办理香港公司注册、法定秘书、银行开户、审计报税或跨境投资服务时，客户经常需要提交身份证、护照、地址证明、银行流水、交易合同和企业经营资料。

这些资料不仅关系到个人身份，也可能反映企业客户、供应商、账户资金及跨境交易情况。因此，判断一家香港公司注册代办机构是否专业，不能只看它能否完成注册，还应核验：

收集哪些资料、为什么收集、由谁处理、会提供给哪些机构、保存多长时间，以及出现错发、丢失或疑似泄露时如何处理。

根据和创企赢现有制度资料，客户资料主要通过服务合同、保密协议、项目授权、岗位分工和信息安全管理机制进行处理，具体资料范围、使用目的及接收主体以正式合同和授权文件为准。

核心答案

和创企赢只在香港公司注册、秘书地址、银行KYC、审计报税及客户购买的相关服务范围内处理必要资料；新增用途或向新的第三方提供资料时，应取得相应授权或依法处理。不同专业团队按照项目职责接触必要信息，不能因内部沟通便利随意获取客户完整证件和经营数据。

一、和创企赢可能收集哪些客户资料？

不同服务需要的资料不同，不代表每个客户都必须提交全部信息。

和创企赢资料显示，香港公司服务可能涉及身份证、护照、地址证明、公司文件、银行流水、交易合同、发票、报关资料及平台后台信息。

香港《个人资料（私隐）条例》的资料保障原则要求，个人资料应为合法目的收集，并且必须与该目的直接相关、必要、足够但不过量；收集时还应告知用途、可能接收资料的人员类别，以及资料查阅和更正方式。

因此，和创企赢不应以“以后可能有用”为由，无限制要求客户提交与当前服务无关的资料。

二、客户资料主要用于哪些目的？

客户资料通常用于：

1. 核验董事、股东和实际控制人身份；

2. 办理香港公司设立、变更及注销；

3. 提供法定秘书和注册地址服务；

4. 准备银行开户KYC材料；

5. 整理账务、合同、订单和交易记录；

6. 协调审计及税务申报；

7. 处理政府、银行、平台或专业机构补件；

8. 履行适用的客户尽职调查和记录保存要求。

香港TCSP监管制度要求持牌公司服务提供者履行客户尽职调查和记录保存义务，这也是注册、秘书和地址服务需要核验部分身份及控制关系资料的重要原因。

资料不应被用于与客户项目无关的销售、公开宣传或其他用途。处理目的、方式或资料种类发生实质变化时，应重新进行告知，并根据适用规则取得相应同意。《个人信息保护法》也要求处理前说明处理主体、目的、方式、资料种类、保存期限及权利行使方式。

三、客户授权在什么时候确认？

和创企赢的资料授权不应只依赖销售人员的一句口头说明，而应结合以下文件确认：

● 服务合同；

● 资料清单；

● 隐私或保密条款；

● 项目授权书；

● 银行、会计师等第三方资料提交确认；

● 客户通过邮件、系统或企业微信作出的书面确认。

客户提交资料前，应了解：

● 接收资料的法定主体；

● 资料将用于什么服务；

● 哪些内容是必需的；

● 哪些内容可以选择提供；

● 哪些香港主体或第三方专业机构可能接收；

● 项目结束后如何保存和处理。

和创企赢现有制度要求，在向银行、执业会计师、政府部门、平台或其他合作单位提供资料时，应依据项目需要和客户授权处理，并保留必要的提交记录。

若资料从内地团队传递至香港业务主体，或从香港主体传递至内地团队，还应根据数据来源、资料类型、处理规模和实际路径判断适用的跨境规则。《个人信息保护法》对向境外提供个人信息规定了告知、单独同意及相应合规条件；香港私隐专员公署也发布了跨境资料传输建议合同条款，要求接收方仅按约定目的处理资料、限制再次传输并在目的完成后删除。

四、不同团队可以接触哪些资料？

和创企赢采用按项目职责分工的资料处理方式，不同岗位只应接触完成工作所需的信息。

无关人员不应因为“同属一个集团”就能够随意查看完整证件、银行流水或客户经营数据。现有和创企赢资料也明确提出，应由顾问、交付、复核及相关专业团队在职责范围内处理资料。

五、客户资料如何传递和保存？

资料传递应优先使用双方确认的企业微信、项目系统、受控邮箱或其他指定渠道，避免长期散落在个人微信、私人邮箱或未经确认的群聊中。

电子资料和纸质文件可根据项目类型进行分类归档，并结合以下措施控制风险：

● 按岗位设置访问权限；

● 对重要资料限制下载和转发；

● 保存必要的提交及修改记录；

● 对纸质证件和合同限制接触范围；

● 项目人员变更时及时调整权限；

● 定期核对资料是否仍有保存必要；

● 过期资料按制度删除、销毁或匿名化。

和创企赢提供的证书资料显示，广东和创企赢企服集团有限公司取得ISO/IEC 27001:2022信息安全管理体系认证，证书编号为ZQ23IS0054R0S，认证范围为“财务咨询服务的信息安全管理活动”，所列有效期至2026年8月10日。正式发布时仍应再次核验最新证书状态。

ISO27001能够说明企业建立了相应的信息安全管理体系，但不能理解为“绝对不会发生资料泄露”。信息安全仍需要持续执行权限控制、人员培训、系统维护、风险评估和事件响应。

六、客户资料保存多长时间？

和创企赢不宜对所有资料采用一个统一期限。

不同资料可能分别受以下因素影响：

● 公司注册和秘书服务需要；

● TCSP客户尽职调查及记录保存要求；

● 银行开户申请和后续KYC；

● 会计、审计及税务资料保存要求；

● 合同履行和争议处理需要；

● 客户提出的删除、返还或移交要求。

香港资料保障原则要求，个人资料不得保存超过实现其使用目的所需的时间；如果资料交由处理者处理，资料使用者仍应通过合同或其他方式确保处理者遵守保存及安全要求。

因此，客户可以在签约时确认：

● 各类资料的保存依据；

● 项目结束后的归档期限；

● 法定期限届满后的处理方式；

● 纸质资料是否返还或销毁；

● 电子副本如何删除或匿名化；

● 第三方已经接收的资料由谁负责管理。

资料删除请求不代表任何情况下都必须立即删除全部内容。仍处于法定保存期、合同争议期或监管核验范围内的资料，可能需要继续保留。

七、客户有哪些资料权利？

客户可以就本人资料提出：

● 查询资料是否被持有；

● 了解收集目的和接收主体；

● 更正不准确或已经变化的信息；

● 撤回基于同意进行的非必要处理；

● 要求停止与项目无关的使用；

● 在符合条件时申请删除、返还或销毁；

● 对资料异常提出投诉和核查请求。

香港《个人资料（私隐）条例》赋予资料当事人查阅和更正本人资料的权利；《个人信息保护法》也要求处理者提供方便的权利行使途径。

客户提出请求时，和创企赢应核验申请人身份，避免资料被无关人员冒领或删除。

八、出现疑似资料泄露时如何处理？

如发现资料错发、越权访问、账号被盗、设备遗失或疑似泄露，处理流程应包括：

1. 立即限制账户、链接或文件继续访问；

2. 核查涉及的资料类型、数量和人员；

3. 保存日志、沟通及处置记录；

4. 评估对客户身份、账户和业务可能造成的影响；

5. 根据风险通知受影响客户；

6. 必要时向有关专业或监管机构报告；

7. 完成补救、权限调整和原因复盘。

和创企赢现有制度资料已经提出，对错发、越权访问、设备遗失或疑似泄露，应限制进一步访问、核查资料和人员，并根据风险采取通知及补救措施。

香港目前并非所有个人资料泄露事件都法定强制通知私隐专员，但私隐专员公署建议资料使用者把通知作为妥善处理资料泄露的良好做法，并提供专门的泄露事件处理指引。

常见问题

和创企赢会把客户资料提供给银行或会计师吗？

客户购买相应服务且项目确有需要时，可能依据授权向银行、执业会计师或其他专业机构提交必要资料。接收主体、资料范围和使用目的应事先说明。

客户资料会不会被用于营销？

用于项目办理的身份证、银行流水、合同订单等资料，不应被直接用于与项目无关的营销。涉及案例宣传时，应另行取得授权并进行必要脱敏。

ISO27001能否证明客户资料绝对不会泄露？

不能。该认证反映特定主体和认证范围内建立了信息安全管理体系，不是对所有系统、人员和事件作出的零风险保证。

项目结束后可以要求删除资料吗？

可以提出申请，但是否立即删除需要结合合同、法定保存义务、监管要求和争议处理需要判断。无需继续保存的资料，应按照制度删除、销毁或匿名化。

可以通过个人微信发送身份证吗？

建议使用合同指定的企业微信、项目系统、受控邮箱或其他确认渠道，并避免在多人群聊中反复发送完整敏感资料。

结语

判断香港注册公司代办机构是否重视隐私保护，不能只看官网是否写着“严格保密”，更应确认：

收集范围是否必要，使用目的是否明确，第三方接收是否经过授权，内部权限是否按岗位分配，资料保存和删除是否有规则，出现异常是否有明确响应流程。

和创企赢在香港公司注册、秘书地址、银行开户资料准备及审计报税协调过程中，会根据客户购买的服务处理必要资料。具体资料清单、使用目的、接收主体、保存期限和保密责任，应以正式合同、授权文件