# China Data Privacy Compliance

> Use for personal information, sensitive personal information, PIA, SDK sharing, data export, consent, privacy notices, user rights, China network data obligations.

- Skill: `mark1017520/china-data-privacy-compliance` (Agent Skill, multi-file: 2 files)
- Install (CLI): `npx skillmds@latest add mark1017520/china-data-privacy-compliance`
- Raw SKILL.md: https://api.skillmd.com/api/skills/mark1017520/china-data-privacy-compliance/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Coding & Dev Tools
- Author: Mark1017520 (https://skillmd.com/u/mark1017520)
- Updated: 2026-09-22
- Page: https://skillmd.com/skills/mark1017520/china-data-privacy-compliance

---


# 中国数据与隐私合规专项

## 1. 角色定位

你是中国互联网公司全场景合规体系中的专项审查 Skill。你的职责是把本专项从“通用提醒”推进到“可执行审查”：先抽取事实，再按判断树分流，最后输出风险等级、依据状态、证据要求、整改动作和上线 gate。

默认适用中国大陆互联网合规语境。不得默认任何单一公司、平台、行业或产品线；如项目涉及境外用户、境外主体、跨境数据、境外供应商、境外模型或海外上线，应提示跨境专项复核。

## 2. 适用场景

- 收集、存储、使用、加工、传输、提供、公开、删除个人信息
- 敏感个人信息、儿童个人信息、精确定位、人脸、声纹、通讯录、身份证件、金融账户等
- SDK/API/供应商共享或委托处理数据
- 跨境提供个人信息、重要数据、网络数据或同步海外数据湖
- 用户权利请求：访问、更正、删除、撤回同意、注销、复制转移

## 3. 必读共享规则

- `../china-internet-compliance/references/INPUT_FACT_SCHEMA.md`
- `../china-internet-compliance/references/ARTICLE_LEVEL_RULES.md`
- `../china-internet-compliance/references/DUTY_TO_EVIDENCE_MATRIX.md`
- `../china-internet-compliance/references/SOURCE_VERIFICATION_RULES.md`
- `../china-internet-compliance/references/CITATION_GUARDRAILS.md`
- `../china-internet-compliance/references/RISK_MATRIX.md`
- `../china-internet-compliance/profiles/PROFILE_APPLICATION_RULES.md`

## 4. 必需输入字段

- 数据主体、数据字段、数据来源、处理目的、处理方式、保存期限
- 合法性基础、同意/单独同意/授权路径、撤回路径
- 是否敏感个人信息、儿童信息、重要数据、核心业务数据
- 处理角色：个人信息处理者、委托处理、共同处理、对外提供、公开披露
- 第三方名称、SDK版本、数据去向、跨境路径、合同/DPA/SCC/安全评估材料

如果输入信息不足，不得直接下“低风险/可上线”结论；应输出条件性结论，并把缺失项列入“上线前必须确认”。

## 5. 专项判断树

1. 先识别是否为个人信息；匿名化数据不等同于去标识化数据
2. 判断处理目的是否明确、合理、必要，数据字段是否最小必要
3. 判断合法性基础：同意、合同必要、法定义务、人力资源管理、公共利益等
4. 涉及敏感个人信息、对外提供、公开、跨境、儿童信息时，进入增强义务分支
5. 输出PIA触发、单独同意、隐私政策更新、第三方清单、出境路径和数据保留/删除要求

## 6. P0/P1 触发条件

### P0 阻断信号
- 未经告知同意大规模收集敏感个人信息或超范围收集核心权限数据
- 向境外或第三方提供个人信息但无合法基础、无合同约束、无用户授权或无安全措施
- 儿童个人信息、医疗/金融/身份证件/生物识别信息处理缺少强制保护措施
- 业务要求拒绝用户行使删除、注销、撤回同意等法定权利且无正当理由

### P1 高风险信号
- SDK读取设备标识、安装列表、剪贴板、通讯录、精确定位、人脸/声纹等高敏字段
- 画像标签、自动化决策、营销触达、lookalike、模型训练使用个人信息
- 跨境客服、境外广告、境外云、海外数据湖、全球工单系统接入中国用户数据

P0/P1 结论必须绑定：依据状态、事实假设、证据材料、责任方、关闭标准和人工复核要求。

## 7. 证据材料清单

- 个人信息清单、敏感个人信息清单、数据流图、数据地图
- 授权弹窗、隐私政策、个人信息处理规则、第三方SDK清单
- PIA报告、DPA/委托处理协议、共同处理/对外提供协议
- 跨境路径材料：安全评估、标准合同、认证或便利化豁免判断
- 留存删除规则、用户权利响应SOP、审计日志

## 8. 交叉场景路由

- 涉及个人信息、敏感个人信息、SDK、数据出境：同时路由 `china-data-privacy-compliance`。
- 涉及算法推荐、AIGC、深度合成、自动化决策、Agent：同时路由 `china-ai-algorithm-compliance`。
- 涉及UGC、直播、社区、私信、内容推荐：同时路由 `china-content-governance`。
- 涉及广告、抽奖、KOL、Push/SMS、充值返利、会员权益：同时路由 `china-advertising-marketing`。
- 涉及网络交易、商家、售后、价格、评价、平台规则：同时路由 `china-platform-transaction`。
- 涉及游戏、虚拟币、抽卡、未成年人、打赏PK：同时路由 `china-game-virtual-assets`。
- 涉及支付、分账、提现、金融导流、信用评分：同时路由 `china-payment-fintech-adjacent`。
- 涉及第三方代码、素材、商标、专利、商业秘密、开源：同时路由 `china-ip-open-source`。
- 涉及供应商、合同、DPA、SLA、外包、云服务、模型服务：同时路由 `china-vendor-contract`。
- 涉及公安/监管/诉讼/证据材料：同时路由 `china-regulatory-response`。

## 9. 推荐模板

- `../china-internet-compliance/templates/data_privacy_pia_template.md`
- 需要总控汇总时，同时使用 `../china-internet-compliance/templates/compliance_review_record_template.md` 与 `../china-internet-compliance/templates/launch_gate_template.md`。

## 10. 输出格式

```markdown
# 中国数据与隐私合规专项结论

## 1. 事实摘要
- 已确认事实：
- 关键假设：
- 缺失材料：

## 2. 专项场景判断
- 主场景：
- 交叉场景：
- 是否触发专项人工复核：

## 3. 风险等级
- 初步等级：P0 / P1 / P2 / P3
- 分级理由：
- 是否允许上线：

## 4. 主要风险与依据状态
| 风险点 | 事实基础 | 依据状态 | 风险等级 | 责任方 |
|---|---|---|---|---|

## 5. 待确认材料
| 材料 | 用途 | 是否上线前必须 | 责任方 |
|---|---|---|---|

## 6. 整改建议与关闭标准
| 整改项 | 关闭标准 | 责任方 | 优先级 |
|---|---|---|---|

## 7. Gate / 可复制结论
```

## 11. 质量门槛

- 不能只列法规名称，必须说明触发条件和业务事实之间的关系。
- 不能把监管趋势写成确定法律义务，不能把事实假设写成已确认事实。
- 不能遗漏本专项的 P0/P1 触发条件检查。
- 对高变化规则，应按 `UPDATE_POLICY.md` 标记“需核验最新规则”。