GPU服务器租用：资产来源与合规核查

按设备来源、数据处理、合同责任和退出机制核对GPU服务器租用，并据AICPA说明区分SOC鉴证与机构颁证。

进行GPU服务器租用时，应先确认硬件和云资源的来源，再核查数据处理、认证、合同责任与退出机制。不要把平台宣传页、通用SOC 2名称或自动生成的碳数据直接当成对具体实例的合规证明；对处理器型号、所在区域、最终用户和实际服务范围的判断，也应留出人工复核环节。本文依据相关官方说明整理了采购与使用前的核查事项。

资产来源核查

自购设备应留存采购或租赁凭证、序列号和配置记录，并与发票、付款记录及资产台账对应。NVIDIA公开规格可用于核对设备类别，而不能证明某一台机器的来源。NVIDIA的GeForce RTX 4090规格页列出的显存为24 GB GDDR6X；GeForce RTX 5090规格页列出的标准显存配置为32 GB GDDR7。租来的机器还要向供应方索取设备或实例标识、配置说明和交付记录。仅凭实例名称，不能确认底层GPU的型号与物理来源。

SOC报告也应按正确性质使用。AICPA说明，SOC是由CPA提供的鉴证服务，用于帮助用户评估外包服务相关风险，并非AICPA直接向服务商颁发的证书。AICPA的SOC说明还指出，SOC 2可覆盖安全、可用性、处理完整性、保密性或隐私等类别。取得报告后，应核对报告主体、覆盖期间、适用范围和例外事项，而不是只看证书名称；SOC 2也不等同于全部采购要求都已满足。

数据处理与跨境核查

若业务涉及个人数据，应先确定控制者、处理者、次级处理者及数据所在区域。GDPR第4条将处理者定义为代表控制者处理个人数据的机构；第28条要求控制者只使用能够提供充分技术和组织措施保证的处理者，并由约束性合同约定处理事项、期限、性质、目的、数据类型和数据主体类别。欧盟官方发布的GDPR文本还要求处理者按控制者的书面指示处理。涉及第三国转移时，应继续核对第五章条件；不能仅凭服务器位于某个区域就认定数据不会跨境。

合同责任与退出机制

签约前，应把数据位置与访问主体写入合同，并逐项核对以下内容：

处理范围：处理目的、数据类别、数据主体、期限及安全措施。
责任边界：控制者、处理者和次级处理者分别承担哪些义务。
次级处理：供应商在获得事先具体或一般书面授权前，不能自行引入其他处理者。
安全事件：控制者与处理者之间的通知流程、联系人和响应要求。
退出安排：服务结束后，按控制者的选择删除或返还个人数据，并删除现有副本；法律要求留存的数据除外。

GDPR对处理合同、书面指示、次级处理授权和终止后的删除或返还均有明确规定，实际合同应据此逐条核对。这里提供的是一般信息，不构成法律意见。

费用与碳数据核对

费用应从报价、账单和合同中自行加总，本文不提供金额：

应付总额 = GPU实例费 + CPU与内存费 + 存储费 + 网络费 + 税费及折扣

同时记录实例数量、运行时长、终止条件和未使用容量条款。采购周期较长的方案还要核对承诺期限、适用范围，以及取消或未使用时的处理方式，不能把折扣金额直接视为最终支出。

碳数据只能作为辅助记录。GHG Protocol将外购或获取的电力、蒸汽、热量或制冷所产生的间接排放归入范围2；其Scope 2指南区分基于电网平均排放强度的地点法，以及基于合同工具排放因子的市场法。Google Cloud的碳核算方法说明，客户可将分配给Google Cloud的排放作为自身范围3排放纳入报告。不同云平台的方法、边界和历史数据更新规则可能不同，使用前应核对数据边界、计算方法及更新时间。

采购核查清单

在付款前或开通资源前，确认以下项目已有可追溯记录：

设备来源：自购机器的采购、租赁或云实例交付凭证，以及序列号、配置和位置记录。
认证范围：SOC报告的出具主体、覆盖服务、期间和例外事项，不把AICPA专业标准页面当作供应商证书。
数据流向：输入数据、输出数据、日志、备份和管理员访问的存储位置与访问主体。
合同责任：处理指示、次级处理授权、安全措施、事件通知、删除或返还义务及责任分配。
退出验证：结束服务时确认实例、日志、备份和导出数据的处理结果，并保存回执。
费用核对：依据供应商当前页面、报价和账单逐项核对计费项及可能的承诺期限。

如当前供应商页面或项目官方材料没有说明某一事项，应在签约前要求供应商书面补充，不要自行推定。本文内容按文中所链接的官方文档整理，未进行实机操作或性能测量；使用前应对照当前版本和供应商最新条款复核。