企业数据合规全流程指导资料

企业数据合规法律服务产品2022年01（简）版 【内部学习资料，请勿外传】一、企业数据合规法律服务内容及流程管理二、APP违规收集个人信息之尽职调查清单三、APP收集个人信息之合规整改建议四、收集使用个人信息专项检查评估表（示例）五、数据供应商之尽职调查清单六、企业上市过程中与数据合规相关的常见反馈问题七、数据分类分级规范（示例）八、埋点-事件表预置属性（用户行为信息收集示例）九、埋点-用户表预置属性（用户行为信息收集示例）十、个人信息收集相关的手机权限列表（示例）十一、第三方共享个人信息情形的合规审查（示例）十二、个人信息判定标准（示例） 十三、个人敏感信息判定标准（示例）十四、数据合规相关内部制度办法（示例）一、企业数据合规法律服务内容及流程管理数据合规法律服务内容，主要分为“定政策”、“设组织”、“融流程”以及“降风险”，主动融入企业数据合规的流程管理及风险把控。定政策：在数据安全相关的法律法律、政策文件、行业标准等的基础上，制定内部管理规定、设计管理流程、规范技术标准、起草技术指引，形成全套的文件体系。设组织：调动多部门协作，落实安全项目管理、安全运营管理、合规与风险管理的相关负责人以及内部决策机制，明确相关负责人的职责。融流程：将数据安全管理融入具体可执行的管理流程里，将风险控制、合规控制以及绩效控制相结合，注重事前合规与事中合规，对可预期的风险进行动态控制与防范。降风险：设置相应风险等级预警机制，定期进行风险评估并内部优化，提升员工的风险意识教育以及外部风险承受能力。具体流程示例：（- 定政策 -）（- 设组织 -）（- 融流程 -）（- 降风险 -）（- 降风险 -）二、APP违规收集个人信息之尽职调查清单一、没有公开收集使用规则的情形1.没有隐私政策、用户协议，或者隐私政策、用户协议中没有相关收集使用规则的内容；2.在App安装、使用等过程中均未通过弹窗、链接等方式提示用户阅读隐私政策，或隐私政策链接无效、文本无法正常显示；3.进入App主功能界面后，多于4次点击、滑动才能访问到隐私政策；4.其他违反公开收集使用规则要求的情形。二、没有明示收集使用个人信息的目的、方式和范围的情形1.收集使用信息的目的违反合法、正当、必要原则，如仅仅以改善程序功能、提高用户体验、定向推送等为目的收集用户个人信息；2.没有逐一列出收集个人信息的类型、频率，特别是针对个人敏感信息；3.收集使用个人信息的目的、方式和范围发生变化，未以适当方式通知用户，适当方式包括更新隐私政策并提醒用户重新阅读授权等；4.在申请可收集个人信息的权限时，未告知收集使用的目的，如在申请调阅通讯录时没有说明原因；5.每次要求用户提供个人敏感信息时，如身份证号、银行卡号等，未同步实时说明原因；6.有关收集使用规则的内容晦涩难懂、冗长繁琐；7.其他没有明示收集使用个人信息的目的、方式和范围的情形。三、未经同意收集使用个人信息的情形1.未经同意就开始收集个人信息，如App首次运行、提示用户阅读隐私政策前就开始收集个人信息；2.用户明确拒绝后，仍收集个人信息，如用户不同意被收集地理位置信息时仍然收集；3.实际收集使用的个人信息超出用户授权的范围；4.利用用户信息和算法定向推送新闻、广告等，未提供终止定向推送的选项；5.未经用户同意，私自调用可收集用户个人信息权限；6.在未打开或使用App时，App后台调用用户个人信息；7.未经用户同意私自更改用户设置的权限，包括App更新时将用户设置的权限恢复到默认状态；8.用户明确拒绝App收集个人信息请求，App仍频繁征求用户同意，干扰用户正常使用；9.违背与用户约定，不按隐私政策中的收集使用规则收集使用个人信息；10.其他未经同意收集使用个人信息的情形。四、违反必要性原则，收集与其提供的服务无关的个人信息的情形1.实际收集的个人信息类型与现有业务功能无关，无关是指该类信息并非实现现有业务功能所必需；2.在用户使用业务功能时，收集个人信息的频率等超出所使用的业务功能需要；3.捆绑多项业务功能一揽子征求用户同意，不同意则不提供任何单一服务；4.当用户拒绝某一业务功能收集个人信息的请求时，App停止提供其他业务功能；5.如提供未经注册即可使用（如支持浏览、游客模式）的业务功能，用户若不同意收集此类业务功能所需以外的个人信息，App拒绝提供所有服务；6.新增业务功能时，需收集的个人信息超出原有同意范围，如用户不同意收集，则拒绝提供原有业务功能，新增业务功能将取代原有业务功能的除外；7.申请打开可收集无关信息的权限；8.其他收集与其提供的服务无关的个人信息的情形。五、未经同意向他人提供个人信息的情形1.未经同意，且未做匿名化处理，从客户端直接向第三方提供个人信息，包括App客户端嵌入第三方代码、插件（如sdk）等方式向第三方提供；2.数据传输至App服务器后，未经同意，且未经匿名化处理，向第三方提供其收集的个人信息；3.其他未经同意向他人提供个人信息的情形。六、未按法律规定提供删除或更正个人信息功能的情形1.未提供更正、删除个人信息，注销用户账号的功能；2.对于提供在线操作方式、客服电话、电子邮件等方式的，进行相关操作未响应的；3.需人工处理的，受理后未在承诺时限内（无承诺时限的，以15个工作日为限）完成核查和处理的；4.更正、删除或注销操作提示完成后，依然未能更正、删除个人信息，注销用户账号的；5.其他未采取措施予以删除或者更正的情形。七、侵犯未成年人在网络空间合法权益的情形1. 未经监护人同意，收集使用14 周岁以下(含)未成年人个人信息；2. 未经监护人同意，利用14 周岁以下(含)未成年人信息和算法开展个性化推送新闻、时政信息、广告等定向推送活动。三、APP收集个人信息之合规整改建议一、隐私政策发布方式及内容要求（一）发布方式1、须以单独成文的形式，且进入App主功能界面后，通过4 次以内的点击即能够访问。2、发布可通过弹窗、文本链接、常见问题（FAQs）等形式，且文本文字显示方式（字号、颜色、行间距等）不会造成用户阅读困难。3、在用户安装、注册或首次开启App时，应主动提醒用户阅读隐私政策。4、当App 打开系统权限时（不包括用户自行在系统设置中打开权限的情况），App应当说明该权限将收集个人信息的目的。5、收集个人敏感信息时，App应通过弹窗提示等显著方式向用户明示收集、使用个人信息的目的、方式、范围，且对个人敏感信息类型应显著标识。6、当使用Cookie等同类技术（包括脚本、Clickstream、Web 信标、Flash Cookie、内嵌Web 链接、sdk等）收集个人信息时，应向用户明示所收集个人信息的目的、类型。7、如果通过嵌入第三方代码、插件等方式将个人信息传输至第三方服务器，应通过弹窗提示等方式明确告知用户。（二）内容要求1、清晰说明各项业务功能及所收集个人信息类型。如对收集个人信息的业务功能，应逐项列举，不应使用“等、例如”字样；对个人敏感信息类型进行显著标识（如字体加粗、标星号、下划线、斜体、颜色等）。2、隐私政策应对App运营者基本情况进行描述，至少包括：（1）公司名称；（2）注册地址；（3）个人信息保护相关负责人联系方式。 3、个人信息存储和超期处理方式。隐私政策应对个人信息存放地域（国内、国外）；存储期限（法律规定范围内最短期限或明确的期限）、超期处理方式进行明确说明。4、个人信息的使用规则。如果App运营者将个人信息用于用户画像、个性化展示等，隐私政策中应说明其应用场景和可能对用户产生的影响。5、个人信息出境情况。如果存在个人信息出境情况，隐私政策中应将出境个人信息类型逐项列出并显著标识（如字体加粗、标星号、下划线、斜体、颜色等）。6、个人信息安全保护措施和能力。隐私政策中应对App运营者在个人信息保护方面采取的措施和具备的能力进行说明，如身份鉴别、数据加密、访问控制、恶意代码防范、安全审计等。7、对外共享、转让、公开披露个人信息规则。如果存在个人信息对外共享、转让、公开披露等情况，隐私政策中应明确以下内容：（1）对外共享、转让、公开披露个人信息的目的；（2）涉及的个人信息类型；（3）接收方类型或身份。 8、用户权利保障机制。隐私政策中应对以下用户操作方法提供明确说明：（1）个人信息查询；（2）个人信息更正；（3）个人信息删除；（4）用户账户注销；（5）撤回已同意的授权。9、用户申诉渠道和反馈机制。 10、隐私政策时效。11、隐私政策更新。二、用户授权同意方式1、业务关联原则。App收集个人信息前应提供由用户主动选择同意或不同意的选项，不同意应仅影响与所拒绝提供个人信息相关的业务功能。2、单项授权原则。不应通过捆绑App 多项业务功能的方式，要求用户一次性接受并授权同意多项业务功能收集个人信息的请求。3、主动同意原则。根据用户主动填写、点击、勾选等自主行为，作为产品或服务的业务功能开启或开始收集个人信息的条件。4、技术明示原则。当使用Cookie等同类技术（包括脚本、Clickstream、Web 信标、Flash Cookie、内嵌Web 链接、sdk等）收集个人信息时，应向用户明示所收集个人信息的目的、类型。5、第三方收集的双重授权原则。若存在嵌入第三方代码插件收集个人信息的功能，应向用户明示。建议平台遵循三重授权原则：“用户授权平台授权用户授权”。三、收集最小必要原则1、各业务功能实际收集的个人信息类型应与隐私政策所描述内容一致，不应超出隐私政策所述范围。2、当App运营者收集的个人信息超出必要信息范围时，应向用户明示所收集个人信息目的并经用户自主选择同意。3、App不应收集与业务功能无任何关系的个人信息。 4、对于用户明确拒绝使用、关闭或退出的特定业务功能，App 不应再次询问用户是否打开该业务功能或相关系统权限。四、个人信息删改、账户注销方式及用户申诉反馈机制1、App 应提供注销账号的途径（如在线功能界面、客服电话等），并在用户注销账号后，及时删除其个人信息或进行匿名化处理。2、App应提供查询、更正、删除个人信息的途径。 3、App运营者应妥善受理并及时反馈用户申诉，原则上在15天内回复处理意见或结果。四、收集使用个人信息专项检查评估表（示例）收集使用个人信息专项检查评估表（示例）评估项 1： 隐私政策的独立性、易读性序号评估点 评估标准 评估结果合规建议1是否有隐私政策 在App界面中能够找到隐私政策，包括通过弹窗、文本链接、常见问题（FAQs）等形式文本链接方式在app界面可以找到建议弹窗方式提示用户阅读、确定2隐私政策是否单独成文 隐私政策以单独成文的形式发布，而不是作为用户协议、用户说明等文件中的一部分存在单独成文隐私政策必须单独成文3隐私政策是否易于访问 进入App主功能界面后，通过4 次以内的点击，能够访问到隐私政策，且隐私政策链接位置突出、无遮挡 通过2次点击方式，位置显著建议主动方式提醒用户阅读4隐私政策是否易于阅读 隐私政策文本文字显示方式（字号、颜色、行间距等）不会造成阅读困难整体清晰，但个别部分出现逻辑错误 建议完稿后审查，避免出现文字、排版错误评估项 2 ： 清晰说明各项业务功能及所收集个人信息类型序号评估点 评估标准 评估结果合规建议5是否明示收集