合规审计报告 · ToB SaaS 工作台

合规审计报告 · Compliance Audit

ToB SaaS 工作台
多区域合规审计

审计日期 2026-05-15 · 中国 + 东南亚 · 自评基础：有 PIPL 隐私政策，未做正式审计

PIPL 个人信息保护法网络安全法数据安全法新加坡 PDPA 马来西亚 PDPA 泰国 PDPA 印尼 PDP Law GDPR §3 域外适用

31/100

合规成熟度
CRITICAL

罚款敞口
PIPL §66：最高 ¥5,000万 或上年营收 5%
GDPR §83：最高 €2,000万 或全球营收 4%
新加坡 PDPA：最高 S$100万

01 五维合规检查清单 5-Dimension Checklist

#	检查项	要求依据	当前状态	判定
维度一 · 数据收集合法性 Lawfulness of Processing
1.1	告知-同意机制注册时是否取得明确同意，隐私政策是否在收集前展示	PIPL §13-17; GDPR §6-7; PDPA §13-14	有 PIPL 隐私政策弹窗，但未做分层同意（只一个"我同意"按钮），行为日志为隐式收集	⚠
1.2	数据最小化是否仅收集实现服务所必需的数据	PIPL §6; GDPR §5(1)(c); 数安法 §32	行为日志采集粒度未做限制，上传文件可能被全文分析超出必要范围	⚠
1.3	目的限制数据是否仅用于声明目的，未二次用于画像/广告/模型训练	PIPL §6; GDPR §5(1)(b)	未在隐私政策中明确排除 AI 模型训练用途，上传文件用途描述模糊	❌
维度二 · 用户权利 Data Subject Rights
2.1	查询与访问权用户能否查看被收集的全部个人数据	PIPL §44-45; GDPR §15; PDPA §21	隐私政策声明有此权利，但无自助查询入口，需邮件申请	⚠
2.2	删除权（被遗忘权）用户可否请求删除数据，有无自动化删除流程	PIPL §47; GDPR §17	无自助删除功能，无数据生命周期管理策略	❌
2.3	数据可携权是否提供结构化、机器可读格式的数据导出	PIPL §45; GDPR §20	未提供任何数据导出功能	❌
2.4	反对与限制处理权用户可否反对直接营销或限制特定处理	PIPL §44; GDPR §18,21; PDPA §22	无设置面板，无 opt-out 机制	❌
维度三 · 安全措施 Security Measures
3.1	传输加密全站 HTTPS / API 通信是否强制 TLS 1.2+	PIPL §51; 网安法 §21; GDPR §32	全站 HTTPS，TLS 1.2+ 已启用	✅
3.2	存储加密数据库/文件存储是否加密（AES-256 或等效）	PIPL §51; 数安法 §27; GDPR §32(1)(a)	数据库已启用 TDE，但上传文件未做应用层加密	⚠
3.3	访问控制是否有 RBAC + 最小权限原则 + 定期权限审计	PIPL §51; GDPR §32(1)(b); 网安法 §21	有基础角色划分但未做定期权限复核，无特权账号管理	❌
3.4	审计日志数据访问/修改/删除是否有不可篡改日志	PIPL §51; 网安法 §21; 数安法 §30	有应用日志但无合规审计日志系统，无不可篡改机制	❌
维度四 · 第三方共享与跨境传输 Third-Party Sharing & Cross-Border Transfer
4.1	数据处理协议 (DPA) 与云服务商/SaaS 子处理器是否有 DPA	PIPL §21-23; GDPR §28; PDPA §26	未与任何第三方签署标准数据处理协议	❌
4.2	跨境数据传输合规中国→东南亚数据跨境：是否通过安全评估/标准合同/认证	PIPL §38-40;《促进和规范数据跨境流动规定》	未做数据出境安全评估，未签署标准合同，未备案	❌
4.3	子处理器披露隐私政策中是否列出所有子处理器及用途	PIPL §23; GDPR §28(2); PDPA §25	隐私政策仅笼统提及"第三方服务商"，未列名	❌
维度五 · 文档与治理流程 Documentation & Governance
5.1	隐私政策完整性是否覆盖所有法域的法定告知项，多语言版本	PIPL §17; GDPR §13-14; PDPA §20	有中文 PIPL 版，缺少英文/东南亚语言版，未覆盖 PDPA 要求	✅
5.2	个人信息保护影响评估 (PIPIA/DPIA) 对高风险处理是否完成影响评估并留存报告	PIPL §55-56; GDPR §35	未做过任何 PIPIA / DPIA	❌
5.3	数据泄露应急响应预案是否有 72h 通报机制、应急团队、演练记录	PIPL §57; GDPR §33-34; 网安法 §25	无书面预案，无指定应急团队，无演练	❌
5.4	数据保护负责人 (DPO) 是否依法任命 DPO/个人信息保护负责人并报备	PIPL §52; GDPR §37; PDPA §11(3)	未任命 DPO，无数据保护组织架构	❌

检查项

要求依据

当前状态

判定

维度一 · 数据收集合法性 Lawfulness of Processing

1.1

告知-同意机制
注册时是否取得明确同意，隐私政策是否在收集前展示

PIPL §13-17; GDPR §6-7; PDPA §13-14

有 PIPL 隐私政策弹窗，但未做分层同意（只一个"我同意"按钮），行为日志为隐式收集

⚠

1.2

数据最小化
是否仅收集实现服务所必需的数据

PIPL §6; GDPR §5(1)(c); 数安法 §32

行为日志采集粒度未做限制，上传文件可能被全文分析超出必要范围

⚠

1.3

目的限制
数据是否仅用于声明目的，未二次用于画像/广告/模型训练

PIPL §6; GDPR §5(1)(b)

未在隐私政策中明确排除 AI 模型训练用途，上传文件用途描述模糊

❌

维度二 · 用户权利 Data Subject Rights

2.1

查询与访问权
用户能否查看被收集的全部个人数据

PIPL §44-45; GDPR §15; PDPA §21

隐私政策声明有此权利，但无自助查询入口，需邮件申请

⚠

2.2

删除权（被遗忘权）
用户可否请求删除数据，有无自动化删除流程

PIPL §47; GDPR §17

无自助删除功能，无数据生命周期管理策略

❌

2.3

数据可携权
是否提供结构化、机器可读格式的数据导出

PIPL §45; GDPR §20

未提供任何数据导出功能

❌

2.4

反对与限制处理权
用户可否反对直接营销或限制特定处理

PIPL §44; GDPR §18,21; PDPA §22

无设置面板，无 opt-out 机制

❌

维度三 · 安全措施 Security Measures

3.1

传输加密
全站 HTTPS / API 通信是否强制 TLS 1.2+

PIPL §51; 网安法 §21; GDPR §32

全站 HTTPS，TLS 1.2+ 已启用

✅

3.2

存储加密
数据库/文件存储是否加密（AES-256 或等效）

PIPL §51; 数安法 §27; GDPR §32(1)(a)

数据库已启用 TDE，但上传文件未做应用层加密

⚠

3.3

访问控制
是否有 RBAC + 最小权限原则 + 定期权限审计

PIPL §51; GDPR §32(1)(b); 网安法 §21

有基础角色划分但未做定期权限复核，无特权账号管理

❌

3.4

审计日志
数据访问/修改/删除是否有不可篡改日志

PIPL §51; 网安法 §21; 数安法 §30

有应用日志但无合规审计日志系统，无不可篡改机制

❌

维度四 · 第三方共享与跨境传输 Third-Party Sharing & Cross-Border Transfer

4.1

数据处理协议 (DPA)
与云服务商/SaaS 子处理器是否有 DPA

PIPL §21-23; GDPR §28; PDPA §26

未与任何第三方签署标准数据处理协议

❌

4.2

跨境数据传输合规
中国→东南亚数据跨境：是否通过安全评估/标准合同/认证

PIPL §38-40;《促进和规范数据跨境流动规定》

未做数据出境安全评估，未签署标准合同，未备案

❌

4.3

子处理器披露
隐私政策中是否列出所有子处理器及用途

PIPL §23; GDPR §28(2); PDPA §25

隐私政策仅笼统提及"第三方服务商"，未列名

❌

维度五 · 文档与治理流程 Documentation & Governance

5.1

隐私政策完整性
是否覆盖所有法域的法定告知项，多语言版本

PIPL §17; GDPR §13-14; PDPA §20

有中文 PIPL 版，缺少英文/东南亚语言版，未覆盖 PDPA 要求

✅

5.2

个人信息保护影响评估 (PIPIA/DPIA)
对高风险处理是否完成影响评估并留存报告

PIPL §55-56; GDPR §35

未做过任何 PIPIA / DPIA

❌

5.3

数据泄露应急响应预案
是否有 72h 通报机制、应急团队、演练记录

PIPL §57; GDPR §33-34; 网安法 §25

无书面预案，无指定应急团队，无演练

❌

5.4

数据保护负责人 (DPO)
是否依法任命 DPO/个人信息保护负责人并报备

PIPL §52; GDPR §37; PDPA §11(3)

未任命 DPO，无数据保护组织架构

❌

02 整改路线图 Remediation Roadmap

P0 · 立即（法律红线）

任命数据保护负责人 (DPO)，向网信办报备 PIPL §52 · 罚则 §66

完成首轮 PIPIA（覆盖行为日志、文件上传、跨境传输 3 个高风险场景） PIPL §55-56

制定数据泄露应急响应预案，指定 24/7 应急联系人 PIPL §57 · GDPR §33 72h 通报

启动数据出境合规：签订《个人信息出境标准合同》并向省级网信办备案 PIPL §38 · 《跨境流动规定》

与核心云服务商签署 DPA（数据处理协议） PIPL §21-23 · GDPR §28

P1 · 30 天内

隐私政策升级：补充英文版 + 东南亚 PDPA 合规条款 + 子处理器列表 PDPA §20 · GDPR §13-14

建立用户权利响应 SOP：查询/删除/导出/反对 4 项权利处理流程 ≤30 天 PIPL §44-47 · GDPR §15-21

数据分类分级：按敏感度标记 PII / SPI / 业务机密，实施差异化保护数安法 §21 · PIPL §51

部署合规审计日志系统：不可篡改、保留期 ≥6 个月、覆盖全部数据访问网安法 §21 · PIPL §51

上传文件应用层加密 (AES-256) + 访问控制策略重构 (RBAC + 最小权限) PIPL §51 · GDPR §32

分层同意机制：区分"必需"与"可选"数据处理，禁止捆绑同意 PIPL §16 · GDPR §7(4)

P2 · 季度内

数据可携自助工具：支持 JSON/CSV 格式导出 PIPL §45 · GDPR §20

全员数据保护培训（含东南亚团队）+ 年度复训 PIPL §51 · GDPR §39

季度第三方安全审计 + 渗透测试网安法 §38 · PIPL §54 合规审计

隐私增强技术评估：差分隐私 / 联邦学习 / 数据脱敏 pipeline 数安法 §16 鼓励标准

取得 ISO 27001 / SOC2 Type II 认证（提升客户信任 + 跨境传输便利） PIPL §38(3) 认证机制

数据生命周期管理：建立自动过期/归档/删除策略 PIPL §19-20 · GDPR §5(1)(e)

免责声明：本报告基于用户自评信息与公开法规要求生成，属于自动化合规差距分析工具输出，不构成法律意见。报告中的罚款区间引用自《个人信息保护法》§66、《通用数据保护条例》(GDPR) §83 及新加坡《个人数据保护法》(PDPA) 原文条款。实际合规状态应以持牌律师或专业数据保护咨询机构的正式审计结论为准。本工具不承担因依赖此报告而产生的任何法律责任。
生成时间：2026-05-15 · 版本 v1.0 · 仅供内部参考