香港公司更换云服务商：客户资料迁移、删除与留证
更换云服务商对香港公司而言早已不是新鲜话题——无论是出于成本优化、技术架构调整，还是规避单一供应商风险，每年都有大量本地企业在不同云平台之间迁移数据。然而，对于处理大量客户个人资料的香港公司来说，这次”搬家”远不止技术层面的事：从原云厂商删除资料时如何做到彻底？删除过程的证据如何留？迁移期间如何防止客户资料外泄？这些问题的答案直接关系到《个人资料（私隐）条例》（第 486 章，下称”私隐条例”）的合规边界。
本文从合规视角拆解香港公司在更换云服务商时的三个关键环节：迁移、删除、留证。
一、为什么这件事不能掉以轻心
1.1 香港私隐条例下的核心义务
根据《个人资料（私隐）条例》附表 1 的保障原则（第 2 至第 5 项），资料使用者须：
- 收集目的限定：资料只可用于当初收集时声明的目的（或直接相关目的）
- 资料准确性：确保资料准确、必要时及时更新
- 资料保留期限：资料保存时间不得超过所需期限，超期须删除
- 资料保安：采取合理措施防止资料被未授权查阅或处理
将客户个人资料交由云服务商托管，云服务商在法律上属于资料处理者，香港公司本身则是资料使用者。一旦资料外泄或删除不彻底，公司是直接面对监管机构、投诉人与来自受影响人的责任主体。
1.2 跨境因素：GDPR 与其他司法管辖区
香港公司若服务欧盟客户，业务须同时遵守《通用数据保护条例》（GDPR）；服务内地客户则需留意《个人信息保护法》对跨境传输的限制。不同司法管辖区的删除标准、保留期限、举证规则各异，使云迁移的合规复杂度大幅上升。
二、迁移阶段：客户资料的”搬家”流程
2.1 迁移前的合规盘点
在按下”迁移”按钮前，香港公司应完成以下自查：
- 资料清单：清楚列出所有涉及客户个人资料的存储位置（数据库、对象存储、日志、备份、缓存、镜像快照等）
- 合法基础确认：每类资料的收集目的、保存期限、合法依据
- 云服务合同审查：原服务商的合同中，关于数据迁移、退出机制、删除协助的条款
2.2 迁移过程中的保安措施
| 风险点 | 应对建议 |
|---|---|
| 传输过程被截取 | 强制使用 TLS 1.2 以上 + 客户自有 KMS 密钥再加密 |
| 迁移通道被监听 | 限制来源 / 目标 IP，关闭公网访问，仅走专线或 VPN |
| 临时落地在第三方区域 | 选择迁移区域 香港、新加坡等数据保护水平相近的区域 |
| 迁移完成后旧备份残留 | 迁移后立即关闭原账号写入，并清查对象存储版本、快照、跨区复制副本 |
2.3 增量与全量策略
- 全量迁移：适用于一次性整体迁移
- 双写过渡期：新旧两侧同时写入 1–4 周，业务稳定后再切断旧侧
- 反向同步：保留从新侧回写至旧侧的能力，以应对回滚
无论采用哪种方式，切换瞬间必须保留旧侧只读能力，以防出现争议时可追溯原始资料。
三、删除阶段：让”消失”真正发生
3.1 为什么”删除”远比想象中复杂
云服务商提供的”删除”功能往往只解除资料的逻辑索引，底层物理介质上的数据仍可能残留数天、数月甚至更长时间。具体表现包括：
- 备份系统独立存储，删除操作不同步
- 对象存储开启版本控制，旧版本仍被保留
- 跨可用区、跨区域复制存在多个副本
- 加密磁盘的密钥被销毁后，数据才真正”不可恢复”
3.2 主流云服务商的删除机制对比（以官方文档为准）
| 云服务商 | 一般删除（命令交付） | 删除后保留期 | 彻底擦除机制 | 备份处理 |
|---|---|---|---|---|
| AWS | 控制台 API 操作 | 通常有缓冲期 | 加密密钥销毁 | S3 版本控制、Glacier、RDS 自动备份需另行处理 |
| Microsoft Azure | 控制台 API 操作 | 软删除 + 保留期 | 加密密钥销毁 | 软删除保留、跨区复制、备份库需另行处理 |
| Google Cloud | 控制台 API 操作 | 通常有缓冲期 | 加密密钥销毁 | 对象版本、BigQuery 快照、备份保留需另行处理 |
| Tencent Cloud | 控制台 API 操作 | 回收站机制 | 加密密钥销毁 | COS 版本控制、CBS 快照、跨地域复制需另行处理 |
说明：上表为各平台通用机制概述，具体操作以官方最新公布为准。
3.3 香港公司应执行的删除动作清单
- 明文资料：执行平台提供的删除操作；核查版本控制、快照、回收站是否清空
- 加密资料：删除资料 + 销毁加密密钥（Crypto-shredding，是业界认可的高强度删除方法）
- 备份与日志：删除或隔离所有相关备份；日志保留期限须符合私隐条例要求
- 第三方插件：检查 CDN、邮件服务、客服系统、分析工具中是否缓存了客户资料
- 员工账号：撤销原云厂商账号的所有访问令牌、API Key、IAM 角色
四、留证阶段：让删除可被证明
私隐条例虽未明文要求”删除证据”，但当香港个人资料私隐专员公署（PCPD）介入调查、或客户提出投诉时，资料使用者必须能够证明已采取合理步骤。GDPR 下的 Article 17、Article 30 则更进一步，要求以书面记录处理活动的全过程。
4.1 应保留的核心证据
| 证据类型 | 内容说明 | 保存形式 |
|---|---|---|
| 迁移前资料清单 | 数据类型、量级、所在区域 | PDF + 电子表格 + 哈希值 |
| 迁移日志 | 跨境 / 跨区传输的时间、工具、参与人员 | 控制台导出截图 + 系统日志 |
| 删除指令记录 | API 调用请求与回执 | JSON 原始输出 |
| 删除确认书 | 云服务商出具的《数据删除证明》 | PDF（首选带有数字签名的版本） |
| 密钥销毁记录 | 加密密钥被销毁的时间戳与操作人 | KMS 日志 + 截屏 |
| 备份销毁记录 | 备份库、对象版本、快照的清理记录 | 平台导出的审计日志 |
| 内部审批流程 | 谁批准、谁执行、谁复核 | 内部工单系统或邮件留痕 |
4.2 关于《数据删除证明》的获取技巧
- 提前申请：多数云厂商（如 AWS、Azure、Google Cloud）支持通过工单提前索取数据删除证明（Certificate of Destruction）
- 书面要求：在终止服务前 30 天书面提交申请，并明确要求包含账号 ID、删除区域、删除时间戳、操作人
- 多份留底：以邮件 + 第三方公证平台（如 DocuSign）双轨保存
- 隐私补充：可与服务商签订 NDA 后再提交留证请求
4.4 内部审计与第三方验证
- 聘请独立第三方进行渗透测试 + 数据残留扫描，确认删除彻底性
- 制作《云退出合规报告》，作为内部合规档案长期保留（建议至少 6 年，与私隐条例相关诉讼时效对齐）
五、合规路线图：12 周迁移 + 删除 + 留证时间表
| 周次 | 阶段 | 关键动作 |
|---|---|---|
| 第 1–2 周 | 规划 | 完成资料盘点、合同审查、合规风险评估 |
| 第 3–4 周 | 设计 | 制定迁移架构、加密方案、密钥管理策略 |
| 第 5–8 周 | 迁移 | 实施双写、全量迁移、增量同步、切换演练 |
| 第 9–10 周 | 验证 | 数据一致性校验、应用层灰度切换 |
| 第 11 周 | 删除 | 执行删除操作、销毁密钥、清理备份与日志 |
| 第 12 周 | 留证 | 收集证据、出具报告、申请第三方验证、归档 |
时间表仅供参考，实际周期视资料量、跨境传输审批进度、技术架构复杂度而定。
六、常见误区与避坑建议
- 以为按”删除”就等于删除：务必检查版本控制、快照、备份、跨区复制
- 忽略第三方系统：CRM、客服、邮件营销平台常缓存个人资料，需单独处理
- 未保留证据：临到投诉或调查才发现没有可提交的留证
- 密钥管理松懈：若加密密钥仍可恢复，资料便不算真正删除
- 退出条款未看清：部分云厂商合同对”提前终止”和”数据导出”有窗口期限制，违约成本高
结语
更换云服务商是香港公司技术架构升级的常见动作，但只要业务涉及客户个人资料，它就是一项横跨技术、法律、合规的系统工程。从迁移设计、删除执行到证据留存，每一步都需要资料使用者提前规划并留下完整记录。唯有做到”迁移有据、删除彻底、留证充分”，公司才能在监管、客户、合作伙伴面前站得稳。
香港大全 还整理了更多香港公司运营、开户、报税、合规相关指南，欢迎继续查阅。
常见问答
香港公司在更换云服务商时，《个人资料（私隐）条例》要求做到什么程度才算合规删除？
私隐条例并未明文规定”彻底删除”的技术标准，但保障原则第 2 至第 5 项要求资料保存时间不得超过所需期限、超期须删除，并采取合理保安措施防止未授权查阅。在实操中，合规删除通常意味着：执行平台删除指令、清理版本控制与快照、销毁备份与日志、销毁加密密钥，并取得云服务商出具的《数据删除证明》。是否构成”合理步骤”，最终由个人资料私隐专员公署（PCPD）依个案判断。
怎样向 AWS、Azure、Google Cloud 等云厂商索取正式的《数据删除证明》？
依据原文建议，正确的做法是：在终止服务前 30 天书面提交申请，并通过工单系统发起；申请内容应明确要求证明中包含账号 ID、删除区域、删除时间戳与操作人；收到 PDF 后优先选择带数字签名的版本，并以邮件加上第三方公证平台（如 DocuSign）双轨保存。各家厂商的具体受理流程以官方最新公布为准。
加密资料只按”删除”键真的安全吗？为什么强调要销毁加密密钥？
原文明确指出，云服务商的”删除”功能往往只解除逻辑索引，底层物理介质仍可能残留数据。对于加密资料而言，只有销毁加密密钥（即 Crypto-shredding），资料才真正”不可恢复”。因此原文将”删除资料 + 销毁加密密钥”列为业界认可的高强度删除方法，并要求同步保存密钥销毁的时间戳与操作人记录。
客户个人资料在迁移过程中如何防止外泄？跨境传输有什么要特别注意的？
迁移过程中原文建议采取以下措施：强制使用 TLS 1.2 以上并叠加客户自有 KMS 密钥再加密；关闭公网访问，仅走专线或 VPN；限制来源与目标 IP；选择数据保护水平相近的迁移区域；切换瞬间保留旧侧只读能力。跨境传输方面，服务欧盟客户须遵守其要求，服务内地客户则须留意《个人信息保护法》对跨境传输的限制，具体审批流程以官方最新公布为准。
迁移与删除完成后，相关证据应保留多久？
原文建议将内部《云退出合规报告》等合规档案长期保留，建议保留期限至少 6 年，与私隐条例相关诉讼时效对齐。证据形式包括 PDF、电子表格、哈希值、控制台导出截图、系统日志、API 原始 JSON 输出、KMS 日志以及内部工单系统或邮件留痕，确保在监管调查或客户投诉时能够完整还原处理全过程。