隐私政策这件事，很多企业是上线之后被提醒才补的。官网和小程序只要收集了手机号、姓名、地址这类信息，按《个人信息保护法》就属于个人信息处理者，需要有明示的隐私政策。这篇按实操讲清楚四段必填内容怎么写、入口该放哪、哪些做法容易出问题，照着填就能用。

先确认你的站要不要写

判断标准很简单：有没有收集个人信息。

官网放了咨询表单收手机号，算收集。小程序做了用户登录、下单要填收货地址，算收集。就算只是一个留言板，只要能让访客填手机号，也算。

如果完全没有收集行为——纯展示型页面，连统计代码都不放——那理论上不需要隐私政策。但现实中几乎不会这么干净：大部分站都装了访问统计工具，统计工具会记录 IP、设备信息，这已经属于收集个人信息，需要告知。

所以我的建议是：只要站上线了，就把隐私政策配上，不差这一步。

头一段：收集哪些信息，逐项列清

这一段要列清单，不要写概括性描述。按收集场景分组列，客户看了能对上号。

写法参考：

注册和登录时：手机号码、验证码；如使用微信登录，还包括微信昵称、头像。

下单购买时：收货人姓名、手机号、收货地址、订单记录。

咨询留言时：你填写的称呼、手机号、公司名称和需求描述。

访问网站时自动记录：IP 地址、浏览器类型、访问时间、访问页面。

注意两点。一是只列你实际收集的，不要为了显得完整把不收集的也写上去，写了做不到反而是瑕疵。二是要写清哪些是必需、哪些可选。比如手机号是下单必需，公司名称是选填，说清楚客户心里有底。

接着一段：用来干什么，一条一条对应

这一段和上一段要能对上。收集了什么，就说明用来做什么，不要出现收集了却没说用途的信息。

常见的用途表述：

• 手机号用于账号注册、订单通知、售后联系

• 收货地址用于商品配送

• 微信昵称头像用于账号展示

• 访问日志用于排查故障和统计分析

如果要做营销推送，必须单独说一句，并且提供退出方式。比如「经你同意后，我们会通过短信向你发送活动信息，你可以回复 TD 退订」。营销用途不能藏在笼统的「改进服务」里，这是常见的合规瑕疵。

还要写一句边界：「我们不会将你的个人信息用于本政策未载明的其他用途。如需变更用途，会再次征得你的同意。」这句话是加分项。

再往下：怎么存、跟谁共享

这一段很多人写得含糊，其实它是客户和监管都关心的部分。

要写清三块内容：

保存期限。不要写「长期保存」，要写具体期限或者判断标准。比如「账号存续期间保存，账号注销后 30 日内删除或匿名化处理」「交易记录按法律法规要求保存不少于三年」。

保存方式。一句话说明技术措施，比如「数据存储于境内服务器，传输过程采用 HTTPS 加密，敏感字段加密存储」。

共享情况。这里要列清外部服务商，比如支付服务商（微信支付）、短信服务商、物流快递公司、云服务器提供商、数据分析服务商。写明共享的信息范围和目的，并注明「我们会与服务商签署数据处理协议，要求其按本政策处理信息」。

如果需要向境外提供个人信息，必须单独说明，这块合规要求比较严。做外贸独立站的话，海外客户的个人信息可能涉及跨境传输，建议找专业律师把关。

收尾一段：用户有哪些权利，怎么行使

这一段容易被忽略，但它是监管检查时重点看的部分。要写清用户能做什么、通过什么渠道做、多长时间响应。

列出来大概是这几项：

• 查阅和复制：可以要求查看我们保存的你的个人信息

• 更正：信息有误可以要求改正

• 删除：可以要求删除，比如注销账号时

• 撤回同意：可以撤回授权，撤回后不影响此前已进行的处理

• 注销账号：说明注销路径，以及注销后数据怎么处理

然后给一个联系渠道：「如需行使上述权利，可发送邮件至 xxx@xxx.com，或在小程序「我的-设置-账号安全」中操作。我们将在 15 个工作日内回复。」

这一句「15 个工作日内回复」很有必要，写明了就有承诺，没写客户不知道找谁、等多久。

入口放在哪，别藏起来

政策内容写得再好，找不到等于没有。要求是「便于查阅」，实操上这样放：

• 官网站：页脚固定一个「隐私政策」链接，每页都可见。表单提交按钮下方放一行「提交即表示你已阅读并同意《隐私政策》」，链接可点。

• 小程序：首次进入时的授权弹窗里带链接；「我的」页面设置里固定一个入口；下单页面底部放一行提示链接。

• App 或 H5：启动页和设置页都要有。

有个细节：链接不要用弹窗遮罩盖住全文，也不要用需要登录才能看的方式。政策本身要能被不特定访客直接打开，这个在检查时是硬要求。

四个常见问题

照抄同行的。 抄来的政策里写的收集范围往往和你实际不一致，有的抄完还带着别家的公司名。这种情况一旦被投诉，属于提供虚假告知，性质比没写还严重。

只写不更新。 上线了新的统计工具、接了新的短信服务商、加了人脸识别功能，政策没跟着改，就对不上了。建议每次功能变更时过一遍政策，并在文末留「更新日期」和「生效日期」。

没有版本记录。 政策修改后，老用户是否需要重新同意？实操做法是：涉及收集范围扩大的变更，要在小程序里弹窗重新征得同意；仅文字表述调整的，更新日期即可。

同意方式做成默认勾选。 预勾选的「我已阅读并同意」在很多案例里被认定为无效同意。要做成用户主动点击的复选框，默认不勾选。

一个成本很低的动作

隐私政策不用花很多钱。模板加自己核对，半天能搞定；找律师审一遍，费用也在可接受范围。相比被投诉后整改、下架、罚款，这个投入很划算。

官网和小程序上线前，把隐私政策当成必检项列进清单。这一项过了，后面运营起来心里踏实。

关注左左，你需要一个懂技术的朋友。