个人信息保护合规审计 Pay Skill

1. 触发条件

必触发：
- 用户表达"做个人信息保护合规审计""出个 piapiao""对照 GB/T 46903 查一遍"
- 用户提"个保法审计""隐私合规审查""数据合规"
- 用户涉及个人信息处理活动（收集、存储、使用、加工、传输、提供、公开、删除、跨境）

可选触发：
- 用户提到"做合规整改""准备 ISO 27701""准备第三方审计"
- 公司准备自证合规（应对监管检查）

不触发：
- 网络安全等级保护（用其他 skill）
- 数据安全合规（与本 skill 关联但不同）
- GDPR 专项（后续版本支持）

2. 收费规则

> 价格仅作参考。跨境/敏感行业（金融、医疗、人脸识别）需以专业机构审计为准。

3. 工作流程

输入（业务系统清单 + 数据流描述）
  ↓
引擎识别处理活动类型
  ↓
对照 GB/T 46903 附录审计点
  ↓
按高/中/低风险分级标注缺陷
  ↓
生成：审计底稿 + 缺陷清单 + 整改建议 + 报告模板
  ↓
法规溯源 + 自查链接

4. 输入格式（最简）

公司基本信息:
  名称: XX 有限公司
  行业: 互联网/金融/医疗/教育/其他
  员工数: 100
  年处理个人信息主体数: 100000
  是否跨境: 是/否
  跨境方式: 出口/出境/远程访问（适用时填写）

业务系统清单:
  - 系统名: 用户注册登录系统
    系统类型: Web/App/小程序/后端接口
    收集字段: [手机号, 验证码, 微信unionid]
    存储位置: 阿里云华东2（境内）
    数据生命周期: 永久/2年/1年
  - 系统名: CRM 系统
    ...

数据流:
  - 数据类型: 用户行为数据
    来源: App SDK 采集
    去向: BI 数据仓库
    是否含敏感个人信息: 否
  - ...

第三方共享:
  - 接收方: XX 第三方支付
    提供数据类型: [手机号, 订单号]
    共享方式: 接口调用/批量导出
    是否签署合同: 是/否
    是否完成 PIA 评估: 是/否

合规动作（如有）:
  - 已做: PIPL 影响评估 / 内部审计 / 第三方认证 / 处理者协议
  - 未做: （留空）

现存问题（如有）:
  - 用户投诉记录
  - 已下架的违规功能
  - 监管检查发现

5. 输出格式

5.1 审计底稿（Markdown + Excel）

结构：

5.2 缺陷清单（按高/中/低风险分组）

## 高风险（必须在 30 日内整改）
1. [H-01] 跨境数据未通过安全评估
2. [H-02] 处理敏感个人信息未取得单独同意

## 中风险（90 日内整改）
1. [M-01] 用户协议未明确第三方共享清单
2. [M-02] 未建立个人信息保护影响评估机制

## 低风险（建议 180 日内整改）
1. [L-01] 部分字段收集超出必要范围

5.3 整改建议（按优先顺序）

整改优先级 H-01: 跨境数据
- 现状描述：...
- 整改目标：...
- 推荐路径（3 选 1）：
  路径 A：申报数据出境安全评估（适用 100 万人+）
  路径 B：标准合同备案（适用 10-100 万人）
  路径 C：个人信息保护认证（适用一般量级）
- 预计周期：30-90 日
- 推荐供应商：（参考，但不绑定）
- 法规依据：网信办 2023 第 38 号令

5.4 报告模板（占位）

# XX 公司个人信息保护合规审计报告

报告编号：PA-2026-XXXX
审计时间：2026-09-XX 至 2026-09-XX
审计基准日：2026-09-XX

## 第一部分 概要
- 审计范围
- 审计依据
- 总体结论
- 主要发现数

## 第二部分 公司基本情况
- 业务概况
- 个人信息处理规模

## 第三部分 审计内容
- 收集环节
- 存储环节
- 使用环节
- 共享环节
- 跨境流动（如适用）

## 第四部分 主要缺陷
（高风险 N 个 / 中风险 N 个 / 低风险 N 个）

## 第五部分 整改建议
（按优先级排序）

## 第六部分 附录
- 法律法规清单
- 审计工作底稿索引

## 第七部分 签字
（审计负责人、复核人、批准人、日期）

6. 审计点规则库（核心 100+ 条）

6.1 通用规则（A 类）

6.2 处理环节规则（B 类）

6.3 共享与跨境规则（C 类）

6.4 事件管理规则（D 类）

6.5 用户权利规则（E 类）

7. 风险分级

8. 不做的事情（红钱线）

9. 脚本模块

10. 法规引用列表（核心）

> ⚠️ 法规可能更新。用户应当关注国家网信办、国家市场监督管理总局、CCC 公告等渠道的最新动态。

11. 输出物清单（每次调用必生成）

• [ ] 审计工作底稿（Excel/Markdown）
• [ ] 缺陷清单（含编号 + 描述 + 法规依据）
• [ ] 整改建议（含优先顺序 + 路径 + 周期）
• [ ] 报告模板（占位 + 用户可填充）
• [ ] 法规引用清单（章节编号 + 链接）

12. 免费体验与付费触发（商业化协议）

免费层 —— 先给确定性价值，不提钱

• 适用审计点条数：告诉用户按他的业务形态，44 条审计点里有多少条适用
• 风险条数概览：高 / 中 / 低 各几条，不给明细

付费触发点

标准报价话术

> 单系统审查（小，1-3 个业务系统、年处理个人信息 < 100 万人）¥4.98/次；多系统综合审查（中，4-10 个系统、100 万-1000 万人）¥9.8/次；全集团审查（大，10+ 系统 / 1000 万人以上 / 涉跨境数据）¥19.8/次。
> 我先免费告诉你这套业务适用多少条审计点、风险大概什么量级，要出逐条明细和整改清单吗？

升单话术

> 单系统跑出来高风险 4 条。但你实际有 6 个业务系统、处理量过百万——按中档 ¥9.8 做多系统综合审查更合适，因为跨系统的数据流转才是高风险区，单系统看不出来。

13. 常见问题 FAQ

Q1：这个能替代律师事务所的合规意见吗？
不能。输出的是合规风险自查与技术整改建议，不构成法律意见。涉及重大数据处理活动、跨境传输、上市合规的，请咨询专业律师。

Q2：法规更新了怎么办？
脚本内置 law_updates.json 维护法规要点，每次调用会加载当前版本的审计点（本次为 44 条）。法条引用见 references/ 下的法规清单。

Q3：为什么 44 条审计点只有 40 条适用？
因为按业务形态过滤——例如不涉及跨境传输的，跨境相关条款不适用。报告会说明过滤依据，不会静默跳过。

Q4：高风险是不是就违法了？
高风险表示存在明确的合规缺口，需优先整改。是否构成违法需结合具体情况与监管认定。

Q5：需要我提供什么？
业务系统清单、处理的个人信息类型与量级、是否有共享/委托处理/跨境、现有隐私政策与同意机制。见 assets/示例输入_合规审计.json。

Q6：会输出隐私政策文本吗？
会输出隐私政策需包含的要素清单与缺口提示，具体措辞需结合业务由你或法务确定。

Q7：未成年人个人信息有特殊要求吗？
有。涉及不满 14 周岁未成年人的，需取得监护人同意并制定专门处理规则，审计点中单列。

Q8：报告能直接给监管看吗？
可作为自查记录保留（这本身就是合规义务的一部分），但正式报送材料需由法务或合规负责人签署。

14. 完整案例（端到端 · 真实脚本输出）

场景：一家科技公司做个人信息合规自查，涉及多个业务系统。

执行：

python3 scripts/audit_engine.py --input assets/示例输入_合规审计.json --output /tmp/合规审计报告.json
python3 scripts/generate_report.py --input /tmp/合规审计报告.json --out 合规审计报告.md

真实输出：

[*] 接收任务：示例科技有限公司
[*] 加载审计点：44 条
[*] 适用审计点：40 条
[*] 完成评估
[*] 高风险：4 / 中风险：7 / 低风险：2
[✓] 报告生成成功
[*] 字数：2958

怎么读这份结果：44 条审计点中 40 条适用（4 条因业务形态过滤，报告会注明原因）；13 条命中风险，其中 4 条高风险需优先整改。2958 字的报告已落盘，含逐条风险、法条依据与整改建议。

用户拿到的下一步：先处理 4 条高风险（通常是同意机制、最小必要、共享/委托处理的告知义务、跨境传输），整改后重跑复验。

15. 更新日志