先确认是真实合并转移，还是另卖客户名单
个人信息处理者因合并、分立、解散、被宣告破产等原因，需要转移个人信息，个人信息保护法第二十二条设有专门安排。但公司签了一份资产买卖协议，并不当然就是本条所指的组织变动。核查应从主体、交易和实际信息流向开始。
重庆企业进行业务整合，或者客户收到服务主体变更通知时，可分别核对原处理者、接收者、组织变动文件及转移哪些资料。同一公司仅换股东，与信息实际交给另一处理者不同，不能只因宣传都称并购就混用规则。
告知必须让个人找得到新的接收者
第二十二条要求向个人告知接收方的名称或者姓名和联系方式。只说系统升级、服务更好，却不说明由谁接收信息，不能自然代替该项告知。接收方也应继续履行个人信息处理者义务，不因原公司退出就让个人权利没有对应主体。
可核通知渠道、内容版本、对象和发送记录，保证联系方式真实可用。依法应通过其他方式履行的，也应符合实际要求。企业内部交接清单只是双方管理文件，不能自行替代面向个人的法定说明。
接收信息不附带任意更换用途的权力
该条进一步规定，接收方变更原先的处理目的、处理方式，应依本法重新取得个人同意。原来为履行售后保修保存的资料，转移后用于另一品牌广告、画像或其他业务，不能仅凭组织合并就宣布全部已经授权。
需将原处理目的、方式和接收后的实际操作逐项比较。原文有一条泛化的未来一切业务许可，也不当然足以支撑无限扩张。是否存在其他法定处理依据、敏感信息的特别条件，仍应按真实场景核实，不把同意作为唯一规则或万能文件。
保护义务要随资料实际衔接
接收方应核保存期限、访问人员、安全措施、已提出的查阅更正删除请求和未处理的泄露事件，避免账户迁移成功却把权利申请丢失。原处理者也应依法处理不再必要的副本与权限，不能让离职人员继续持有整库客户资料。
具体应保存哪些、何时删除，须结合原目的及法定保存义务判断；不能以合并为由马上销毁依法需要的业务记录，也不能一概以将来可能有用无限期留存。迁移测试应控制字段与权限，不把真实敏感数据随意发给无关供应商。
交接成果应能回答三个问题
一是为何适用组织变动转移规则，二是个人被告知谁接收及怎样联系，三是哪些操作延续原安排、哪些变化须另有合法基础。可配套信息类别、目的、方式、期限、未结权利请求和安全事件清单，记录交付及删除核查。
客户发现新主体超范围使用信息，可以提出具体用途限制或其他依法可行请求，要求说明依据，保存通知、实际推送和答复。经营关系延续与营销权限扩张应各自成立，不能让一次公司变更通知包办以后所有个人信息处理。