01 / 从业务流程开始
把注册、使用、客服和运维环节逐一列出，记录每个环节涉及的数据、系统与团队。优先画出真实流程，再讨论需要补充的材料。
02 / 明确参与角色
列出总部、当地团队、云服务商和其他供应商各自的工作。把尚未确认的责任单独记录，交由项目负责人及适当的专业顾问确认。
03 / 让控制措施可验证
为权限申请、离职回收、日志查询及事件升级指定责任人。记录检查频率、证据保存位置及例外处理方式。
04 / 带着清单讨论
准备一张数据流图、一份供应商列表和一个未决问题台账，让技术与专业顾问围绕同一组事实开展评估。
本清单用于项目准备与团队协作，不用于判断具体业务的法律、税务或监管要求；涉及专业判断的事项应结合实际情况由适当的专业人士确认。