隐私与数据治理级别（V9 企业版）
为什么会存在这种现象
在大多数人口统计系统中，“隐私”被描述为一种静态的产品声明。
In V9 企业版隐私是一种 治理决策.
我们刻意将其分开：
- 该平台的功能
- 客户选择启用的功能
- 技术上哪些是可强制执行和可审计的？
本节介绍…… 隐私和GDPR合规级别—一个结构化的、可选择的框架，允许企业客户 协商、记录、执行和审计 他们随着时间的推移而选择的隐私保护方式。
这是为以下用途设计的：
- 首席信息官/IT主管
- 安全与合规团队
- 数据保护官和企业架构师
- 高层利益相关者签署数据保护影响评估报告和采购文件
设计原则（概要）
-
通过架构而非承诺来保护隐私
执法是系统领域固有的机制，而不是依靠操作纪律。 -
可选择但不可绕过
客户可以选择级别——但一旦选定，技术上就会在所有模块中强制执行。 -
以审计为先，而非以事件为后。
所有与隐私相关的更改都会被记录、不可更改且可审查。 -
了解 GDPR，但不依赖于 GDPR
更高层次的设计初衷就是如此 学校以外 GDPR 的适用范围由结构决定。
五级隐私保护（反向模型）
注意
在V9中， 5级最安全。和 1级是最宽松的。.
这种倒置是刻意为之，明确地向高管层发出了风险信号。
第五级——完全匿名（设计上符合GDPR豁免要求）
用于：
机场、公共基础设施、政府大楼、对隐私要求极高的零售业、规避法律风险的企业。
这意味着什么：
- 不会收集、处理或存储任何个人数据。
- 没有标识符，没有信号，没有重识别向量
- 数据不能与任何外部数据集结合使用以识别个人身份。
允许
- 人口总数
- 定向流
- 时间总数（小时/天/周）
- 占用率阈值
不允许
- Wi-Fi
- 蓝牙
- 设备指纹识别
- 图像保留
- 路径重建
- 任何标识符持久性
合规态势
- 设计为 超出 GDPR 范围
- 大多数司法管辖区不需要数据保护影响评估 (DPIA)。
- 合规负担极小
第四级 – 匿名且具有短暂智能（GDPR豁免）
用于：
企业需要对运营情况有深入的了解，但又不希望泄露隐私。
这意味着什么：
- 可能存在短暂的、非持续性的信号。 在记忆中
- 不存储标识符
- 没有跨时间或跨地点的关联
允许
- 实时队列长度
- 实时入住率提醒
- 临时路径平滑（非持久性）
- 仅在设备上处理
不允许
- 持久性 ID
- 历史路径重玩
- Wi-Fi/BLE 存储
- 跨门店或跨日关联
合规态势
- 仍 架构方面不受 GDPR 约束
- 信号一旦过期，在数学上是无法恢复的。
第三级——匿名分析（符合GDPR规定）
用于：
零售分析团队，致力于平衡洞察力和合规性。
这意味着什么：
- 存在匿名标识符
- 标识符经过轮换、加盐处理，且不可由人类读取。
- 虽然没有直接识别，但GDPR适用。
允许
- 路径分析
- 停留时间
- 区域转换
- 有限的保留窗口
受限
- 无原始图像访问
- 不重复使用长期标识符
- 无外部数据连接
合规态势
- GDPR 适用
- 通常需要数据保护影响评估 (DPIA)。
- 需要强有力的内部控制
二级 – 增强信号（符合 GDPR 规定，风险更高）
用于：
高级分析、研发试点、受控环境。
这意味着什么：
- 可以启用其他传感模式。
- 需要更强有力的治理
允许
- Wi-Fi（哈希加盐）
- 蓝牙（可配置）
- 延长保留期（受策略约束）
语言要求
- 明确的客户认可
- 内部访问控制
- 定期审核
一级 – 最高能力（需要严格管理）
用于：
非常具体、经过法律审查的部署。
这意味着什么：
- 技术上已具备完整的平台功能。
- 最严格的合规义务
允许
- 所有传感模块（受法律约束）
- 纵向分析
不可转让
- 正式数据保护影响评估
- 法律签字
- 合同保障
- 持续审计准备
执行模式（这是关键所在）
隐私级别是 不是标签。 他们是 通过架构强制执行.
中央隐私注册中心（独立域名）
- 每家公司一个注册表
- 所有实体都享有相同的隐私级别：
- 设备
- 网站
- 地板
- 分析模块
- APIs
- 资料汇出
任何模块都无法在本地覆盖此设置。
配置和可见性
客户看到的
- 当前隐私级别（锁定后只读）
- 已启用/已禁用功能
- 生效日期
- 批准它的机构
他们可以改变什么
- 仅限于该级别允许的范围。
- 部分设置如下：
- 用户可调节
- 仅用于创建账户
- 完全锁定
审计跟踪（合规等级）
所有与隐私相关的操作都会被记录：
- 隐私级别选择
- 尝试进行的更改（已允许或已拒绝）
- 模块启用（Wi-Fi、BLE 等）
- 数据访问尝试
- 导出尝试
- API访问
- 保留率变化
这些日志如下：
- 不可变的
- 时间戳
- 归因于
- 可导出以供审计
这支持：
- 内部审计
- 外部审计师
- 监管调查
- 顾客自信心
这对高管意味着什么
- 隐私是一个 董事会层面的选择并非技术事故
- 风险是 可见的、有界限的、有记录的
- 执法是 系统的，而非程序性的
- 存在合规证据 before 应要求
这一点在人口统计中尤为重要，因为 感知风险往往高于实际风险。.