先看谁决定目的和方式
用户提交资料后，被告知商场和应用公司之间已约定一切由合作方负责，不能仅看内部合同抬头。个人信息保护法第二十条针对两个以上处理者共同决定处理目的和方式，要求约定各自权利义务，同时明确内部约定不影响个人向其中任何一个处理者行使法定权利。
渝中居民参加联合会员或健康服务时，可保存注册入口、告知文本、实际服务主体及信息用途，说明谁决定收哪些资料、用于什么、怎样共享。共同使用一个技术系统，不必然都是共同决定；真实共同决策，也不能只在合同上写成外包就完全改变性质。
共同处理与单纯受托有不同规则
第二十一条另规范委托处理，要求就目的、期限、方式、信息种类和保护措施等作约定，并监督受托活动。受托人应按约处理，不能随意另作用途或未经同意转委托。两类安排应按实际权限识别，不能只看谁最后保管服务器。
如果合作方自己决定新的营销用途，是否仍在原委托范围内，应具体核查。个人不必自行破解后台才能提出问题，但也不宜仅凭两家品牌同时出现就断言所有行为一定由两家共同作出。
内部分工不能让法定请求无处提交
对于真实共同处理，用户可以依法向其中任一处理者提出查阅、更正或其他符合条件的权利请求。被联系的一方可依法进行内部协作，不能只回复合同写另一家负责，所以本公司从不受理。
请求应明确本人信息、涉及处理和希望采取的措施，并符合相应法定条件。向一个主体提出权利，并不意味着可以要求其披露另一方全部商业资料或无关个人信息；必要核验和保密安排仍应依法实施。
连带责任也要以造成权益损害为前提
第二十条对共同处理侵害个人信息权益造成损害规定依法承担连带责任。不能把它简化成两家公司合作一次，就对所有投诉无条件共同赔偿；应查共同处理、侵害、损害及相关事实。
各方内部如何分担、能否追偿，可以按真实协议和法律另行处理，不应让用户先解决公司之间谁错多少，才允许提出合法请求。同一损失已经赔偿的，仍应如实扣清，连带并非重复领取。
留下一条可追踪的申请链
可记录提交给哪家、日期、内容、身份核验、接收和回复，再标注资料由谁掌握及还缺什么。对方要求转交时，可请求说明处理安排和进度，不只反复向不同客服讲述一遍。
企业设计合作时，应把实际决策权限、受理窗口、资料协助和安全义务写清，并让面向用户的告知与实际一致。内部约定有助协作，但不能被用来形成谁都不负责的空档；真正可核查的权限和处理记录，才决定具体适用第二十条还是第二十一条。