隐私合规对照 feely0208/dsh-cn-pipl-check

@deepwhale-cn/dsh-cn-pipl-check

dshfind 收录

Listed on DSH Plugin Hub

安装

dsh plugin --profile web add @deepwhale-cn/dsh-cn-pipl-check
个人信息保护：声明 ↔ 实现对照 —— 给 DeepSeek Harness 用的技能插件。

回答一个具体问题：隐私政策里承诺的，和代码里真做的，是不是一回事？

应用市场驳回的第一大原因不是文案写错，而是这两者对不上 —— 政策说「不收集位置」，代码里却有定位权限；政策承诺「可随时注销」，App 里找不到入口。

它查什么

| 项 | 具体是什么 |
| 权限最小必要 | 每个权限有没有非它不可的功能？申请时机对不对？有没有说明用途？ |
| 第三方 SDK 清单 | 打包里真实存在的 SDK（统计/推送/地图/支付/广告…）与政策里写的清单是否一致 |
| 用户权利入口 | 查阅 / 复制 / 更正 / 删除 / 注销账号 / 撤回同意，是否都有可操作的入口 |
| 敏感信息单独同意 | 人脸、指纹、行踪、医疗、金融、十四周岁以下 —— 是否单独弹窗，而非混在总协议 |
| 数据出境 | 出站域名与服务商在境内还是境外，政策有没有写 |
| 承诺可落地 | 政策里每一条具体承诺，能否在实现里找到对应 |

为什么它比「列一堆检查项」有用

因为它给的是事实，不是结论。

scan.sh 的输出长这样（真实取证，带文件与行号）：

── 2. 代码里真实声明的权限 ──
· ACCESS_FINE_LOCATION （AndroidManifest.xml）
· NSCameraUsageDescription （Info.plist）

── 3. 可能收集个人信息的第三方 SDK ──
· build.gradle: com.umeng.analytics:analytics:9.3.8
· package.json: react-native-amap-geolocation

── 4. 用户权利入口 ──
· SettingsActivity.java: 注销账号

而定性留给人和审核方 —— 因为合规定性要看业务场景、看有没有真的取得同意、看监管口径，这些脚本都看不到。一份「看起来权威但其实在瞎定性」的报告，比没有报告更危险。

所以技能正文里反复强调两句话：
- 找不到 ≠ 没有（可能叫别的名字，或在服务端实现）
- ❌ 只代表「没匹配上」，必须人工逐条确认真实情况

安装

dsh plugin --profile <profile> add @deepwhale-cn/dsh-cn-pipl-check

然后重启 dsh。技能会在需要时自动可用。

用法

装上之后，直接让智能体「做一次个人信息保护对照」，它会：

1. 先跑取证脚本（扫权限、SDK、权利入口、出站域名、隐私政策定位）
2. 按六个必查项逐条对照
3. 产出对照表 + 需人工判断清单（格式见技能正文第四节）

也可以自己跑脚本：

脚本路径由插件注册时注入到技能正文里，或直接到安装目录找 skill/scan.sh scan.sh --dir /path/to/app --policy /path/to/privacy.md

与相邻技能的边界

这四个包的划分是刻意分开的，不能互相替代：

| 包 | 管什么 |
| dsh-cn-compliance | 话能不能说 —— 对外文案红线 |
| dsh-cn-ai-labeling | AI 标识做没做 —— 生成合成内容的显式/隐式标识 |
| dsh-cn-pipl-check | 说的和做的是否一致 —— 隐私相关 |
| dsh-release-selfcheck | 东西对不对 —— 发布产物与流程 |

许可

MIT