企业数据授权协议签署前先写清使用范围和退出六个边界

关键不是合同里有没有“授权使用数据”六个字，而是使用范围能不能被执行。

企业签数据授权、数据产品交付或数据合作协议时，最容易把范围写成一句大话：甲方授权乙方使用数据，乙方可以用于业务、研发或服务优化。这样的表述看起来覆盖面大，真正发生争议时却很难回答数据从哪里来、能用到什么目的、能否给第三方、到期后怎么删、成果归谁、能否被审计。签署前先写清六个边界，比事后补解释更有价值。

吕箐翎律师处理企业数据合同和知产数据合规问题时，通常会先把“授权”拆成可执行动作，而不是停留在授权两个字。下面六个边界可以放进同一张合同审查表里，用来检查协议是不是只写了概括授权，却没有写清来源、目的、对象、成果、审计和退出。

第一个边界：数据来源和权利基础

第一个边界解决数据从哪里来。企业自有业务数据、客户提供数据、供应商整理数据、公开数据、公共数据、第三方采购数据和合作方共享数据，权利基础完全不同。协议里不能只写“合法数据”，而要能说明取得方式、提供主体、原始授权、是否含作品内容、是否含个人信息、是否有公共数据或第三方数据库权益。

来源边界写不清，后面所有使用范围都会失真。比如供应商只保证数据可用于某个项目交付，却没有说明能否再授权给客户、能否用于算法训练、能否进入数据产品交易；客户提供数据只为履行合同，却被写成可用于长期研发。看似一句“合法取得”，可能盖不住这些具体变化。

建议协议附件保留来源清单、来源主体、取得方式、授权文件、禁止用途、第三方限制和责任承诺。没有来源清单的授权，不应直接扩成无限制使用。

第二个边界：处理目的和使用场景

第二个边界解决数据到底用于什么。数据安全和个人信息处理都要求企业关注处理目的、方式和必要性；技术合同也需要明确标的、范围和履行方式。协议里应把使用目的写成可判断的场景：产品交付、数据分析、客户画像、模型训练、算法评测、风控、营销、内部管理、对外展示、二次开发或商业销售。

“业务需要”太宽，“研发使用”也太宽。尤其涉及个人信息时，原收集目的未必能覆盖新的数据产品、训练、营销或第三方交付。涉及重要数据、跨境传输或第三方来源数据时，更不能用笼统目的替代合规前提。目的越宽，退出和审计越要细；目的越具体，项目团队越容易执行。

这部分可以写成白名单和禁止项。白名单说明允许用途、系统范围、用户角色和输出形态；禁止项说明不得用于再训练、不得转售、不得对外披露、不得与其他数据混合、不得跨境处理或不得用于特定客户项目。

第三个边界：授权对象和第三方接触

第三个边界解决谁能接触数据。数据授权协议要区分被授权主体、关联公司、外包方、云服务商、模型服务商、实施顾问和最终客户。只写“乙方及其合作伙伴”通常太宽，真正发生泄露、误用或争议时，很难判断谁是被允许的接触方。

如果存在委托处理、共同处理、向第三方提供或供应商转委托，应把处理关系、权限范围、安全措施和责任承担写清楚。个人信息保护场景下，还要关注个人信息种类、保存期限、保护措施、双方权利义务和向第三方提供的边界。数据产品交付场景下，还要写明客户能否让下游再使用。

建议把对象边界拆成三层：直接使用者、受控接触者、禁止接触者。直接使用者是协议主体内的特定团队；受控接触者是需要保密、审计和最小权限的供应商；禁止接触者是未经书面同意不得接触或不得留存的第三方。

第四个边界：成果归属和输出使用

第四个边界解决用数据产生的结果归谁。数据清洗结果、标签、模型特征、分析报告、衍生数据、指标体系、数据库结构、接口文档和训练结果，可能既有合同成果归属问题，也有知识产权、商业秘密和个人信息派生风险。协议不能只约定原始数据归属，还要约定输出和衍生成果的使用范围。

企业常见误区是：原始数据不能转让，但分析结果可以随便用；或者客户授权数据分析，就等于允许把结果用于别的客户项目。是否允许沉淀模板、是否允许复用标签体系、是否允许用于模型优化、是否允许输出给第三方，都应写清楚。否则成果越有价值，争议越容易集中在“当初授权是否覆盖”。

这部分建议列出成果类型、归属、可使用主体、可使用期限、可否再授权、可否用于训练或商业化、是否需要脱敏或匿名化。不要把成果归属写成一句“归乙方所有”或“归甲方所有”就结束。

第五个边界：审计留痕和安全措施

第五个边界解决事后能不能查。数据授权协议要有访问日志、处理记录、交付验收、权限审批、异常事件通知、删除证明、备份处理和安全措施。没有留痕的授权，很难证明数据没有越界使用；没有审计机制的限制，也容易停留在纸面。

数据安全义务强调处理活动和保护措施。个人信息处理场景还要看保存期限、处理方式、委托处理和第三方提供关系。技术合同场景则需要能证明交付、验收和保密义务。把这些材料提前约定，后续项目变更、客户投诉或监管问询时，企业才有材料可拿。

审计条款不一定要写得吓人，但要可执行。比如按月导出访问日志，保留数据集版本，重大用途变更需书面确认，供应商转委托需提前告知，数据删除需提供记录，安全事件需在约定时间内通知并配合处置。

第六个边界：期限届满后的返还和删除

第六个边界解决合作结束怎么办。很多数据协议签署时只写授权开始，不写授权结束。期限届满、项目终止、合同解除、客户撤回、个人信息处理目的消失、供应商更换或数据来源被质疑时，数据是否返还、删除、匿名化、封存、继续留存备份，必须提前写清楚。

退出机制尤其要和使用目的、第三方接触和成果归属配套。原始数据应删除，不代表所有成果都必须删除；成果可以保留，也不代表原始个人信息可以继续留存；供应商删除了承载数据的主库，也不代表日志、备份、模型输入和中间文件都被处理。协议要把这些对象分开。

建议把退出写成动作表：触发条件、处理对象、处理方式、完成期限、证明材料、例外保留和违约后果。没有退出机制的数据授权，后续最容易在“我还能不能继续用”上发生争议。

六个边界要合成一张合同审查表

数据来源、处理目的、授权对象、成果归属、审计留痕和退出机制必须一起看。来源没有训练授权，就不能因为成果归乙方而继续用于模型；个人信息目的不覆盖营销，就不能因为合同写了业务使用而放宽；第三方接触没有约束，就不能只靠保密条款兜底；退出机制缺失，就不能轻易承诺长期商业化。

第一轮审查可以先分红黄绿。绿色是来源、目的、对象、成果、审计和退出都闭合；黄色是条款可补、附件可补、用途可缩小或需要补充授权；红色是来源不明、个人信息目的不清、第三方无限接触、成果使用无限扩张或到期删除无法执行。本文只提供一般法律信息和风险识别参考，不构成针对具体项目的法律意见，也不替代正式咨询。后续可以继续关注数据授权、数据产品交付和个人信息处理边界；当前更重要的是把使用范围写成能执行、能审计、能退出的合同条款。