技能提升网采购手里有报价单，业务负责人转来一份未签字的 SOW，安全同事却在上线前一天追问 DPA 在哪里。供应商已经准备接入客户数据，但没人能说清主协议、数据条款和具体服务范围是否来自同一版本。
核查的第一步不是读条款，而是确认有哪些协议、谁签了、何时生效、原件在哪里。AI 能跨来源整理状态和缺口，开放数据的决定仍应留给法务、安全和业务负责人。
先定义本次接触的数据和服务
列出供应商会接触的数据类型、用途、系统、地区、保存时间和是否有分包方。没有这个范围，就无法判断 DPA、SLA 或安全附件是否真的需要，也无法确认现有 SOW 是否覆盖本次使用。
vendor-check 用于在合同管理、CRM、邮件、文档存储和聊天记录等来源中，汇总 NDA、MSA、DPA、SOW 与 SLA 的状态、日期、续约和缺口。未连接的来源必须显示为不可用。
每份文件要核对五个身份字段
核对合同主体、文件类型、版本或日期、双方签署状态、原件位置。还要记录生效与到期、自动续约、终止通知期和仍然存续的义务。只有扫描件标题相似，不能认定是同一份有效协议。
把“没找到”和“不存在”分开
合同库无记录，可能代表没有签，也可能是权限不足或文件存放在邮件里。AI 的报告应逐项写清已搜索来源、不可访问来源、相互冲突的版本和仍需向谁确认。
数据开放前设置门禁
至少确认服务范围与数据用途一致、必要协议由正确主体签署、安全与隐私负责人完成审查、账号权限遵循最小化原则、删除或返还数据的安排有依据。若 DPA 缺失或版本冲突，应保持阻塞，不要先开放真实客户数据等合同补签。
法律判断必须回到原件
vendor-check 明确只辅助法律工作流，不提供法律意见。AI 可以提取条款位置和日期，但条款效力、跨境传输、责任限制和监管要求需由有资质人员复核。任何自动续约或终止日期也应由第二人回看原件。
最终交付应是一张协议状态表加一份缺口清单：每个缺口有负责人、截止日和开放数据前的处理要求。它比一句“合同都在”更能保护项目进度与客户数据。
