Q 是否采用“主动勾选”“分层授权”模式获取数据主体同意，未使用默认勾选、捆绑同意（如不同意收集非必需数据则无法使用核心服务）等违规方式？

Q 若需将数据用于新的业务目的，是否重新获取数据主体的明确同意，并更新隐私政策及相关记录？

Q 是否仅收集实现业务目的所必需的最少数据，未过度收集无关信息（如资讯类APP收集用户银行卡信息）？

Q 是否对表单/注册页做最小字段设计，非必要字段默认隐藏或可选？

Q 收集16岁以下未成年人个人数据时，是否已获取其监护人的明确同意，并留存监护人身份验证及同意记录？

Q 从第三方获取个人数据时，是否确认第三方已合法获取该数据，且已获得数据主体关于数据共享的同意，并签订相关协议？

Q 是否不收集与服务无关的敏感数据（种族、宗教、健康、性取向、生物识别等）？

Q 收集敏感个人数据（如健康、基因、生物识别、宗教信仰数据）时，是否已获取数据主体的明确同意，且单独列明敏感数据的收集目的及使用限制？

Q 是否对敏感数据采取加密存储措施（如AES-256、RSA-4096加密），包括本地存储和云端存储？

Q 是否定期对数据存储系统进行安全审计，排查未授权访问、数据泄露等风险，并留存审计记录？

Q 是否明确各类个人数据的存储期限，且存储期限未超过实现业务目的的必要时间，无永久存储数据的情况？

Q 是否建立数据存储期限清单，明确不同类型数据（如订单数据、用户注册信息）的保留时长及到期处理方式？

Q 数据备份是否同步遵循存储期限要求，主数据删除后，是否及时删除所有备份数据（包括本地备份、云端备份）？

Q 是否实行数据访问“最小权限原则”，仅授权员工访问其工作必需的个人数据，无全员可访问所有数据的情况？

Q 存储设备（如服务器、电脑、移动设备）报废或处置时，是否对设备中的个人数据进行彻底销毁（如专业粉碎、格式化），确保数据不可恢复？

Q 是否对存储的个人数据进行定期核验，及时清理无效、过期数据，确保数据的准确性和时效性？

Q 是否严格按照数据收集时告知的目的使用数据，未超出目的范围使用（如将配送地址数据用于营销推广）？

Q 进行自动化决策、用户画像（如信用评分、招聘筛选）时，是否告知数据主体相关情况，且提供人工干预、表达观点、质疑决策的渠道？

Q 是否禁止员工私下使用、复制、传播个人数据，且与所有处理数据的员工签订数据保密协议？

Q 是否定期对员工的数据使用行为进行监督，及时发现并制止违规使用数据的行为，留存监督记录？

Q 是否建立数据使用审批流程，跨部门、跨目的使用个人数据时，需提交申请并经审批通过后方可使用？

Q 使用个人数据进行数据分析、研究时，是否对数据进行匿名化处理，避免识别到具体数据主体？

Q 是否禁止将个人数据用于非法营利活动（如倒卖用户数据），无未经同意向第三方出售、出租数据的情况？

Q 与第三方（如物流、支付、云服务商）共享个人数据前，是否已获取数据主体的明确同意（法律豁免情形除外）？

Q 是否对合作第三方进行数据保护合规审查，确认其具备足够的数据保护能力，且仅允许第三方访问其必需的个人数据？

Q 与第三方共享数据时，是否签订正式的数据处理协议，明确双方的权利义务、数据保护要求及违约责任？

Q 是否定期对第三方的数据处理行为进行监督，核查其是否严格按照协议要求处理数据，留存监督记录？

Q 第三方终止合作后，是否要求其及时销毁所获取的个人数据，并提供销毁证明，且进行核实确认？

Q 向欧盟境外传输个人数据时，是否确认接收方所在国已获得欧盟“充分性认定”，或已签订欧盟标准合同条款（SCCs）？

Q 若接收方所在国未获得“充分性认定”且未签订SCCs，是否获得个人信息主体的单独同意？

Q 数据传输是否采取了加密、匿名化等保障措施，确保数据传输的安全？

Q 是否留存所有数据共享、跨境传输的记录，包括传输时间、数据类型、接收方、合规依据等，以备监管检查？

Q 是否建立了便捷的渠道（如线上表单、客服热线、邮箱），供数据主体提交访问、更正、删除等权利请求？

Q 是否明确专人或专门团队负责处理数据主体的权利请求，且制定了标准化的处理流程？

Q 收到数据主体的访问请求后，是否在30个工作日内免费提供其个人数据副本及处理详情，无无故拖延的情况？

Q 收到数据主体的更正请求后，是否及时纠正不准确、不完整的个人数据，并通知所有接收过该数据的第三方？

Q 当数据无合法用途、数据主体撤回同意或处理行为违法时，是否响应数据主体的删除请求，及时彻底删除相关数据？

Q 数据主体要求限制数据处理时（如对数据准确性有异议），是否暂停相关数据的处理，仅保留存储功能？

Q 数据主体反对将其数据用于营销、合法利益等目的时，是否立即停止相关处理行为（有合法例外情形的除外）？

Q 数据主体提出数据可携权请求时，是否以结构化、通用、机器可读的格式提供其个人数据，或直接传输至另一数据控制者？

Q 是否留存所有数据主体权利请求的处理记录，包括请求内容、处理过程、处理结果、反馈时间等？

Q 是否采取了与数据风险等级匹配的技术和组织保障措施（如多因素认证、防火墙、数据脱敏），防范数据泄露、窃取、损毁？

Q 是否定期开展数据安全漏洞扫描和风险排查，及时修复安全漏洞，留存排查及修复记录？

Q 是否定期开展数据保护影响评估（DPIA），尤其是对大规模处理敏感数据、自动化决策等高风险处理活动？

Q 是否制定了数据泄露应急预案，明确泄露后的应急处置流程、责任分工、通报时限及补救措施？

Q 是否定期开展数据泄露应急演练，检验应急预案的有效性，优化处置流程？

Q 发生数据泄露后，是否在72小时内（医疗行业48小时内）向欧盟数据保护监管机构通报，特殊情况无法按时通报的是否说明理由？

Q 数据泄露可能对数据主体权利造成严重影响时，是否及时通知受影响的数据主体，告知泄露情况及应对建议？

Q 是否定期对员工开展数据安全及GDPR合规培训（包括入职培训、年度复训），提升员工数据保护意识？

Q 是否建立了数据安全事件记录制度，对所有数据安全相关事件（如泄露、未授权访问）进行详细记录，包括事件原因、处理过程、整改措施？

Q 是否建立了完善的GDPR合规管理制度，包括隐私政策、数据处理流程、安全管理规范等，且定期更新？

Q 是否明确了企业内部数据保护的责任分工，有高级管理人员负责统筹GDPR合规工作？

Q 是否根据业务规模和处理活动风险，判断是否需要任命数据保护官（DPO），需任命的已任命且DPO可直接向最高管理层汇报？

Q 是否留存了所有数据处理活动的记录（ROPA），包括数据类型、处理目的、合法依据、存储期限、共享对象等，且及时更新？

Q 是否定期开展内部GDPR合规审计，排查合规风险，形成审计报告并落实整改措施？

Q 是否采用“隐私设计与默认”原则，在系统开发、业务流程设计初期就嵌入数据保护措施（如默认隐私设置）？

Q 当依赖“合法利益”作为数据处理依据时，是否完成了合法利益评估（LIA），包括目的测试、必要性测试及权利平衡测试？

Q 是否建立了GDPR合规问责机制，对违规处理数据的行为进行追责，且留存追责记录？

Q 使用非必要Cookie（如用于营销、用户行为分析的Cookie）前，是否已获取数据主体的明确同意，未默认开启非必要Cookie？

Q 是否在用户首次访问时，以清晰可见的方式（如弹窗、Banner）告知Cookie的类型、使用目的、存储期限及数据主体的拒绝/撤回权利？

Q 是否留存用户关于Cookie同意/拒绝的记录，包括操作时间、选择内容，以备监管检查及用户查询？

Q 是否提供Cookie分类管理选项，允许用户单独同意或拒绝不同类型的Cookie（如必要Cookie、营销Cookie、分析Cookie），而非只能整体同意/拒绝？

Q 是否提供便捷的Cookie管理入口（如网站底部链接、设置按钮），允许用户随时查看、修改、删除已同意的Cookie？

Q 是否明确区分必要Cookie与非必要Cookie，仅将必要Cookie（如保障网站正常运行的Cookie）设置为默认开启，且告知用户必要Cookie的必要性？

Q 用户拒绝或撤回非必要Cookie同意后，是否立即停止使用该类Cookie，且不影响网站核心功能的正常使用？

Q 使用第三方Cookie（如广告、分析类第三方提供的Cookie）时，是否告知用户第三方信息及Cookie使用范围，并确认第三方符合GDPR合规要求？

Q 是否在隐私政策中详细列明所有使用的Cookie信息，包括Cookie名称、所属主体、使用目的、存储期限及查看/删除方式？