2025年以来，工信部、网信办密集出台多项信息技术领域合规文件，对从事科技研发与软件开发的企业提出了更具体的落地要求。温州嘉云科技有限公司结合近期项目实践，梳理出以下关键合规要点。

一、数据分级与跨境传输

新规将工业数据分为三级，其中涉及智能设备运行日志、用户行为轨迹的数据被列入二级以上管理。企业需在采集端嵌入分类标识，否则后续审计难以追溯。

• 本地化存储：二级数据默认境内存储，出境需通过安全评估
• 日志留存：网络服务类系统日志保存不少于6个月
• 接口鉴权：对外API须启用双向证书校验

二、算法备案与透明度

提供推荐、调度类信息技术服务的企业，需在算法上线30日内完成备案。温州嘉云科技在某智能仓储项目中，因调度算法未及时备案被要求限期整改，后通过引入可解释性模块，将决策依据以可视化形式输出给监管方，才顺利通过复核。

三、供应链安全审查

采购第三方软件开发工具链时，须核查其开源许可证兼容性。去年某车企因使用GPL协议组件未开源衍生代码，被判赔偿230万元。建议建立SBOM（软件物料清单）制度，逐层追踪依赖项。

合规不是一次性动作，而应嵌入科技研发的每个迭代周期。温州嘉云科技建议每季度开展一次内部审计，将政策条款转化为代码检查规则，从源头降低整改成本。