两类情形
作为金融机构的技术供应商：风控、反欺诈、核心系统、客服、数据分析等 SaaS。客户会要求 SOC 2 或 ISO/IEC 27001、详尽的问卷与现场审计，欧盟客户还要落实 DORA 合同条款。
自身处理支付或金融数据：跨境支付、电商收款、数字钱包、借贷。处理卡数据需满足 PCI DSS，并面对所在国的金融牌照、反洗钱与消费者保护要求（需当地律师判断）。
金融客户特别关注
- 审计权与监管机构访问权
- 业务连续性计划、灾备演练与恢复目标
- 数据存储与处理地点、分包商
- 退出策略与数据返还
- 事件通报时限
- 集中度风险：是否过度依赖单一云服务商
数据访问风险
如果美国金融数据可能被中国团队访问，需评估 美国数据安全计划：个人金融数据超过 1 万名美国人即触发门槛。