SaaS 供应商续约日历：通知期限、退出证据与可逆决策

创始人收到扣款邮件才想起某个客服工具刚续了一年，此时“能否取消”只是表面问题。更难的是没人知道哪些自动化依赖它、导出是否包含附件、历史审计记录能否恢复，以及停用账号会不会让法务保留义务失效。把所有订阅价格放进表格仍不够：价格是决策输入，真正需要管理的是合同期限和可退出性。

AI 定价迁移处理自己向客户改价，AI 编程工具退出演练聚焦代码工具的仓库与工作流迁移。本篇覆盖企业所依赖的一般 SaaS 供应商，从签约事实进入登记册开始，到续约或退出被明确接受为止；它不替代会计账簿，也不把采购问卷当成供应链安全结论。

冻结 vendorRecord.v1，而不是抄一行金额

每个供应商建立不可变 founder.vendorRecord.v1，绑定法人主体、产品和 workspace、合同及 DPA 摘要、币种与计费单位、term 起止、自动续约规则、通知提前量、允许送达渠道、时区、签约权限人、业务 owner 和预算上限。附件、订单表或在线条款发生变化时发布新 generation，旧记录继续指向当时签署的字节，不能在原行上覆盖日期。

schema: founder.vendorRecord.v1
vendorId: supportdesk-eu
generation: 7
agreement: sha256:7b1...
termEndsAt: 2027-01-31T23:59:59Z
nonRenewal:
  deadline: 2026-12-31T17:00:00-05:00
  channels: [contract-portal, registered-email]
workspace: ws_82A
decisionOwner: role:operations-owner
exitPlan: supportdesk-exit@4

RFC 3339 时间戳同时保留 offset 和对应 UTC 瞬间；“提前 30 天”必须按合同指定的日历、营业日和接收地解释，并由第二人核对原文。系统生成 90、60、30、14 天提醒，但提醒时间不是法律期限。记录无法证明当前条款、签约主体或送达渠道时进入 CONTRACT_UNKNOWN，不得显示绿色“尚早”。NIST SP 800-161 Rev.1 强调供应链风险要贯穿获取与持续监控，因此风险档案还要关联分包商、服务地区、数据类别、退出义务和最近评审证据。AI 供应链安全可承接制品与依赖来源，本登记册只对是否继续使用该商业服务负责。

续约状态必须由证据推进

状态机为 DISCOVERED -> VERIFIED -> MONITORING -> DECISION_DUE，随后只能进入 RENEW_PROPOSED、RENEGOTIATE 或 EXIT_PLANNED。决定尚缺数据时是 BLOCKED_EVIDENCE，通知已提交但未获对方确认时是 NOTICE_UNCONFIRMED；不能因为邮件已发送就标成退出完成。重新续约进入新的 vendor generation，实际退出经过 NOTICE_ACCEPTED -> EXPORTING -> CUTOVER -> ACCESS_REVOKED -> CLOSED。

唯一业务接受点是签发 renewalDecision.v1：它必须绑定 vendor generation、成本与用量窗口、替代方案、风险评审、退出演练 receipt、决定、批准者权限和有效期。CAS 仅允许当前 DECISION_DUE generation 接受一次；任何合同修订、价格变更或关键集成新增都会使旧决定失效。付款成功、销售口头承诺或日历任务完成都不是接受点。AI 毛利版本化归因提供成本口径，但续约判断必须引用固定窗口，不能事后挑最好看的月份。

GDPR 的数据可携带权不等于完整业务退出能力：它针对特定个人数据和条件，不能保证导出组织配置、审计日志、附件关系或派生权限。因此 exitPlan.v1 要列出数据集、格式/schema、对象数量基线、附件与删除标记、API 限流、集成调用方、SCIM/SSO、Webhook、DNS、机器人账号、凭证和法定保留 owner。每季度在隔离环境取样导出、校验摘要、恢复关系并用只读查询验收；密钥管理负责轮换材料，退出计划负责证明没有调用方继续持有该供应商能力。

用失败演练证明日历不是装饰

在不触发真实取消的沙箱中注入：合同附件与登记日期冲突、夏令时导致截止瞬间错一小时、owner 离职、提醒队列停摆、门户返回 202 却没有确认号、导出中途限流、附件少一个分片、schema 静默换列、旧 API token 在撤销后仍可用，以及供应商账号先被暂停再要求取数。每次运行保留原请求、对方 receipt、对象清单根和最终差异；未知响应进入人工核验，不自动重发不可逆通知。

首轮门禁要求 100% 付费供应商有已核对合同摘要和 owner，100% 自动续约项同时记录 UTC 截止瞬间与送达渠道，未来 120 天期限遗漏为 0；Tier-1 退出演练对象计数差异为 0、附件摘要覆盖率 100%、抽样恢复成功率 100%，关键集成清单覆盖率 100%，撤销后成功调用数为 0。任何无法导出的受监管数据、一次错过通知期限或未授权续约都直接阻断自动化扩面。

上线先只读导入十个最高成本供应商，与原日历并行两个提醒周期；再让 10% 非关键续约由新状态机生成决定包，但仍由人通过合同渠道操作。旧台账在整个窗口继续更新，并每天对账期限、金额和 owner。若误报期限、依赖清单缺失或 receipt 无法回读，提升 rollout generation 停止新接受，回到旧流程并保留新系统证据修复。只有完成一次“导出、影子切换、恢复、再切回”的双向演练，才允许清理旧工具和长期凭证。