沪粤数据合规 feely0208/dsh-local-regulation

@deepwhale-cn/dsh-local-regulation

Listed on dsh-plugin.org

国家法之外还有一层：上海、深圳两市自己的数据条例。装它，在交付前知道这一层有没有被漏掉。

关键词：上海数据条例 · 深圳经济特区数据条例 · 地方数据条例 · 数据合规检查 · 人脸识别显著标识 · 去标识化 · 用户画像 · 数据销毁规程 · 数据安全责任人 · 对外数据接口安全

⚠️ 适用范围需人工确认（先读这段）

本插件只覆盖上海、深圳两市条例；是否适用取决于实际运营地，需人工确认。

- 插件不判断、也不猜测你的实际运营地 —— 这是你的法务/合规同事才能确认的事；
- 其他城市（北京、广东、浙江等）另有地方规则，不在本插件覆盖范围内；
- 报告头部和页脚都会重复这条提示，避免把「上海/深圳的额外要求」误当成全国通用要求。

先说清楚它是什么、不是什么

是：把《上海市数据条例》和《深圳经济特区数据条例》里可以静态检测的那几条额外要求，落成 7 条判据，扫一遍代码库告诉你「这一层可能漏了什么」：人脸采集场所的显著标识与替代验证、对外提供个人数据前的去标识化、用户画像的明示与拒绝途径、敏感数据的安全管理责任人、数据来源与处理记录、共享开放与对外接口制度、数据销毁规程。

不是：
- ❌ 不是国家法的全覆盖 —— 个人信息保护法、数据安全法的常规项各有专门插件，这里只补「地方多出来的那层」
- ❌ 不是法律意见 —— 命中的是「值得人工确认的点」，不是「你违法了」
- ❌ 不判断运营地 —— 它不知道你的业务实际落在哪，也不该猜
- ❌ 不做动态检测 —— 只读仓库里的代码与文档；线下标识、内部制度、真实审批记录它都看不到
- ❌ 不承诺「保证通过」「绝对合规」 —— 静态检查只能降低漏项概率

一句话分界：国家法管全国，它只管上海、深圳多出来的那一层。

它查什么（7 条）

| 规则 | 查什么 | 级别 |
| LR-SH-23 | 人脸识别 / 图像采集场所：找不到显著标识与非唯一验证方式的说明（上海第二十三条）| 🟡 |
| LR-SZ-26 | 对外提供个人数据：找不到去标识化处理（深圳第二十六条）| 🔴 |
| LR-SZ-29 | 用户画像 / 个性化推荐：找不到用途、规则与拒绝途径（深圳第二十九条）| 🟡 |
| LR-SZ-73 | 处理敏感个人数据 / 重要数据：找不到安全管理机构与责任人（深圳第七十三条）| 🔴 |
| LR-SZ-75 | 数据处理全流程记录与来源合法性（深圳第七十五条）| 🟡 |
| LR-SZ-79 | 数据共享开放与对外接口：找不到安全管理制度（深圳第七十九条）| 🟡 |
| LR-SZ-80 | 数据销毁规程（深圳第八十条）| 🟡 |

每条都会给出：哪个文件、什么证据、依据是哪一条、建议怎么确认。 其中「找不到某说明」的判据是项目级 absence：位置显示为 / 表示全项目都没找到，证据里会写明实际检查了多少个文件。

判据的触发条件（先用 when 限定场景，避免误报）

| 规则 | 只在项目具备这些特征时才跑 |
| LR-SH-23 | 依赖含 face-api / arcsoft / baidu-aip / insightface / seetaface / facenet，或代码含 FaceEngine / detectFace / faceVerify / compareFace |
| LR-SZ-26 | 同一文件里同时出现导出动作（to_csv / to_excel / dumpdata / SELECT FROM / /export / /batch）与个人字段（身份证 / 手机号等）|
| LR-SZ-29 | 出现 user_profile / 用户画像 / 标签体系 / recommend / 协同过滤，或依赖 surprise / implicit / lightfm |
| LR-SZ-73 | schema / 模型 / 建表 SQL 含身份证、银行卡、生物特征、人脸、病历、行踪等字段 |
| LR-SZ-75 | 出现抓取、请求接口、读库、读文件动作（scrapy / requests.get / pd.read_ / jdbc / read_csv 等）|
| LR-SZ-79 | 出现 REST / GraphQL / webhook / OpenAPI 接口并返回用户或业务字段 |
| LR-SZ-80 | 出现 DELETE FROM / drop table / purge / destroy / shred / 硬删除 / 物理删除 |

不满足触发条件的规则会进入报告的「因不适用本项目未运行」列表， 不会假装检查过 —— 这是防「假绿」的硬要求。

出处

- 《上海市数据条例》（2021-11-25 通过，2022-01-01 施行）第二十三条
- 《深圳经济特区数据条例》（2021-06-29 通过，2022-01-01 施行）第二十六条、第二十九条、第七十三条、第七十五条、第七十九条、第八十条

判据逐条对照见 docs/规则依据.md；适用范围的人工确认流程见 docs/适用范围.md。

安装

dsh plugin --profile web add @deepwhale-cn/dsh-local-regulation

用法

检查当前项目 dsh-local-regulation

检查指定目录 dsh-local-regulation --root /path/to/project

看内置演示（一个「上海/深圳在营、各种地方要求都没落地」的样本项目） dsh-local-regulation --demo

列出 7 条判据与出处 dsh-local-regulation --list-rules

出 HTML 报告（可截图存档） dsh-local-regulation --root /path/to/project --html local-regulation.html

给 CI 用：有 high 命中时退出码 1bash dsh-local-regulation --root . --quiet

在 DSH 会话里也可以直接说：「按上海、深圳的数据条例查一下这个项目」，配套技能会调用同一个命令行。

一个真实的例子

--demo 的样本项目叫「星链会员平台」，看起来很正常：TypeScript 前端、FastAPI 后端、有隐私政策、有数据库表结构、有 ETL 脚本。它在 README 里明确写了运营地在上海、深圳。
但它把这些地方要求都漏了：

src/face/verify.ts 用人脸核验开门，没有标识与替代通行方式的说明 api/partner_export.py 把手机号、身份证号批量导出给合作方，没有去标识化 rec/user_profile.py 做用户画像与推荐，隐私政策里没有画像说明和关闭入口 db/schema.sql 有 id_card / face_id，没有数据安全管理责任人 etl/collect.py 抓取并读入订单数据，没有来源与处理记录 api/open.py 对外接口直接返回 phone，没有共享开放与接口制度 scripts/purge.sql 硬删除三个月前的数据，没有数据销毁规程

工具会把这些一条条拎出来：

深鲸守护 · 地方数据条例检查（仅上海 / 深圳）· 适用范围需人工确认 v0.1.0 检查规则 7/7 条命中 7 条

【高】2 条
· 对外提供个人数据：去标识化处理
· 处理敏感个人数据 / 重要数据：数据安全管理机构与责任人的设置

【中】5 条
· 人脸识别 / 图像采集场所：显著标识与非唯一验证方式的说明
· 用户画像 / 个性化推荐：明示用途、主要规则与拒绝途径
· 数据处理全流程记录与数据来源合法性
· 数据共享开放与对外接口：安全管理制度
· 数据销毁规程

反例 clean-project 是同结构的整改后项目：有 docs/数据安全管理制度.md、docs/数据来源与处理记录.md、 docs/人脸识别合规说明.md，导出前调用 utils/mask.py，本人导出路由用 /me/export， 7 条全部不报 —— 用来防止规则把合规写法也当成问题。

边界（这些情况它管不了）

- 地域适用性 —— 只覆盖上海、深圳；运营地不在两市时，本插件的命中与你无关，需人工确认
- 线下与制度 —— 显著标识贴没贴、内部制度有没有、责任人是否真在履职，静态扫描看不到
- 「找到关键词」不等于「做到」 —— 判据是文本存在性检查，文档里写了关键词但实际没执行，它发现不了
- 反过来，「没找到关键词」也不等于「没做」 —— 说明可能在线下物料、内部知识库、工单系统里
- 不覆盖国家法常规项 —— 个人信息保护影响评估、单独同意、跨境、等保等各有专门插件
- 扫描盲区 —— node_modules / dist / build 等目录默认跳过；文档若只存在于这些目录会漏看
- 测试/示例字段 —— 敏感字段如果只出现在 tests/fixtures 或示例文档里，也可能触发对应规则，需人工判断

开发 bash bash tests/run.sh # 双向验证：7 条逐条报出 + 反例 0 命中 + 溯源 + 适用范围提示
node bin/cli.mjs --demo # 内置样本演示

样本目录（同时是 --demo 的数据源，没有第二套）：

tests/fixtures/fail/demo-project/ 正例：上海/深圳在营、7 条地方要求全漏 tests/fixtures/pass/clean-project/ 反例：同结构 + 制度文档 + 脱敏工具 + 本人导出边界

深鲸网安守护系列（共 39 个）

一个插件做一件事。安全问题是链式的 —— 配套用才完整。

国内合规（12）｜ 等保对照 · 日志留存 · 备案公示 · 用户同意 · 个人信息权利 · 未成年人保护 · 影响评估 · 数据分类分级 · 算法备案 · 数据出境 · 国密合规 · AI 内容标识

AI 与 Agent 治理（6）｜ AI 输出信任 · 外部内容信任 · MCP 安全 · Agent 权限 · 策略核对 · 可疑指令数据与凭据（5）｜ 敏感数据 · 密钥轮换 · 数据留存 · 配置审计 · 密钥扫描

供应链与构建（5）｜ 开源许可 · 依赖投毒 · CI 安全 · 工具审查 · 物料清单

权限与应急（3）｜ 最小权限 · 告警外发 · 应急证据包

行业专项（4）｜ 医疗行业专项 · 教育行业专项 · 金融行业专项 · 地方数据条例

编排与交付（4）｜ 一键体检 · 改前改后复核 · 合规可交付文档 · 整改建议

都在 DSH 插件市场（dsh-plugin.org）、npm 和 deepwhale.org.cn/guard.html 上。

License

MIT © 深鲸 DeepWhale