隐私政策多久更新一次，以及如何通知用户

大多数更新是由您自己的产品触发的，而不是新法律。在以下任何变化上线之前或同时，更新政策：

• 新增或替换接收个人数据的服务商，例如分析、邮件、支付、客服或托管服务
• 安装新的 SDK、像素或代码，尤其是用于广告或归因的
• 收集新的数据类别，例如位置、通讯录、照片、健康信息或录音
• 将现有数据用于新的目的，例如个性化、广告或训练 AI 模型
• 上线会把用户内容发送给模型服务商的 AI 功能
• 开始出售、共享数据或将数据用于定向广告
• 扩展到新的国家或美国州，或越过某部法律的适用门槛
• 更改保存期限、存储位置或跨境传输
• 更改公司名称、地址、联系方式或隐私联系人
• 更改用户行使权利的方式，例如新的请求表单或设置页面

一个有用的习惯是在发布检查清单中加上“是否影响隐私政策？”。如果答案是肯定的，政策变更就随功能一起发布。

只有一部主要法律规定了固定间隔，但还有几部法律提出了实际效果相同的要求：

• CCPA：《加州民法典》第 1798.130(a)(5) 条要求受约束企业在其在线隐私政策中包含特定信息，并至少每 12 个月更新一次这些信息。CCPA 实施条例还要求政策标明最后更新日期。
• CalOPPA：政策必须标明其生效日期，并说明就重大变更通知用户的流程。
• GDPR：没有固定间隔，但您向用户提供的信息必须准确；欧洲透明度指引强调，问责贯穿处理活动的整个生命周期，而不仅仅是收集数据的那一刻。
• 澳大利亚：APP 1 要求制定表述清晰且及时更新的隐私政策。

实际上，这给了您一条简单的规则：至少每 12 个月复查一次，做法一变就立即更新。即使年度复查发现无需修改，也值得记录下来，因为这表明政策在被积极维护。关于加州相关内容，请参阅 CCPA 和 CPRA 隐私政策指南。

并非每次修改都需要公告。经欧洲数据保护委员会（EDPB）认可的第 29 条工作组透明度指引建议，权衡对个人的影响（包括他们行使权利的能力），以及变更会有多么出乎意料。

该指引给出了具体示例。应当始终告知的变更包括：

• 处理目的的变更
• 控制者身份的变更
• 个人行使权利方式的变更

更正拼写错误或改进文风和语法不被视为实质性变更。在这两端之间，需要自行判断。新增广告合作伙伴、开始跨境传输或将数据用于训练 AI 模型，是大多数读者都会认为重要的变更。在不改变含义的情况下澄清现有句子，通常不算。

拿不准时，就按重大变更处理。对一个小变更过度告知几乎没有成本；悄悄引入一个重大变更，则可能损害信任并招致监管关注。

对于重大变更，仅修改页面顶部的日期是不够的。欧洲透明度指引指出，通知应采用适当的方式，例如电子邮件、信件或弹窗，且应专门用于说明变更，不得与营销内容混在一起；而让人们“定期查看隐私政策以了解变更”的声明，不仅被认为不充分，还被认为不公平。对于根本性变更，例如新的接收方类别或向区域外的新传输，指引建议提前充分告知，让人们有时间考虑变更并行使权利。

一个实用的通知方案：

1. 发布带有生效日期的新版本，并保留旧版本供查阅
2. 向账户持有人发送电子邮件，用简短平实的语言概述变更内容和原因
3. 向已登录用户显示应用内或网站内通知
4. 说明可能的影响以及用户拥有的选择，例如选择退出
5. 在变更生效前留出合理的期限

示例措辞：“自 3 月 1 日起，我们将使用一家位于美国的新邮件服务商。您的新闻通讯数据将依据标准合同条款传输。您可以随时退订。”

有些变更需要的不只是通知。根据 GDPR，如果您计划将个人数据用于新的目的，第 13(3) 条要求您在该进一步处理开始之前告知个人；如果处理依赖同意，您需要获得涵盖新目的的同意。指引还警告，如果变更重大到使处理活动的性质完全不同，透明度也无法弥补。

美国监管机构持类似看法。在 2024 年的一篇文章中，FTC 工作人员警告，如果公司采取更宽松的数据处理做法，却只通过对服务条款或隐私政策进行隐蔽的、追溯性的修改来告知人们，可能构成不公平或欺骗性行为。该文章援引了此前的案例，其中一家公司修改隐私政策，在未通知消费者或未获其同意的情况下与第三方共享数据。

对于重大变更，一个稳妥的默认做法是：

• 新做法仅适用于变更后收集的数据，或
• 在将新做法应用于您已持有的数据之前，征得明确的主动同意

如果不确定适用哪一种，请在变更上线前咨询合格的律师。

良好的版本管理能让今后的每个问题都更容易回答。您的政策至少应显示生效日期（CalOPPA 要求）和最后更新日期（CCPA 实施条例对受约束企业的要求）。许多网站还会在政策顶部或底部加上简短的变更摘要。

在后台，保留一份存档：

• 每个已发布版本，及其生效日期和被替换的日期
• 一句话概述变更内容和原因
• 您发出的所有变更通知的副本及发送时间
• 需要同意的变更所收集的同意记录

这份存档能让您证明用户注册时适用的是哪一版政策，准确回答监管机构或客户的问题，并解决关于您当时作出何种承诺的争议。它还能加快年度复查，因为您是从过往决策的记录出发，而不是凭记忆。

Legal Policy Generator 使用根据您的回答以确定性方式选择的带版本号条款，因此当您更新回答时，重新生成的措辞只会在您的事实或底层条款版本发生变化的地方改变。无论使用哪款工具，都请保留自己的副本。

法律也在变化，近期的几项进展可能会影响您的政策：

• 美国各州：印第安纳州、肯塔基州和罗得岛州的综合性隐私法于 2026 年 1 月 1 日生效，加入了不断增加的、提供定向广告、出售和画像分析选择退出权的州的行列。美国各州隐私法指南总结了常见的披露内容。
• 加州：更新后的 CCPA 实施条例于 2026 年 1 月 1 日生效，新增了关于自动化决策技术、风险评估和网络安全审计的规则，并设有分阶段的合规日期。
• 儿童：修订后的 COPPA 规则于 2025 年 4 月公布，修改了告知和同意要求。
• 英国：《2025 年数据（使用和访问）法》正在分阶段生效，修订了英国数据保护框架的部分内容，详见 UK GDPR 隐私政策指南。
• 新西兰：《2025 年隐私修正法》新增了一项原则，要求在间接收集信息时通知个人。

您不必追踪每一项法案。相反，在每次年度复查时，查看您服务的地区的官方来源，并订阅对您的受众重要的监管机构的更新。

在日历中设置一个周期性事件，每年按以下流程走一遍，重大版本发布后则可以提前进行：

1. 重新盘点数据：表单、账户、SDK、代码、服务商和 AI 功能
2. 与政策对照：有没有新增、移除或描述不同的内容？
3. 核对服务商：确认名称、角色、所在地以及任何传输保障措施
4. 核对地区：您现在是否在为新的国家或州提供服务，或者越过了 CCPA 等法律的门槛？
5. 查看官方来源：了解您服务的每个地区是否有新法律或新指引
6. 测试权利请求：通过政策列出的每条渠道发送一次测试请求
7. 与同意工具和商店标签对照：横幅、App Store 隐私标签和 Google Play 数据安全表单应与政策一致
8. 更新并记录：以新日期发布变更，归档旧版本，变更重大时通知用户

如果什么都没变，也要记录复查已经进行。如果您想根据更新后的回答重建政策，隐私政策生成器可以让您在发布前免费预览结果。关于撰写每个章节的完整流程，请参阅隐私政策怎么写。