博客隐私政策：每位博主都应披露的内容

先检查博客的插件和设置，列出读者阅读、评论、订阅及联系您时涉及的数据，以及接收这些数据的服务商。围绕读者在博客上的行为来组织政策：阅读文章、发表评论、订阅、点击链接和联系您。然后加上关于权利、保存期限、跨境传输和变更的标准章节。我们的分步指南为网站制作隐私政策介绍了完整流程。

如果您不想从空白页开始，网站隐私政策生成器会询问您使用的追踪技术、非必要追踪何时开始、读者如何更改偏好，以及您使用哪些服务商，例如 Google Analytics、Mailchimp 或 reCAPTCHA，然后组合出相应的条款。预览和简易 HTML 下载均免费，HTML 可以直接粘贴到 WordPress 页面或任何建站工具中。

请记住，隐私政策不能替代文章中的联盟披露，也不能替代法律要求时的同意横幅。把它当作透明博客的一部分，而不是全部工作。

人们很容易认为个人博客规模太小，无关紧要。但法律很少首先看规模，而是看您是否收集个人数据，以及收集的是谁的数据。

• GDPR 和 UK GDPR：针对纯个人或家庭活动的豁免范围很窄，不太可能涵盖收集读者评论、电子邮件或分析数据的公开博客。
• CalOPPA：适用于从加州居民处收集个人身份信息的商业网站运营者。一个设有新闻通讯并已变现的博客就是典型例子。
• 平台条款：无论您的流量大小，Google AdSense 和 Google Analytics 都要求有隐私政策；新闻通讯平台也有自己的条款，规定您如何收集和使用订阅者地址。

实际的答案是：如果您的博客有评论、新闻通讯、分析工具、广告或联盟链接，就发布一份隐私政策。通用指南我需要隐私政策吗？按国家逐一介绍了法律上的触发条件。

博客由插件、主题和嵌入内容搭建而成，其中许多都会悄悄收集数据。审查博客时，可以使用这份清单：

• 评论：姓名、电子邮件、网站、评论内容本身，通常还有评论者的 IP 地址。
• 评论 Cookie：许多平台会提供在浏览器中记住评论者信息的选项。
• 垃圾内容过滤：评论和表单内容会被发送到反垃圾服务进行检查。
• 服务器和安全日志：托管服务商和安全插件记录的 IP 地址和用户代理。
• 分析：页面浏览量、来源页面、设备信息和标识符。
• 广告和联盟链接：广告网络和联盟计划设置的 Cookie 和标识符。
• 嵌入内容：从其他公司加载内容的 YouTube 视频、社交帖子和地图。
• 字体和 CDN：从第三方服务器加载的文件，这些服务器会收到读者的 IP 地址。
• 新闻通讯表单和弹窗：电子邮件地址和订阅信息。
• 联系表单：姓名、电子邮件和留言。

记下您发现的每一项、背后的插件或服务，以及接收数据的公司。

评论往往是博客收集的第一批个人数据，值得单独写一个简短章节。WordPress 自带的建议隐私政策文本很好地提醒了默认会发生什么：它说明访客发表评论时，网站会收集评论表单中显示的数据，以及访客的 IP 地址和浏览器用户代理字符串，用于协助检测垃圾评论。它还提到，电子邮件地址的哈希值可能会被发送到 Gravatar，以检查是否有头像。

您的评论章节应涵盖：

1. 评论表单收集哪些内容，以及哪些内容会公开显示。
2. 是否有自动反垃圾服务检查评论，以及是哪一家。
3. 评论信息是否会被记在 Cookie 中，以及保存多久。
4. 评论及其元数据保存多久。
5. 评论者如何请求您编辑、导出或删除其数据。

WordPress 允许您指定一个隐私政策页面，并提供附有建议文本的指南，但它无法知道您安装了哪些插件。我们的 WordPress 隐私政策指南介绍了设置界面和插件相关规则。

新闻通讯会把普通读者变成一份电子邮件地址清单，这是您需要长期保存的个人数据。您的政策应说明：

• 收集哪些信息：通常是电子邮件地址，有时还有姓名、订阅日期以及用户订阅时所在的页面。
• 由哪个平台发送邮件：写明您的电子邮件服务商的名称，因为它代表您处理这份名单。
• 是否追踪打开和点击：许多邮件平台默认会通过追踪像素和重定向链接做到这一点。
• 如何退订：每封邮件都应包含有效的退订链接，政策中也应如此说明。
• 同意：在欧盟和英国，向个人发送营销邮件通常需要事先取得同意，除非适用某项范围很窄的例外。

在美国，CAN-SPAM 法案要求商业邮件包含清晰的退订方式和有效的实际邮寄地址，并且必须及时处理退订请求。这些规则体现在邮件本身而非隐私政策中，但两者应保持一致。我们的电子邮件新闻通讯隐私政策指南介绍了详细内容。

必须。Google Analytics 服务条款要求您具备并遵守适当的隐私政策，披露您使用 Google Analytics 以及它如何收集和处理数据，并告知所涉及的 Cookie 或标识符。条款还要求您醒目地链接到 Google 说明其如何使用来自使用其服务之网站的信息的页面，或提供同等的告知。

一个典型博客应包含：

• 您使用 Google Analytics 来了解读者阅读了哪些文章以及如何找到博客。
• 所涉及的数据类型，例如浏览的页面、来源页面、设备和浏览器信息以及大致位置。
• 您是否启用了会增加数据的功能，例如 Google 信号或与 Google Ads 的关联。
• 读者如何更改 Cookie 选择或屏蔽分析。

如果您有欧盟或英国的读者，分析 Cookie 通常需要在加载前取得同意，但存在少数国家层面的例外。改用注重隐私的分析工具可能会减少您收集的数据，但并不能免除您描述这些数据的义务。请参阅 Google Analytics 隐私政策指南。

如果您通过 Google AdSense 变现，隐私政策就不是可有可无的。AdSense 关于必要内容的帮助文章列出了您的政策必须包含的说明：

• 包括 Google 在内的第三方供应商会使用 Cookie，根据用户此前对您网站或其他网站的访问来投放广告。
• Google 使用广告 Cookie，使其及其合作伙伴能够根据用户对您网站和互联网上其他网站的访问来投放广告。
• 用户可以通过 Google 的广告设置选择退出个性化广告，或通过行业退出页面选择退出部分第三方供应商的 Cookie。

拥有欧洲经济区、英国或瑞士访客的发布商还必须遵守 Google 的欧盟用户意见征求政策，该政策要求在法律有要求时就 Cookie 取得同意，并就广告个性化取得同意。Google 已要求使用其广告产品的发布商在向欧洲经济区和英国用户投放广告时，使用经 Google 认证的意见征求管理平台。

如果您还使用其他广告网络，请写明其名称并链接到它们的退出页面。完整清单请见我们的 AdSense 隐私政策指南。

不是，把两者混为一谈是博客最常见的错误之一。它们针对不同的监管机构，回答不同的问题。

联盟或推荐披露告诉读者，当他们点击或购买时，您可能会获得收入。在美国，FTC 关于推荐背书的指引指出，博主应清晰、醒目地披露联盟关系，而且披露离推荐内容越近越好。藏在页面底部或标为“法律”的链接后面的披露很容易被忽略。因此，联盟披露应放在每篇文章中的链接旁边，而不只是写在隐私政策里。

隐私披露说明的是数据方面的情况。当读者点击联盟链接时，联盟网络或商家可能会设置 Cookie 或记录这次点击，以便对销售进行归因。您的隐私政策应提到联盟链接可能涉及这种追踪，并写明您参加的计划名称。

联盟计划的运营协议中往往有各自的披露规则。请阅读您所加入的每个计划的现行协议，而不要依赖从其他博客复制来的措辞。

嵌入内容很容易被遗忘，因为它不是您自己做的。WordPress 的建议隐私文本说得好：来自其他网站的嵌入内容，其行为与访客直接访问该网站完全相同。这意味着一段 YouTube 视频、一条 Instagram 帖子或一张地图，都可能让相应公司收集数据、设置 Cookie 并追踪用户与嵌入内容的互动。

对于每种嵌入内容，您的政策都应写明服务商，并说明嵌入内容加载时该服务商可能会收集数据。以下内容同样适用：

• 从第三方服务器加载的网页字体和脚本库，这些服务器会收到读者的 IP 地址。
• 从社交网络加载脚本的社交分享按钮。
• 由第三方托管的评论系统。

您可以使用“点击后加载”的占位框，仅在读者选择后才加载嵌入内容，或者自行托管字体，以减少数据外泄。在欧盟或英国的同意规则适用于嵌入内容所设置的 Cookie 时，这类占位框还能帮助您避免在取得同意前加载这些内容。