个人信息处理合规体检 v1.0.10
HR 系统收身份证、会员表要手机号加地址、后台导出不做审批——这些平时没人管，出事就是 5000 万罚款或营业额 5%。把处理流程贴出来，逐项对照。
功能模块
| 等级 | 规则数 | 覆盖内容 |
|---|---|---|
| 告知与同意 | 0 | 告知完整性、单独同意、非搭售 |
| 最小必要 | 0 | 收集范围、目的限定、字段必要性 |
| 敏感个人信息 | 0 | 单独同意、敏感信息清单、未成年人 |
| 对外提供与委托 | 0 | 第三方清单、单独同意、数据处理协议 |
| 安全措施 | 0 | 加密、去标识化、权限、访问日志、泄露响应 |
| 留存与删除 | 0 | 最短期限、到期清理、注销响应 |
合计 18 条规则，覆盖 5 部现行法律法规。
> ### 关于数据：先看这一段
>
> 本 Skill 是按次付费的服务端规则判定服务，规则库在商家服务端执行，因此：
>
> - 会发送：你在调用时填写的业务字段（就是你贴进来的那段材料），用于本次规则判定与报告生成
> - 发到哪：https://la.facailo.xyz/severance-arb/api/call/pipl-compliance-check —— 本 Skill 在支付宝「服务管理」中登记的商家服务端
> - 为什么必须发：规则判定在服务端完成；不发送就无法得到体检结果
> - 发送前先脱敏：身份证号、手机号、银行卡号、邮箱会在离开本机之前替换为 [身份证号已脱敏] 这类占位符。规则只需要「这里有一个证件号」这一事实，不需要号码本身 —— 真正可识别到个人的数据不出本机
> - 不发送：本机其他文件、浏览器数据、系统凭据、环境变量、通讯录、剪贴板历史
> - 支付：由支付宝官方组件 @alipay/agent-payment（固定版本）处理，本 Skill 的脚本不接触任何支付密钥
>
> 除上述一次请求外，本 Skill 不向任何其他服务器发送数据。完整说明见下文「数据流向与安全」。
它是做什么的（30 秒看懂）
一句话：把你的信息收集与处理流程贴进来，它逐项检查告知同意、最小必要、单独同意、安全措施与留存期限。
| 你能用它做什么 | 举个例 |
|---|---|
| *告知完整性检查* | 保存期限、行权方式未告知 → 告知不充分 |
| *单独同意识别* | 敏感信息搭在一键勾选里 → 非单独同意 |
| *最小必要体检* | 注册要银行账户号 → 超出实现目的的最小范围 |
| *敞口测算* | 顶格 5000 万或上年度营业额 5% |
| *整改优先级* | 按「顶格处罚风险 / 数据泄露风险 / 体验影响」三类排序 |
特点：顶格处罚敞口：5000 万或上年度营业额 5%；敏感个人信息单独识别与单独同意检查；给出可落地的整改动作。
对标站内同类
同类在做什么（按站内检索到的功能描述整理，只陈述功能，不作评价）：
| 同类 Skill | 它的功能范围 |
|---|---|
privacy-audit-cn |
个保法合规审计，含审计底稿（Markdown+Excel 导出）、缺陷清单按高中低风险分组、100+ 条审计点规则库、数据出境安全评估 |
pia-personal-info |
个人信息保护影响评估：第五十五条触发判断、底稿生成、已有评估报告体检 |
mayihr-personal-data-compliance-check |
HR 场景的数据处理全生命周期差距表 |
本款的定位与差异：
同类里 PIA 与出境评估各有一家。本款把两项并入同一份体检：PIA 触发判断按第五十五条五种情形逐项判定，未触发时也把五种情形列出供核对；出境路径判定按四种强制安全评估情形（CIIO / 处理 100 万人以上 / 累计出境 10 万人以上 / 累计出境敏感信息 1 万人以上）给出应走哪条路径与办理方式，并附阈值对照表让你知道离门槛还有多远。做这两项时发现法条库里根本没有它们的依据（第五十五、五十六、三十八、三十九、五十四条），已按官方文本补录 —— 功能没有法律依据就是空中楼阁。
环境要求（装一次就行）
支付能力由支付宝官方组件提供，随本 Skill 自动安装，你不用配任何 API Key。
> 需要联网：规则库与测算在商家服务器上完成，不联网就用不了。
> 数据流向：你在调用时填写的业务字段会发送至 https://la.facailo.xyz/severance-arb/api/call/pipl-compliance-check，用于本次规则判定与结果生成；除此之外不发送任何数据。详见下方「数据流向与安全」。
使用方式
第 1 步：把材料给我（不需要你自己整理）
直接用自己的话贴进来就行。也可以复制「直接提问模板」。
需要你提供的信息：
| 需要什么 | 怎么给 |
|---|---|
| 数据存储地点与方式 | 如「境内云服务器，加密存储」；出境需另行评估 |
| 数据保存期限策略 | 如「服务期内 + 注销后 1 年」；须为实现目的的最短时间 |
| 隐私政策或收集规则 | 告知文本 + 同意交互描述 |
| 实际收集的字段清单 | 逐个字段列出，越具体越好 |
| 处理目的 | 每类信息用于做什么 |
| 是否对外提供或委托第三方 | 有无 SDK、第三方服务、外包 |
| 敏感信息是否已取得书面同意 | true/false |
| 是否单独设置同意选项 | true/false |
| 是否处理敏感个人信息 | 生物识别/医疗健康/金融账户/行踪轨迹/不满14周岁未成年人信息；true/false |
| 处理活动类型 | 如「自动化决策」「委托第三方」「对外提供」「公开」；有就写 |
| 是否向境外提供个人信息 | 有出境就写清去向与场景 |
| 是否关键信息基础设施运营者 | true/false；不确定填 false |
| 处理的个人信息主体规模 | 人数；可写「100万」 |
| 自上年1月1日起累计出境个人信息人数 | 人数；可写「10万」 |
| 自上年1月1日起累计出境敏感个人信息人数 | 人数；可写「1万」 |
| 情况说明（通用） | 把你手上的材料原文贴进来，或直接描述实际情况；不确定填哪里就填这里 |
第 2 步：付费并出结果
首次调用会弹出支付宝支付入口（0.99 元/次），付款后自动出结果。同一份材料重复查询不重复扣费。
> 付款前先确认参数齐了。 取账单的 probe 会在返回体里给出 input_ready：
> 为 false 时，input_errors 会列出还缺哪些字段——先补齐再付款。
> 参数不齐就付款，付款后同样出不了结果，等于白付；补齐后重跑 probe 确认变 true 再付。
第 3 步：拿到什么
| 交付物 | 是什么 |
|---|---|
| 告知同意结论 | 告知内容完整性与同意方式（单独/书面）的逐项判定 |
| 最小必要分析 | 每个字段的目的映射与超范围项清单 |
| 敏感信息清单 | 八类敏感信息识别与单独同意要求 |
| 安全措施缺口 | 加密、去标识化、权限、日志、应急预案 |
| 整改动作清单 | 按优先级排序的可执行整改项 |
任务路由（AI 判断用哪个）
| 用户需求 | 动作 |
|---|---|
| 隐私政策发布前审 | 逐项对照 + 给出补写清单 |
| 产品要做用户信息收集 | 按最小必要原则逐字段过 |
| 要接入第三方 SDK | 识别对外提供与委托处理风险 |
| 发生泄露后自查 | 对照安全措施评估责任与整改 |
| 发生数据安全事件后自查 | 对照安全措施评估责任与整改 |
🛑 STOP · 执行前检查点（每次开始前必过）
动手体检前必须确认这 4 项，有一项不满足就停下，先问清楚再继续：
- 字段要列全：最小必要判断必须逐字段做，只写"收集必要信息"无法判断
- 同意方式要如实：是一键勾选还是独立弹窗，直接决定合规性
- 第三方要说清：有无 SDK、客服外包、第三方存储，是最大的风险源
- 留存期限要填：无限期保存是高频违规点
> 绝不允许为了凑出一个结果而编造事实。 缺什么就问，问不到就如实说「信息不足，无法判定」。
真实场景示例（照着做）
场景 1：注册要身份证和银行账户
> 注册表单：姓名、手机号、身份证号、家庭住址、银行账户号。用途：注册会员。
→ 会得到：
- 命中收集范围超出最小必要
- 身份证与银行账户属敏感个人信息
- 给出字段必要性逐项分析
验收点：超范围字段被识别并给出删减建议
场景 2：敏感信息搭在一键勾选里
> 注册页：勾选「同意用户协议和隐私政策」后即可注册，需上传人脸与身份证照片。
→ 会得到：
- 命中敏感信息未单独同意
- 指出人脸属生物识别敏感个人信息
- 给出独立弹窗与单独勾选方案
验收点：单独同意问题被指出并给出改法
场景 3：第三方 SDK 清单没更新
> 接入了客服与统计 SDK，隐私政策未更新。
→ 会得到：
- 命中实际处理超出隐私政策披露范围
- 要求更新政策并重新取得同意
- 给出第三方清单要素
验收点：政策与实际不一致被指出
场景 4：离职员工数据不删
> 员工离职后系统里的信息永久保留。
→ 会得到：
- 命中留存期限届满未删除
- 说明法定必须留存的例外
- 给出清理机制
验收点：留存问题被识别并给出处理方式
场景 5：发生数据安全事件后自查
> 我们的客户系统发生安全事件，一批手机号和地址外泄了。
→ 会得到：
- 对照安全措施缺口评估责任边界
- 给出补救与通知义务的时序要求
验收点：责任边界与处置时序明确
常见误区与正确做法（哪些坑别踩）
> 下表每行只给正确做法，不描述任何不合规的操作方式。工具的输出终点始终是「合法应该怎么做」。
| 常见误区 | 为什么走不通 | 正确做法 |
|---|---|---|
| 把同意藏在一堆条款里 | 搭售式同意可能被认定为非自愿、非明确 | 敏感信息与对外提供单独设独立弹窗与独立勾选 |
| 认为公开了就等于可以随便收集 | 公开只是告知的一种，还需具备处理目的与最小必要 | 逐字段论证必要性，答不上来就不要收集 |
| 数据加密了就不用脱敏 | 加密保护传输与存储，脱敏降低使用环节的暴露面，两者都要 | 传输 TLS + 存储加密 + 展示脱敏三管齐下 |
| 后台不限权限、随便导出 | 无法追溯谁访问了谁的数据，既是泄露风险也是举证不能 | 权限最小化 + 导出审批 + 水印 + 日志留存 6 个月 |
| 「永久保存」写进隐私政策 | 保存期限应为实现目的所必需的最短时间，永久保存必然违规 | 按数据类别分别设期限，到期自动删除或匿名化 |
| 员工不同意就放弃服务 | 处理个人信息与提供服务不是同一回事，不能强制 | 非必要信息不得作为服务前置条件 |
一次调用你会拿到什么
| 交付物 | 形态 | 拿来干什么 |
|---|---|---|
| 整改工单 | Markdown | 逐条列：等级、位置、原文、法律依据、罚则敞口、可直接粘贴的整改动作。可直接当任务分派 |
| 逐项明细 | 结构化 | 每个命中的规则编号、原文位置与偏移、命中片段、整改动作 |
| 构成要件比对 | Markdown | 把所引法条拆成构成要件，逐项在你材料里找对应事实，标「成立 / 未找到」。让你自己复核判断，而不只给结论 |
| 合规健康度 | 0-100 分 | 扣分制：红线 12 / 高危 6 / 提醒 2 / 建议 0.5。用于排整改优先级 |
| 风险敞口 | 金额区间 | 按法条罚则折算，与「本次付费 × 避免损失」一起给出 ROI |
| CSV 清单 | 带 BOM | Excel / 飞书多维表格直接打开不乱码，可导入工单系统 |
| 独立 HTML 报告 | 单文件 | 不依赖本工具，浏览器直接打开，可转发同事、可打印归档 |
| 自查清单 | 可勾选 | 对外发布/执行前逐项打勾 |
> 前三项是判断依据，中间两项是排序依据，后三项是交付形式。三者都不需要你再做任何加工。
规则覆盖了什么（可复核，不是黑箱）
本 Skill 内置 18 条规则，覆盖 5 部现行法律法规，每条都能定位到具体条文。
| 等级 | 规则数 | 覆盖内容 |
|---|---|---|
| 🔴 红线 | 7 | 告知内容不完整；敏感个人信息未取得单独同意；对外提供未单独告知并取得单独同意；超出原目的使用个人信息 等 7 条 |
| 🟠 高危 | 8 | 同意与其他条款捆绑；收集范围超出最小必要；未采取法定安全技术措施；自动化决策未提供说明与拒绝权 等 8 条 |
| 🟡 提醒 | 3 | 留存期限届满未删除；未提供拒绝全部 Cookie 的选项；隐私政策与实际处理不一致 |
全部检查项
> 下列为工具自动检查的项目编号与名称。每项对应一条现行法律或监管要求，工具只做「识别 + 指出依据 + 给出合规路径」，不提供任何不合规的替代做法。
🔴 红线
PIP-NOTICE-INCOMPLETE合规必查项：《个人信息保护法》第十七条：处理个人信息应当明示处理者的名称、联系方式，处理目的、处理方式、个人信息的种类、保存期限，以及个人行使权利的方式和程序。缺一项即告知不充分。PIP-SENSITIVE合规必查项：《个人信息保护法》第二十九条：处理敏感个人信息应当取得个人的单独同意；法律行政法规规定须书面同意的，还应取得书面同意。PIP-EXTERNAL-SHARE合规必查项：《个人信息保护法》第五十三条：向其他个人信息处理者提供个人信息，应当向个人告知接收方的名称或姓名、联系方式、处理目的、处理方式和个人信息的种类，并取得个人的单独同意。PIP-WRONG-PURPOSE合规必查项：《个人信息保护法》第六条：处理个人信息应当具有明确、合理的目的，与处理目的直接相关，采取对个人权益影响最小的方式。目的变更须重新取得同意。PIP-CHILDREN合规必查项：《个人信息保护法》第三十一条：处理不满十四周岁未成年人个人信息，须取得父母或其他监护人的同意，并制定专门的个人信息处理规则。PIP-CROSS-BORDER合规必查项：《个人信息保护法》第三十九条：向境外提供个人信息须向个人告知境外接收方的名称、联系方式、处理目的、处理方式和个人信息的种类，并取得单独同意。PIP-CONSENT-WAY合规必查项：《个人信息保护法》第十四条要求同意须在充分知情的前提下自愿、明确作出；第二十九条要求处理敏感个人信息取得单独同意；对外提供信息时亦须单独同意。
🟠 高危
PIP-BUNDLED-CONSENT高关注项：《个人信息保护法》第十四条：处理个人信息应当取得个人同意；同意应当由个人在充分知情的前提下自愿、明确作出。搭售在「服务条款」里的一键勾选，可能被认定为非自愿、非明确。PIP-MINIMUM高关注项：《个人信息保护法》第六条：收集个人信息应当限于实现处理目的的最小范围，不得过度收集。手机号能解决的事要身份证号，属于过度收集。PIP-SECURITY高关注项：《个人信息保护法》第五十一条：应当采取相应的加密、去标识化、合理确定操作权限等安全技术措施。发生泄露且未采取任何措施的，将从重处罚。PIP-AUTO-DECISION高关注项：《个人信息保护法》第二十四条：通过自动化决策方式进行信息推送、商业营销的，应当同时提供不针对其个人特征的选项，或者向个人提供便捷的拒绝方式。PIP-ENTRUSTMENT高关注项：委托第三方处理时，须约定处理目的、期限、方式、信息种类、保护措施及双方权利义务，并监督受托方。PIP-LEAK-CHECK高关注项：发生泄露时应立即采取补救措施，并通知履行个人信息保护职责的部门和个人；无响应机制会从重处罚。PIP-LOG-AUDIT高关注项：《个人信息保护法》第五十一条要求采取合理确定操作权限等安全措施。无法追溯谁在何时访问了哪些数据，就无法举证未泄露。PIP-MINIMAL-FIELDS高关注项：《个人信息保护法》第六条：收集应当限于实现处理目的的最小范围，不得过度收集。常见过度收集是「办个会员要银行卡号」。
🟡 提醒
PIP-RETENTION建议核对项：《个人信息保护法》第十九条：保存期限应当为实现处理目的所必要的最短时间；保存期限届满的，应当删除或者匿名化。PIP-COOKIE建议核对项：个人信息保护合规要求提供便捷的拒绝方式，不能只提供「全部接受」。PIP-PRIVACY-POLICY-STALE建议核对项：实际处理超出隐私政策披露的范围，属于超范围收集，情节严重的构成违法。
🔴 CHECKPOINT · 任务完成验证（交付前必过）
拿到结果不等于结束，输出前先自查 5 项：
- 告知七要素全核：名称、联系方式、目的、方式、种类、期限、行权方式
- 敏感信息已识别：八类敏感信息逐项确认并检查单独同意
- 逐字段做必要性：每个字段都要能对应到具体处理目的
- 对外提供已单列：第三方清单与单独同意要求
- 安全措施已评估：加密、脱敏、权限、日志、预案五项
> 自查不通过 → 回到第 1 步补齐材料 → 重新体检。不补齐就出结论是不允许的。
直接提问模板（复制即可用）
> 审隐私政策
> 请审这份隐私政策与收集规则：<粘贴>。实际收集字段：<列出>。处理目的：<说明>。是否有第三方 SDK：<有/无，具体是>。
> 产品要收集
> 我们产品需要收集这些信息：<字段清单>，用于 <目的>。请逐项判断是否符合最小必要。
> 接了第三方
> 我们接入了 <SDK/服务清单>。隐私政策里只写了"可能使用第三方服务"。请帮我看看需要补什么。
> 先看重点
> 我们收集：<字段>。有没有明显过度的？先告诉我最需要删的几个。
异常处理（遇到问题时）
| 情况 | 正确处理 |
|---|---|
| 是线下收集 | 线下同样适用告知同意要求，需留存书面告知与同意凭证 |
| 是员工信息 | 劳动关系中的处理有专门规定，但仍需告知并遵守最小必要 |
| 涉及境外 SaaS | 构成数据出境，需另行完成安全评估或标准合同备案 |
| 只是内部系统 | 内部使用同样受约束，且泄露后影响更直接 |
| 已发生泄露 | 立即采取补救措施并按规定通知监管与用户，不要先内部排查完再说 |
本 Skill 的参数
| CLI 参数 | 说明 | 必填 |
|---|---|---|
--storage |
数据存储地点与方式（如「境内云服务器，加密存储」；出境需另行评估） | 否 |
--retention |
数据保存期限策略（如「服务期内 + 注销后 1 年」；须为实现目的的最短时间） | 否 |
--policy |
隐私政策或收集规则（告知文本 + 同意交互描述） | 否 |
--collect-fields |
实际收集的字段清单（逐个字段列出，越具体越好） | 否 |
--purpose |
处理目的（每类信息用于做什么） | 否 |
--third-party |
是否对外提供或委托第三方（有无 SDK、第三方服务、外包） | 否 |
--has-written-consent |
敏感信息是否已取得书面同意（true/false） | 否 |
--has-separate-consent |
是否单独设置同意选项（true/false） | 否 |
--handles-sensitive |
是否处理敏感个人信息（生物识别/医疗健康/金融账户/行踪轨迹/不满14周岁未成年人信息；true/false） | 否 |
--activities |
处理活动类型（如「自动化决策」「委托第三方」「对外提供」「公开」；有就写） | 否 |
--cross-border |
是否向境外提供个人信息（有出境就写清去向与场景） | 否 |
--is-c-i-i-o |
是否关键信息基础设施运营者（true/false；不确定填 false） | 否 |
--pipl-scale |
处理的个人信息主体规模（人数；可写「100万」） | 否 |
--cross-border-count |
自上年1月1日起累计出境个人信息人数（人数；可写「10万」） | 否 |
--cross-border-sensitive-count |
自上年1月1日起累计出境敏感个人信息人数（人数；可写「1万」） | 否 |
--text |
情况说明（通用）（把你手上的材料原文贴进来，或直接描述实际情况；不确定填哪里就填这里） | 否 |
> 完整取值与更多参数见 references/parameters.md。参数名也接受驼峰写法（--adSpend 等价于 --ad-spend）。
1、调用模式（同一端点，按 mode 切换）
| mode | 用途 | 产出 |
|---|---|---|
| 默认 | 单条体检 | 报告 + 整改工单 + CSV + HTML + 健康度 + 构成要件比对 |
batch |
一次体检多条（最多 200 条） | 汇总视图 + 逐项工单 + 逐项 HTML + 汇总 CSV |
recheck |
整改前后对比 | 已解决 / 仍存在 / 新引入 + 分数增量 |
law-search |
查法条 | 条文要点 + 罚则 + 本工具哪些检查项会用到它 |
regional |
地区口径差异 | 全国统一规则 + 必须按当地取数的参数与查法 |
calendar |
合规日历 | 25 项法定时限事项，区分「必做 / 建议」 |
quiz |
风险自评问卷（免费） | 初筛结论 + 哪些项需要注意 |
高频组合：
- 不知道有没有这个问题 →
quiz（免费）→ 再决定要不要默认体检 - 一次审几十份 →
batch送全部，只要汇总表，按风险从高到低处理 - 改完想确认 →
recheck同时给 before/after，直接看分数涨没涨、有没有改出新问题 - 算出来数不对味 →
regional看是不是当地口径没取对 - 错过时限的损失往往比问题本身更大 →
calendar看有哪些法定时限在等着
计费口径：batch 按整批算一次（带批次指纹，同批重复提交不重复扣费），其余模式按次算。quiz 不产生费用。
数据流向与安全
这一节完整说明本 Skill 会把什么发到哪里，不含任何隐瞒。
| 项目 | 说明 |
|---|---|
| 发送方 | 你的设备（本机） |
| 接收方 | https://la.facailo.xyz（本 Skill 的商家服务端） |
| 发送内容 | 你在本次调用中填写的业务字段（JSON），仅用于本次规则判定与结果生成 |
| 不收集身份信息 | 本 Skill 不接收也不上传姓名、身份证号、手机号、住址、银行卡号——所需字段均为判定必需的金额、日期与文本 |
| 发送时机 | 仅在 probe（取账单）与 complete（取结果）两次请求时 |
| 发送范围 | 不发送本机其他文件、浏览器数据、系统凭据、环境变量 |
| 支付环节 | 由支付宝官方 alipay-bot 处理，本 Skill 的脚本不接触任何支付密钥 |
| 本地留痕 | 订单账单与请求快照仅存于系统临时目录，权限 0600，可用 clean 子命令清除 |
| 依赖来源 | @alipay/agent-payment@1.0.26（固定版本，来源可校验） |
| 外部命令 | 脚本仅执行一个外部命令：官方 alipay-bot |
本 Skill 不会也不能：代你实施任何违法违规行为。它只做「识别问题 + 给出合规路径」，全部规则与文案均为公开法律法规的要求转述。
不知道该不该用这个？先做 1 分钟自评
如果你连自己有没有这个问题都不确定，用 mode=quiz 做一次免费自评：
# 1) 看问卷有哪些题（免费）
node scripts/pay_gateway.mjs probe --mode quiz --action list
# 2) 提交你的答案（免费，只返回初筛结论）
node scripts/pay_gateway.mjs probe --mode quiz --action answer --answers {"q1":"写了","q2":"出现过"}
问卷本身不产生费用，它是入口：
- 每题只问一件事，答案就是选项，不用自己组织材料
- 答完直接告诉你哪些提示风险、哪些没有问题（只报风险的问卷不可信）
- 命中的那几条，就是你接下来做体检时该重点看的地方
> 问卷只覆盖公开法律里的高频风险点，是初筛，不能替代完整体检。
随包参考：法条依据
> 以下是本 Skill 全部判定所依据的条款。含义务性条款——
> 它们未必有罚款罚则，但「没罚则」不等于「没义务」。
| 法律 | 条款 | 要点 | 罚则 |
|---|---|---|---|
| 《中华人民共和国个人信息保护法》第六十六条 | 顶格处罚：5000 万元或上年度营业额 5%，可责令停业整顿。 | 5,000.00 ~ 50,000,000.00 元 | |
| 《中华人民共和国个人信息保护法》第五十一条 | 去标识化 + 加密 + 权限最小化是个人信息的法定安全义务，缺一即为合规瑕疵。 | 5,000.00 ~ 50,000,000.00 元 | |
| 《中华人民共和国个人信息保护法》第五十三条 | 对外提供个人信息必须单独告知并取得单独同意——不能只勾选总的隐私政策授权。 | —（义务性条款，无直接罚则） | |
| 《中华人民共和国数据安全法》第四十五条 | 「全流程数据安全管理制度 + 教育培训 + 技术措施」三项是明文要求，缺一项即有直接违法风险。 | —（义务性条款，无直接罚则） | |
| 《中华人民共和国网络安全法》第二十一条 | 网络日志留存不少于六个月是明文硬性要求——出事时能否自证的关键。 | —（义务性条款，无直接罚则） | |
| ## 这里面的法律约束（不只是成本账） |
> 个人信息合规不是「加个勾选框」那么简单，以下是明文要求，逐项可查。
| 约束点 | 说明 |
|---|---|
同意的三重要件 PIP14 |
充分知情 + 自愿 + 明确；处理敏感信息须单独同意或书面同意。一键勾选式授权存在瑕疵。 |
敏感信息的八类范围 PIP29 |
生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，及不满 14 周岁未成年人信息。 |
顶格处罚标准 PIP66 |
5000 万元或上年度营业额 5%，并可责令停业整顿、吊销营业执照。 |
日志留存不少于六个月 CS21 |
《网络安全法》第二十一条明文要求网络日志留存不少于六个月——这是出事时能否自证的关键。 |
全流程数据安全管理制度 DS45 |
《数据安全法》要求制度 + 培训 + 技术措施三项齐备，缺一项即有违法风险。 |
等保是前置要求 DS27 |
收集大量个人信息却从未做过等级保护，本身即构成违规事实。 |
报告里你会看到的字段
| 字段 | 含义 |
|---|---|
| 合规健康度 | 0-100 扣分制（红线 12 / 高危 6 / 提醒 2 / 建议 0.5），用于排整改优先级 |
| 风险敞口估算 | 按法条罚则折算的金额区间 |
| 敞口说明 | 告诉你这个数怎么来的：按人数折算 / 按广告费倍数折算 / 按法条定额 / 多条罚则叠加的上限情景（实际通常择一认定，不等于全部相加） |
| 非罚款损失 | 有些后果不是罚款而是「丢单 / 败诉赔偿金」——量级往往更大，单列一行 |
| 罚则敞口 | 单条规则的法定区间与依据条款 |
个人信息保护影响评估（PIA）触发判断（个保类特有）
《个人信息保护法》第五十五条规定，有下列情形之一的，应当事前进行影响评估并对处理情况进行记录——注意是「事前」，先上线再补评估不合规：
| 情形 | 判断依据 |
|---|---|
| （一）处理敏感个人信息 | 生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的个人信息 |
| （二）利用个人信息进行自动化决策 | 算法推荐、个性化推荐、用户画像、风控评分卡等 |
| （三）委托处理、向他人提供或公开个人信息 | 外包、SDK 接入、数据共享、对外披露 |
| （四）向境外提供个人信息 | 数据出境、海外部署、跨国传输 |
| （五）其他对个人权益有重大影响的活动 | 大规模处理、涉及特殊群体等兜底情形 |
触发任一情形即需评估。评估报告须包含三项内容（处理目的方式是否合法正当必要 / 对个人权益的影响及安全风险 / 保护措施是否与风险相适应），且报告与处理记录至少保存三年。
数据出境路径判定（个保类特有）
出境有三条路径，但满足下列四种强制情形之一的，只能走安全评估，不能用标准合同替代：
| 强制安全评估情形 | 门槛 |
|---|---|
| 关键信息基础设施运营者（CIIO）向境外提供 | 任何数量，无豁免 |
| 处理 100 万人以上个人信息的处理者向境外提供 | ≥ 100 万人 |
| 自上年 1 月 1 日起累计向境外提供个人信息 | ≥ 10 万人 |
| 自上年 1 月 1 日起累计向境外提供敏感个人信息 | ≥ 1 万人 |
| 未达门槛时可走 | 办理方式 |
|---|---|
| 个人信息出境标准合同 | 与境外接收方签订标准合同，生效之日起 10 个工作日内向省级网信部门备案 |
| 个人信息保护认证 | 经具备资质的专业机构认证 |
> 出境还需履行告知六项 + 单独同意（第三十九条）：告知境外接收方名称/姓名、联系方式、处理目的、处理方式、个人信息种类、向境外接收方行权的方式和程序——缺任何一项，或把同意混在整体协议里，都不满足要求。
> 敞口是风险排序依据，不是「一定会被罚这么多」。同一罚则被多条规则引用时只计一次，多条罚则叠加时会明确标注是上限情景。
能力边界与限制（先看这条，避免踩坑）
- 顶格处罚：5000 万元或上一年度营业额 5%，可责令停业整顿。
- 敏感个人信息（生物识别、宗教信仰、医疗健康、金融账户、行踪轨迹、不满 14 周岁未成年人信息）需单独同意。
- 对外提供个人信息必须单独告知并取得单独同意，不能只在总的隐私政策里勾一次。
- 数据出境有三条路径：数据出境安全评估 / 个人信息保护认证 / 出境标准合同。满足四种强制情形（关键信息基础设施运营者、处理 100 万人以上、累计出境 10 万人以上、累计出境敏感信息 1 万人以上）的只能走安全评估，不能用标准合同替代。本工具判定应走哪条路径并列出手续，不代替申报。
- PIA 是事前义务：触发《个人信息保护法》第五十五条任一情形，应当在处理前完成影响评估并做记录；评估报告与处理记录至少保存三年。
- 本工具不提供任何数据违规收集的使用方案。
FAQ（常见问题）
Q：什么算敏感个人信息？
《个人信息保护法》第二十八条列举八类：生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹，以及不满十四周岁未成年人的信息。这些信息处理需取得单独同意，其中敏感个人信息中的未成年人信息还需制定专门规则。
Q：单独同意和普通同意有什么区别？
单独同意要求针对该项信息单独设置同意选项，不能与其他事项打包勾选。比如注册时收集手机号和身份证号，手机号可用普通同意，身份证号必须独立弹窗单独确认。
Q：违反《个人信息保护法》罚多少？
第六十六条规定由省级以上履行个人信息保护职责的部门责令改正、没收违法所得，并处 5000 万元以下或者上一年度营业额 5% 以下的罚款，可责令暂停处理活动；情节严重的可责令停业整顿。
Q：什么是最小必要？
《个人信息保护法》第六条：收集个人信息应当限于实现处理目的的最小范围，不得过度收集。判断标准很简单——这个字段是为哪个具体目的服务的？答不上来就不该收。
Q：对外提供需要单独同意吗？
需要。第五十三条规定向其他个人信息处理者提供个人信息时，须告知接收方名称、联系方式、处理目的、处理方式、信息种类，并取得单独同意。只笼统写"第三方服务"是不够的。
Q：数据保存多久合适？
应为实现处理目的所必要的最短时间。税务凭证有法定 10 年留存要求，不能随意删；但营销信息、行为轨迹这类通常不需要长期保存。到期必须删除或匿名化。
Q：可以查看谁访问了个人信息吗？
应有访问日志与审计能力。无法追溯谁在何时看了哪条记录，既是泄露风险，也是发生争议时无法举证"已尽到安全保障义务"的致命短板。日志建议留存不少于 6 个月。
Q：员工不同意提供人脸识别能入职吗？
要看场景。人脸识别用于考勤可能构成必要人力资源管理措施；用于门禁则不一定必要。不能以「不同意即不提供服务」的方式强制收集非必要信息。
Q：个人信息泄露了怎么办？
立即采取补救措施（关闭接口、封禁账号、下架内容），评估影响范围与后果，并按规定通知履行个人信息保护职责的部门和个人。事前准备好响应预案与通知模板，能大幅降低二次风险。
Q：不体检能先自查吗？
可以。把你实际收集的字段列给我，我可以先标出哪些明显超出最小必要、哪些属于敏感信息。你再决定要不要做完整报告。
这次体检值不值（先看这个再决定付不付）
每次出结果，报告都会直接告诉你这次体检的性价比——数字由本次实际结果算出，不是宣传语：
> 个人信息违法的顶格处罚是 5000 万元或上年度营业额的 5%，并可责令停业整顿。
> 更现实的风险不是罚款，而是平时没人查、出事一次全量泄露——HR 系统导出、客户名单被爬、内部人员越权访问，事后既无日志可查、也无预案可用。
> 本 Skill 单次 0.99 元，把收集规则、同意方式、安全措施、留存期限四道关过一遍，回报通常是它的数千倍。
✅ 质量保证
- 15 条规则覆盖告知同意、最小必要、敏感信息、对外提供、委托处理、出境、安全措施、留存期限、自动化决策、未成年人等 10 类合规风险
- 敏感个人信息八类逐项识别与单独同意要求核对
- 敞口按 5000 万或上年度营业额 5% 顶格标准给出
随包文件
| 文件 | 作用 |
|---|---|
SKILL.md |
本说明 |
README.md |
快速开始与命令速查 |
scripts/pay_gateway.mjs |
402 支付编排：probe / pay / complete / clean。数据流向见下方说明 |
references/parameters.md |
全部命令参数与取值表 |
references/law-basis.md |
核心法条速查 |
references/checklist.md |
交付前自查清单 |
assets/logo-512.png |
技能图标 |
核心原则
- 逐字段判断：最小必要必须逐字段做，不能笼统评估
- 单列敏感信息：八类敏感信息必须单独识别与单独同意
- 给整改动作：不停在"不合规"，给出可执行的改法
- 有边界：数据出境与内部员工信息有专门规定，工具会提示
合规声明
- 本 Skill 是公开法律与监管要求的结构化转述，用于帮助使用者识别自身材料中的合规问题并给出正确做法
- 不提供任何不合规的替代做法、规避方法或第三方服务推荐；工具的输出终点是「合法应该怎么做」
- 不构成法律、税务或监管意见，不承诺任何结果；结论以主管机关认定为准
- 你填写的业务字段会发送至
https://la.facailo.xyz/severance-arb/api/call/pipl-compliance-check用于本次测算；该数据不会用于其他目的，也不会提供给无关第三方
