个人信息保护合规审计管理办法和审计指引
国家网信办制定的个人信息保护合规审计管理办法于二零二五年五月一日起施行。处理超过一千万人个人信息者每两年至少自行审计一次，超过一百万人者须指定保护负责人，发生百万人信息或十万人敏感信息泄露等情形将被要求委托专业机构审计，同一机构不得连续三次对同一对象审计。附件指引围绕合法性基础、告知义务、共同与委托处理、信息转移、自动化决策、敏感及未成年人信息明确审查方向
深圳指引+4部委专项行动+审计管理办法=个保合规审计来了
深圳市委网信办发布二零二五年版加强应用程序个人信息保护若干指引，围绕隐私政策规范、用户同意管理、数据处理合规、用户权益保障四大板块提出十五条规范，腾讯、华为、中兴、荣耀、欧珀、酷派等六家分发平台签署合规承诺书。指引内容与中央网信办、工业和信息化部、公安部、市场监管总局联合开展的专项行动一致，配合个人信息保护合规审计管理办法五月一日施行，超千万人须每两年审计一次
隐私政策条款：共享、转让和公开
个人信息共享遵循必要可简化授权、非必要需单独提示的原则，服务履约与功能实现类可在政策中声明，权益类与个性服务类因受托方有自身目的须单独提示；非因兼并重组的共享须事先开展安全影响评估。转让因涉及主体变更属合同根本变更，必须弹窗获得明示同意，禁止模糊授权与排除责任。公开须遵循合法必要与最小化原则，禁止无限授权、敏感信息公开及免责条款，违规者将面临监管处罚
可信数据空间合规100问
国家数据局指导全国数据标准化技术委员会依据可信数据空间技术架构开展技术文件验证试点，遴选出覆盖多个重点行业的四十八家典型单位，并正式发布数字合约技术要求、使用控制技术要求、技术能力评价规范三项文件以强化标准适用性。配套整理的一百个基本问题用于合规研究与业务指导，涵盖基础概念、数据治理、安全合规、技术标准、运营管理、跨域协作、法律责任、新兴场景及风险防控等多方面内容
隐私政策拟定的第一步：系统个人信息的梳理
撰写隐私政策的第一步并非起草文本，而是逐功能模块梳理系统中收集与使用的个人信息，识别原则坚持宁可错杀不可放过。整体分为四大类：业务处理部分涵盖核心服务、安全保障与辅助优化三种功能场景，前两者属必要功能；第三方相关需区分采集类与共享类软件开发工具包并附其隐私政策；设备权限须逐项列明必要项与关闭方式；甲基饼干及同类技术因专业性强、监管严格须单独重点说明并按需弹窗
隐私政策和用户协议的关联互补
隐私政策与用户协议作为互联网产品两类核心文件，在目的、内容、法律依据及侧重点上存在本质区别，前者专注个人信息保护，后者明确合同关系，二者互补不可替代。即便复制隐私政策内容到用户协议也无法满足合规，否则可能被认定为未依法公开处理规则而面临警告或罚款。用户协议中仍需保留衔接性隐私条款，明确独立性与关联性、提示关键权利、说明政策变更的联动影响，夯实合法性基础
隐私政策的编写：应该是事前、事中还是事后？
隐私政策并非单纯的法律文书，而是软件个人信息保护的设计原理、方法与管理制度的整体呈现。事后撰写常使政策与系统脱节或反向倒逼系统修改，因此应贯彻欧盟通用数据保护条例提出的数据保护设计与数据保护默认理念，将合规要求从需求、设计、开发、测试、上线到运维的全流程嵌入。核心原则包括保护前置、默认最小、全生命周期覆盖与用户控制权，唯有实质合规才能让政策真正成为系统保护的结果
隐私政策合规100问（PDF）
隐私政策是个人信息保护的基石，也是企业处理数据的基本指导原则，然而许多网站和应用的隐私政策仍停留在网络复制粘贴的形式层面，缺乏实质合规价值。撰写一份合格的隐私政策实属辛苦的技术活与体力活，为帮助从业者建立初步认知，整理推出隐私政策合规一百问，覆盖框架要点与常见疑难，在公众号回复关键词即可下载，后续还将推出隐私政策自动生成程序并提供一定名额免费试用
大模型算法备案与备案实务
梳理大模型算法备案的法规依据、义务主体与适用情形，未履行备案义务者面临警告、通报批评、责令限期改正或注销备案，情节严重可被责令暂停信息更新、罚款、关闭网站乃至吊销许可证或营业执照，构成犯罪还将追究刑事责任，隐瞒或提供虚假材料的将被撤销备案。同时阐述备案基本流程与所需材料，并重点介绍配套安全评估环节，涵盖语料合规、模型安全、安全措施、内容治理四项核心评估及验证测试要求
AI大模型合规100问（PDF文件）
人工智能大模型合规涉及多维度议题，借助人工智能工具梳理出一百个核心问题，覆盖数据合规、算法合规、内容合规、知识产权、用户权益、跨境合规、行业监管、安全保障、责任认定、伦理与社会影响十大维度，系统呈现大模型从研发训练、内容生成、用户交互到跨境部署的全链路合规关注点，可帮助企业、开发者与法务人员建立对合规框架的初步认识，为制度建设与备案申报提供实务参考。
