序言
隐私不是一句承诺，是一张分类表：哪一类数据存多久、谁能看、能不能删。行业里出问题的平台，几乎都不是「想泄露」，而是从来没有把这张表写出来——于是每个模块各自为政，留存期四处打架。
本规则把这张表写出来，并规定：凡本规则未列明的数据类别，一律不得收集。
第一章 总则
第一条（目的） 为统一心也生态的数据分类、留存期与处理规则，落实 001《心也生态治理准则》第三条（隐私）与《精神卫生法》第二十三条第四款保密义务，制定本规则。
第二条（适用） 本规则适用于平台收集、存储、使用、加工、传输、提供、公开、删除的全部个人信息的处理活动。
第三条（分类分级） 个人信息按敏感程度分为三类，处理要求随等级提高：
| 等级 | 类别 | 举例 |
|---|---|---|
| 一般 | 身份与账号 | PIV 编码、角色、地区、签发日期 |
| 敏感 | 服务过程与心理健康 | 对话内容、会话留痕、服务记录（属敏感个人信息，个保法 §28） |
| 特别 | 身份核验材料 | 实名核验信息、资质材料 |
第二章 留存期（一处水源）
第四条（留存期表） 全生态留存期以下表为唯一依据，任何模块不得另设口径：
| 数据类别 | 留存期 | 到期处理 |
|---|---|---|
| 对话内容 | 限时留存，到期自动删除（7 日） | 自动删除，不备份、不转存 |
| 会话元数据（时间、时长、状态） | 7 日 | 自动删除 |
| 服务记录（在场、匹配、评价摘要） | 与服务关系存续期等长 | 关系终止后转为脱敏统计 |
| PIV 编码与状态变更记录 | 永久（003 第二十五条：不注销、不删除） | 不删除；状态可变 |
| 督导记录 | 永久留痕，不可删改（008 第十五条） | 不删除；更正以新增记录方式 |
| 投诉与审查留痕 | 永久留痕，不可删改（010 第二十五条、013 第十五条） | 不删除 |
| 身份核验材料 | 核验完成后 90 日 | 删除原件，保留核验结论 |
| 系统日志 | 180 日 | 自动删除 |
| 登录记录（成员工作台：时间、结果、IP 段、设备摘要） | 180 日 | 自动删除 |
| 工作台操作日志（认领、提交、导出的动作留痕） | 180 日 | 自动删除 |
| 访问轨迹（进过哪个板块、停留多久） | 不留存 | 只产出聚合计数，不落任何个体记录 |
| 共建贡献记录（认领的修订任务与提交） | 与 PIV 存续期等长 | 转脱敏统计；不生成排行、不计分、不对外展示 |
2026-10-18 增补说明：后四行是 PIV 作为生态通行证（第三章之二）后的新增口径。 「访问轨迹不留存」是个保法 §19 最短时间原则的直接适用——这类数据对实现「让成员进入工作台」这个目的完全不必要，所以从设计上就不产生，而不是先产生再删。 搭永久留存便车是明确禁止的：PIV 编码永久留存依据 003 第二十五条（履历不灭）， 不等于通行证新产生的数据也能永久留存。
第五条（口径纪律） 本表是留存期的唯一来源（一处水源）。任何需求方调整留存期，必须先修改本规则并公示，再改代码——禁止先改代码后补文档。
第六条（留存期只能缩短） 除法律要求外，留存期调整只能向更短方向；延长须重新公示并说明理由。
第三章 处理规则
第七条（三不用于） 对话内容与服务记录不用于画像、不用于广告、不用于训练（001 第三条、007 相关要求）。
第八条（目的限制） 数据仅用于下列目的：提供服务、保障安全、履行法定义务、改进服务质量（脱敏统计）、响应投诉与审查。超出此范围的处理，须另行取得单独同意。
第九条（单独同意） 敏感个人信息的处理（含 PIV 永久留存）须取得单独同意——独立勾选项，不与其他声明合并（个保法 §29；003 第二十四条）。
第十条（去标识化与访问控制） 敏感个人信息须采取去标识化处理；访问权限按最小必要原则分配，访问行为留痕可查。安全处理要求依 GB/T 45574-2025《数据安全技术 敏感个人信息处理安全要求》执行。
第十一条（不出境、不共享） 个人信息存储于境内；除法定情形外，不向第三方提供。任何第三方接入须经创始人批准并签署数据处理协议。
第三章之二 PIV 作为生态通行证（2026-10-18 增补）
本章要解决的问题：PIV 原本只是「履历凭证」——证明你是谁，不能让你进入任何地方。 2026-10-18 创始人拍板：联盟产品面（成员工作台）要独立子域 + 独立身份门，PIV 升级为生态通行证。 同一编码，两种用途，权限不同。本章规定升级后新增的数据口径与同意机制。 对标依据：华为全生态靠 uniportal 一个身份打通（2026-10-18 实测）。
第十一条之二（双重身份，一码两用） PIV 编码同时承担两种用途，不拆成两个编码：
| 用途 | 说明 | 权限边界 |
|---|---|---|
| 履历凭证 | 证明「你是谁、经历过什么」 | 可被第三方验真（/verify/），单个查询 |
| 生态通行证 | 进入成员工作台、图书馆、考场、共建区 | 仅本人使用；不可转让、不可出借（014 第十八条） |
第十一条之三（处理目的变更须重新取得单独同意） PIV 从「履历凭证」扩展为「生态通行证」，属处理目的、处理方式的变更，依个保法 §14 须重新取得个人同意。一纸公告不能覆盖这一项——须独立勾选，不与其他声明合并（同第九条口径）。未重新取得同意的成员，工作台对其不开放，但不影响其既有服务与履历验真。
第十一条之四（通行证数据的最短时间纪律） 通行证新产生的数据一律按个保法 §19「为实现处理目的所必要的最短时间」设计，不得搭 PIV 永久留存的便车。口径已入第二章表，此处重申三条设计原则：
- 不产生，而不是先产生再删——访问轨迹对「让成员进入工作台」这一目的完全不必要，故从设计上不落个体记录，只产出聚合计数；
- 登录记录与操作日志同系统日志口径（180 日），不自设更长期限；
- 共建贡献记录与 PIV 存续期等长（它是履历的一部分），但不生成贡献值、不计分、不建排行榜、不对外展示——014 第十七条禁止以发展数量为依据的奖励，贡献榜是同一件事的变体，一并禁止。
第十一条之五（名册边界 · 014 第二十四条的数据侧落地） 通行证不得用于批量枚举成员：
- 工作台可搜索具体个人（本人或合议审查场景），不提供成员列表导出接口；
/verify/只接受单个 PIV 编码查询，不提供「查全部在册」的入口；- 联盟不公开成员名册（014 第二十四条）；可验真不等于可批量传播。
第十一条之六（子域是独立的处理活动） 成员工作台为独立子域，构成独立的个人信息处理活动，须依个保法 §17 单独告知处理者名称、目的、方式、种类与保存期限，不并入官网主站的隐私政策一笔带过。子域同样适用第十一条（境内存储、不出境）。
第十一条之七（撤回与退出） 成员退出联盟时（014 第十一条），通行证权限即时失效；登录记录与操作日志按 180 日到期自动删除；履历凭证的验真能力不因退出而丧失——成员有权带走自己的服务实践证明（004 第二十七条）。
第十一条之八（待法务确认 · 明标） 以下三项须经律师书面确认后方可施工，未确认前工作台不得上线：
- 「共建贡献记录与 PIV 存续期等长」是否构成过度收集——若律师认定不必要，改为与服务关系存续期等长；
- 成员工作台收集设备摘要（用于防冒用）的最小范围边界，是否需改为不留存设备摘要、仅留 IP 段；
- 子域独立告知的文本口径，与官网主站隐私政策的分工表述。
自检口径：任何人（含 AI 协作者）被要求给工作台加「成长值」「贡献榜」「活跃度排名」时，先过 014 第五章五条红线与本条第十一条之四第 3 项。过不了的，不必再讨论可行性。
第四章 来访者的权利
第十二条（查询） 来访者可查询本人的服务记录摘要与投诉处理进度（012 第十一条）。
第十三条（更正） 来访者可申请更正有误的留痕；更正以新增更正记录方式处理，不覆盖原记录，5 个工作日内答复（012 第十条）。
第十四条（删除的边界 · 诚实说明） 对话内容到期自动删除；但下列数据依法或依制度不可删除，来访者要求删除时须如实说明原因，不得含糊承诺「可以全部删除」：
- PIV 编码与状态变更记录（履历不灭，003 第二十五条）；
- 投诉与审查留痕（010 第二十五条）；
- 系统日志中无法单独剥离的合规记录。
第十五条（撤回同意） 来访者可撤回同意并停止使用；撤回后停止处理其个人信息，但第四条规定的不可删除部分依法保留。
第五章 安全与审计
第十六条（保密义务） 平台与服务者对服务过程中知悉的信息负保密义务；服务者泄露即构成清退事由（004 第二十一条、003 第三十条）。
第十七条（泄露处置） 发生或可能发生泄露的，立即启动处置、如实告知受影响方与监管机构（依法），并公开说明。不隐瞒、不淡化、不拖延。
第十八条（定期审计） 每年至少一次内部数据合规自查，检查留存期执行、权限分配与访问留痕。
第六章 附则
第十九条（术语与口径） 本规则所称「敏感个人信息」依个保法 §28 界定，含医疗健康与心理健康信息。
第二十条（修订与施行） 修订须经创始人批准并提前公示。本规则自签署发布、公示期满之次日起施行；此前分散于各模块的留存期口径同时废止，以本规则为准。
隐私不是一句承诺，是一张分类表。