HYK-MS-103 隐私信息适用性声明(SOA)5.24.xlsVIP

隐私信息适用性声明(SOA)

修订记录

_ftn1

_ftn2

_ftnref1

_ftnref2

_HlOLE_LINK2

信息隐私适用性声明(SOA)

修订记录

变更日期

版本

变更说明

编写

审核

批准

V1.0

初始版本,文档建立

信息安全与隐私安全小组

隐私信息适用性声明（SOA）

文档编号：

文档版本号：

首次版本日期：

当前版本日期：

文档编制人：

文档审核人：

文档批准人：

密级：

内部公开

1.综述

安全控制是按照“ISO/IEC27701:2019隐私信息管理—要求与指南”经过信息安全风险与PII处理过程相关的隐私风险的风险评估和管理程序而采纳的。

2.不适用于公司的PIMS控制措施:

附录APIMS专有的参考控制目标和控制（PII控制者）不适用，附录B：B.8.5.2PII可以被转移的国家和国际组织不适用。

3.采取安全控制的原则

1)符合国家法律法规及行业监管要求；

2)符合公司策略和方针；

3)符合ISO27701标准要求；

4)符合公司管理层要求。

5)符合客户对公司信息安全与隐私的要求。

标准条款

实施指南

是否适用

控制措施

相关文件

PIMS--针对PII控制者特殊的控制目标和控制措施

A.7.2收集和处理

删减

目标：确定并文件化处理过程的合法性，确定适用司法管辖权的法律基本要求、明确定义和合法目的。。

A.7.2.1

确定并文件化目的

PII控制者

NO

不适用

无

A.7.2.2

识别法律法规的基本要求

A.7.2.3

确定何时与如何获得同意

A.7.2.4

获取和记录同意

A.7.2.5

隐私影响评估

A.7.2.6

与PII处理者合同

A.7.2.7

联合PII控制者

A.7.2.8

与PII相关的处理记录

A.7.3针对PII主体义务

目标：确保PII主体可以获得恰当的有关他们的PII处理过程信息，同时满足其他的与PII处理过程相关的II主体任何适用的义务。

A.7.3.1

确定并充分履行对PII负责人的义务

A.7.3.2

确定给PII主体信息

A.7.3.3

提供给PII主体信息

A.7.3.4

提供修改或撤回同意机制

A.7.3.5

提供反对PII处理过程的机制

A.7.3.6

访问、纠正和或删除

A7.3.7

PII控制者通知第三方合作者义务

A.7.3.8

提供处理的PII副本

A.7.3.9

处理请求

A.7.3.10

自动化制定决策

A.7.4设计隐私保护和默认隐私保护

目标：确保设计处理和系统时将PIl的收集和处理（包括使用，披露，保留，传输和处置）限制在确定的目的所必需的范围内。

A.7.4.1

限制收集

A.7.4.2

限制处理过程

A.7.4.3

精度和质量

A.7.4.4

PII最小化目标

A.7.4.5

去识别化的PII信息与在结束处理过程时删除

A.7.4.6

临时文件

A.7.4.7

保留

A.7.4.8

处置

A.7.4.9

PII传输控制

A.7.5PII分享、转移和披露

目标：根据适用的义务确定是否PII被分享、转移给其他司法管辖区的组织或第三方、和/或披露并文件化。

A.7.5.1

识别PII在两个司法管辖权之间转移的基本要求

组织无PII处理过程和PII角色管理要求

A.7.5.2

PII可以被转移的国家和国际组织

A.7.5.3

PII传输记录

A.7.5.4

PII披露给第三方记录

PIMS--针对PII处理者特殊的控制目标和控制措施

B8.2收集和处理

目标：确定并文件化处理过程的合法性，确定适用司法管辖权的法律基本要求、明确定义和合法目的。

B.8.2.1

客户协议

PII处理者

YES

签署相关协议，确保处理PII的合同说明了组织在协助客户履行其义务方面的作用。

《YXW-MS-232PII处理者管理程序》

B.8.2.2

组织目的

建立管理职责和规程，确保代表客户的PII处理，只处理客户书面说明中表述的目的。

B.8.2.3

用于营销和广告

建立管理职责和规程

B.8.2.4

违规说明

B.8.2.5

客户义务

建立管理职责和规程，向客户提供适当的信息，以便客户可以证明其已履行其义务。

B.8.2.6

处理PlI过程相关记录

B8.3针对PII主体义务

目标：确保向PII主体们提供有关其PIl处理的适当信息，并履行与PlI主体其PII处理有关的任何其他适用义务。

B.8.3.1

针对PII主体义务

签署相关协议，向客户提供方法，以履行其与PII主体有关的义务。

B8.4设计隐私保护和默认隐私保护

B.8.4.1

建立管理职责和规程，确保以安全方法提供返还，转移和/或处置PII的能力，并且还应向客户提供其策略。

《YXW-MS-232PII处理者管理程序》《YXW-MS-