本课先做这个判断
用户同不同意，决定你能不能收集和使用这些数据。
不要把隐私课理解成放一个 cookie 弹窗。真正要判断的是：用户没同意前，哪些脚本不能收集；用户同意后，哪些数据可以用于分析、广告、邮件和再营销；用户撤回后，哪些动作必须停止。把实际请求、数据用途、接收方和地区分支留在同一条证据里。这是一份运营检查，不替代适用市场的法律或隐私意见。证据不完整时，先暂停会扩大收集、受众或触达的动作。不要用一张后台绿勾或一段报表掉量替代四状态测试。
本课产出
用户同意证据记录
完成标准：页面告知、脚本触发、同意状态、事件缺口、客户权利和供应商清单，都能回答“能不能收集、能不能使用、谁负责复查”。
页面层
用户能不能看懂数据用途、选择方式、撤回方式和 opt-out 路径。
标签层
不同用户同意状态下，营销、分析、功能脚本是否按规则触发。
报表层
同意率、事件缺口、建模数据和再营销受众变化能不能被正确解释。
变更层
新增 app、像素、邮件工具、data sharing 设置后是否重新复核。
先别被词挡住
先把用户同意、同意管理工具和报表信号讲清楚。
cookie banner
cookie banner 是让访客选择数据处理偏好的界面。它只是入口，不等于治理完成；真正要看用户选择前后，脚本和事件是否按规则变化。
页面有弹窗，但用户未选择前 Meta 或 Google 营销脚本已经触发，这就不是合格的 consent gate。
用户同意状态
用户同意状态就是访客当前是同意、拒绝、还没选择，还是已经撤回。它会影响广告、分析、再营销、邮件和报表解释。
拒绝后营销事件应该被抑制；接受后事件恢复；撤回后后续访问不能继续按旧同意状态追踪。
Customer Privacy API
Customer Privacy API 是 Shopify 用来读取、更新和监听客户隐私偏好的接口。同意管理工具（CMP）、自定义像素或 app 如果没有等 API 可用并监听异步同意事件，前台选择和实际脚本行为可能脱节。
测试时要看 analytics、marketing、preferences、sale of data 这类处理权限是否被正确读取。
Feed
Feed 是把商品、价格、库存、跳转链接和政策信息同步给广告或商品平台的数据文件。隐私课里提到 Feed，是因为广告平台会把商品数据、页面行为和再营销受众放在同一条增长链路里看。
如果 Feed 里推 EU 商品，但页面没有解释税费、隐私选择和追踪边界，投放问题就不只是商品数据问题。
checkout
checkout 是买家确认订单、付款、填写地址和看到最终承诺的位置。隐私治理要看结账页是否和隐私政策、邮件同意、税费说明、数据共享选择保持一致。
如果结账页默认勾选营销订阅，或者没有清楚说明订单通知和营销邮件的区别，就要进入 consent 复核。
Google Consent Mode v2
Google Consent Mode v2 是 Google 标签处理用户同意状态的机制。除了 ad_storage 和 analytics_storage，还要核对 ad_user_data 与 ad_personalization，因为它们会影响广告用户数据、个性化广告、建模数据和转化报表解释。
EEA 访客数据要用于个性化广告，需要正确传递同意状态；报表掉量可能来自 consent 边界，不一定是业务变差。
客户权利请求
客户权利请求包括访问、更正、删除、opt-out、退订等。它不是法务邮箱里的事，客服、运营、技术和 app 负责人都可能要参与。
如果删除请求进入邮箱后没人负责，本课的判断就是暂停，而不是继续加新像素。
供应商脚本清单
供应商脚本清单记录所有 app、像素、弹窗、热图、评论、affiliate 和数据接收方。每次新增工具，都要更新它。
新增邮件弹窗工具后，不只看弹窗样式，还要记录它收集什么、传给谁、是否受 consent 控制。
01 用户同意节点
不要只看 banner，要看每个节点是否真的受控。
隐私治理要把页面、脚本、状态、事件、客户权利和供应商清单放在同一张表里。这里的卡片可以点击：先点一个节点，看它要查什么、证据是什么、什么时候不能继续收集数据；点完后把结果写进最后的复制笔记总结。
用节点追踪一条具体的数据路径，而不只是给工具命名。每条路径都要说明数据类别、处理目的、接收方和地区分支。页面承诺、实际请求、供应商记录和负责人要能互相核对。同一张 banner 不代表每个供应商都获得同样的处理许可。把第一个缺口写到记录里，再决定是否暂停。不要因为一个节点看起来绿色，就跳过其他数据路径。
四状态测试有研究依据，但这项研究不能替代当前合规判断。以 Dark Patterns after the GDPR: Scraping Consent Pop-ups and Demonstrating their Influence 为例，研究在 2019 年 9 月的三天内，抓取了英国排名前 10,000 的网站中五家目标 CMP 的实例。在 680 个成功抓取的 CMP 实例里，只有 11.8% 同时满足论文定义的三个最低操作条件：明确同意、接受全部与拒绝全部同样容易、可选框没有预先勾选。数据见 PDF 第 5 页 Table 1；这里引用的是 CHI 2020 proceedings / arXiv v1 author version。这个结果只是该研究测试子集的历史基准，不是当前法律合规率、今天的平台审计或转化表现。当前法律与平台要求仍以本课已有的监管和官方来源为准。落实到检查时，要在首次访问、拒绝、接受和撤回四种状态下，分别记录预期与实际 consent state、脚本或事件是否发出、处理目的与接收方、时间以及页面或配置版本。如果拒绝或撤回后非必要请求仍发出，或日志无法把状态变化与请求对应起来，就暂停新增像素、受众或触达，并留下负责人和恢复条件。
另一篇 Consent Verification Monitoring 提供了一种检查同意状态变化和日志的方法：把授予、撤回、处理目的、接收方以及收集或访问事件写入可回读的日志，再检查后续政策变化是否保留或撤销此前的解释。论文使用形式模型、运行时监控架构、脚本化场景和受限模拟来说明方法，但没有在生产商户中部署，也不构成法律认证或 Ecomwith 合规证明。本课只借它设计 consent-state/logging 字段。这里引用的是 ACM TOSEM 2023 / repository manuscript；架构见 PDF 第 4-6 页，受限模拟与复杂度评估见第 19-22 页，集成与执行边界见第 28 页。
先查哪个同意节点？
点一个节点，右侧会换成对应的检查方法。手机上也是点卡片，不需要拖动。
当前节点
页面告知
要查什么
隐私政策、cookie banner、偏好设置、opt-out 页面是否能解释数据用途。
证据
移动端页面版本、隐私政策、cookie 文案、偏好页、data sharing opt-out 页面。
暂停信号
文案说可以选择，但找不到撤回或 opt-out 路径。
负责人
运营 / 法务协作负责人
02 四层治理
页面、标签、报表、变更要同时复核。
只做页面层风险最大，因为用户看到的承诺和实际脚本行为可能完全不一致。四层治理的目标是让选择、触发、报表解释和变更记录互相对得上。
页面层
作用：用户能不能看懂数据用途、选择方式、撤回方式和 opt-out 路径。
证据：隐私政策、cookie banner、偏好页、opt-out 页面、移动端页面版本。
失败方式：页面写得像有选择，但实际上没有可用偏好入口。
03 状态测试
Consent 验收要看触发顺序。
不要只写 banner 正常。最小测试要覆盖首次访问、拒绝、接受、撤回或 opt-out，并留下状态记录、时间、状态、负责人和复核日期。
把同意生命周期当作一轮带回读的测试来跑。先确认默认状态，再在用户实际操作后记录更新状态。首次访问、拒绝、接受、撤回四种结果都要能指向实际请求或状态记录。地区设置可能不同，不能把一个市场的默认值套到所有访客。撤回后要重新测试后续访问，而不只是确认偏好页显示了一个开关。不要保留旧状态后就把用户的新选择当成已处理。
04 供应商脚本清单
新增 app、像素或弹窗前，先写清它收集什么、传给谁。
隐私治理最常见的失败不是没人知道有规则，而是新工具上线后没有进入清单。每一行都要能回答：用途、数据、接收方、是否同意前加载、由哪个用户同意类别控制、谁能回滚、最后什么时候核验。
用供应商清单把数据流地图变成可复查记录。新增工具前，要先确定它的处理目的与受控状态，而不是等上线后再补文档。工具、字段、接收方、触发条件和最后核验材料必须放在一行。这张清单只帮助定位数据流，不自动判定某个市场的法律许可。接收方说不清时，先冻结它产生的新同步或新受众。不要把安装 app 当成已经完成供应商治理。
GA4 / Google tag
分析、转化测量、Consent Mode 字段传递。
数据：页面浏览、事件、订单事件、ad_storage / analytics_storage / ad_user_data / ad_personalization 状态。
接收方：Google / GA4 / Google Ads。
Consent 控制：必须记录默认值、更新值、GTM trigger、四状态测试和是否同意前加载。
证据：Tag Assistant、GA4 DebugView、Network、GTM 发布时间、最后核验日期。
Meta Pixel / CAPI
广告归因、再营销受众、事件质量。
数据：浏览器事件、purchase / add_to_cart、可能的用户参数和受众同步状态。
接收方：Meta 与广告数据集。
Consent 控制：检查同意前是否触发、拒绝后是否抑制、接受后是否恢复、撤回后是否停止沿用旧状态。
证据：Network、Pixel helper、Customer Privacy API 状态、受众同步备注。
邮件弹窗 / Klaviyo / Omnisend
领券、欢迎流、营销邮件、SMS 或受众同步。
数据：邮箱、手机号、表单来源、营销授权、退订和删除状态。
接收方：邮件或 SMS 平台、广告受众同步目标。
Consent 控制：把领券、订单通知、营销触达、双重确认、退订和删除路径拆开记录。
证据：表单版本、字段映射、欢迎流 trigger、退订页、客服请求模板。
评论、热图、session replay、affiliate、chat widget
转化分析、评价展示、推荐分佣、客服对话。
数据：页面行为、设备或浏览器信息、会话记录、推荐来源、聊天内容。
接收方：对应 app / 第三方服务商。
Consent 控制：新增工具上线前写清是否同意前加载、所属用户同意类别、回滚负责人和隐私政策更新。
证据：Shopify app list、Network、脚本清单、供应商说明、变更记录。
05 客户权利请求
删除、退订和 opt-out 不能停在客服邮箱里。
把客户权利请求当成一次流程演练：它会暴露 Shopify 后台、邮件平台、广告受众、供应商和客服响应是不是能闭环。任何一步没有负责人，都要暂停新增数据采集。
数据主体请求（DSAR）演练要复述跨系统路径，而不是实际处理客户数据。先区分访问、更正、删除、退订和 opt-out，再确认对应的接收入口与升级对象。记录请求类型、可核验的系统路径、供应商回复和未闭环范围。课堂练习不创建、读取或修改任何真实客户、订单、账户或供应商记录。某一步无法由明确负责人确认和追踪时，暂停新增数据采集并升级给合适负责人。不要把“已经回复”写成“请求已经完成”。
接收请求
标记来源、请求类型、市场、邮箱或订单号，不把删除、访问、退订、opt-out 混成一个客服问题。
留下证据：工单、邮件原文、请求时间、客服负责人。
核对身份和后台路径
确认能否在 Shopify admin、客户资料、订单记录、邮件平台和 SMS 平台定位该用户。
留下证据：后台截图或记录位置、处理负责人、不可截图时的记录 ID。
同步供应商处理
对邮件、广告受众、评论、热图、affiliate、chat 等供应商逐一确认删除、退订或 opt-out 路径。
留下证据：供应商确认、操作时间、无法删除的原因和升级对象。
回复、归档和升级
写清响应时限、已处理范围、未处理范围、下一次复核触发点；如果无法闭环，进入高风险事件响应。
留下证据：响应模板、处理日志、最后核验日期、升级路径。
06 升级条件
这些情况不要靠教程继续判断，要升级法律或隐私负责人。
本课不是法律建议。它只能帮团队把证据、负责人和暂停线写清楚；一旦进入敏感数据、跨境传输、供应商合同、客户请求无法闭环或 incident，就要升级。
EU/EEA 大规模广告、再营销、lookalike 导出或跨境数据转移边界不清。
升级法律/隐私顾问前，不扩大受众同步和新市场投放。
儿童、健康、敏感品类、SMS 授权、邮件授权来源或供应商 DPA 不清。
先冻结新增采集和营销自动化，补清楚授权来源和供应商边界。
删除、访问、opt-out、退订请求无法处理，或供应商删除路径无法确认。
停止新增数据接收方，并升级客服、运营、技术和隐私负责人。
出现误发、泄露、监管/平台警告、同意前持续触发营销脚本。
进入高风险事件响应，不把它当成普通标签或文案问题。
07 同意状态冲突检查
把 banner、像素、邮件和报表放进同一个冲突案例里看。
很多隐私治理的问题不是单点坏了，而是前台文案、脚本触发、邮件自动化和报表解释互相打架。左侧三张冲突卡可以点击，先选最像你现在情况的一张，再看右侧怎么从可见现象追到隐藏冲突。
选择一个真实冲突
不要只问有没有 banner。问这个冲突会让哪个增长动作失真。
当前冲突案例
banner 可见，但像素提前触发
触发场景：20oz 保温杯 EU 页面上线前，页面已经有 cookie banner，但无痕首次访问时 Meta Pixel 和 Google tag 已经发出营销请求。
用户同意证据记录：用户同意证据记录：节点=同意前像素触发；范围=20oz 保温杯 EU 页面；证据=四状态测试、Network、Tag Assistant、Customer Privacy API；负责人=标签负责人；最后核验日期；升级路径=仍提前触发时升级技术修复并冻结投放。
08 暂停/继续规则
不是所有数据下降都等于业务变差。
用户同意状态会影响 GA4、广告再营销、邮件名单、热图工具和客服请求。暂停/继续规则要同时区分真实业务问题和同意边界变化。
页面有 banner，但非必要脚本提前触发。
暂停：先修触发顺序，再上线。
新增广告像素但未更新供应商清单。
补证据前暂停：补清单、政策页和测试记录。
同意率变化导致报表波动。
带报表说明继续：在报表里标注 consent 边界。
客户权利请求无人负责。
暂停新增数据采集：先补负责人、处理步骤和响应时限。
09 报表回写
把 consent 结论回写到 GA4、广告和团队周报。
这篇课不要停在隐私检查表。真正能帮业务的是把同意率、事件缺口、建模数据和可见转化变化写进报表解释，让广告、CRO 和邮件同事知道什么时候该改页面，什么时候只是 consent 口径变化。
GA4 Consent Mode 参数
记录 ad_storage、analytics_storage、ad_user_data、ad_personalization 是否按地区和用户选择变化。
回写到 GA4 Consent Mode 课程，作为标签配置和 DebugView 复核条件。
事件缺口与真实订单
对照 Shopify 订单、GA4 purchase、Google Ads 转化和 Meta 事件，分清可见数据变化和真实业务变化。
回写到事件 QA 表和周报备注，不因为平台可见转化下降就立刻砍预算。
再营销和邮件授权
把可营销订阅、仅领取折扣、退订、删除请求和再营销受众同步状态拆开记录。
回写到广告受众、邮件欢迎流和客服请求记录，避免把授权不清的人继续放进触达链路。
继续学习时打开这些内链
如果你正在修报表、标签或预算判断，不要在本页凭感觉结束。把本课的状态记录带到下面这些课里继续复核。
09A 把检查变成可复用结论
按数据路径判断同意状态，再把结果交给运营。
状态测试和冲突案例提供的事实，要翻译成初学者能执行的暂停、恢复和责任分派动作。一个绿色后台状态或一条平台事件都不足以放行。
把状态测试转成运营动作前，先写清哪条数据路径变了。只有默认值、更新值、地区分支和撤回后的结果连起来，报表变化才有可解释的边界。把订单、同意率、事件缺口、供应商记录和客户请求放到同一时间线。这能帮助团队组织证据，不会替代技术实现或专业意见。先写暂停范围与恢复条件，再把结论交给广告、邮件或数据负责人。不要因为可见转化下降就重新打开本应被抑制的链路。
临时通过也要有边界
最小记录不是一句“已检查”，而是一张八列表：风险节点、公开来源、内部证据、客户触点、负责人、当前状态、下一步动作、恢复条件。这样复核者能立即看出哪一列缺失。
证据不完整时，只能给有限流量、有限市场或有限 SKU 的临时通过，并写明到期日期。治理目标不是第一天完美，而是把未完成项锁在可回收的范围内。
- 四种同意状态的结果都与预期一致。
- 表单字段和退订路径一致。
- 缺失的收件人已恢复到供应商清单。
- 周报明确区分建模事件和可见事件。
数据存在与使用边界
先把“收到了数据”和“可以继续触达”分开。
一次访问里，订单通知记录、表单字段、分析事件、营销受众和供应商同步可能同时出现。某一个记录可以存在，不代表其余路径都可以用于分析、再营销或邮件。检查时要把数据类别、接收方、访客选择和下一步动作写在同一行；这样“有数据”不会被误读成“可以继续用数据”。
20oz 保温杯页面的折扣表单尤其容易把领券和营销授权混在一起。若首次访问已经发出营销请求，或拒绝后事件仍可见，先记录页面、工具和用户状态；短期只冻结会扩大新数据或受众的动作，而不是靠一张 banner 或一条后台绿灯继续投放。
- 1按首次访问、拒绝、接受、撤回四种状态，逐一写下预期、实际触发和负责人。
- 2把问题归到页面、标签、报表或变更层，避免把一个可见症状交给错误的负责人。
- 3在证据记录里写清暂停范围和恢复条件，再决定是否恢复广告、受众、欢迎流或新表单。
检查结果如何复查
报表变化先解释口径，再判断增长；记录要经得起复查。
GA4、广告平台或再营销受众下降时，先把 Shopify 订单、同意率、事件缺口、建模数据和客户请求放在同一时间段读。只有真实订单、客户反馈或履约事实也同向变化，才进一步检查预算或页面优化；否则周报应说明 consent 边界，不能为了好看的转化数字重新打开本应抑制的链路。
安排一次独立复查：让一位没有参与测试的执行者复述四种状态、目前市场里哪个工具仍有风险、暂停什么、证据在哪、什么条件恢复。若复述仍依赖某位技术同事的记忆，这份清单还不能作为可运营的用户同意证据记录。
- 1先标注当前市场、日期和同意状态变化，再并排读取订单、事件和受众变化。
- 2把可见数据变化、已证实的业务变化和仍未解释的缺口分成三类，不用一个总转化数字下结论。
- 3安排一次独立复查；如果复查无法确认，先补负责人、证据位置或恢复条件，再继续新增采集。
10 快速自测
有弹窗，不等于脚本受控。
你的网站已经有 cookie banner，但无痕窗口首次访问时，Tag Assistant 显示营销标签已经触发。团队说"反正有弹窗，先上线再说"。最稳的判断是什么？
11 同意状态压力判断练习
真正会出错的时刻，是业务压力让团队只看表面通过。
隐私治理最容易被误读成有弹窗就行。实际上，弹窗、报表、app、客户请求都会在不同压力下暴露证据缺口。选择一个压力场景，把第一证据、允许动作和冻结规则写回复制笔记总结。
选择一个 consent 压力
不要先问能不能上线。先问：这个压力想让我们跳过哪一层证据？
压力场景
团队看到页面有 cookie banner，就想把隐私治理标成完成。
用户同意证据记录：用户同意证据记录：范围=EU/EEA 页面；状态=首次访问/拒绝/接受/撤回；证据=Network、Tag Assistant、Pixel helper、Customer Privacy API；负责人=标签/隐私负责人；最后核验日期；升级路径=同意前仍触发营销脚本时升级技术和投放负责人。
13 复制笔记总结
把 consent 证据链整理成可复制的学习笔记。
不要只复制"banner 正常"。真正有用的笔记，要能解释脚本清单、四种状态测试、报表边界、客户权利负责人和复核周期。
用户同意证据记录复制笔记总结
一句话结论
cookie banner 不是完成标记，脚本触发、同意状态、报表解释、客户请求和供应商清单对齐后才算治理开始能用。
第一证据
最小证据是无痕首次访问、拒绝、接受、撤回四种状态的状态记录和事件记录。
允许动作
触发顺序正确、供应商清单更新、客户请求有人负责，才允许上线新脚本或继续投放。
冻结规则
同意前营销脚本已触发、报表掉量没排除 consent 边界、客户请求无人负责时，不新增采集和再营销。
冲突案例
每次新增 banner、像素、弹窗、邮件工具或 Consent Mode 变更，都要写清可见现象、隐藏冲突、第一测试、修复顺序和报表备注。
治理地图行
写清范围、状态测试、证据、负责人、最后核验日期、升级路径和冻结规则，不能只写 banner 正常。
同意状态沙盘、数据流地图与 DSAR 演练记录
把当前选择保存为本地课堂草稿。
这份保存记录是课堂推演草稿，不是合法同意、合规结论或真实客户请求处理记录。它会收集你选择的状态沙盘、节点、冲突、压力练习和填写的治理字段。先用当前状态、数据用途与地区分支、供应商接收方和 DSAR 路径检查记录是否完整。数据只留在当前浏览器；不会连接、读取或修改 Shopify、GA4、Google、Meta、邮件、客户、订单、账户、供应商或生产数据。只有自测答对且字段填完后，才把它带去做受限人工复核。已保存、恢复或导出都不等于同意有效、请求已完成或可以上线。
还没有保存这份课堂记录。
先答对快速自测并填完所有字段，再把记录带去受限人工复核。