用途
隐私政策起草（Privacy Policy Drafting）用于生成具有法律参考价值的隐私政策文本，并附带一份审查清单。它面向需要为产品、服务或应用准备隐私政策的使用者，帮助其梳理业务信息、数据实践与适用隐私框架，暴露尚未确定的业务输入。
该技能明确将输出定位为工作草稿和审查清单，而非合规证明。发布前需由合格律师核验现行法律、监管指引、产品实际行为和司法辖区。
主要能力
技能的工作流包含以下环节：
-
收集业务信息：收集业务实体（名称、司法辖区、联系方式）、提供的产品或服务、目标用户群体和地理覆盖范围。判断适用法规时依据用户所在地，而非仅依据公司注册地。例如，服务欧盟客户的美国 SaaS 必须处理 GDPR。
-
识别数据收集实践：梳理每一类个人数据，包括直接输入（表单、账户创建）、自动收集（Cookie、分析工具、设备信息、IP 地址）、第三方来源（OAuth 提供商、数据经纪商）和衍生数据（使用模式、偏好）。对每类数据记录收集方式、存储位置、保留期限，以及是否包含敏感/特殊类别数据。
-
映射法律要求：将收集的数据类型与适用框架交叉比对。GDPR 要求每项处理活动具备法律依据；CCPA 要求披露出售/共享实践并提供退出机制；若 13 岁以下用户可能访问服务则适用 COPPA；行业特定规则（HIPAA、FERPA、GLBA）可能叠加额外要求。据此确定所有必需的政策章节。
-
起草政策章节：为每个章节生成通俗语言解释与法律精确披露。必需章节包括：收集的数据及目的、处理的法律依据（GDPR）、数据共享与第三方、Cookie 与追踪技术、数据保留、用户权利及行使方式、国际数据传输、儿童隐私、安全措施、政策变更通知程序。
-
审查合规缺口：对照监管清单审计草稿，核实每项数据处理活动是否声明法律依据、是否列举所有必需权利、是否包含 DPO 或隐私咨询联系方式、是否描述 Cookie 同意机制、是否引用数据泄露通知程序，并标记缺口或需要业务输入之处。
使用方式
使用时需描述业务、收集的数据以及用户所在司法辖区，并包含 Cookie、分析工具和第三方集成的技术细节。
示例提示词：
Draft a privacy policy for my SaaS app "TaskFlow" — a project management tool. We collect email, name, and usage analytics via Mixpanel. Users are in the US and EU. We use Stripe for payments and Google OAuth for login.
适用场景
资料中给出的示例包括：
- 带邮箱与使用数据的 SaaS 应用：如 TaskFlow，收集邮箱、姓名、头像、使用分析（Mixpanel）、支付信息（Stripe）、Google OAuth 登录，用户位于美国和欧盟。输出涵盖信息收集、处理法律依据（合同履行、正当利益、同意等）和用户权利（GDPR 与 CCPA）。
- 带位置追踪的移动应用：如 FitRoute，收集 GPS 位置（锻炼期间持续）、健康数据（来自可穿戴设备的心率）、邮箱、年龄、体重，用户遍布全球。输出额外涵盖位置数据、健康与敏感数据、分层同意要求。
最佳实践
- 在法言法语旁使用通俗语言，首次出现时定义术语，尽量控制在八年级阅读水平。
- 具体点名第三方服务（Mixpanel、Stripe、Google Analytics），而非笼统称“服务提供商”。
- 包含“最后更新”日期，并说明如何通知用户重大变更（邮件、应用内横幅等）。
- 提供带具体时限的数据保留时间表，而非“必要时长”。
- 按 ePrivacy 指令要求，以细分类别（严格必要、功能性、分析、广告）处理 Cookie 同意。
- 提供隐私咨询的直接联系方式（邮箱、表单）并说明响应时限（如 GDPR 请求 30 天）。
限制与安全边界
- 输出应视为信息性起草或问题识别，不构成法律建议。
- 需识别管辖法律和生效日期，并对照现行一手来源核验变化中的要求。
- 不得声称文本合规、可执行或完整；应标记不确定性，并建议就重大决策咨询合格律师。
- 未经用户审阅并明确授权，不得提交、发布、接受、签署或发送法律条款。
边界情况
- 面向儿童或混合年龄受众的应用：COPPA（美国 13 岁以下）和英国适龄设计准则提出严格要求，包括可验证的家长同意和数据最小化。若未强制年龄门控，应假定政策需处理儿童用户。
- 与关联公司或广告网络共享数据的企业：CCPA 将此类行为视为“出售”或“共享”个人信息，即使没有金钱交换。政策必须包含“Do Not Sell or Share”链接并遵守 Global Privacy Control 信号。
- Schrems II 后的国际数据传输：若将欧盟数据传输至美国，应引用 EU-US Data Privacy Framework 或标准合同条款。笼统的“适当保障”表述不充分。
- 基于用户数据训练 AI/ML 模型：若用户数据用于机器学习模型，应将其披露为一项处理目的并说明其法律依据。用户可依据 GDPR 第 22 条反对自动化决策。
- 收购与数据可携：政策应说明企业被出售、合并或破产时用户数据的去向，这是 CCPA 要求的披露事项。