企業採購線上課程時，IT、法務或資安很常問：
「你們的資料放在哪裡？」
如果只回答：
「我們網站主機在某個國家。」
通常還不夠。
因為一套線上課程可能同時使用：
- 網站與資料庫。
- 影音服務。
- 電子郵件寄送服務。
- 備份空間。
- 客服與表單系統。
- 報表匯出。
- 第三方技術支援。
會員姓名可能放在網站資料庫，影片檔放在影音平台，通知信經過寄信服務，備份又存在另一個位置。
所以企業問的往往不是一個機房地址，而是：
「我的員工資料會經過哪些系統？」
先分清楚：儲存、處理、傳輸、備份不是同一件事
| 概念 | 代表什麼 |
|---|---|
| 主要儲存 | 會員、課程進度、作業等主要資料放在哪個系統 |
| 處理 | 哪些服務會讀取、傳送、分析或使用資料完成任務 |
| 傳輸 | 資料從一個系統送到另一個系統 |
| 備份 | 為復原而保留的額外副本 |
| 衍生資料 | 從原始資料計算出的完成率、報表、統計等 |
同一筆會員資料可能同時存在這幾種狀態。
例如學員電子郵件（Email）原本在會員資料庫，寄歡迎信時又傳到寄信服務；之後整個資料庫被備份，報表又匯出一份 Excel。
如果只說「資料庫在某地」，就漏掉後面幾個副本。
第一層：會員資料通常是整套系統的主資料
常見會員資料包括：
- 姓名。
- 電子郵件（Email）。
- 企業或部門。
- 帳號狀態。
- 課程權限。
- 學習進度。
- 測驗與作業紀錄。
這一層通常存在課程網站或會員系統的資料庫。
企業問資料位置時，可以說明：
- 主要資料庫由哪一類基礎設施承載。
- 主要區域或資料中心位置。
- 是否有複本或備援。
- 誰有管理權限。
不需要把資料庫密碼、IP 或其他安全機密交出去，但要能說清楚資料治理的基本架構。
第二層：影片可能根本不在網站主機裡
很多課程網站為了效能與流量，不會把大型影片直接放在網站主機。
影片可能由專門的影音服務處理：
- 影片原始檔。
- 轉碼後的串流檔。
- 播放器請求。
- 觀看相關紀錄。
因此「網站資料放哪裡」和「影片放哪裡」可以是兩個答案。
如果企業有資料位置要求，就要再確認：
- 影音供應商能否指定區域。
- 是否會透過 CDN 全球分發。
- 播放器會傳哪些使用資訊。
- 是否保存觀看紀錄。
不要因為 WordPress 主機在台灣，就直接回答「所有課程資料都在台灣」。
第三層：寄信服務也會處理部分會員資料
帳號開通信、密碼重設、課程提醒、企業通知，通常會透過電子郵件服務寄送。
寄信服務至少可能接觸：
- 收件人電子郵件。
- 姓名或稱呼。
- 信件內容。
- 寄送與退信紀錄。
- 時間與技術紀錄。
所以企業做資料清查時，寄信服務不能因為「它不是資料庫」就被忽略。
這就是為什麼資料流盤點要從功能出發，而不是只列主機商。
第四層：備份也是資料，不是「不算正式資料」
台灣《個人資料保護法施行細則》第 5 條明確指出，個人資料檔案包括備份檔案。
因此，如果正式資料庫每天備份到另一個服務，就應該知道：
- 備份放哪裡。
- 保留多久。
- 是否加密。
- 誰可以復原。
- 資料刪除後，備份如何依既定週期淘汰。
這一點對企業尤其重要。
因為「我們已從正式網站刪除」不代表每一個歷史備份都在同一秒消失。
需要的是一個可說明、可執行的備份保存與淘汰政策。
第五層：日誌也可能包含個資或可識別資訊
網站與安全系統可能記錄：
- 登入時間。
- IP 位址。
- 裝置／瀏覽器資訊。
- 錯誤紀錄。
- 管理操作。
這些日誌對資安與問題排查很有用，但也不代表應該永久保存。
可以先定義：
- 蒐集目的。
- 保存期間。
- 誰能查看。
- 是否含敏感欄位。
安全日誌也不應記錄密碼、完整工作階段權杖或其他不必要的秘密。
第六層：報表一匯出，就多了一份新的資料副本
企業 HR 可能每月下載：
- 學員名單。
- 完成率。
- 測驗分數。
- 證書狀態。
一旦 CSV 或 Excel 被下載到企業端，就產生另一份副本。
因此報表設計除了「誰能下載」，還要定義：
- 哪些欄位真的需要。
- 是否可以只提供彙總。
- 企業管理員權限何時結束。
- 匯出後由誰負責內部保管。
企業報表與個資權限，可以延伸看 企業客戶要看學員進度怎麼辦？管理員、完成率、報表與個資邊界怎麼設計。
什麼是次處理者？先用「誰又把工作交給誰」理解
企業合約中常看到次處理者（Subprocessor）這個詞。
簡單理解：
企業把員工資料交給課程業者處理；課程業者又使用雲端主機、寄信、影音或技術服務協助完成交付時，部分供應商可能成為資料處理鏈的一環。
大型雲端業者本身也可能再使用其他服務商。
例如 Google Cloud 會公開其第三方次處理者、相關服務、處理活動與處理國家，讓企業能了解資料處理鏈。
對課程業者來說，不需要把所有網路服務都一律叫做次處理者。
更該問的是：
- 這個廠商會不會接觸客戶資料？
- 接觸哪些資料？
- 為了什麼目的？
- 在哪些地點處理？
- 合作結束後怎麼處理？
台灣個資法對「委託」與「複委託」也有監督要求
台灣《個人資料保護法施行細則》第 8 條規定，委託他人蒐集、處理或利用個資時，委託方要對受託者進行適當監督。
其中包含：
- 資料範圍與類別。
- 特定目的與期間。
- 有複委託時的約定。
- 違規時的通知與補救。
- 委託終止後資料載體返還。
- 受託者持有資料的刪除。
所以企業問「你用了哪些第三方」，不是單純想知道品牌名稱。
它關心的是責任鏈。
「資料放在哪個國家」和「資料在哪裡被處理」也要分開
例如：
- 主資料庫在 A 國。
- 備份在 B 國。
- 技術支援人員可能在 C 國。
- 影音透過全球 CDN 分發。
這幾件事的意義不同。
所以企業如果問資料所在地，可以分成：
| 欄位 | 要說明什麼 |
|---|---|
| 主要儲存區域 | 主要資料庫／檔案的位置 |
| 備份區域 | 備份或災難復原位置 |
| 處理地點 | 服務或支援可能處理資料的國家／地區 |
| 傳輸／分發 | 資料是否會經跨區網路或 CDN |
不要把其中一格的答案拿來代表全部。
最實用的方法：建立一份「企業課程資料清冊」
可以用一張表管理：
| 資料 | 系統 | 目的 | 位置／供應商 | 保存 |
|---|---|---|---|---|
| 會員姓名、電子郵件 | 會員系統 | 帳號與課程權限 | 主要資料庫 | 依契約／政策 |
| 課程影片 | 影音服務 | 串流交付 | 影音平台 | 方案期間 |
| 寄信資料 | 電子郵件服務 | 通知與驗證 | 寄信供應商 | 依服務政策 |
| 作業 | 課程網站 | 教學與回饋 | 資料庫／檔案 | 依教學需求 |
| 備份 | 備份系統 | 災難復原 | 備份位置 | 固定輪替 |
| 企業報表 | 網站／匯出 | 成果回報 | 網站＋企業端 | 依授權與契約 |
這張表不只可以回答採購問卷，也能幫自己發現：
- 哪些資料其實不需要蒐集。
- 哪些供應商已經不用了。
- 哪些備份保存太久。
- 哪些報表權限太寬。
資料流最好畫成「從哪裡來 → 到哪裡去」
例如企業課程可以簡化成：
企業 HR 名單 → 課程會員系統 → 電子郵件開通信 → 學員登入 → 課程／影音 → 作業與進度 → 企業報表
再把旁邊的：
- 備份。
- 客服。
- 日誌。
- 第三方供應商。
接上去。
企業看到資料流，通常比看到一長串服務商名稱更容易理解風險。
資料刪除也要看整條資料流，不是只刪 WordPress 帳號
合作結束後，如果企業要求依約處理資料，就要確認：
- 會員主資料。
- 作業附件。
- 企業群組。
- 報表。
- 寄信名單。
- 備份。
- 其他受託服務中的資料。
不同系統的刪除時間可能不同，因此最好事前定義處理流程，而不是收到刪除要求才逐一找。
企業授權到期與資料保存，可以看 企業課程授權到期後怎麼辦？續約、停權、資料保留與學習紀錄怎麼處理。
不要因為企業問資安，就把供應商清單全部公開到官網
企業採購確實可能需要：
- 主要基礎設施。
- 資料處理者。
- 所在地。
- 安全措施。
但公開說明與企業審查可以分層。
官網可以說明原則；需要詳細供應商、區域與契約資訊時，再在企業採購流程提供最新版資料。
因為供應商與處理地點可能調整，放一份多年不更新的公開清單反而更容易錯。
每次換主機、影音或寄信服務，都要更新資料流清冊
企業資料說明不能只在第一次成交時做。
只要你：
- 搬主機。
- 換影音平台。
- 新增客服工具。
- 換備份服務。
- 新增分析工具。
都可能改變資料流。
因此可以在每次重要系統變更時，順便檢查：
- 資料清冊。
- 隱私政策。
- 企業採購文件。
- 次處理者／複委託說明。
企業採購時，可以直接提供一張「資料處理摘要」
如果企業 IT、法務或資安要快速審查，不一定需要一開始就丟整份技術文件。
可以先用一頁摘要回答：
| 欄位 | 建議說明 |
|---|---|
| 資料類型 | 會員、學習進度、作業、影音、日誌、報表 |
| 主要用途 | 帳號、課程交付、客服、安全、成果回報 |
| 主要系統 | 網站／會員系統、影音、寄信、備份等 |
| 處理區域 | 主要儲存區域、備份區域、可能處理地區 |
| 第三方 | 哪些供應商會實際接觸或處理資料 |
| 保存 | 各資料類型的保存與淘汰原則 |
| 合作結束 | 停權、匯出、返還、刪除與備份淘汰流程 |
這張摘要的價值不是把每個技術細節都公開，而是先讓企業看懂資料生命週期。
如果採購方需要更深入的次處理者清單、資料處理協議、跨境條款或資安證明，再依案件提供最新版資料。這樣既能回答企業審查，也避免把多年不更新的供應商資訊固定寫死在公開頁面。
常見問題
網站主機在台灣，就可以說所有資料都在台灣嗎？
不一定。影音、電子郵件、備份、內容傳遞網路（CDN）、技術支援或其他服務可能在不同地區處理資料，應以完整資料流說明。
備份也算個資嗎？
台灣個資法施行細則明確把備份檔案納入個人資料檔案範圍，所以備份位置、保存與刪除週期也應納入管理。
所有第三方外掛都是次處理者嗎？
不一定。應先看該服務是否實際接觸、處理或儲存企業／學員資料，以及契約中的資料角色怎麼定義。
企業要我提供所有服務商名稱，可以给吗？
可以依採購與契約需要提供和資料處理有關的供應商資訊，但要維持版本更新，並避免把與審查無關的安全機密一起公開。
企業下載報表後，資料還是課程業者負責嗎？
課程業者仍應對自己控制的處理負責；企業下載後形成的副本則進入企業自己的保管環境。雙方最好在契約與權限設計中說清楚各自責任。
合作結束後是不是所有資料都立即刪除？
不能一概而論。要看契約、法令保存義務、資料用途與備份週期；沒有繼續保存必要的資料，則應依適用規範與既定政策處理。
結論：企業要的不是一個機房地址，而是一張能追溯的資料地圖
企業線上課程的資料可能分散在會員系統、影音、電子郵件、備份、日誌與報表裡。
回答「資料放在哪裡」時，先列資料類型，再列系統、用途、主要位置、第三方處理、保存期限與刪除方式；有複委託或次處理者時，也把責任鏈納入。
當這張資料地圖建立起來，企業資安問卷、個資條款、資料刪除與系統更換都會變得更容易回答。
如果涉及正式個資委託契約、跨境限制或特定產業法規，仍應依實際合作內容與最新規範，由合格法律或個資專業人員確認。
參考資料：
個人資料保護委員會籌備處｜個人資料保護法施行細則第 5、7、8 條。
Google Cloud｜Google Cloud Platform Subprocessors。
Google Cloud｜Cloud Data Processing Addendum。