---
source: ../../../core/privacy-standards.md
source_version: 1.0.0
translation_version: 1.0.0
last_synced: 2026-04-10
status: current
---

# 隐私标准

> 版本: 1.0.0 | 最后更新: 2026-04-01

## 概述

本文件定义在软件生命周期中保护用户数据的隐私标准，基于 Privacy by Design 原则与国际数据保护法规。

## Privacy by Design 七大原则

| # | 原则 | 说明 |
|---|------|------|
| 1 | **主动而非被动** | 在隐私问题发生前预防 |
| 2 | **默认隐私保护** | 个人数据自动受到保护 |
| 3 | **隐私嵌入设计** | 隐私是系统架构的一部分，非附加组件 |
| 4 | **完整功能 — 正和** | 隐私与功能兼得，非二选一 |
| 5 | **端到端安全** | 数据在整个生命周期中受到保护 |
| 6 | **可见性与透明度** | 所有实践可文档化、可验证 |
| 7 | **尊重用户隐私** | 用户利益至上，提供强默认值与明确选项 |

## 数据分类

| 等级 | 说明 | 处理要求 |
|------|------|---------|
| **公开** | 可自由分享（营销内容、文档） | 无限制 |
| **内部** | 仅供内部使用（内部报告） | 访问控制 |
| **机密** | 敏感商业数据（财务、策略） | 加密、审计日志、需知原则 |
| **受限** | 高度敏感 PII、健康、财务数据 | 最强加密、严格访问、数据脱敏 |

## 数据保护影响评估（DPIA）

DPIA 必须在以下情况执行：
- 大规模处理个人数据
- 系统性监控公共区域
- 有法律效力的自动化决策
- 处理特殊类别数据（健康、生物识别）
- 合并不同来源的数据集
- 处理弱势群体数据（儿童、员工）

## 数据最小化

| 原则 | 说明 |
|------|------|
| **仅收集必要数据** | 每个数据字段须有文档化的用途 |
| **定义保留期限** | 每种数据类型须有明确保留期限 |
| **到期自动删除** | 超过保留期限的数据须自动删除或匿名化 |
| **目的限制** | 为某目的收集的数据不得未经同意用于他途 |

### 保留期限指南

| 数据类型 | 建议保留期限 |
|---------|------------|
| Session 数据 | Session 期间 |
| 活动日志 | 90 天 |
| 账号数据 | 账号删除 + 30 天 |
| 交易记录 | 7 年 |
| 营销偏好 | 直到撤回同意 |

## 用户权利

| 权利 | 说明 | 实现方式 |
|------|------|---------|
| **访问** | 请求个人数据副本 | 导出端点（JSON/CSV） |
| **更正** | 修正不正确的数据 | 编辑个人资料 |
| **删除** | 请求删除数据 | 账号删除流程 |
| **可携** | 以可携格式接收数据 | 标准格式导出 |
| **反对** | 反对特定处理活动 | Opt-out 机制 |

## 隐私检查清单

- [ ] 所有个人数据字段已文档化用途与法律依据
- [ ] 仅收集必要数据
- [ ] 已取得用户同意（opt-in）
- [ ] 保留期限已定义且自动删除已配置
- [ ] 仅授权人员可访问
- [ ] 数据在静态与传输中加密
- [ ] 用户可访问、更正、删除与导出其数据
- [ ] 与第三方的数据共享已文档化
- [ ] DPIA 已完成（如符合触发条件）
- [ ] 数据泄露通知流程已就位

---

**相关标准：**
- [安全标准](security-standards.md) - 数据保护的安全控制
- [日志标准](logging-standards.md) - 日志中的 PII 处理

---

## 许可

本标准以 [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/) 许可发布。
