用途
该技能在以下情形激活：创始人为新产品发布创建隐私政策、因新的数据实践或功能需要更新既有政策、计划拓展到新的司法辖区（欧盟、加州等），或需要评估当前数据处理是否已被恰当披露。当用户询问 GDPR、CCPA、CPRA 或一般数据隐私合规问题时也适用。
使用所需上下文
来自 startup-context：产品类型、平台（Web/移动端/API）、目标客户群体、地理市场、商业模式、技术栈。
来自用户：产品名称与 URL、公司法定名称与地址、隐私咨询联系邮箱、收集哪些个人数据及如何收集、哪些第三方服务处理数据（分析、支付处理、CRM、AI 提供商）、适用司法辖区、产品是否面向未成年人，以及任何现有的隐私文档。
工作流程
- 调研产品：访问产品网站或查看产品描述，识别所有数据收集方式、第三方集成以及涉及个人数据的主要功能。
- 映射数据收集：将数据归类为直接提供（表单、账户创建）、自动收集（Cookie、设备信息、使用数据、IP 地址）、第三方来源和特殊/敏感类别，构建结构化数据清单。
- 识别适用法律：根据用户所在位置与公司运营地，确定适用的隐私框架：GDPR、CCPA/CPRA、州隐私法、COPPA、行业特定法规，并记录各辖区的具体义务。
- 组织政策结构：使用下方 15 章节模板，以八年级阅读水平的平实语言撰写，具体说明实际做法（如“您在注册时我们会收集您的电子邮箱地址”，而非“我们可能处理标识符”）。
- 标记法律审阅区域：用 [LEGAL REVIEW REQUIRED] 标注需要律师审阅的章节，包括法律依据判定、国际传输机制和辖区特定权利。
- 提供实施背景：解释每个章节为何重要、需要公司做出哪些决策以及适用的合规考量，并附发布前检查清单。
- 生成合规摘要：单独输出包含数据清单表、辖区适用性矩阵、风险标记和实施检查清单的文档。
输出格式
三部分交付物：
第一部分：快速参考摘要——产品详情、收集的数据类型、适用辖区、用户权利摘要、保留概述和联系信息。
第二部分：完整政策文档（15 章节）——前言（你是谁、政策覆盖范围、生效日期、联系方式）；我们收集的信息（个人信息、使用数据、设备信息、位置、支付信息、通信、敏感数据等类别）；我们如何收集信息（直接录入、自动追踪、第三方）；我们如何使用信息（服务提供、支持、改进、分析、营销、安全、法律合规）；处理的法律依据（同意、合同履行、法律义务、重大利益、正当利益，侧重 GDPR）；数据共享与第三方（服务提供商、合作伙伴、法律当局，说明具体对象与原因）；国际数据传输（跨境传输机制如 SCC、充分性决定，存储位置）；数据保留（账户数据、日志、已删除内容的具体时限）；用户权利（访问、删除、更正、限制处理、可携带、退出、投诉程序，按辖区组织）；Cookie 与追踪（所用工具、目的、管理选项、同意要求）；安全（加密、访问控制、审计、事件响应、局限性）；儿童隐私（家长同意、年龄门、COPPA/英国儿童准则合规）；联系与权利请求（隐私邮箱、地址、响应时限、DPO 信息）；政策变更（通知期、通知方式、用户退出选项）；附加条款（数据出售披露、第三方链接免责声明、管辖法律、生效日期）。
第三部分：合规说明——标记需法律审阅的章节及理由、辖区特定考量、发布前检查清单、按产品类型建议的修改。
框架与最佳实践
GDPR 核心要求：每项处理活动需有合法依据（第 6 条）；高风险处理需做数据保护影响评估（第 35 条）；72 小时内向监管机构通报数据泄露（第 33 条）；与所有处理者签订数据处理协议（第 28 条）；规定例外情形的删除权（第 17 条）；默认与设计即隐私（第 25 条）。
CCPA/CPRA 核心要求：如适用需提供“请勿出售或分享我的个人信息”链接；知情权、删除权、更正权以及退出出售/分享的权利；数据收集披露回溯 12 个月；敏感个人信息有限制使用的权利（CPRA 新增）；服务提供商、承包商与第三方的区分很重要。
平实语言原则：以八年级阅读水平、短句撰写；使用具体例子而非抽象类别；当意思是“确实做”时避免用“可能”；政策必须与实际产品行为一致，不超额披露也不披露不足。
发布前检查清单：律师审阅已完成；政策与实际数据实践一致；用户隐私请求流程可访问且可用；技术安全措施已实施；与所有第三方签订数据处理协议；每项处理活动的法律依据已记录；已实施 Cookie 同意机制（欧盟用户）；重大政策变更的用户通知系统已具备。
常见初创公司陷阱
照搬其他公司的隐私政策（其数据实践与你不同）；披露中遗漏分析与广告 SDK（Google Analytics、Mixpanel、Facebook Pixel 均收集个人数据）；代码库中没有实际履行删除请求的机制；认为 B2B 就没有隐私义务（你仍在处理个人用户数据）；列出实际并不收集的数据类别（超额披露会招致审查）。
相关技能
terms-of-service：应与隐私政策一同起草，相互交叉引用并使用一致定义。soc2-prep：SOC 2 隐私信任服务标准与隐私政策承诺直接重叠。security-review：隐私政策中描述的安全措施必须反映实际技术控制。
示例
示例 1：面向美国和欧盟发布的新 SaaS 产品。用户称下月推出项目管理 SaaS，用户来自美国和欧洲，使用 Stripe、Mixpanel 和 AWS。良好输出为三部分交付物：数据清单表将各数据类别映射到收集方式、目的、法律依据、第三方和保留期；辖区分析识别 GDPR 适用性与 CCPA 阈值监测；风险标记包括 Mixpanel 的 IP 收集需披露并签订 DPA，以及欧盟用户缺少 Cookie 同意机制。
示例 2：新增 AI 功能后更新政策。用户称新增了处理客户消息的 AI 助手，是否需要更新隐私政策。良好输出识别新的数据处理（消息内容由 AI 模型处理）、新第三方（AI 提供商作为子处理者）、需要新的法律依据分析，以及 GDPR 第 22 条对自动化决策的考量，并给出需要更新的具体政策章节及草稿语言。
免责声明
该技能生成的隐私政策草稿与合规指导仅供教育和规划用途，不构成法律建议。发布前务必让在相关辖区持有执照的合格律师审阅最终隐私政策。不合规可能导致巨额罚款（GDPR 下最高可达全球年收入的 4%）。