PG移动端安全实验室：隐私说明

读者为何搜索隐私说明

读者往往想知道打开页面、填写纠错信息或访问外部来源时会留下什么。一个合格说明应按场景列出资料，而不是笼统写“可能收集信息”：公共阅读、主动联系、错误诊断和外部跳转的处理条件可能不同，应分别说明谁接收、为何需要及多久删除。

读者还需要区分必要与可选。完成页面传输所需的基础网络信息，不等于可以无限延伸到画像或营销；为了复现版面问题所需的设备类别，也不需要设备唯一标识。目的越窄，所需字段应越少，后来改变用途则需新的清楚说明。

本页不要求读者通过提交资料来“验证”隐私承诺。真正可查的是政策文字、浏览器公开信号、外部来源边界和联系材料的最小化要求。任何未由实际配置或公开政策证实的收集状态，都保持未确认。

对未成年人或需要协助的读者，隐私说明还应避免把同意责任推给无法理解复杂条款的人。辅助阅读者只应看到完成说明所需的信息，不能因协助操作而默认获得全部资料。若页面面向的年龄范围不清，不能据此推断已经采取了适龄设计或监护安排。

浏览器的清除记录功能也不是完整删除承诺。它可能移除本地缓存，却不能说明接收主体是否保留服务器记录、备份或纠错材料。读者应把本地清理与向实际处理主体提出的问题分开，两者解决不同位置的数据。

把宣传说法拆成可查命题

“我们重视隐私”要拆成数据类别是否列明、目的是否具体、保存期是否可理解、是否向其他主体披露、读者如何提出访问或删除问题。“采用安全技术”则要拆成传输、资源限制、访问控制和内部留存，不能用其中一项代替全部。

MDN说明，内容安全策略由网站向浏览器传递限制指令，可控制脚本等资源载入，并帮助降低跨站脚本、点击劫持或不安全请求等风险。即使观察到CSP，它也只是一层浏览器防护，不能证明数据没有被收集、不会被保存或只由一个主体处理。^来源1

“匿名”同样需要限定。去掉姓名后，设备组合、精确时间和网络信息仍可能让记录可关联；汇总数据若分组太小，也可能暴露个体。中性写法应说明采用了何种去标识方法和剩余风险，而不是用一个标签作绝对保证。

使用一手资料交叉验证

一手资料首先是本站可见的隐私文字和实际页面行为，其次是浏览器与标准组织对机制的说明。核对时把“政策承诺”与“技术信号”并排记录：承诺说明应当如何处理，信号只能展示某一时点可观察到的配置，两者一致才提高可信度。

WCAG 2.2要求内容以可感知、可操作的方式呈现，包括文字缩放、重排、焦点和状态识别等方面。隐私选择若藏在小字、无法用键盘到达或放大后被遮挡，即使文字法律含义完整，部分读者仍无法作出知情选择。^来源2

外部链接打开后，处理主体可能改变。进入前应能识别目的地；进入后以对方自己的隐私说明为准。本站引用某来源不表示接收或控制该来源的访问数据，也不应把两个域名的政策拼成一个连续承诺。

日期也要交叉检查。政策修订日、页面查看日和某项机制的技术版本不是同一时间。若政策写了新目的却未说明何时生效，应记录这一缺口；若旧截图与现文不同，不凭截图推断整个历史处理过程。

高风险措辞的中性改写

“百分之百保护”改为“采取所列控制以降低特定风险，但没有任何网络处理可作零风险保证”。“永不保存”只有在范围、例外和验证方式清楚时才可保留，否则改为“政策未说明长期保存”或“保存期尚未确认”。

“继续浏览即同意一切”会把不同目的压成一个选择。中性说明应区分必要处理与可选处理，并说明拒绝可选项目的影响。没有实际选择机制时，不虚构开关或撤回路径；应直接标明当前资料不足。

对外部主体也不用“可信合作方”替代名称、职责和地区。若只能确认资源来自某域，就写该资源来源；不知道其后续处理，就不要推断。评价词越强，越容易掩盖读者真正需要的可查信息。

行动摘要与来源目录

阅读隐私说明时，依次找主体、场景、字段、目的、保存期、接收方、地区和选择。少一项就把问题具体记下，不用一次性提交更多资料求解释。需要联系时，仅提供页面、日期和问题本身，先去除与核对无关的个人内容。

检查浏览器信号时，不把单一锁形图标、响应头或第三方检测结果当作隐私认证。技术机制应由其原始文档解释，实际政策应由处理主体说明；两类证据服务不同问题。

来源目录只支持邻近命题。MDN用于解释CSP能力边界，WCAG用于说明可访问的知情选择；它们都不证明本站或外部页面当前采用了某项配置。发现政策与页面行为不一致时，以可复现记录提出纠错，并保持结论有限。