外包审阅员能看到你的照片和提示词，条款该怎么补
一、人工审阅是一个数据处理环节，不是一段流程说明
据公开报道，有媒体披露过一份内部文件，描述数百名合同工能够看到用户上传的含有清晰面部信息的照片、相关提示词以及编辑结果。这里不去判断任何一家公司的做法是否合规——判定需要看它的授权基础、控制措施和落地情况，而我们手里没有这些。值得抄下来的是另一个事实：这类事情在几乎所有做过内容审核、标注、模型评测的团队里都会出现，因为只要链条里有人要看原始数据，就存在一个数据处理环节；而这个环节在多数项目里只以一句“由第三方人工审核”出现在文档里，之后再没人回去看它。
把它当成数据处理环节，意味着先回答五个问题，一个都不能含糊：
- 谁审。落到岗位和人员名单，而不是供应商名称。名单外的人出现访问，是事故而不是偏差。
- 审什么字段。逐字段列出来，包括能不能看到图片、能不能看到用户标识、能不能看到历史会话。
- 审多久。单条素材的审阅时长上限、队列积压时是否允许跳读，这两件事决定审阅员实际需要看多少内容。
- 审完之后数据留多久。审阅端有没有本地缓存、截图是否落盘、副本存在哪儿、什么时候清除并留清除记录。
- 审错或外泄时如何追责。有没有逐条访问记录能定位到具体账号与时刻，还是只能说“我们不知道是谁看的”。
这五问在需求评审时通常是没人问的，因为大家都默认“审阅是内部事务”。默认一旦形成，权限就按最省事的方式开通：给全库只读、给原始文件、给可导出的表格工具。暴露面就是这么长出来的。
二、最小必要集合要小到能写进配置
“最小必要”这四个字如果不能翻译成字段清单，就只是表态。可以落地的做法是一层层往下削：
- 只看文本就解决的判定，不给图片。很多质量判定看提示词与输出文本就能做，配图只是让审阅更“有感觉”，这不是必要理由。
- 能给脱敏预览就不给原始文件。人脸与证件类素材走可逆模糊处理，判定完成后由系统销毁预览副本，原始文件不进审阅通道。
- 能给单帧就不给整段视频。绝大多数违规判定发生在少数时刻，给整段等于把所有无关时刻也暴露出去。
- 该遮蔽的字段在展示层遮蔽，而不是靠培训要求“别看”。用户手机号、住址、设备标识在界面渲染时就打码，权限里也不给还原接口。
- 判据要上下文时，给结构化的上下文摘要而不是原始记录，摘要由系统生成并记录生成版本。
这一套做完，暴露面通常能降一个量级，而且能明确写进审阅服务的配置：字段白名单、遮蔽规则、可访问队列范围、单条最大停留时长。写不进配置的最小必要，等于没有。
三、四类权限档位，按数据类型和用户授权状态映射
档位不是按“人”分的，是按“数据类型加上用户授权状态”这个组合分的。我们内部一般用这四档：
| 权限档位 | 能看到什么 | 适用数据类型 | 适用前提 |
|---|---|---|---|
| 全量原始数据 | 未遮蔽的原图、完整提示词与结果、用户标识 | 明确用于投诉处置、法律要求保留的场景 | 用户已单独授权或事件触发专项队列，逐次审批 |
| 遮蔽后可读 | 模糊或裁剪后的素材、字段打码后的记录 | 人脸、证件、位置、通讯类内容 | 质量判定可在遮蔽状态下完成，且有质量对照记录 |
| 只读抽样 | 按队列抽出的小比例样本，不可翻页 | 常规质量抽检、模型效果评估 | 抽样规则公开且可复核，抽中项留痕 |
| 只读元数据 | 不含内容，只有统计字段与状态标记 | 产能管理、时效监控 | 管理类岗位，不接触任何用户内容 |
映射表要写成机器可执行的形式：某类数据在某类授权状态下，只允许挂某几档队列。人申请权限时选档，系统按数据类型校验，而不是让主管凭印象批。这张表还有一个附带好处——审计时能一眼看出越界：某账号的申请档位与它实际访问的数据类型不在映射范围内，就是需要解释的记录。
四、六项技术控制，缺一项就是靠自觉
- 审阅账号与生产账号严格分离。审阅员不得持有任何能改配置、发通知、查订单的凭证；同一身份跨两套系统是最常见的越权来源。
- 按队列授权，不按全库授权。审阅员进入的是一个待办列表，不是一个可搜索的数据集；能按关键词检索全库，等于把抽样变成了自选。
- 访问逐条留证，并记录查看时长。谁在什么时刻打开哪一条、停留多久、做了什么判定，都要有记录。只记登录不记条目，事后无法重建。
- 界面水印与截屏防护。水印带审阅账号标识，移动端和桌面端分别有防护措施；这一项不解决全部问题，但显著提高外泄的可追溯性。
- 导出通道禁用或强审批。原始批量导出默认关闭；确需导出的场景走审批，审批单里必须写清用途、字段范围与销毁时间。
- 异常访问频率报警。深夜批量翻页、单条停留时间远低于完成判定所需时间、访问路径覆盖多个无关队列，这三种模式触发告警并暂停账号，人工确认后再放。
这六项里最容易被省掉的是第三项和第六项，理由是“日志量太大”。日志量大可以用保留期分档解决：判定结论长期保留，原始访问明细保留一段可复核的窗口即可，窗口长度和争议处理周期对齐。
五、外包场景多出来的四件事，和合同要补的六条
自营审阅和外包审阅的差别不在人的素质，在离场时的回收是否会被执行。外包多出的四件事：人员清单是否可核——供应商是否提供在岗名单与变更通知，还是只给一个共享账号；离场权限回收是否可验证——人员退出后其账号访问记录是否归零，由谁确认；跨主体的记录责任归属——访问日志存放在哪一方、被审计时谁提供、格式由谁定义；审计权是否写进合同——没有审计权的第三方数据处理，事后没有任何手段核实前面三条是否被执行过。
对应到合同条款，六条建议直接补进数据处理附件：
- 用途限定：审阅仅用于约定的判定目的，不得用于模型改进、样本库建设或任何其他目的，除非另有单独约定。
- 禁止二次留存与私存：不得截图、不得另存、不得在个人设备缓存，违反视为根本性违约。
- 留存期与删除时点：写明审阅副本的产生时点、最长留存期与删除方式，删除后提供确认记录。
- 审计频次与方式：我方有权按约定周期抽查访问日志、核对在岗名单、验证回收结果，并规定响应时限。
- 泄露通知：发现或怀疑暴露时的通知时限、通知内容要素与初步处置动作，白纸黑字，不写“尽快”。
- 违约与责任划分：分层写清因何产生后果由谁承担，包括供应商、分包与人员个人三个层面。
六、用户能看到什么，以及交付方怎么判断设计合不合规
告知面通常只有三档，一档比一档难做：隐私政策里是否明确写了“部分内容会由人工审阅”，而不是只写“我们可能处理您的数据”；是否给了关闭选项；关闭之后功能降级到什么程度，说清还是含糊。三档里最稳的做法是“能关，但把代价讲明白”——关掉人工审阅后审核时效变长、申诉复核改由自动化流程给结论、某些需要人工确认的能力不可用。含糊地给一个开关，比不给开关更容易引发争议，因为用户会以为关掉之后一切都保持不变。
在洹拓替客户评审这类系统的设计时，有两条硬判据：如果用户无法自行关闭人工审阅，且审阅范围没有可核对的说明，这个设计不能通过评审；如果审阅员可访问的数据范围没有在合同或附件里逐字段限定，同样视为不合规设计。这两条不需要参考任何外部规定就能执行，因为它们问的是“你能不能说清楚谁看了什么、看了多久、看完留在哪”。
最后要说一个反向的坑。限制收紧之后，标注与审阅会因为看不到必要上下文而质量下降——判断一段生成结果是否切题，可能需要看到前一条；判断图片是否违规，模糊到一定程度就判不出来。所以遮蔽规则必须配套一份“哪些遮蔽会导致什么类型的判定失效”的记录，按数据类型分级放开，而不是在压力上来时整片关掉遮蔽。安全控制和交付质量之间不是口号上的平衡，是靠这份记录把取舍写在纸面上。