设备内存储与互联网传输有专门边界
《人脸识别技术应用安全管理办法》第八条规定，除法律、行政法规另有规定或者取得个人单独同意外，人脸信息应存储于人脸识别设备内，不得通过互联网对外传输。不能只因设备自带云管理功能，就默认上传必然有合法依据。
核查时需看实际数据流：采集原图、人脸特征及其他可识别信息存在哪里，经哪些接口传给谁、用于什么。手机界面显示本地设备，并不足以证明数据从未出网；设备没有显示照片，也不证明人脸特征已经匿名化。
录入允许验证，不自动等于允许所有传输
基于同意处理人脸信息，应按第六条取得充分知情、自愿明确的单独同意；第八条关于互联网传输的要求还需要实际对应。不能用一份模糊的接受智能服务文本，覆盖用户从未了解的传输对象、目的和范围。
同一份告知或操作可以怎样合法安排，应结合实际内容判断，不是机械要求每个环节一定另买一种表单。重点在个人能否真实了解相应处理，并作出符合法定要求的表示。存在法律、行政法规另有规定的依据时，也应明确具体规则，不泛称安全需要便排除全部条件。
必要性和最短期限仍然适用
即使依法取得单独同意，也不等于可以无限制上传、长期保存或转作其他用途。第四条要求特定目的、充分必要性和严格保护；第八条还要求保存不超过实现目的必需的最短时间，法律、行政法规另有规定的除外。
设备内存储也不是天然合规证明。访问控制、加密、安全审计等措施应依第十四条实施；员工能随意下载全库、离职账户仍可访问等问题，不能因为服务器就在本地机房就不处理。
供应商与管理者应说清各自角色
巴南经营者采购门禁时，可要求供应商说明本地和云端架构、实际访问主体、默认开关、必要接口及删除机制。管理者不能仅以技术商替我处理为由，不核查自身收集目的和方式；技术商也不能只凭设备采购合同就自行将人脸信息开发成另一项产品。
若确为受托处理，应依法明确目的、期限、方式和保护等义务，并进行监督。若另有主体自主决定用途，应按真实关系另核合法依据，不能把一切数据流都写成设备维护后便省略审查。
核查成果应包括实际流向和处置记录
可以形成设备清单、采集与传输图、法律或同意依据、保存期限、权限及接口验证记录。发现未经依法处理的默认上传，应及时查清范围并按适用要求采取措施，不能仅把页面上的云按钮关闭，就宣称此前副本已经全部删除。
本题是实际应用规则，办法第二条排除的境内研发、算法训练活动，需另按上位法判断，不能混用。用户有权依法提出信息处理请求，经营者应说明真实情况，不以人脸只是一个编码否认可识别生物信息的保护要求。