Normio 博客
隐私与合规偏差的实用指南。
为 SaaS 团队提供清晰文章，帮助隐私文件、供应商披露、Cookie 和合规准备始终与产品的实际运行保持一致。
SaaS 团队 GDPR 就绪检查清单
审查隐私政策、处理者、数据保留、个人权利、法律依据和 Cookie 披露的实用清单。
符合 GDPR 要求的隐私政策应明确说明谁决定处理目的和方式、如何联系该组织，以及个人如何提交隐私请求。控制者身份、联系方式、处理目的、法律依据、接收方、跨境传输、保留期限和个人权利都应在适当时点提供。
本指南内容
- 先讲清数据控制者
- 为每个目的匹配法律依据
- 核对处理者和次级处理者
第三方处理者披露指南
如何在 SaaS 法律文件中披露服务提供商、处理者、次级处理者和供应商政策链接。
处理者披露应反映当前真正用于运行产品的工具，而不是首次上线时的旧清单。常见遗漏包括客服组件、会话回放、产品分析、支付、邮件、AI API、日志和云基础设施。
本指南内容
- 披露真实运营情况
- 解释第三方的作用
- 区分处理者与独立接收方
什么是隐私政策偏差？
当产品行为、供应商或数据流发生变化，而公开法律文件没有同步更新时，就会出现隐私政策偏差。
团队增加供应商、更换分析工具、推出新流程或收集新字段时，页面不会报错，隐私政策却可能保持不变。
本指南内容
- 偏差通常悄无声息
- 偏差会削弱透明度
- 供应商偏差最容易遗漏
面向产品团队的 GDPR 法律依据示例
合同、同意、合法利益和法律义务如何对应 SaaS 产品中的真实处理目的。
同一数据字段可能因不同目的而采用不同依据。例如邮箱可用于账户交付、可选营销或安全通知；每个目的都应单独识别和解释。
本指南内容
- 法律依据取决于处理目的
- 合同并非万能捷径
- 同意必须提供真实选择
Cookie 政策与隐私政策有什么区别？
两类文件分别回答什么问题，以及如何使其与同意横幅和真实追踪行为保持一致。
隐私政策解释更广泛的个人数据处理：目的、依据、接收方、保留、传输和权利。Cookie 政策则聚焦浏览器存储和类似技术，包括名称、提供者、用途、类别和期限。
本指南内容
- 它们回答不同问题
- 横幅必须与文件一致
- 必要 Cookie 应严格定义
GDPR 下的数据保留政策
如何把保留原则转化为 SaaS 数据类别、期限、删除流程和可执行规则。
“仅在必要期间保留”如果没有分类或标准，几乎无法帮助用户或工程团队。GDPR 允许说明固定期限，或在无法固定时说明确定期限的标准。
本指南内容
- 保留说明不能含糊
- 从目的限制开始
- 合理标准也可以接受
SaaS 的国际数据传输
如何识别跨境数据流，并在隐私文件中准确说明充分性决定、SCC 和其他保障。
团队可能在本地运营，但托管、分析、支持、邮件或 AI 供应商会把个人数据带到其他司法辖区。供应商的子处理者和远程支持访问也可能构成传输。
本指南内容
- 跨境传输往往跟随供应商
- 明确说明保障机制
- 充分性并非唯一途径
隐私政策中的数据主体权利
如何清楚说明访问、更正、删除、限制、可携带、反对和撤回同意等权利。
列出权利只是开始。政策还应说明请求渠道、身份验证方式、预计时限和可能适用的限制。
本指南内容
- 权利需要实际流程
- 访问权与可携带权不同
- 删除权存在例外
AI SaaS 隐私政策注意事项
AI 功能、模型提供商、训练用途、自动决策和用户控制应如何在隐私文件中说明。
说明哪些功能使用 AI、发送哪些数据、输出如何生成，以及是否有人审查结果。不要用“智能处理”等模糊词掩盖真实数据流。
本指南内容
- 用易懂语言描述 AI 处理
- 把提供商与用途连接起来
- 区分 GDPR 与 AI 法规问题
小型 SaaS 团队的 GDPR 审计准备
在客户、审计员或监管机构提出问题前，如何整理处理记录、供应商证据、权利流程和安全资料。
最困难的审计不是缺少政策，而是无法证明实际执行。应持续保存批准、合同、评估、删除记录、事件演练和政策变更证据。
本指南内容
- 在收到请求前收集证据
- 从处理活动记录开始
- 审查合同和供应商证明
次级处理者清单最佳实践
如何维护准确、可用且与 GDPR 第 28 条承诺一致的公开次级处理者清单。
过时清单会在客户尽调和合同承诺中制造风险。新增、替换或移除供应商时，公开页面和内部清单应同步更新。
本指南内容
- 清单只有保持最新才有价值
- 包含客户真正需要的字段
- 与第 28 条承诺保持一致
隐私政策监控工具：应关注什么
评估政策变化、网站信号、供应商偏差、证据质量和可执行提醒时应具备的能力。
简单页面 diff 会被格式、日期或导航变化淹没。实用工具应识别目的、供应商、权利、保留、传输或 Cookie 表述的实质变化。
本指南内容
- 监控应比较含义，而不只是字符
- 不要只看法律页面
- 按负责人区分提醒