App违规通报常态化、监管执法体系化的当下，个人信息保护不只是开发者的课题——线下门店办会员卡、企业招聘收简历、店铺做客户回访，都在处理个人信息。本文以问答形式，讲清企业经营中最常见的数据合规问题。
一、什么算个人信息处理活动？
收集、存储、使用、加工、传输、提供、公开、删除个人信息，都属于处理活动。个人信息包括姓名、电话、身份证号、行踪轨迹等能识别到个人的信息；无法识别单个人但与个人信息结合后可识别的，也纳入保护范围。企业只要在业务中接触客户、会员、员工、求职者的可识别信息，就负有合规义务。
二、收集客户信息要注意什么？
- 最小必要：只收集与业务直接相关的信息，办会员卡不需要身份证号就别收；
- 明示告知：以清晰易懂的方式告知收集目的、方式、范围与保存期限；
- 单独同意：向第三方提供、公开、处理敏感个人信息（生物识别、金融账户、行踪等）须取得单独同意；
- 不强制捆绑：不同意非必要授权不得拒绝提供基本服务。
三、隐私政策怎么写才合规？
隐私政策要回答“收什么、为什么收、怎么存、给谁用、存多久、怎么撤回”：与企业实际处理行为一致（写一套做一套是典型违规）；显著公示且易于访问；使用通俗语言，避免藏在深层页面。线上业务还应提供授权撤回入口，不能只留“同意”按钮。
四、员工与求职者信息能随便用吗？
不能。招聘收集的简历按最小必要原则管理，未录用的候选人信息到期删除或匿名化；员工个人信息用于考勤、薪酬、社保属必要范围，但用于监控、对外分享须有制度依据与告知。员工信息的存储期限、访问权限应制度化，离职交接中注意回收账号与资料。
五、用户要求查、删信息怎么办？
个人信息保护法赋予个人查阅、复制、更正、删除等权利。企业应提供可行的响应渠道并在合理时限内处理：核实身份后提供所存信息的副本；撤回同意或超期保存的，主动删除。无法响应的技术原因要向用户说明。注销账号请求是高频场景，通道要通畅、流程不能层层加门槛。
六、给企业的落地建议
数据合规的核心不是文档而是流程：建立个人信息台账（存什么、谁管、存多久），权限分级（谁能导出客户名单），合作方约束（委托处理签协议、限定用途），应急预案（泄露后及时通知与上报）。规模较小的企业至少做到“最小收集+告知到位+到期删除”三件事。
上海聚儒提供公司注册、代理记账及资质许可等服务，欢迎致电+86 21-68881812咨询。
更多企业常见问题解答，欢迎访问聚儒资讯中心。
上海聚儒投资管理有限公司提供相关咨询。总部上海市浦东新区张杨路188号汤臣中心B栋305、308、310、312室，电话+86 21-68881812、+86 21-68881813。具体路径与结果以主管部门审核为准。