GDPR 合规数据处理

要解决什么问题

在欧盟市场或面向 EU 居民的产品里，个人数据从采集、存储到删除，都要对齐 GDPR：同意是否可撤回、数据主体访问/擦除请求如何在 SLA 内闭环、处理器与控制者的责任边界怎么写进 DPA。很多团队不是缺条文原文，而是缺「从架构到流程」的可执行拆解——审查清单有了，落地时仍卡在字段级分类、日志留存与第三方 SDK 上。

技能如何协助落地

本技能把目标、约束和所需输入先对齐，再按场景套用合规实践并给出可验证的步骤，而不是只复述法条摘要。典型覆盖包括：

• 同意管理：收集点、粒度、记录与撤回路径
• 数据主体请求（DSR）：身份校验、导出格式、删除与例外（法定义务留存等）
• 合规审查：处理活动记录、合法性基础、跨境传输与分包商清单
• 隐私优先设计：数据最小化、默认设置、访问控制与审计线索
• 数据处理协议（DPA）：控制者/处理器条款与实操检查项

需要更完整的模式与示例时，可参照技能附带的 resources/implementation-playbook.md。

适用边界

任务与 GDPR 数据处理无关、或需要完全落在本技能范围外的其他法规/工具链时，不必启用本技能。它聚焦实施与验证，不能替代法务意见或正式 DPIA/律师签批文件。