經常有客戶和我討論關于“數據安全”的話題，但我發現：客戶通常問的并非技術上的“安全”，而是另外一個話題叫“數據隱私”。客戶真正在意的是：你是否會把數據共享、或者賣給別人？一直以來，我認為這是杞人憂天，但近來SaaS圈里的一些動態還是讓人有點不安。
例如，招聘管理系統（又稱ATS）是一個幫助客戶管理招聘過程的軟件，它很重要的一個價值在于客戶可以把從招聘網站、獵頭、內部推薦等各個渠道而來的簡歷集中儲存到這里，進行批量的處理和后續流程的操作。ATS廠商和眾多的招聘服務商之間原本是這樣在產業鏈上共同為客戶提供不同價值的合作關系。
但隨著競爭的加劇，有的招聘服務商開始嘗試做ATS系統，也有ATS廠商逐漸向上游延伸做起了招聘服務商，這樣各自的業務邊界也模糊了，原本的生態關系也變得復雜了。這其中，一些純SaaS模式的ATS廠商就開始嘗試通過簡歷數據進行一些商業變現，包括：1、出售簡歷或者交換簡歷，2、簡歷刷新（注：用A客戶的簡歷狀態刷新B客戶的簡歷狀態，例如A客戶內部推薦了一封簡歷，B客戶被提示此人在找工作）。
那問題來了：SaaS廠商是否有權利利用系統或者平臺中的數據變現，邊界在哪里？這是一個需要認真思考且謹慎行動的話題，于是我花了點兒時間去研究了一下數據隱私，讓我們來看一個各大廠商是如何定義這個邊界的：
Microsoft:
將你的數據委托給 Office 365 之后，你仍然是數據的唯一所有者。存儲在 Office 365 中的數據的一切權限、權利和利益均歸你所有。你可以隨時出于任何原因下載自己所有數據的副本，無需 Microsoft 協助。
根據我們的政策，除了為你提供云生產力服務之外，我們絕不會出于廣告宣傳的目的而挖掘或使用你的數據。
IBM:
您擁有并上傳到 SaaS 產品的數據仍歸您所有。
除了為您提供服務和支持外，我們不會出于任何其他原因使用您的數據。
只有在為您提供服務和支持時，才會根據需要授予針對您數據的訪問權（最低程度的必要權限）。
Salesforce:
除非 Salesforce 主訂購協議規定或者法律要求，否則 Salesforce 不會審核、共享、分發或引用任何此類客戶數據。按照 Salesforce 主訂購協議規定，Salesforce 僅可出于以下目的訪問客戶數據：提供服務、阻止或解決服務或技術問題和法律要求時。
關于數據隱私，各大SaaS廠商都有清晰的約定，大約分成幾個層面的內容：1）數據的所有權是客戶的; 2）數據不會被共享、分發和轉售 3）客戶可以隨時將自己的數據下載下來。
由此推演：客戶在ATS中存儲的簡歷數據所有權歸客戶，廠商不允許將簡歷共享、分發及轉售，客戶可以隨時將自己的數據下載下來。那簡歷售賣、簡歷刷新均是嚴重的侵犯客戶數據隱私權的行為。
中美之間的差異是可以理解的，一直以來，歐洲和美國對于個人數據隱私權的管理相當成熟，所以才會有蘋果和美國政府之間關于數據隱私的沖突。而在中國，則不然，所以才會出現：“徐玉玉電信詐騙案”的事件。（由于徐玉玉個人信息的泄露，作案者幾乎是“精準詐騙”）
但這個情況正在發生改變…….
前天，民法總則草案提請全國人大常委會三次審議，個人信息保護被納入立法視野。二審稿第109條增加了規定：“自然人的個人信息受到法律保護，任何組織和個人不得非法收集、利用、加工、傳輸個人信息，不得非法提供、公開或者出售個人信息。”
11月7號，人大表決通過了《中華人民共和國網絡安全法》, 并將于明年6月1日起施行。在第四章35條，36條規定：“網絡運營者收集、使用公民個人信息，應當遵循合法、正當、必要的原則，明示收集、使用信息的目的、方式和范圍，并經被收集者同意。網絡運營者對其收集的公民個人信息必須嚴格保密，不得泄露、篡改、毀損，不得出售或者非法向他人提供。”
也就是說：到了2017年6月1號，簡歷售賣、簡歷刷新這樣的事情就變成違法的了。
在中國，SaaS才剛剛開始，大數據才剛剛開始，這對所有的從業者而言都是是一個極好的機會，但我們也看到了很多挑戰。要讓市場真正擁抱SaaS，解決客戶對于數據隱私和數據安全的擔憂是一個非常重要的基礎。因此，所有的SaaS廠商都應該快速建立關于數據隱私的規范，并共同去維護這一基礎商業規則——數據是客戶的。
王堅博士在《在線》一書中提到：“每個人是否愿意把‘數據’這一新型的財富形式放在互聯網上，是一個涉及體制架構、公民責任、社會環境，乃至和人性密切關聯的問題”。國外的調查顯示，為了享受互聯網帶來的便捷，大多數人和組織最終還是會選擇承擔數據隱私的風險選擇將個人的數據儲存在網絡上，但作為網絡時代的服務供應商，我們更加有責任去保護這些數據，真正擔起數據委托人的信任，從而促進行業和社會的更快的良性發展。尊重和保護客戶的數據隱私，關乎法理，更關乎企業的責任，希望與業界同仁共勉，共建一個健康的商業環境！
