从数据分类到合规治理：企业法务团队如何构建面向全球化与 AI 时代的数据治理体系？

适用对象：企业法务、合规、信息安全、IT 管理及数字化转型负责人
关键词：Salesforce、数据分类、GDPR、PII、数据合规、Agentforce、AI Governance、数据治理

一、引言：企业真正的合规风险，可能藏在每一个 CRM 字段里

一家正在全球化发展的制造企业，通常拥有大量客户和业务数据：

客户公司的基本信息、注册地址及商业联系人；
海外客户的姓名、邮箱、电话号码和职位；
销售团队记录的客户沟通、商务谈判及合同信息；
订单、付款、银行账户和交易记录；
售后服务、产品故障及客户反馈；
员工个人信息、薪酬和劳动合同。

这些数据分布在 CRM、ERP、营销自动化、订单管理、客服系统以及各种数据分析平台中。

在传统企业管理模式下，企业往往将数据管理理解为 IT 部门的工作：建立数据库、配置用户权限、设置登录认证、定期备份。

但随着全球数据保护法规不断完善，以及生成式 AI 和智能 Agent 开始直接参与企业业务，传统的数据管理方式已经不足以应对新的合规挑战。

企业法务团队需要回答一些更加具体的问题：

哪些业务数据属于个人信息？
哪些数据受到 GDPR、HIPAA、PCI DSS 等法规或标准约束？
哪些员工、合作伙伴和外部服务商可以访问这些数据？
企业是否能够证明自己采取了合理的数据保护措施？
当 AI Agent 访问客户数据、生成客户报告或执行业务操作时，企业如何确保数据使用符合授权和合规要求？

夏智科技认为：

数据合规不应该始于发生安全事故之后的补救，而应该始于企业创建数据字段、设计业务流程和规划系统架构之时。

这也是 Salesforce Data Classification（数据分类）功能值得企业法务团队重点关注的原因。

二、什么是 Salesforce Data Classification？

Salesforce Data Classification 是 Salesforce 提供的一套字段级数据分类元数据管理机制。

它允许企业为标准对象和自定义对象中的字段设置数据治理属性，记录：

Data Owner：数据所有者；
Field Usage：字段使用情况；
Data Sensitivity Level：数据敏感性级别；
Compliance Categorization：合规性分类。

这些元数据帮助企业识别数据性质、明确管理责任，并为后续权限管理、数据保护、审计和合规治理提供依据。

例如，在一个企业 CRM 系统中：

业务对象	字段	数据分类	敏感性
Account	客户名称	普通业务数据	Internal
Contact	联系人姓名	PII、GDPR	Confidential
Contact	联系人邮箱	PII、GDPR	Confidential
Contact	联系人手机号	PII、GDPR	Confidential
Pipeline	销售预计金额	商业机密	Confidential
Order	银行卡信息	PCI	Restricted
Employee	员工薪酬	PII	Restricted

这意味着，企业可以从字段层面识别数据的性质，而不只是从数据库、业务系统或文件夹层面进行粗略管理。

夏智观点：数据分类的价值在于让企业知道自己拥有什么数据、这些数据为什么敏感、谁应该负责，以及后续应该采取什么保护措施。

需要明确的是，Salesforce Data Classification 记录的是治理元数据。它本身不会自动加密字段、限制用户访问，也不会自动证明企业符合某项法律法规。

三、四项核心配置：建立企业数据治理的基础框架

1. Data Owner：数据所有者

数据所有者是与某个字段或数据集相关联的业务责任人。

这里需要区分三个角色：

Data Owner：对数据的业务管理和治理责任负责。
Data Steward：负责数据质量、标准、分类和日常治理。
System Administrator：负责系统配置、技术权限和运行维护。

三者可以由不同人员承担。

例如：

数据类型	建议业务责任部门
客户联系人信息	销售运营 / 市场部门
客户合同信息	法务部门
订单和交易信息	财务 / 供应链
员工信息	HR
支付信息	财务 / 信息安全
医疗健康数据	法务 / 合规 / 医疗业务负责人

对于跨国企业，建议进一步明确集团总部、区域公司和当地业务团队之间的数据管理责任。

特别需要注意：Data Owner 的设置不等于法律意义上的 Data Controller（数据控制者）。企业应当根据实际业务活动和法律关系确定控制者、处理者及各方责任。

2. Field Usage：字段使用情况

字段使用情况用于描述字段在系统中的生命周期。

Salesforce 默认提供三个主要值：

状态	含义	管理建议
Active	正在使用	纳入正常数据治理
DeprecateCandidate	候选弃用	评估历史数据迁移及依赖关系
Hidden	隐藏或可能弃用	审查字段用途和后续清理计划

例如，企业在不同发展阶段可能创建了多个客户联系电话字段，随着 CRM 统一改造，部分旧字段已经不再使用。

法务和 IT 团队应共同评估：

是否还有业务目的需要保留？
是否涉及合同或审计留存要求？
是否仍被报表、自动化流程或第三方接口引用？
是否需要迁移、删除或匿名化？

这里有一个重要区别：Field Usage 的 Hidden 值是元数据状态，并不等于 Salesforce 自动隐藏字段或撤销用户访问权限。

3. Data Sensitivity Level：数据敏感性级别

这是整个数据分类体系中非常重要的一项配置。

Salesforce 默认提供五个数据敏感性级别：

级别	中文理解	数据示例
Public	公开	官网产品资料、公开新闻
Internal	内部	内部业务信息、普通工作资料
Confidential	机密	客户合同、销售策略、商业报价
Restricted	受限	身份证件、受严格保护的个人信息
MissionCritical	关键机密	核心商业秘密、极高风险业务数据

企业可以根据自身的数据分类与处理政策调整这些级别。

建议法务团队与 IT 团队共同制定数据分级标准，明确每一级数据的处理要求。

例如：

Public

可以对外公开；
不涉及未披露商业信息；
可以用于公开宣传和营销。

Internal

仅供企业内部业务使用；
不应未经批准向公众披露；
可以在适当的保密安排下向合作伙伴共享。

Confidential

仅授权员工和承包商访问；
对外共享需要审批；
应纳入合同保密义务和访问审计。

Restricted

需要严格控制访问范围；
应评估加密、脱敏和日志审计；
对外提供需要经过专门授权和法律审查。

MissionCritical

仅限极少数经过批准的人员访问；
第三方访问应进行专项风险评估；
应结合业务连续性、灾难恢复和高级别安全控制。

注意：敏感性级别属于企业管理分类，不是法律规定的统一等级，也不能直接等同于 GDPR 的特殊类别个人数据。

4. Compliance Categorization：合规性分类

这是截图中最值得企业法务团队关注的部分。

Salesforce 提供了多种默认合规分类，可以帮助企业识别字段与不同法规或行业标准之间的关系。

主要包括：

分类	完整名称	主要关注领域
PII	Personally Identifiable Information	个人身份识别信息
GDPR	General Data Protection Regulation	欧盟个人数据保护
CCPA	California Consumer Privacy Act	加州消费者隐私保护
HIPAA	Health Insurance Portability and Accountability Act	美国医疗健康信息保护
PCI	Payment Card Industry	支付卡数据安全
COPPA	Children’s Online Privacy Protection Act	儿童在线隐私保护
PersonalInfo	Personal Information	个人信息管理相关标识

这些标签可以组合使用。

例如，一个欧盟客户的联系人邮箱字段，可以同时标记：

PII
GDPR

一个涉及美国患者信息的医疗业务字段，则可能涉及：

PII
HIPAA
PHI（如果企业配置了相应分类）

一个涉及信用卡信息的支付字段，则可能涉及 PCI。

这里需要特别强调三个法律边界：

第一，PII 不等于 GDPR。

PII 是描述个人身份识别信息的一种数据分类概念，不是 GDPR 法规名称。GDPR 对 Personal Data 有自己的法律定义，范围包括能够直接或间接识别自然人的信息。

第二，HIPAA 并不是所有医疗企业都自动适用。

HIPAA 主要适用于符合条件的 Covered Entities、Business Associates 及其相关受规制活动。医疗器械企业或一般健康科技公司不能仅因为处理健康相关数据，就直接认定自己属于 HIPAA 监管范围。

第三，PCI 标签不代表企业已经通过 PCI DSS 合规认证。

企业是否需要遵循 PCI DSS，需要结合其支付卡数据处理活动和相关角色判断。字段打上 PCI 标签，只是帮助识别和治理相关数据。

因此，法务团队不能将 Salesforce 中的合规分类标签直接当成法律合规结论。

四、为什么数据分类对全球化企业特别重要？

对于出海制造业企业，数据合规已经不再局限于个人隐私。

企业在全球经营过程中会处理四大类重要数据：

1. 个人数据

包括客户联系人、员工、供应商联系人及其他自然人的个人信息。

典型场景：

欧洲客户联系人信息进入中国总部 CRM；
海外销售团队共享客户电话和邮箱；
营销自动化系统使用联系人数据开展营销活动；
AI Agent 根据客户历史沟通生成销售建议。

法务团队需要关注数据处理目的、合法性基础、透明度、数据最小化、保存期限及跨境传输机制。

2. 商业机密

包括：

客户合同与价格；
供应商采购价格；
销售折扣政策；
渠道代理协议；
商业谈判记录；
产品成本和利润率。

这些信息未必属于个人数据，但可能受到合同保密义务、商业秘密保护和企业内部管理制度约束。

尤其在全球销售组织中，区域销售团队不应该因为能够访问 CRM，就自动获得集团全部客户报价、成本结构和战略信息。

3. 财务与交易数据

包括：

订单金额；
银行账户；
支付卡信息；
发票和税务资料；
应收应付账款。

法务团队需要与财务、信息安全团队协作，确定数据留存、审计、支付安全及第三方处理要求。

4. 受行业监管的数据

不同行业还会面临不同的数据保护要求。

例如：

行业	需要重点关注的数据
Medical Device	患者信息、医疗服务记录
生物医药	临床研究、受试者信息
金融服务	客户身份、交易和支付数据
新能源制造	客户信息、项目资料、核心技术
ICT 通信	用户信息、通信相关业务数据
汽车制造	车主信息、车辆及使用数据

并不是所有行业数据都适用同一套法律法规。企业应根据经营地域、客户类型、产品服务、数据主体和实际处理活动进行法律适用性判断。

五、从 GDPR 看企业的数据治理责任

GDPR 是全球化企业经常需要关注的个人数据保护法规之一。

欧盟委员会总结的 GDPR 七项基本原则包括：

合法、公平和透明；
目的限制；
数据最小化；
准确性；
存储期限限制；
完整性与保密性；
可问责性。

这些原则并不是单纯的 IT 安全要求，而是企业整体管理责任。

我们可以从 Salesforce 数据分类的角度理解它们。

GDPR 原则	企业需要回答的问题	数据治理实践
合法、公平、透明	企业为什么收集数据？	建立处理活动记录及隐私告知
目的限制	数据是否被用于原定目的之外？	明确业务用途和 AI 使用边界
数据最小化	是否收集了不必要的数据？	审查字段和数据采集流程
准确性	数据是否准确？	建立数据质量管理机制
存储期限限制	数据保存多久？	建立数据保留与删除政策
完整性与保密性	数据是否受到保护？	权限、加密、审计和安全控制
可问责性	企业能否证明合规？	保存政策、审批、审计及执行证据

这里有一个非常重要的管理理念：

合规不只是企业有没有做，还包括企业能否证明自己做过。

例如，当客户要求企业说明其个人数据如何被使用时，企业不能仅回答数据存放在 CRM 中，而应该能够说明：

数据来自哪里；
为什么收集；
由哪个部门负责；
哪些人员能够访问；
是否共享给第三方；
是否用于 AI 分析；
保存期限是什么；
如何处理删除或更正请求。

这正是数据分类与数据治理结合后所能提供的基础价值。

六、AI 时代：数据分类为什么变得更加重要？

传统 CRM 的数据访问主要发生在用户与业务系统之间。

但在 Agentforce、生成式 AI 和智能 Agent 逐步进入企业业务之后，数据使用方式发生了明显变化。

AI Agent 不仅可以读取客户资料，还可能：

自动总结客户历史沟通；
分析客户交易和销售趋势；
生成销售策略和报价建议；
查询订单及项目进度；
自动创建客户跟进任务；
通过工作流调用外部系统；
根据业务授权执行具体操作。

这意味着，企业数据可能进入更复杂的处理链路。

例如：

销售人员向 Leanx Agent 提问：

「总结这个客户过去两年的销售情况，并分析下一年度的采购机会。」

AI Agent 可能需要访问：

客户基本信息；
联系人信息；
历史 Pipeline；
订单和交易记录；
合同及报价；
售后服务记录。

这些数据并不具有相同的敏感程度。

如果没有明确的数据分类、权限控制和 AI 使用边界，就可能出现以下风险：

AI 获取了当前用户无权访问的数据；
客户个人信息被用于未经授权的处理目的；
内部报价或成本数据出现在外部客户的 AI 对话中；
AI 生成的报告包含不应该披露的商业机密；
企业无法还原 AI 在某次操作中访问了哪些数据。

夏智建议：建立 AI Data Governance 四层管理机制

第一层：Data Classification（数据分类）

明确哪些字段属于个人信息、商业机密、财务数据和受监管数据。

第二层：Access Control（访问控制）

结合用户身份、角色、对象权限、记录共享和字段级安全，确定谁能够访问哪些数据。

第三层：AI Usage Policy（AI 使用策略）

明确哪些数据可以用于 AI 检索、分析、生成和自动化操作，以及哪些场景需要审批、脱敏或禁止使用。

第四层：Audit & Accountability（审计与责任）

记录重要的数据访问、AI 操作、授权和审批信息，使企业能够追溯和解释相关行为。

在 Salesforce Agentforce 环境中，Einstein Trust Layer、用户权限、字段级安全、记录级共享以及 Agent 专属权限和操作限制，可以共同构成 AI 安全体系的一部分。

需要强调，AI Agent 的数据访问权限应在检索和执行层面进行控制，不能仅依靠 Prompt 要求 AI 不要泄露信息。

七、法务团队如何推动企业建立数据分类制度？

夏智科技建议，企业不要将数据分类当成一次性系统配置项目，而应该建立一套持续运行的数据治理机制。

建议分为六个步骤。

第一步：建立企业数据资产清单

与 IT、业务部门共同识别企业有哪些数据。

至少覆盖：

客户及联系人数据；
销售和营销数据；
合同和商业协议；
订单与交易数据；
员工及供应商数据；
产品、项目和技术资料；
AI 使用的数据源。

最终形成企业数据资产目录。

第二步：建立数据分类与处理政策

制定企业统一的数据分类标准。

建议采用 Public、Internal、Confidential、Restricted、MissionCritical 五级体系，并为每个等级制定：

定义；
数据示例；
允许访问的人员；
对外共享规则；
加密及脱敏要求；
数据保存和销毁要求；
审批及审计要求。

同时明确不同法规标签的适用条件。

第三步：开展法律适用性评估

法务团队需要判断：

GDPR 是否适用；
是否涉及 CCPA/CPRA；
是否涉及 HIPAA；
是否涉及 PCI DSS；
是否涉及儿童个人信息；
是否存在跨境数据传输要求；
是否涉及当地行业监管要求。

这里需要特别关注：企业总部所在国家并不能单独决定数据保护义务。客户、员工、业务活动和数据处理地域都可能影响适用法律。

第四步：在 Salesforce 中实施字段分类

将数据治理政策落实到系统字段。

建议优先覆盖 Account、Contact、Pipeline、Order、Employee 等核心业务对象。

每个字段至少完成：

Data Owner；
Data Sensitivity Level；
Compliance Categorization；
Field Usage。

对于企业自定义对象和自定义字段，也应纳入统一治理范围。

第五步：将数据分类与技术控制结合

数据分类完成后，IT 团队需要进一步落实：

Field-Level Security；
Object Permissions；
Record-Level Sharing；
Salesforce Shield Platform Encryption（适用时）；
Field History Tracking；
Event Monitoring；
数据脱敏和导出限制；
API 和第三方集成访问控制；
数据保留和删除流程。

需要根据具体风险、许可和技术能力确定实施方案。

第六步：建立持续审计与复核机制

数据分类不是配置一次就永久有效。

建议：

新建字段时同步完成数据分类；
新增 AI Agent 时评估数据访问范围；
新增第三方集成时进行数据共享审查；
定期检查高敏感字段的权限；
定期复核数据所有者和字段使用状态；
对重要数据处理活动保留审计证据。

八、给企业法务团队的 15 项数据治理检查清单

以下清单可作为法务部门与 IT 部门联合开展数据治理评估的起点。

序号	检查事项	责任部门
1	是否建立企业数据资产清单？	IT / 业务
2	是否制定统一的数据分类政策？	法务 / IT
3	是否定义数据敏感性级别？	法务 / 安全
4	是否识别 PII 和个人数据？	法务
5	是否完成 GDPR 等法规适用性评估？	法务
6	是否为重要数据指定 Data Owner？	业务部门
7	是否为核心字段设置数据分类？	IT
8	是否建立数据访问授权机制？	IT / 安全
9	是否定期审查员工访问权限？	IT / HR
10	是否建立第三方数据共享管理制度？	法务 / IT
11	是否建立数据保存与删除政策？	法务 / IT
12	是否具备重要数据访问审计能力？	IT / 安全
13	是否建立个人数据主体请求处理机制？	法务 / 客服
14	是否评估 AI Agent 的数据访问范围？	IT / AI 治理
15	是否能够提供数据治理的执行证据？	法务 / IT

建议将每一项检查进一步标记为：

已建立并有效执行；
已建立但尚未全面执行；
尚未建立；
不适用（需要记录判断依据）。

这份清单不是 GDPR、SOC 2 或其他法规的完整认证清单，而是企业启动数据治理工作的实用检查框架。

九、夏智科技的实践建议：让数据治理成为企业数字化基础设施的一部分

夏智科技（Xiazhi）长期专注于企业 CRM、全球销售与运营数字化，以及基于 Salesforce 和 Agentforce 的 AI 企业应用建设。

我们认为，企业数字化转型不能只关注业务流程是否自动化、销售效率是否提升，更需要关注企业的数据是否得到正确管理。

对于 Leanx Platform，我们建议将数据治理纳入企业数字化建设的基础架构。

从实施角度看，可以分成三个层次：

1. 数据治理层：Data Governance

数据资产目录；
字段分类；
数据敏感性分级；
数据所有者；
合规标签；
数据生命周期管理。

2. 安全与合规层：Security & Compliance

身份与访问管理；
字段级和记录级权限；
数据加密；
数据审计；
数据脱敏；
第三方集成安全；
跨境数据处理评估。

3. AI 治理层：AI Governance

AI Agent 数据访问边界；
AI 使用政策；
数据检索与知识库权限；
AI 操作授权；
敏感信息保护；
AI 行为审计；
人工审批与监督。

三个层次共同构成企业从传统 CRM 管理走向 AI 驱动型企业运营的基础。

对于正在进行海外市场拓展的制造业企业，这种体系尤其重要。

企业不仅需要让中国总部、海外分公司、经销商和合作伙伴看到同一盘业务，还需要确保每个角色只访问其被授权的数据，并且 AI 在企业业务中使用数据时符合既定治理规则。

十、结语：数据合规不是限制业务，而是建立全球化经营的信任基础

在全球化经营和 AI 转型的时代，企业的数据资产正在成为最重要的经营资源之一。

但数据价值越高，企业需要承担的数据保护和治理责任也越大。

法务团队不应该只在合同签署、客户投诉或安全事故发生时介入数据管理。

更理想的方式是：从数据创建、业务流程设计、系统权限配置，到 AI 应用和数据销毁，法务、IT、安全及业务团队共同建立可执行、可追溯、可审计的数据治理机制。

Salesforce Data Classification 为企业提供了一个非常实用的起点：让数据的所有权、使用情况、敏感性和合规属性能够被记录和管理。

但真正的企业级数据治理，还需要制度、流程、技术控制和持续审计共同发挥作用。

夏智科技相信：值得信任的全球化企业，不仅要让数据创造业务价值，更要让数据在正确的规则下被使用。

从 Data Classification 到 AI Governance，让数据治理成为企业全球化经营的数字基础设施。

Xiazhi | Accelerate Global Sales & Ops Through Digitalization and AI

官网：https://www.xiazhi.co

参考资料与官方文档

Salesforce Help — Data Classification Metadata Fields
Salesforce Help — Classify Sensitive Data to Support Data Management Policies
Salesforce Help — Agentforce Security and the Shared Responsibility Model
Salesforce Architects — Agentic Integration Patterns
European Commission — Principles of the GDPR
EUR-Lex — General Data Protection Regulation (EU) 2016/679

免责声明：本文旨在提供企业数据治理和技术管理方面的参考，不构成法律意见、合规认证结论或针对特定企业的法律适用性判断。具体法律义务应由企业法务团队或专业律师结合实际业务、经营地域和数据处理活动评估。

Product Modules

FAQ