腾讯 WorkBuddy 隐私政策允许将数据传输至中国

腾讯披露，韩国用户的 WorkBuddy 数据可能会被传输至中国。披露范围涵盖账户、身份验证、支付信息以及 AI 提示输入和输出。政策将 Tencent Technology (Shenzhen) Co., Ltd. 列为境外接收方，而 WorkBuddy 将用户信息存储在新加坡和香港的服务器上。这项披露引发了有关其是否符合韩国《个人信息保护法》的疑问，尤其是因为即使数据仍存储在中国境外，境外访问也可能被视为跨境披露。

Tencent WorkBuddy 隐私政策指明中国境内的数据接收方

根据截至 11 月 5 日的 Tencent Cloud 隐私政策，位于中国深圳的 Tencent Technology (Shenzhen) Co., Ltd. 被指定为境外个人数据传输的接收方。Tencent 将目的地国家列为中国（中华人民共和国），并说明用户访问服务时，数据会通过信息与通信网络进行传输。

Tencent 将 WorkBuddy 用户信息存储在新加坡和香港的服务器上。隐私政策允许将这些信息传输给 Tencent Technology（Tencent 在中国的关联公司），或允许该公司访问这些信息。Tencent 还表示，包括中国团队在内的境外支持和工程团队可能会因服务运营需要访问用户的个人信息。因此，中国境内的人员可以远程查看或处理存储在新加坡及其他境外地点服务器上的个人信息。

WorkBuddy 处理 AI 输入、输出和业务任务

WorkBuddy 是一款 AI 效率工具，可根据用户的自然语言指令，通过与外部业务系统集成来创建文档、管理文件并执行任务。

对于个人用户，可能被传输的信息类别包括登录和账户详情、安全身份验证信息、诊断和使用数据、支付和消费记录，以及 AI 输入和输出。这些类别涵盖电子邮件地址、用户 ID、互联网协议（IP）地址、设备标识符和操作系统信息。

企业版将账户和身份验证信息以及 AI 输入和输出列为可能传输至中国的数据。Tencent 将 AI 输入信息定义为用户提交的提示、文本、语音录音、上传文件、共享内容和任务指令。输出信息包括 AI 对话历史记录、生成的回复和任务执行结果。

韩国隐私法涵盖境外访问

根据韩国隐私法，境外披露个人信息包括从境外访问这些信息。因此，即使存储信息的服务器没有实际迁至中国，从中国访问数据也可能构成跨境传输。

包括敏感信息在内的广泛数据收集范围引发了有关其是否符合韩国《个人信息保护法》的疑问。Tencent 在韩国运营一个名为首尔区域（ap-seoul）的数据中心基础设施区域，其中设有两个可用区。尽管拥有这一国内基础设施，该公司仍将用户信息存储在境外，并允许将其传输至中国。

DeepSeek 调查为韩国监管提供先例

2025 年 4 月，韩国个人信息保护委员会（PIPC）公布了对 DeepSeek 调查的结果。PIPC 表示，DeepSeek 未充分披露相关传输，便将韩国用户的个人信息传输给了中国和美国的企业。

调查还发现，DeepSeek 将用户输入的提示传输给了北京火山引擎科技有限公司，该公司是中国 ByteDance 的关联公司。DeepSeek 表示，这些传输是为了支持云服务，以解决安全漏洞并改善用户体验。PIPC 认定，为实现这些目的，传输提示内容并无必要。

DeepSeek 随后从 2025 年 4 月 10 日起停止新的传输，PIPC 建议采取包括删除此前已传输数据在内的措施。据消息来源称，WorkBuddy 政策将 AI 输入和输出列为可传输信息，因此也可能受到类似的监管关注。

WorkBuddy 数据传输政策详述用户信息范围

• Tencent 截至 11 月 5 日的隐私政策将 Tencent Technology (Shenzhen) Co., Ltd. 列为境外个人数据传输的接收方。
• 政策所列的目的地国家为中国（中华人民共和国）。
• WorkBuddy 将用户信息存储在新加坡和香港的服务器上。
• 可能传输的个人用户数据包括登录和账户详情、安全身份验证信息、诊断和使用数据、支付和消费记录，以及 AI 输入和输出。
• AI 输入信息包括用户提交的提示、文本、语音录音、上传文件、共享内容和任务指令。
• AI 输出信息包括 AI 对话历史记录、生成的回复和任务执行结果。
• Tencent 的首尔区域（ap-seoul）设有两个可用区。
• 2025 年 4 月，PIPC 认定 DeepSeek 传输提示内容对于其所述目的并无必要。
• DeepSeek 从 2025 年 4 月 10 日起停止新的传输。

常见问题

WorkBuddy 哪些数据可能被传输至中国？

对于个人用户，政策将登录和账户详情、安全身份验证信息、诊断和使用数据、支付和消费记录，以及 AI 输入和输出列为可能传输的数据。AI 输入包括提示、文本、语音录音、上传文件、共享内容和任务指令，而输出包括 AI 对话历史记录、生成的回复和任务执行结果。

哪个 Tencent 实体被列为境外数据接收方？

Tencent 的隐私政策将位于中国深圳的 Tencent Technology (Shenzhen) Co., Ltd. 列为境外个人数据传输的接收方。政策将目的地国家列为中国（中华人民共和国）。

为什么这项政策可能引发对韩国隐私法合规性的担忧？

韩国隐私法将从境外访问个人信息也视为境外披露。消息来源称，中国境内的人员可能会远程查看或处理存储在新加坡及其他境外地点服务器上的信息，这意味着即使数据并未实际存储在中国，从中国进行访问也可能构成跨境传输。