用途：面向需要接受 SOC 2 Type II Privacy TSC 审计的组织，指导隐私控制体系准备与审计执行，依据 AICPA 2017 年信任服务准则中的 P1.0 — P8.1。
主要能力：按准则逐项列出控制要求与所需证据，例如 P1.0 通知（隐私声明覆盖各收集点、年度评审、重大变更通知、多语言版本）、P1.2 选择与同意（收集前取得同意、拒绝后果告知、退出机制、敏感信息明示同意、撤回机制）、P2.1 收集（最小化、收集点清单、第三方来源尽职调查、隐式收集披露）、P3.1 使用保留与处置（目的限制、保留计划、到期自动删除或匿名化、按 NIST SP 800-88 Rev.1 处置、保留例外时限）、P4.1 访问（DSAR 入口、身份验证、时限，GDPR 30 天、CCPA 45 天、更正、拒绝记录）、P5.1 第三方披露（接收方登记、DPA、目的一致、披露前评估、未授权披露处理）、P6.1 隐私安全（传输中 TLS 1.2 以上、静态 AES-256、RBAC、日志留存、泄露通知）、P7.1 质量（采集点校验、更正、定期准确性复核）、P8.1 监控与执行（至少季度监控、投诉入口、投诉跟踪与解决、入职及年度培训、违规纪律）。
使用方式：资料给出证据收集框架，将证据分为政策程序、运营证据、技术配置、治理记录、第三方文档五类，并规定保留要求；给出 1—2 月准备、3—8 月执行期持续收集、5 月期中自评、9—10 月审计前差距分析与证据整理的时间线；需准备审计师访谈、现场观察、证据检查、独立重执行；并说明基于 AU-C 530 的抽样规模（6 个月与 12 个月、不同总体规模的最小样本量）、管理声明、审计意见类型（无保留、保留、否定、无法表示）、偏差与例外处理及保留意见阈值、用户实体补充控制（CUECs）。
适用场景：企业为金融、医疗科技与 SaaS 客户提供合同保证时开展的年度 SOC 2 Type II 隐私审计准备。
限制：资料未提供该技能的具体安装或调用命令、定价、平台支持与该名称工具的独立评测，暂未提供；资料中对照表在“SOC 2 Privacy vs. GDPR Comparison”处中断。