附录 D · 合规与隐私分级表

一、5 级合规风险分级

flowchart LR
    L1[无风险<br/>L0 灰色] --> L2[低风险<br/>L1 蓝色]
    L2 --> L3[中风险<br/>L2 黄色]
    L3 --> L4[高风险<br/>L3 橙色]
    L4 --> L5[极高风险<br/>L4 红色]
    
    L1 -.-> P1[简单同意书<br/>无第三方约束]
    L2 -.-> P2[标准同意书<br/>个人信息保护]
    L3 -.-> P3[专业同意书<br/>+ 行业资质]
    L4 -.-> P4[正式合同<br/>+ IRB/伦理审查]
    L5 -.-> P5[多方协议<br/>+ 政府许可]

二、各级风险特征对照

三、80+ 场景·风险分级总表

D01 家庭生活

D02 餐饮服务

D03 工业生产装配

D04 物流仓储

D05 商业零售与陈列

D06 酒店服务

D07 医疗护理与康养

D08 教育场景

D09 特种作业

D10 专业科研与文创

四、关键合规法律法规速览

4.1 国内法律

4.2 国际法规

4.3 行业资质

五、知情同意书 5 要素

任何 ≥L1 的场景，知情同意书必须包含：

flowchart LR
    A[1. 数据用途] --> S[同意书]
    B[2. 收集范围] --> S
    C[3. 保存期限] --> S
    D[4. 撤回方式] --> S
    E[5. 责任主体] --> S

具体描述：

1. 数据用途：明确说明数据将用于"训练 AI 模型"。
2. 收集范围：视频/音频/IMU 等具体类型与时长。
3. 保存期限：默认 ≤2 年，到期销毁。
4. 撤回方式：随时撤回，撤回后在 30 天内删除。
5. 责任主体：数据主体、数据处理者、第三方接收者。

六、合规决策流程

接到任何项目时，按以下流程判断是否接单：

flowchart TD
    A[接到需求] --> B{风险级 L0-L1?}
    B -- 是 --> C[准备同意书]
    B -- 否 --> D{风险级 L2?}
    D -- 是 --> E[公司+法务+资质]
    D -- 否 --> F{风险级 L3?}
    F -- 是 --> G[正式合同+IRB]
    F -- 否 --> H{有特许 + 资质?}
    H -- 是 --> I[多方协议]
    H -- 否 --> J[拒绝]
    
    C --> K[采集]
    E --> K
    G --> K
    I --> K

七、最容易踩坑的 10 个合规雷区

八、本附录一图回顾

mindmap
  root((D 合规分级))
    5 级风险
      L0 无
      L1 低
      L2 中
      L3 高
      L4 极高
    必备法律
      PIPL
      DSL
      CSL
      行业法
    必备资质
      医疗
      食品
      危化
      特种作业
    同意书 5 要素
      用途
      范围
      期限
      撤回
      责任
    10 大雷区
      未成年
      浴室
      未脱敏
      无同意
      过期

行动清单

• 把项目场景对照本附录"风险级"，做出接 / 拒决定。
• 接单前用"5 要素"模板起草同意书。
• 公司内部建立"合规审查会"，每个 ≥L2 项目过会。
• 每年复查国内外法规更新。

自检三问

1. L4 极高风险的场景需要哪些"特许 + 资质"？
2. 知情同意书的 5 要素是什么？
3. 接到一个"K12 课堂"项目，你应该怎么决策？