重庆企业准备公司设立材料，拟请外部人员把股东、拟任职人员的证件信息录入表格。合同只写“技术服务”，是否就不用约定个人信息处理责任？不能据合同名称直接下结论。录入和整理涉及可识别自然人的信息时，应核对真实处理活动、各方角色及相应义务，不能把登记代理、信息处理和软件操作三个概念混成一项授权。
先判断谁实际决定目的和方式
个人信息保护法第四条将收集、存储、使用、加工、传输等纳入处理；第七十三条所称个人信息处理者，关键在于自主决定处理目的、处理方式。因此，判断不能只看谁收费、谁拥有软件或合同给谁起了什么名称。应具体说明由谁决定为何整理这些资料、采用什么处理安排、允许用于哪些事项。
假设外部人员仅按约定字段和指令整理资料，不自行另定用途，需要核对第二十一条的委托处理规则；如果双方实际共同决定目的和方式，则应进一步核对第二十条共同处理规则。不能把所有代办机构一概称为受托人，也不能以“技术外包”四字掩盖其独立决定的其他信息用途。
真正属于委托处理，约定不能只剩保密一句话
第二十一条要求约定委托处理的目的、期限、处理方式、个人信息种类、保护措施以及双方权利义务等，并对受托人的处理活动进行监督。保密承诺可以是安排的一部分，却不能代替上述完整内容。企业宜把允许录入的人员和字段、使用的系统、可访问范围及完成后怎样核对结果写清，让实际操作有可执行依据。
受托人应按约定处理，不得超出约定的目的、方式。允许整理登记表，不当然允许另建营销名单、训练其他业务模型或把证件样本作为自己的宣传素材。是否存在其他独立合法依据，需要另行判断，不能把一份委托约定变成以后所有使用的通行证。
约定分工之后，监督与安全义务仍要落实
把责任写给外部机构，不会使个人信息处理者对受托活动的监督要求消失。可以根据真实资料种类和风险，核对账号权限、存储位置、传递渠道以及异常反馈方式；这些属于落实约定的做法，不是声称所有企业必须使用某个指定软件或统一模板。
第五十九条同时要求受托人采取必要措施保障所处理信息的安全，并协助个人信息处理者履行法定义务。受托人不能只说“资料是客户的”便拒绝履行自身安全和协助义务。双方应事先明确实际联系人和协作事项，使个人权利请求或安全异常出现时能找到相应记录与责任人，而非相互推诿。
增添协作方与结束服务，应分别有安排
未经个人信息处理者同意，受托人不得转委托他人处理个人信息。内部经办人变动、第三方接手登记业务与转委托处理个人信息，应按真实主体和事项分别核对；商业代办合同中的一般外协条款，不能直接替代对具体信息处理关系的判断。
第二十一条还规定，委托合同不生效、无效、被撤销或者终止时，受托人应返还个人信息或者予以删除，不得保留。双方应确认处理的具体范围和完成结果，不能默认外部人员可以永久保留一份证件库。若对方主张另有独立法定留存义务，应明确真实依据和角色，不用一句“以后可能要用”笼统保留。
信息处理约定不替代合法基础和登记决定
第十三条规定了个人信息处理的合法基础，签订企业之间的技术服务合同，不等于已经解决所有自然人信息的处理依据。第五十五条还将委托处理个人信息列入应事前进行个人信息保护影响评估并记录的情形；第五十六条要求评估合法正当必要、权益影响、安全风险及保护措施，并规定相应报告和处理记录至少保存三年。不能把这些要求压缩成只签一张保密书。
准备重庆公司注册资料时，可结合公司注册材料核对指南区分真实登记材料和整理工作。录入人员有权按约定处理信息，并不当然有权替股东改变出资、任职或签署决定。最终应能回答：谁决定信息用途，外部人员可以做什么，由谁监督，增加协作者如何确认，以及服务结束如何处理资料。
参考资料
资料核验：2026年11月12日。