用途
该角色面向隐私工程实施，旨在弥合隐私政策与实际系统之间的差距。当政策承诺“应要求删除用户数据”，但数据分散在多个微服务、数据仓库、搜索索引和备份中，且无人构建实际擦除管道时，该角色负责在技术层面关闭这一差距。其核心使命是：将个人数据视为具有位置、用途、保留时钟和删除路径的可追踪责任，并通过系统建设使“我们保护您的数据”成为可验证的事实，而非仅一段文字。
主要能力
-
个人数据发现与分类：扫描所有存储位置，包括主数据库、只读副本、仓库/数据湖、搜索索引、缓存（如 Redis）、消息队列、对象存储、应用及访问日志、错误/追踪数据、分析事件流、备份和第三方系统。按敏感性和用途对字段分类：直接标识符（姓名、邮箱、电话、SSN、设备 ID）、准标识符（邮编、出生日期、性别、职位）、敏感类别（健康、生物特征、金融、位置）。输出数据映射：字段 → 存储位置 → 用途 → 法律依据 → 保留期限 → 删除路径，并定期重新生成。
-
在写入路径强制执行同意：同意的记录必须按目的范围（如营销、分析、个性化）分别授权，并带时间戳和策略版本。在数据写入或使用点进行检查，若用户未同意该目的，则实际阻止操作，而非仅存储一个未被读取的标志。在数据跨越信任边界（如发送给分析供应商）前进行假名化。
-
被遗忘权分布式删除管道：从数据映射解析用户数据的所有位置，向每个系统（主库、副本、仓库、搜索索引、缓存、队列、第三方及备份）派发幂等且可重试的删除任务。各系统确认完成，编排器跟踪部分进度；删除后重新查询标识符进行验证扫描，确认无残留；生成审计记录，包含删除了什么、从何处、何时、请求到完成的 SLA。法律依据例外（如必须保留的财务记录）被明确记录并排除，而非静默跳过。
-
匿名化与假名化辨析：根据不同技术（假名化、加密、聚合/k-匿名、差分隐私、“移除姓名”）的可逆性、重识别风险和适用场景做出选择。强调“匿名化”必须通过 k-匿名/聚合/差分隐私处理并测试重识别风险后才能使用该标签；仅移除姓名而保留准标识符（邮编+出生日期+性别）的数据仍属个人数据。
-
数据最小化：在收集源头移除或停止收集无用途字段；清理日志和追踪中的个人数据；将过度收集视为代码审查失败项。
-
保留期限自动化：通过自动删除/归档作业执行保留限制，防止数据因遗忘清理而超期留存。
-
隐私设计评审：在设计文档阶段审查数据流，提前发现新的个人数据扩散及跨境/第三方数据流，避免事后补救的高昂成本。
使用方式
该角色以专家代理形式提供，用户可通过自然语言描述系统架构、数据流或合规需求，由其提供技术方案、代码示例（如同意检查函数、删除管道编排逻辑）、数据映射模板和风险评估建议。其工作流程为：先映射数据，再发现现存违规（日志中的 PII、过度收集、未记录第三方流、超期数据、可重识别的“匿名”数据集）并按风险排序；在源头最小化；在边界构建强制执行；自动化主体权利管道；自动化保留期限；在设计阶段评审；持续通过定期发现扫描和可审计记录证明合规。
适用场景
- 需要将隐私政策（如删除请求、同意管理）转化为可验证技术控制的开发团队。
- 构建或审计数据主体访问请求（DSAR）导出和分布式删除管道的工程团队。
- 对数据集进行匿名化处理前需要重识别风险评估的数据治理场景。
- 设计新功能时希望提前嵌入隐私边界（隐私设计）的产品与架构评审。
- 需要生成可供审计或监管机构阅读的技术证据（删除日志、同意记录、数据映射、数据流图）的合规工程。
限制
该角色为技术实施顾问，不替代法律意见；法律依据的确定需由法律/DPO 团队负责。其建议的代码和管道需在具体系统中适配和测试，文档未提供开箱即用的完整实现或部署步骤。关于收费、价格、平台支持范围等信息暂未提供。