港股IPO有隐私政策就够了吗？个人信息流向还要能查清

隐私政策不是履行记录

不够。网站上有隐私政策，并不能单独证明业务中每个环节都按政策执行。港交所《新上市申请人指南》第3.7章要求说明经营中取得的个人资料及保护政策，涉及收集、储存、处理、使用、转移、披露、保留和销毁；还涉及相关司法辖区的合规状态及重大数据泄露事件。

这是一项上市披露准备方向，不是港交所对企业数据活动的合法性认证。适用哪些数据保护法律、需要哪些程序，应结合实际地区、主体、数据及处理方式由专业人员核对。

从一项实际业务走一遍

以假设的客户售后流程为例：客户提交联系方式和问题，客服系统保存记录，维修服务商接单，处理结束后还有保留和删除安排。企业需要查明每一步谁操作、信息送到哪里、保存多久及依据是什么。本文不设所有企业通用的保存天数。

可以先按业务列出必要信息类别，再对应系统、负责主体和外部接收方。为了准备申报材料，不必把客户身份证或其他敏感原件集中复制给所有参与人员；核验资料应限制在必要范围，并采取适当的访问安排。

外包服务没有让数据流程消失

采用云系统或第三方客服时，应把实际服务内容、数据访问方式和合同安排一并交接。服务商宣传其系统安全，不足以证明申请人自己的权限配置和使用方式正确。

合同、权限清单和执行记录应能相互对应。政策写了删除机制，但业务系统无法说明如何处理到期数据，就留下了事实缺口；具体是否构成违反适用法律，仍须专业判断，不能由本文直接下结论。

有事件时区分发现、处置与结论

事件台账可记录发现时间、已知范围、处理措施、调查进度和后续改进。内部尚未查明的情况应保持未决，不应改写成“没有影响”。同样，系统告警本身也不自动等于已经发生重大泄露。

申报团队应在保护个人信息的前提下核对事件性质及披露范围。本文不提供跨境传输豁免，不认定特定业务无需许可，也不承诺一份政策或一次检查能消除全部风险。