如何为您的网站制作隐私政策

隐私政策的好坏取决于背后的数据清单。动笔之前，先分别以访客和管理员的身份把网站走一遍，记下数据进入或离开的每一个环节：

• 表单：联系、报价、预约、新闻通讯和求职申请表单，包括隐藏字段和文件上传。
• 账户：注册、登录、重置密码和个人资料页面。
• 分析：Google Analytics、建站工具自带的分析功能、热力图和会话录制。
• Cookie 和本地存储：每一项的作用以及由谁设置。
• 嵌入内容：YouTube 或 Vimeo 播放器、地图、社交动态、预约插件和聊天气泡。
• 托管与安全：服务器日志、内容分发网络、防火墙和 CAPTCHA 工具。
• 邮件与营销：新闻通讯平台、CRM 和广告像素。
• 付款：结账页面、支付处理商和开票工具。

做一次快速的技术检查会很有帮助。打开浏览器的开发者工具，在无痕窗口中加载几个页面，查看 Cookie、存储和网络请求。您看到的每一个第三方域名，都可能是政策中需要提及的服务商。

几乎每个网站都会收集个人数据，即使站长从未主动索取。您的托管服务商会在服务器日志中记录 IP 地址，分析脚本会设置标识符，一个联系表单就会收集姓名和电子邮件地址。多部法律因此要求您发布隐私声明：

• GDPR 和 UK GDPR：第 13 条和第 14 条列出了收集数据时必须告知用户的信息，第 12 条要求这些信息简洁、透明且易于获取。
• CalOPPA：从加州居民处收集个人身份信息的商业网站，必须醒目地发布隐私政策。
• 其他法律制度：加拿大、澳大利亚、巴西和新西兰都要求组织公开其处理个人信息的方式。

平台条款还会增加各自的要求。Google Analytics 和 Google AdSense 都要求您在使用前具备适当的隐私政策。如果想全面了解哪些人必须发布隐私政策，请阅读我需要隐私政策吗？以及我们关于没有隐私政策会怎样的指南。

把清单整理成一张简单的五列表格：什么数据、为何收集、谁会收到、保存多久，以及在适用 GDPR 时依据哪种法律依据。这张表就是政策的骨架。

以一家小型工作室网站为例：

• 联系表单：姓名、电子邮件、留言。目的：回复咨询。服务商：您的邮件托管商。保存期限：对话结束后 12 个月。
• 分析：浏览的页面、设备类型、根据 IP 地址推断的大致位置。目的：了解哪些页面效果好。服务商：您的分析服务商。保存期限：分析设置中配置的期限。
• 新闻通讯：电子邮件地址和订阅日期。目的：发送用户主动订阅的更新。服务商：您的邮件营销平台。保存期限：直到用户退订。

对于会改变答案的设置要写得具体，例如分析数据保存期限、广告功能或数据共享开关。我们的分析工具隐私披露指南说明了哪些分析设置会影响您需要披露的内容。

大多数网站隐私政策都遵循同样的框架，因为各部法律提出的核心问题相同。使用访客能快速浏览的直白标题：

1. 您是谁以及如何联系您，包括一个隐私联系邮箱。
2. 您收集哪些个人数据，按来源分组：表单、账户、自动收集和第三方。
3. 您为什么使用这些数据，以及在适用 GDPR 或 UK GDPR 时的法律依据。
4. Cookie 及类似技术，并提供更改偏好的方式。
5. 谁会收到数据：托管、邮件、分析、支付和广告服务商。
6. 跨境传输以及您所依赖的保障措施。
7. 每类数据保存多久。
8. 用户的权利及行使方式。
9. 儿童数据、安全措施以及您如何公布变更。

使用主动语态，写您实际在做的事。“我们使用 Google Analytics 统计页面浏览量”比“我们可能使用各种技术”清楚得多。隐私政策应包含哪些内容？中的检查清单对每个章节有更深入的说明。

地区章节是许多小网站出错的地方：要么忽略了适用的法律，要么照搬了并不适用的法律章节。

• 欧盟和英国访客：如果您向欧盟或英国的用户提供商品或服务，或监测他们的行为，GDPR 或 UK GDPR 很可能适用。您需要说明法律依据、用户权利、跨境传输以及向监管机构投诉的权利。请参阅 GDPR 隐私政策指南。
• 加州：CalOPPA 适用于从加州居民处收集个人身份信息的商业网站，并要求您说明如何回应“请勿追踪”（Do Not Track）信号等事项。CCPA 只适用于达到其门槛的企业，例如经通胀调整的营收门槛，或处理 100,000 名及以上加州消费者或家庭的个人信息。请参阅 CCPA 和 CPRA 指南。
• 美国其他州、加拿大、巴西、澳大利亚和新西兰：各有自己的触发条件和术语。

只声明对您适用的权利和义务。一份承诺了您从不兑现之权利的政策，本身就会带来风险。

现实中您有三种选择，各有取舍。

• 自己写：免费且完全量身定制，但耗时，而且容易遗漏必要的说明，例如跨境传输保障措施或“请勿追踪”的相关表述。
• 复制其他网站的政策：快但有风险。对方的做法、服务商和法律义务都和您不同，而且文本通常受版权保护。我们在隐私政策可以复制吗？中解释了原因。
• 使用模板或生成器：更快，前提是工具会询问您的真实做法，而不是用笼统的承诺填空。

Legal Policy Generator 的网站隐私政策生成器走的就是第三条路。您用直白的问题回答表单、分析、追踪、服务商和地区等情况，工具随后选取与您的回答相匹配的版本化条款，运行时没有 AI 撰写条款。问卷、完整预览以及简易 HTML 和 PDF 下载均免费，无需注册账户。高级地区模块或可选模块收费 $5。无论选择哪种方式，结果都不构成法律建议，请对照您的实际设置进行复核。

为政策单独建一个页面，使用简短且稳定的地址，例如 /privacy 或 /privacy-policy。稳定的网址很重要，因为您会把它粘贴到应用商店、广告平台、邮件工具和结账设置中，那里的链接一旦失效，就可能导致审核被卡。

几乎所有平台的通用步骤都一样：

1. 新建一个标题为“隐私政策”的页面。
2. 把政策文本或 HTML 粘贴到页面正文中，或链接到托管的副本。
3. 在顶部加上生效日期，让读者知道自己在读哪个版本。
4. 发布页面，并在无痕窗口中打开，确认无需登录即可加载。
5. 检查标题、列表和链接在粘贴后是否完好。

使用 Legal Policy Generator 时，简易 HTML 下载文件可以直接粘贴到建站工具的页面中。如果您更想链接到一个公开网页，可选托管服务一次性加收 $0.99，而每月 $5 的订阅在有效期内包含托管。针对具体平台的建议，请阅读如何在 Wix、Squarespace、Webflow 或 Shopify 上添加隐私政策。

一份没人找得到的政策起不了多大作用。至少要在每个页面的页脚放一个标为“隐私政策”的链接，这样它会出现在首页以及访客到达的任何页面上。

然后在每个收集点添加情境链接：

• 联系、报价和新闻通讯表单的提交按钮旁边。
• 账户注册和结账页面上。
• 如果您使用 Cookie 横幅或偏好中心，放在其中。
• 要求填写隐私政策网址的应用商店页面、广告平台设置和 OAuth 授权同意页面中。

使用直白的链接文字，确保链接在移动端布局中可见，并且不依赖 JavaScript 也能正常使用。我们关于隐私政策链接应放在哪里的指南详细介绍了 CalOPPA 中“醒目地发布”的措辞以及 GDPR 的相关要求。

隐私政策描述的是网站在某一时刻的状态，而网站一直在变化。每当出现以下情况之一时，请复查政策：

• 您添加或移除了插件、脚本、嵌入内容或集成。
• 您更换了托管、邮件、分析或支付服务商。
• 您开始投放广告、再营销或在线销售。
• 您开始面向新的国家或地区的访客提供服务。
• 您所依据的法律发生变化，或某个平台更新了条款。

为每个版本保留一份注明日期的副本，文本修改时更新生效日期，并以符合您与用户关系的方式告知重大变更，例如网站公告或发给账户持有人的电子邮件。即使看起来什么都没变，每隔几个月做一次简短复查，也能发现同事悄悄添加的工具。阅读隐私政策应多久更新一次？获取实用的复查时间表。