隐私政策不是法务的独角戏，需要数据、安全、产品、营销等共同参与。建议成立 隐私工作组，明确RACI。
法律风险把控，监管对接，条款起草
数据安全技术措施，加密/脱敏评估
数据映射，分类分级，留存策略
功能数据流，SDK/API梳理，隐私设计
用户沟通，透明性声明，界面展示
员工数据处理，内部政策同步
✅ 最佳实践：每周一次隐私站会，使用协作看板 (Jira/Notion) 跟踪任务。
从启动到发布通常需要 6~10 周，以下为典型阶段：
| 阶段 | 产出物 | 负责人 |
|---|---|---|
| 启动 & 映射 | 数据流图、数据清单 | 数据治理 + 产品 |
| 差距分析 | 合规差距报告 | 法务 + 安全 |
| 政策起草 | 隐私政策草案 (v1.0) | 法务 (主笔) |
| 技术落地 | CMP / 隐私中心 | 研发 + 安全 |
| 发布 | 最终版政策 + 公告 | 法务 + 市场 |
数据映射是隐私政策的基石。记录每一条个人数据的来源、类型、处理目的、共享方、留存期限。推荐使用 SVG 架构图 可视化数据流。
📋 数据映射表 (样例片段)
| 数据字段 | 来源 | 处理目的 | 共享方 | 留存期限 |
|---|---|---|---|---|
| 姓名 + 手机号 | 用户注册 | 账号创建、订单通知 | 短信服务商 | 账号存续期+90天 |
| 设备ID / IDFA | SDK (友盟) | 统计分析、广告归因 | 友盟 + 广告平台 | 13个月 |
| 浏览记录 | 产品埋点 | 个性化推荐 | 内部算法团队 | 6个月 |
| 支付信息 (hash) | 支付网关 | 交易处理 | /支付宝 | 交易完成后3年 |
// 数据映射工具推荐：OneTrust · DataGrail · 或自建Excel/Notion 模板 // 关键字段：数据项 | 处理目的 | 法律基础 | 存储位置 | 传输国家 | 安全措施