寫明最長日數，並且在刪除確認入面講清楚備份狀態。
可唔可以要求 vendor 只喺香港處理？
可以要求，但唔一定做得到。做唔到就老實記錄，並用合約同存取控制補救。
關於呢篇文
本文由港嘢內容團隊整理，條文、指引同案例查閱日期為 2026-10-31。本文屬採購實務整理，唔構成法律意見。想睇錄音本身要唔要通知，讀 會議錄音同意與保留。有問題歡迎 聯絡我們，公司背景見 關於港嘢。
資料來源：《個人資料（私隱）條例》第 486 章（資料處理者定義、第 2(3) 及第 4(2) 原則）；公署《保障個人資料私隱指引：僱主監察僱員工作活動須知》（40 日查閱時限）；公署跨境資料轉移指引（第 33 條未生效、合約條款建議）；立法會書面答覆（第 33 條制定後未實施）；港嘢公開 API 文件（保留期同刪除行為）。本文由港嘢內容團隊編輯及覆核。