和 GEO 地理服务商合作：效果保障 + 企业数据安全完整方案

GEO 服务商：提供地理位置、IP 解析、经纬度、地址标准化、地理围栏、POI、轨迹等地理数据 / 地理能力的第三方服务商。企业合作核心两大风险：业务效果不达预期、企业自有业务数据泄露、用户位置数据违规、数据被服务商二次利用。

一、业务效果如何保障（合作前期‑中期‑后期）

1、合作选型阶段（把效果要求写进前置评估）

• IP‑地理位置：国内城市级准确率、省份准确率、海外国家准确率；
• 地址解析 / 地址标准化：结构化解析成功率、错误率；
• POI 检索：召回率、匹配准确率；
• 地理围栏：点位命中误差阈值。

• 覆盖范围：国内 / 海外、离线库 vs 实时接口；
• 性能：接口 QPS、响应 P95/P99 时延、超时率、可用性 SLA；
• 更新频率：IP 库、POI 库、行政区划多久更新一次；地理数据时效性直接决定业务效果。

• 服务可用率承诺，故障赔付机制；
• 准确率指标，低于阈值的处理方式（调优、减免费用、终止合作）；
• 版本迭代、数据更新的义务。

2、接入与运行阶段

3、效果兜底条款

• 约定：服务商有义务针对企业业务场景做调优；
• 明确达不到约定指标时，企业有权降费、终止合同。

二、企业数据安全（重点，同时兼顾《个人信息保护法》《数据安全法》）

核心风险点：企业把用户 IP、用户原始地址、用户经纬度、业务用户数据传给 GEO 服务商，如果管控不当，会造成个人信息泄露，服务商留存、复用、出售企业数据。

模式 1：在线 API 调用（常见）

1. 必要原则，不传多余字段

   只传完成地理计算必须的字段，不要附带用户 id、手机号、业务其他隐私字段。
2. 合同中必须明确数据处理边界（非常关键）

• 服务商仅为本企业提供服务目的处理数据，禁止用于自身产品、训练模型、对外输出、二次售卖；
• 禁止将我方请求中的用户原始数据共享、转让给第三方；
• 明确数据留存策略：调用产生的请求日志，留存多久，到期自动删除；禁止永久存储我方业务数据；
• 禁止基于我方业务请求数据做画像、用户分析；
• 要求服务商提供数据处理安全说明，可开展安全审计。

3. 传输安全

• 强制 HTTPS/TLS 加密，禁止 http 明文调用；
• API 密钥严格保管，禁止泄露，密钥轮换机制，接口增加 IP 白名单，限制调用来源。

4. 禁止服务商埋点采集额外业务数据；禁止返回结果之外夹带采集脚本。

模式 2：私有化部署 / 离线 SDK / 本地数据库（高安全需求企业优先）

• 需要约定地理库更新频率，服务商定期推送更新包；
• 明确离线库的授权范围，禁止超授权拷贝、分发；
• 校验离线库效果，防止离线库数据老化导致业务效果下滑。

高敏感业务（金融、政务、用户隐私等级高）优先选私有化 / 本地 SDK 方案，尽量少用公网在线 API。

模式 3：混合模式：企业侧先脱敏，再调用 API

三、合规层面（个保法重点）

1. 用户位置信息属于个人信息，调用 GEO 服务，要匹配产品隐私政策，告知用户地理位置信息的处理；
2. 不得把可识别自然人的原始个人信息无限制给到第三方 GEO 服务商；
3. 如果涉及出境：若调用海外 GEO 服务商，要评估是否构成个人信息出境，需要满足出境合规要求。

四、审计与退出机制

1. 要求服务商支持安全审计：可申请查阅服务商针对我方数据的处理日志；
2. 合同写退出条款：合作终止之后，服务商必须删除全部我方业务请求数据、日志，不得留存；提供删除确认；
3. 禁止服务商在合作结束之后继续使用我方历史数据。

五、风险清单总结

六、简短落地建议

1. 低敏感业务：公网 API + 严格合同约束 + 监控指标；
2. 中高敏感业务：优先私有化部署 / 本地 SDK，让用户原始数据不出我方环境；
3. 所有合作，效果指标、数据处理义务、退出删除义务，全部落到书面合同，不要只靠口头承诺。