做产品文档时经常卡在这：用户协议、隐私政策之外，有没有必要再写一份个人信息保护指引？两份文件内容重叠，写长了没人看，写短了又怕漏告知。这篇按受众、场景、颗粒度三个维度把两者的定位拆开，再给一份分工清单和合并写法，让产品知道该往哪份文件里塞什么，法务知道该审哪一份的哪些条款。
做产品文档时经常卡在这：用户协议、隐私政策之外，还有没有必要再写一份个人信息保护指引？两份文件内容看着重叠，写长了没人看，写短了又怕漏告知。这篇就按受众、场景、颗粒度三个维度把两者的定位拆开，再给一份产品和法务能直接照着分工的对照清单，让产品知道该往哪份文件里塞什么，法务知道该重点审哪一份的哪些条款。
先给一个不绕弯的判断：隐私政策回答的是「你是谁、你拿我的信息干什么、我能怎么办」，个人信息保护指引回答的是「这个具体功能碰到我什么、我怎么关、出问题找谁」。前者是面向全体用户的法律总承诺，后者更像具体功能的操作说明。分不清的时候，就用一句话测：用户签合同前需要知道的放政策，用户在某个功能里临时需要知道的放指引。
定位不同：一份是对外承诺，一份是操作说明
隐私政策的角色是法律层面的总承诺，覆盖所有用户和使用场景，讲清收集范围、使用目的、共享对象、用户权利这些全局性问题，措辞稳、覆盖面广是它的特点。个人信息保护指引的角色更像功能说明书，只针对某一类场景里的某一类人群，讲的是这个功能会碰到哪些信息、用户能不能关掉、关掉之后会少什么。两者的语气都不一样，政策偏宣言，指引偏操作。
- 隐私政策
- 面向全体用户的法律承诺，一次性告知，改动影响面大
- 个人信息保护指引
- 面向具体场景的信息说明，跟功能走，改动相对局部
- 判断口诀
- 签合同前需要知道的放政策，用某个功能时临时需要知道的放指引
- 不适用的情况
- 产品只有单一功能、收集字段极少时，硬拆两份反而增加维护成本，可以合并成一份并在其中分节
需要提醒的是，业务线多、功能迭代快的产品才值得拆开两份；如果一个月都不改一次功能，拆开只会带来两边版本对不上的麻烦。团队小、法务资源有限时，合并成分节文档通常更实际。
内容边界：哪些条款只能放政策，哪些适合挪进指引
不是所有条款都能自由搬家。有些内容属于一次性告知，必须留在政策里，比如处理者身份与联系方式、信息共享对象的类别、跨境传输情况、留存期限、权利行使渠道、未成年人相关条款。这些是法律层面的底线告知，不会因为用户用不用某个功能而改变。指引里放这些反而会让用户找不到重点。
| 内容类型 | 放政策 | 放指引 |
|---|---|---|
| 处理者身份与联系方式 | 必放 | 不放 |
| 共享对象类别与用途 | 必放 | 可放具体功能对应的服务 |
| 跨境传输情况 | 必放 | 一般不放 |
| 某功能采集的字段清单 | 可汇总 | 详细列出 |
| 权限弹窗时机与默认值 | 不展开 | 详细说明 |
| 关闭后的功能降级表现 | 不写 | 必须写清 |
| 未成年人条款 | 必放 | 不单独设 |
- 适合放指引：某功能采集哪些字段、默认开还是默认关、权限弹窗出现的时机、关闭后功能会少什么、异常情况找谁反馈，这些跟具体操作路径强绑定
- 容易踩坑的重叠区：第三方 SDK 清单。政策里给类别与用途，指引里给到具体功能对应的那几家，两边口径要能对上，不然比没有更麻烦
- 排查顺序：先列一份完整字段清单，再按「用户是否只在某个功能里遇到这个字段」这个标准往两份文件里分
- 一个细节：指引里出现的每个字段，政策总表里都应该能找到对应的类别归属，反过来不要求一一对应
产品和法务怎么分工：一张交付清单
产品和法务在这件事上的角色不一样，硬混在一起写往往两边都别扭。产品手里有真实的功能细节，法务手里有合规标准和措辞底线。合理的做法是产品先出素材，法务再定标准，最后共同确认三件关联事项。
- 产品出素材按功能逐个列：字段来源、采集时机、默认值、关闭路径、降级表现。别写形容词，比如不要写「尽可能少收集」，要写「本功能请求相机权限，仅在用户点击扫描时调用，可随时在系统设置里关闭」
- 法务出标准判定哪些属于必须单独告知、哪些可以并入政策、措辞底线在哪，同时确定两份文件的版本号与生效口径，避免一份改了另一份没跟上
- 共同确认三件事指引里出现的新字段有没有进政策总表；指引改版要不要同步改政策；两份文件的更新节奏是否绑定，比如同一个发版周期内一起发布
具体条款模板和核查口径，可以到站内安全与合规分区和相关术语对照页按当时版本核对，别直接照搬去年的旧稿，尤其涉及第三方服务清单的部分，变化最快。
上线前自查：五问快速过一遍
文档写完不等于安全，上线前用五个问题快速扫一遍，能挡掉大部分低级失误。这套自查不追求完美，追求的是明显矛盾先暴露出来。
- 问一：指引里提到的每个字段，政策总表里找得到吗？找不到要么补政策，要么从指引里删掉
- 问二：指引里描述的关闭方式，实际界面真能做到吗？做不到就改文案，而不是改承诺
- 问三：有没有把「可能收集」写成「一定会收集」？这类绝对化措辞是投诉高发点，能改就改
- 问四：新接入的第三方服务有没有同时进两份文件？只进一份等于没告知
- 问五：两份文件的更新记录留没留？出争议时这是关键证据，没有记录只能靠嘴说
这五个问题不需要很深的法务背景就能过一遍，产品自己先筛一轮，再交给法务复核，效率会高很多。如果产品连字段清单都列不出来，那说明基础的数据梳理还没做完，先补这一步再谈文档。
下一步如果你手头正好在拆分或合并这两份文件，可以到站内的合规资料区按当时版本核对措辞口径，再对照工具目录里的文档模板核对结构，避免只凭记忆改稿。→常见问题
能不能只写隐私政策，不写个人信息保护指引？
可以，前提是政策本身写得足够细、按功能分节清楚，用户能在对应位置找到答案。但只要产品有多个独立功能、涉及敏感权限或第三方 SDK，拆出指引通常更好维护，因为改功能时只动指引，不必每次改总政策并重新征求同意。
两份文件内容对不上会有什么麻烦？
属于典型的告知不一致，用户投诉或监管问询时会先看这个。最低成本的规避办法是给两份文件建一张字段对照表，任何一边新增字段都要在表里登记，发布前用这张表通读一遍，比事后解释省事得多。
指引需要用户单独勾选同意吗？
一般不需要，它通常作为政策的补充说明随政策一并同意。但如果指引里涉及新的敏感信息处理或新增的第三方共享，且超出原同意范围，就要重新取得同意。拿不准时按「是否扩大了处理范围」来判断，而不是按文件名字。
