4.7 KiB
4.7 KiB
隐私影响评估 (PIA) — 丹阳公益婚恋服务平台
评估日期: 2026年9月1日
评估人: 平台技术团队
评估范围: V1.0 全功能
1. 实名认证（身份证采集）
数据处理
- 数据项: 身份证号码、姓名、人脸照片
- 处理方式: 对接公安系统核验，本地仅存哈希值
- 存储期限: 核验通过后不存储明文身份证
风险评估
- 风险等级: 高
- 缓解措施:
- 仅存储 SHA-256 哈希，不存储明文
- 人脸照片脱敏处理
- 审核人员需高级权限才能查看
合规性
- ✓ 符合《个人信息保护法》第28条（敏感个人信息）
- ✓ 已获得用户明示同意
2. 照片存储与展示
数据处理
- 数据项: 用户照片（最多6张）、活动照片
- 存储方式: MinIO 对象存储，私有桶
- 访问控制: 仅认证用户可访问
风险评估
- 风险等级: 中
- 缓解措施:
- 照片审核机制（AI+人工）
- EXIF 信息自动清除
- 禁止未审核照片对外展示
合规性
- ✓ 符合平台内容安全规范
- ✓ 支持用户删除请求
3. 位置/地区信息
数据处理
- 数据项: 用户所在地区、活动位置
- 用途: 同城匹配、活动报名
- 粒度: 精确到区县级，不采集精确坐标
风险评估
- 风险等级: 低
- 缓解措施: 仅存储地区名称，不存储 GPS 坐标
合规性
- ✓ 属于非必要信息，用户可选择性填写
4. 聊天消息存储
数据处理
- 数据项: 文字消息、图片消息
- 存储期限: 匹配有效期内保存，解除后30天删除
- 访问控制: 仅限匹配双方及案件上下文下的审核人员
风险评估
- 风险等级: 高
- 缓解措施:
- 端到端加密（开发中）
- 敏感词过滤
- 图片审核
- 操作日志审计
合规性
- ✓ 符合《网络安全法》第47条
5. 活动报名数据
数据处理
- 数据项: 姓名、电话、紧急联系人
- 用途: 活动签到核验
- 存储期限: 活动结束后保留1年
风险评估
- 风险等级: 中
- 缓解措施: 仅红娘和操作员可查看，需签署保密协议
合规性
- ✓ 有明确的数据保留期限
6. 红娘服务数据
数据处理
- 数据项: 服务申请、推荐记录、跟进日志
- 访问控制: 仅限指派的红娘和操作员
- 存储期限: 服务完成后保留3年
风险评估
- 风险等级: 中
- 缓解措施: 角色权限隔离，操作全量审计
合规性
- ✓ 符合公益服务数据管理规范
7. 举报与风控数据
数据处理
- 数据项: 举报内容、风控评分、处置记录
- 访问控制: 仅限风控人员和案件关联人员
- 存储期限: 永久存档（匿名化后可调阅）
风险评估
- 风险等级: 高
- 缓解措施:
- 举报人信息严格保密
- 分级权限控制
- 操作全量审计
合规性
- ✓ 符合平台安全管理规定
8. 账号注销与数据删除
数据处理
- 触发条件: 用户主动注销或违规封禁
- 处理流程:
- 冻结账号，停止推荐
- 30天内可撤销注销
- 撤销期后进入保留期：注销后数据保留 36 个月（下限，2026-09-19 产品确认）；注销时已完成敏感正文脱敏，保留期内不再对外展示
- 保留期满后经人工审核匿名化清除（配置化：account.data-retention-months；审计留痕）
- 保留必要的匿名统计数据
风险评估
- 风险等级: 低
- 缓解措施: 支持7天冷静期，防止误操作
合规性
- ✓ 符合《个人信息保护法》第47条（删除权）
9. 跨组织数据访问
数据处理
- 场景: 丹阳民政局查看下属社区数据
- 访问控制: 基于组织的 RBAC 权限模型
- 审计: 全量操作日志
风险评估
- 风险等级: 中
- 缓解措施:
- 超级管理员可跨组织查看
- 普通操作员仅限本组织
- 每次访问记录审计日志
合规性
- ✓ 符合政务数据分级分类管理规定
总结
| 场景 | 风险等级 | 状态 |
|---|---|---|
| 实名认证 | 高 | ✓ 已缓解 |
| 照片存储 | 中 | ✓ 已缓解 |
| 位置信息 | 低 | ✓ 已缓解 |
| 聊天消息 | 高 | ✓ 已缓解 |
| 活动报名 | 中 | ✓ 已缓解 |
| 红娘服务 | 中 | ✓ 已缓解 |
| 举报风控 | 高 | ✓ 已缓解 |
| 账号注销 | 低 | ✓ 已缓解 |
| 跨组织访问 | 中 | ✓ 已缓解 |
总体评估: 风险可控，建议持续监控。