隐私、Cookie 与 consent 治理

本课产出：隐私、Cookie 和 consent 检查表

把 Shopify 隐私设置、cookie banner、第三方像素、邮件同意、客户权利请求和供应商脚本放进同一张治理清单。

本课目标是交付一份隐私合规检查表。这份资产必须能回答四个问题：当前风险是什么，证据在哪里，谁负责，什么时候可以继续或必须暂停。

• 第一步：列出影响上线或扩量的风险节点。
• 第二步：为每个节点绑定公开来源、内部证据和负责人。
• 第三步：把继续、小流量测试、补证据、暂停或升级写成规则。

隐私不是只放一个政策页

比如一款 20oz 保温杯店铺安装了广告像素、邮件弹窗、评论工具和分析脚本。隐私治理要确认这些工具何时收集数据、是否受 Shopify customer privacy settings 控制、以及用户拒绝后是否仍然触发。

落地时，把这个判断写进隐私合规检查表。每个高风险动作都要能追溯到一个证据包、一个负责人和一条明确的放行 / 暂停规则，而不是在上线当天靠感觉决定。

同意放行门要在脚本之前

cookie banner 的价值不在于页面上出现一个弹窗，而在于它能阻止需要同意的追踪在用户同意前发生。检查时要看实际脚本触发顺序，不只看视觉组件。

落地时，把这个判断写进隐私合规检查表。每个高风险动作都要能追溯到一个证据包、一个负责人和一条明确的放行 / 暂停规则，而不是在上线当天靠感觉决定。

客户权利请求需要运营负责人

删除、访问、opt-out 和营销取消订阅都需要有人处理。隐私清单要把客服、运营、技术和 app 负责人写清楚，避免请求进入邮箱后无人负责。

落地时，把这个判断写进隐私合规检查表。每个高风险动作都要能追溯到一个证据包、一个负责人和一条明确的放行 / 暂停规则，而不是在上线当天靠感觉决定。

Consent 验收要看触发顺序

只看页面有没有弹窗不够。真正的验收，是打开无痕窗口，在拒绝、接受、撤回同意三种状态下，看脚本、事件和报表是否按预期变化。

20oz 保温杯操作演练

团队先列出所有会收集或转发数据的 app 和脚本，再用无痕窗口测试：首次访问、拒绝 cookie、接受 cookie、退订邮件、提交删除请求。每一步都截图并写负责人。

隐私合规检查表的证据链检查

隐私合规检查表最容易失败的地方，是只收集资料但不形成判断。真正把证据分成四层：公开规则、内部事实、客户承诺和经营动作。公开规则回答平台或监管边界，内部事实回答店铺现在做到了什么，客户承诺回答页面和结账页说了什么，经营动作回答团队准备继续、暂停还是升级。

如果四层证据冲突，先暂停高风险动作。例如页面承诺免费退货，但客服 SOP 写的是买家承担退货；广告承诺快速发货，但 EU 包裹没有清楚税费责任；系统里有 cookie banner，但第三方脚本在同意前已经触发。这些冲突都要先进入同意放行门，再决定是否上线。

最小记录方式是一张 8 列表：风险节点、公开来源、内部证据、客户触点、负责人、当前状态、下一步动作、恢复条件。字段少一点没关系，关键是每次上线、扩市场、换支付、加像素或改页面承诺时都用同一张表。

当团队暂时拿不到完整证据时，可以标记为临时通过，但必须限制流量、限制市场或限制 SKU，并写清补证据的截止时间。合规治理的价值不在于一次性完美，而在于让每次增长动作都带着更清晰的风险边界。

隐私合规检查表的验收标准

第一条验收标准是可复查。任何人打开隐私合规检查表，都能看到公开来源、内部截图或系统记录、客户触点和最后决策。不要只写已确认或没问题，这种状态无法被下一位同事复查。

第二条验收标准是可执行。表里每个阻断点都要能变成动作：补政策页、改产品页、暂停广告、暂缓订单、调整结账页文案、补标签资料、联系支付方或安排外部确认。不能执行的判断，需要继续拆小。

第三条验收标准是可恢复。暂停不是终点，暂停后要写恢复条件。例如补齐 business info 后重新提交 GMC，补齐产品安全资料后打开 EU 市场，拒付比例回到警戒线以下后恢复自动扣款。没有恢复条件，团队会在保守和冒险之间来回摇摆。

第四条验收标准是能回写到其他系列。隐私合规检查表的结论要能进入利润复盘、商品数据、广告结构、邮件发送、CRO 页面和客服 SOP。这样合规不是额外会议，而是每个增长动作前的一道运营控制点。

第五条验收标准是能解释给非合规同事。广告同事要知道为什么某个国家不能放量，客服同事要知道客户问到税费或退款时该怎么回答，运营同事要知道哪些订单需要暂缓放行，创始人要知道哪些风险会影响现金和账号。

第六条验收标准是能留下版本记录。每次修改隐私合规检查表，都要记录改动时间、改动原因、影响页面或流程、验证结果和下次复查日期。三个月后回看时，团队能知道某个放行门为什么变严、某个市场为什么暂停、某个页面承诺为什么被改写。

最后，验收时要检查这份资产是否真的改变了下一步动作。如果填完隐私合规检查表之后，预算、页面、客服话术、商品资料、支付设置和事件记录都没有任何变化，说明它还只是文档。真正可用的风控资产，会让团队更快决定哪里可以继续，哪里必须先停。

Consent 压力实验室：不要把表面通过当成治理完成

真正会出错的时刻，不是大家不知道隐私很重要，而是业务压力让团队只看表面通过。页面有 banner、GA4 或广告数据突然掉量、运营想加邮件弹窗或评论 app、客服收到删除或 opt-out 请求，这些都不是小问题，它们会直接暴露脚本触发、报表解释、供应商清单和客户权利流程有没有证据。

我的判断方式很简单：先问这个压力正在让团队跳过哪一层证据。有 banner，就看首次访问、拒绝、接受、撤回四种状态；报表掉量，就先排除 Consent Mode、GTM、像素和 data sharing 变更；新增工具，就先写清收集什么、传给谁、是否受 consent 控制；客户请求来了，就先确认负责人、响应模板和供应商删除路径。

本课收束：Consent 证据链检查表复制笔记总结

把本课结论整理成一个清楚版本：脚本触发、consent state、事件缺口、政策页、报表边界。真正有用的笔记不是 banner 正常四个字，而是证据在哪里、负责人是谁、什么时候继续、什么时候冻结。