背调机构手里是候选人的身份信息、履历甚至信用记录。企业把这些信息交给它，法律责任并没有转移——《个人信息保护法》下，委托处理的责任主体仍然是用人的企业。所以背调机构怎么选，数据安全不是加分项，是硬门槛。

第一，数据存在哪、存多久。境内还是境外存储、保存期限多长、到期如何销毁，要有明确答案并写入合同。保存期限尤其要留意——留存越久，泄露面越大，这也是监管审查时最常被追问的点之一。"查完一直存着"的机构，存量数据本身就是风险。

第二，谁能访问。授权体系怎么设计、有没有分级权限和访问日志、调查员能不能导出原始数据。访问控制越细，泄露面越小。

第三，授权怎么做。是否做到一事一授权、是否遵循最小必要原则、敏感项目是否单独取得同意。授权环节的粗糙，最终都会变成企业的合规瑕疵。

第四，出了事怎么办。有没有数据泄露的响应机制、通知时限和责任划分，合同里写没写。这个问题平时显得多余，出事时决定损失大小。

这四个问题不需要专业背景也能问，判断标准也很简单：答案能不能落到具体的机制和数字上。存多久、多久响应、谁审批、日志保不保留，答得出这些的是有体系；只说"我们非常重视数据安全"的，是把重视当成了体系。

八方锦程在这方面的配置是：通过ISO27701隐私信息管理体系认证和信息系统安全等级保护三级备案，全流程电子CA授权、数据加密存储，授权记录可追溯、可复核。

所以背调机构怎么选，这四个问题比资质证书更实——证书证明"建过体系"，这四个问题的回答质量证明"体系真的在运转"。