HGZS 跨境数据合规审查系统合规声明

版本：V1.0
发布日期：2026-06-03
适用系统：HGZS Cross-Border Compliance Review System（HGZS-CDCRS）
声明性质：本声明用于说明本系统的合规设计目标、适用边界、管理要求和使用限制。其不构成法律意见、监管承诺、认证结论或测评报告。正式对外发布、招投标、验收或监管报送前，应由运营单位法务、合规、安全、数据治理和外部专业机构进行复核。

1. 合规目标

本系统面向跨境数据流动、安全审查和数据合规治理场景，目标是帮助组织建立可配置、可审计、可追溯的跨境数据合规审查和安全运营能力。

系统合规目标包括：

• 支持个人信息、敏感个人信息、重要数据和自定义敏感数据的识别、分类、规则管理与风险提示。
• 支持跨境数据传输申请、场景配置、风险评分、审批流程和审计留痕。
• 支持出入境流量、境外 IP/域名、明文传输、异常访问、陌生网站访问和策略敏感词阻断分析。
• 支持法规库、审查要求、AI 策略候选、规则依据和人工复核流程。
• 支持登录认证、权限管理、日志审计、告警处置、证据存储和安全事件追踪。
• 支持 AI 审计、机器学习流量异常检测和模型监控的辅助分析能力。

2. 适用法律法规与标准参考

根据部署地区、业务主体、行业类型和数据范围，运营单位可参考但不限于以下法律法规、部门规章、国家标准和监管要求：

• 《中华人民共和国网络安全法》
• 《中华人民共和国数据安全法》
• 《中华人民共和国个人信息保护法》
• 《中华人民共和国密码法》
• 《关键信息基础设施安全保护条例》
• 《网络数据安全管理条例》及相关配套要求
• 《数据出境安全评估办法》
• 《个人信息出境标准合同办法》
• 《促进和规范数据跨境流动规定》
• 《网络安全等级保护基本要求》（GB/T 22239）
• 《信息安全技术 个人信息安全规范》（GB/T 35273）
• 《信息安全技术 个人信息安全影响评估指南》（GB/T 39335）
• 《信息安全技术 数据安全能力成熟度模型》（GB/T 37988）
• 《信息安全技术 数据分类分级规则》（GB/T 43697）
• 行业主管部门关于金融、电信、医疗、政务、工业互联网、关键信息基础设施、云服务和人工智能的专项要求。

实际适用范围应由运营单位结合数据类型、处理目的、用户群体、部署环境、境内外接收方和行业监管要求确定。

3. 合规边界

1. 本系统提供合规审查、安全分析和管理留痕能力，但不自动完成监管申报、备案、认证、等保测评、密评、审计签章或法律审查。
2. 系统识别结果、风险评分、AI 分析、机器学习预测、法规抽取和策略候选仅作为辅助材料，应由具备授权的人员进行人工复核。
3. 是否构成个人信息、敏感个人信息、重要数据、核心数据、商业秘密、国家秘密或需要履行数据出境安全评估等义务，应以法律法规、监管认定、行业要求和专业意见为准。
4. 系统无法替代组织的数据分类分级制度、个人信息保护影响评估、数据出境风险自评估、供应商安全评估、合同管理、员工培训和应急响应体系。
5. 对接第三方 AI 服务、云服务、飞书、邮件、对象存储、区块链存证、OpenMeta、SNMP、网关和 Agent 时，第三方自身的合规性、安全性和数据处理行为应单独评估。

4. 数据分类分级与最小必要

运营单位应在使用本系统前建立数据分类分级规则，并至少覆盖：

• 普通业务数据、内部管理数据、日志数据和运行监控数据。
• 个人信息、敏感个人信息、员工信息、客户信息、合作方联系人信息。
• 重要数据、核心数据、行业监管数据、关键信息基础设施相关数据。
• 商业秘密、源代码、配置密钥、模型样本、策略规则和审计证据。

系统使用中应遵循最小必要原则：

• 只接入完成合规审查、安全监测和审计分析所必需的数据。
• 优先使用摘要、脱敏、聚合、抽样、哈希或匿名化结果。
• 限制原始报文、明文内容、敏感样本和大规模个人信息的长期保存。
• 对导出、下载、批量查询、AI 发送、模型训练和第三方共享设置审批与留痕。

5. 个人信息保护合规要求

运营单位在使用本系统处理个人信息时，应落实以下要求：

• 明确个人信息处理者、处理目的、处理方式、处理范围和保存期限。
• 具备合法处理依据，必要时取得告知同意或单独同意。
• 对敏感个人信息、未成年人信息、员工监测数据和大规模个人信息处理采取更严格保护措施。
• 建立个人信息主体权利响应机制，包括查询、复制、更正、删除、撤回同意、解释处理规则和注销账号。
• 开展个人信息保护影响评估，并保存处理情况记录。
• 对外提供、委托处理、共同处理或公开披露个人信息时签署必要协议并履行告知义务。
• 发生安全事件时及时履行通知、报告、补救和整改义务。

6. 数据出境合规要求

本系统用于辅助识别和管理数据跨境传输风险。运营单位在处理数据出境事项时，应重点核查：

• 数据出境目的、范围、方式、频率、规模和必要性。
• 出境数据是否包含个人信息、敏感个人信息、重要数据、核心数据或行业监管数据。
• 境外接收方名称、联系方式、所在国家或地区、处理目的、处理方式、保存期限和安全保障能力。
• 是否触发数据出境安全评估、个人信息出境标准合同、个人信息保护认证或其他监管程序。
• 是否已履行个人告知、单独同意、合同约束、影响评估和风险自评估。
• 是否存在境外 AI 服务、远程运维、日志传输、云存储、模型训练或通知服务导致的隐性出境。

系统中的审批记录、风险评分、规则命中、人工复核意见和证据材料可作为内部合规管理材料，但不能替代法定申报、备案或监管审核。

7. 网络安全与等级保护

本系统涉及账号认证、权限管理、网络流量、审计日志、敏感规则、告警处置和可能的个人信息处理，生产部署应按照实际定级结果落实等级保护或同等安全要求。

建议安全控制包括：

• 身份鉴别：强密码、密码加密存储、登录加密、防重放、人机验证、会话超时、异常登录检测。
• 访问控制：RBAC、最小权限、管理员分权、接口鉴权、数据范围控制、第三方账号绑定审查。
• 安全审计：登录日志、操作日志、审批日志、接口日志、告警日志和系统日志集中管理。
• 通信安全：HTTPS、内网访问、VPN 或零信任接入、跨域白名单和管理端口隔离。
• 入侵防范：漏洞修复、依赖治理、默认口令清理、调试接口关闭、错误信息收敛。
• 数据安全：数据库权限控制、备份加密、密钥管理、脱敏展示、导出审批和存储隔离。
• 应急响应：安全事件分级、响应流程、证据保全、通知机制和复盘整改。

如系统承载重要数据、关键信息基础设施相关数据或高敏感业务场景，应结合等保三级、密评、数据安全评估和行业专项要求进行增强。

8. 密码与加密合规

系统涉及登录加密、密码哈希、JWT 签名、数据传输加密、密钥配置和可能的国密算法方案。运营单位应：

• 在生产环境替换所有默认密钥、默认口令和开发配置。
• 对 JWT Secret、数据库密码、Redis 密码、RabbitMQ 密码、AI API Key、邮件授权码、对象存储密钥和飞书密钥进行集中密钥管理。
• 使用符合组织安全要求的 TLS 证书和加密套件。
• 对重要数据、敏感个人信息、审计证据、模型样本和备份文件采取加密存储或加密传输。
• 如适用商用密码管理要求，应完成密码应用方案设计、产品选型、密评整改和验收。

9. AI 与机器学习合规

本系统包含 AI 审计、AI 规则匹配、AI 策略候选、模型接口检测、机器学习流量异常检测、模型训练和预测功能。使用时应遵循：

• AI 输出仅作为辅助分析，不应未经人工复核直接作为最终审批或处罚依据。
• 向外部 AI 服务发送内容前，应进行脱敏、最小化、授权审批和跨境风险核查。
• 对模型训练样本、特征、标签、异常分数和预测结果进行版本管理、访问控制和留存管理。
• 对模型偏差、误报、漏报、提示词泄露、敏感信息回传和第三方服务日志留存进行风险评估。
• 禁止将国家秘密、核心数据、未经授权的个人信息、商业秘密或未脱敏的高敏感样本发送至不受控外部模型。
• 对 AI 生成的法规条款抽取、审查要求和策略候选进行人工审核、来源校验和发布审批。

10. 审计留痕与证据管理

本系统提供审计日志、登录日志、任务日志、告警记录、审批记录、证据摘要和存证能力。运营单位应：

• 明确日志和证据的保存期限、访问权限、归档方式和销毁规则。
• 防止普通用户删除、篡改或绕过审计记录。
• 对重大风险事件、跨境传输审批、重要数据处理、AI 高风险告警和规则发布操作进行重点留痕。
• 对上链、对象存储或外部证据服务的可用性、完整性、时间戳、哈希算法和权限控制进行评估。
• 在争议、审计、监管检查或安全事件中保留必要证据链。

11. 第三方与供应链合规

系统依赖 Java、Spring Boot、Vue、TypeScript、MySQL、Redis、RabbitMQ、FastAPI、机器学习库、Element Plus、Tailwind CSS、OpenAPI、飞书、AI 服务和其他开源或商业组件。运营单位应：

• 建立软件物料清单（SBOM）和开源许可证清单。
• 定期进行依赖漏洞扫描、补丁升级和供应链风险评估。
• 对第三方服务签署数据处理、安全保密、服务级别和应急响应条款。
• 对外包实施、运维、远程支持和云服务访问进行权限审批、操作留痕和账号回收。
• 对第三方 AI、对象存储、消息通知、区块链存证和地址归属服务进行数据出境、日志留存和安全能力评估。

12. 部署前合规检查清单

上线前建议完成以下检查：

• 明确系统运营单位、个人信息处理者、数据保护负责人和安全责任人。
• 完成数据分类分级和系统定级。
• 明确个人信息处理目的、范围、保存期限和合法依据。
• 完成个人信息保护影响评估和数据出境风险评估。
• 确认是否触发数据出境安全评估、标准合同、认证或行业审批。
• 替换数据库、Redis、RabbitMQ、JWT、邮件、飞书、AI、对象存储等默认密钥。
• 配置 HTTPS、跨域白名单、内网访问控制和管理端口隔离。
• 关闭生产环境不必要的 Swagger、调试日志、错误详情和测试接口。
• 配置 RBAC 权限、管理员分权、账号生命周期和离职回收流程。
• 配置日志保存、集中审计、备份恢复和安全事件响应流程。
• 对 AI 服务、模型训练、第三方接口和外部存储完成安全评估。
• 形成用户告知、使用条款、隐私政策、运维手册和应急预案。

13. 运行期合规管理

系统运行期间，运营单位应持续执行：

• 定期复核用户权限、审批流程、规则库、告警阈值和通知配置。
• 定期抽查跨境数据申请、风险评分、人工复核和处置闭环。
• 定期审查日志、异常登录、越权访问、批量导出和数据共享记录。
• 定期更新法规库、规则库、AI 策略依据和审查模板。
• 定期开展漏洞扫描、依赖升级、备份恢复演练和应急演练。
• 定期评估第三方服务、AI 服务、云资源和外包运维的合规状态。
• 对重大功能变更、数据范围变化、第三方变更和出境路径变化重新评估。

14. 禁止性声明

运营单位和用户不得将本系统用于：

• 非法获取、出售、提供、公开、泄露个人信息或重要数据。
• 未经授权的网络监控、通信内容截获、员工过度监控或越权审计。
• 规避监管、伪造审计记录、篡改审批结论或掩盖安全事件。
• 未经审批向境外传输个人信息、重要数据、核心数据、商业秘密或其他受限数据。
• 未经人工复核直接依据 AI 或机器学习结果作出重大负面决定。
• 攻击、入侵、扫描、绕过或破坏其他信息系统。

15. 免责声明

1. 本系统的合规能力取决于部署环境、数据输入、规则配置、权限管理、第三方服务、人工复核和组织制度执行情况。
2. 本系统不保证识别所有敏感数据、发现所有风险、覆盖所有法律法规或消除全部监管风险。
3. 因用户或运营单位未履行合法授权、告知同意、数据出境程序、安全配置、人工复核、日志保存或第三方评估义务而产生的责任，由相应责任方承担。
4. 本声明不构成律师意见、监管认可、产品认证、等保测评结论、密评结论或数据出境安全评估结论。

16. 联系方式

请部署单位上线前补充以下信息：

• 运营单位：【待补充】
• 法务/合规联系人：【待补充】
• 数据保护负责人：【待补充】
• 安全负责人：【待补充】
• 联系邮箱：【待补充】
• 联系电话：【待补充】
• 办公地址：【待补充】