数据保护和隐私

先绘制真实的数据流

列明服务收集的信息、使用原因及可访问的人。范围应包括支持人员、供应商、备份及跨境传输，而不只是客户看见的表单。在撰写公开告知前，将各项用途和保存期限与产品、合同及系统设置的实际做法对照。

访问权限、供应商与变更

测试员工和承包商能否查看、复制或导出超出工作所需的资料。检查供应商条款中允许的用途、安全措施、协助、删除及退出时的可用导出。托管、远程支持、访问统计或模型训练发生变化时，旧告知可能不再准确。保留带日期的数据流图、协议及面向客户的文字版本。

提前准备应对请求与事件

先演练一次调取、更正或删除记录的请求，再模拟一次未经授权访问的情形。谁保存日志、联系供应商、评估受影响的信息并与有关人员沟通？记录发现时间和后续决定。报告义务与时限须按服务、地点和事实作当前法律评估；本页不设统一期限。

延伸阅读

我们的科威特隐私审查指南和埃及隐私审查指南提供实务问题。对使用人工智能的系统，可参阅人工智能治理；对更广泛的控制问题，可参阅监管合规。

本页仅提供一般信息，不构成对特定数据集、传输或事件的法律评估。