OpenClaw 产品《数据安全法》合规清单

本清单基于《中华人民共和国数据安全法》编制，精准匹配 OpenClaw（开源 AI Agent，含企业版 ClawPro）产品特性，覆盖个人开发者、企业部署方、运营管理方的全维度合规义务。

一、合规基础与核心原则

✅ 数据处理活动遵循合法、正当、必要原则

法律依据：《数据安全法》第 3 条、第 4 条

检查项

已明确 OpenClaw 可处理的数据范围，禁止处理国家秘密、核心数据、未经授权的重要数据及个人敏感信息
所有自动化任务（含网页抓取、文档解析、API 数据拉取）均已设定合规边界
数据处理目的与业务需求直接相关，无过度收集、超范围处理

✅ 遵守数据安全法律法规，履行保护主体责任

法律依据：《数据安全法》第 8 条、第 27 条

检查项

已明确 OpenClaw 部署方/运营方为数据安全责任主体
开源二次开发版本已界定开发方与使用方的责任边界
企业版部署已完成内部权责划分，无责任空白区域

✅ 数据新技术研发与应用符合社会公德与伦理

法律依据：《数据安全法》第 28 条

检查项

已对技能插件、自动化任务执行做合规校验
禁止开发/使用非法数据抓取、数据破解类插件
已建立任务执行合规前置校验机制

二、组织架构与责任体系

✅ 明确数据安全负责人和管理机构

法律依据：《数据安全法》第 27 条

检查项

企业级部署场景已明确数据安全负责人、管理机构及岗位职责
数据安全负责人具备对应专业能力与管理权限
开源个人使用场景已明确合规责任与操作红线

✅ 建立健全全流程数据安全管理制度

法律依据：《数据安全法》第 27 条

检查项

已制定《数据安全管理规范》，覆盖数据采集、存储、处理、传输、共享、销毁全流程
制度包含自动化任务审批规则、网页抓取合规规则、文档处理权限规则等
制度已完成内部发布、培训与落地执行

✅ 组织开展数据安全教育培训

法律依据：《数据安全法》第 27 条

检查项

已对使用人员、运维人员、管理人员开展数据安全专项培训
每年至少开展 1 次全员培训与考核

三、数据分类分级与重要数据保护

✅ 建立数据分类分级保护制度

法律依据：《数据安全法》第 21 条

检查项

已对接国家及行业数据分类分级规则，明确核心数据、重要数据、一般数据的划分标准
针对不同等级数据设置差异化的访问权限、处理规则、加密要求与审计机制
禁止处理核心数据，确需处理重要数据已单独制定专项保护方案

✅ 重要数据处理者定期开展风险评估

法律依据：《数据安全法》第 30 条

检查项

处理重要数据场景每年至少开展 1 次全流程数据安全风险评估
风险评估报告覆盖法定内容，已向主管部门报送

✅ 重要数据目录动态更新

法律依据：《数据安全法》第 21 条、第 24 条

检查项

已建立重要数据动态识别机制，对新增数据同步完成分级判定
行业重要数据目录更新后 15 个工作日内完成管控措施同步调整

四、数据全生命周期处理合规

（一）数据采集/抓取环节

✅ 数据采集来源合法

法律依据：《数据安全法》第 32 条

检查项

已明确网页抓取、OCR 识别、文件读取、API 数据拉取的合法来源边界
网页抓取功能已适配 robots 协议，设置合理访问频率
采集公开数据时不侵犯他人知识产权、商业秘密与个人信息权益

✅ 遵循最小必要原则

法律依据：《数据安全法》第 3 条、第 27 条

检查项

所有自动化采集任务均已限定数据采集范围、字段、频次
文档解析、表格处理等功能仅读取完成任务必需的最小数据内容

（二）数据存储环节

✅ 采取加密、备份等技术措施保障存储安全

法律依据：《数据安全法》第 27 条

检查项

重要数据、敏感数据已采用国密算法加密存储
已建立数据备份机制，定期备份核心业务数据
Memory 记忆功能日志已设定存储期限与安全管控规则

✅ 重要数据核心存储节点位于境内

法律依据：《数据安全法》第 31 条

检查项

境内业务场景下重要数据存储于境内服务器
已关闭非必要的境外数据同步功能

（三）数据处理/使用环节

✅ 数据处理活动符合授权范围

法律依据：《数据安全法》第 27 条、第 32 条

检查项

已基于角色权限设置 OpenClaw 操作权限
自动化任务执行前已完成合规与权限校验
数据脱敏、去标识化处理已制定规范流程

✅ 禁止实施危害数据安全的行为

法律依据：《数据安全法》第 3 条、第 32 条

检查项

已禁止通过 OpenClaw 开展危害国家安全、公共利益的数据活动
无批量处理、出售、非法提供他人数据的设计
已建立异常数据处理行为的监测拦截机制

（四）数据传输/共享/提供环节

✅ 数据传输采取安全加密措施

法律依据：《数据安全法》第 27 条

检查项

公网传输数据已采用 HTTPS、SFTP 等合规加密协议
多端消息推送、跨系统 API 联调场景已设置传输鉴权与加密机制

✅ 向第三方提供数据履行合规审批义务

法律依据：《数据安全法》第 27 条、第 32 条

检查项

已建立第三方数据共享审批机制，完成合规审批与风险评估
与第三方签订数据安全协议，明确双方数据安全责任

（五）数据销毁环节

✅ 建立数据销毁全流程管控机制

法律依据：《数据安全法》第 27 条

检查项

已建立"申请-审批-执行-验证"全流程数据销毁机制
任务到期、授权终止、存储期限届满数据已及时完成销毁
销毁方式符合国家相关标准，完成不可恢复性验证

五、风险监测、应急处置合规

✅ 加强数据安全风险监测

法律依据：《数据安全法》第 29 条

检查项

已建立全流程数据安全风险监测机制
发现安全漏洞、缺陷时立即采取补救措施
开源二次开发版本已建立常态化漏洞扫描机制

✅ 制定数据安全事件应急预案

法律依据：《数据安全法》第 29 条

检查项

已制定数据安全事件应急预案，明确事件分级、处置流程、上报机制
安全事件发生后立即启动应急预案，及时告知用户并上报主管部门
每年至少开展 1 次应急演练

六、技术防护与基础安全合规

✅ 在等级保护制度基础上落实数据安全保护义务

法律依据：《数据安全法》第 27 条

检查项

企业版云端部署场景已按等保 2.0 要求完成定级、备案、测评与整改
本地部署版本已落实网络安全防护措施，部署防火墙、入侵检测等设备

✅ 采取技术措施保障可追溯、可审计

法律依据：《数据安全法》第 27 条、第 28 条

检查项

已建立全流程操作审计机制，全程留痕
审计日志至少留存 6 个月，重要数据审计日志留存不少于 1 年
定期开展合规审计，形成审计报告与整改方案

✅ 落实身份认证与访问控制

法律依据：《数据安全法》第 27 条

检查项

OpenClaw 管控台已实施强身份认证机制，采用多因素认证方式
已基于最小权限原则设置访问控制策略
已建立权限申请、审批、变更、注销全流程管理机制

七、数据出境与跨境合规

✅ 重要数据出境履行法定合规程序

法律依据：《数据安全法》第 31 条、第 35 条

检查项

确需向境外提供的重要数据已通过数据出境安全评估、标准合同备案或安全认证
无通过 OpenClaw 境外节点非法传输、存储境内重要数据的情形

✅ 遵守国家出口管制规定

法律依据：《数据安全法》第 25 条

检查项

已排查 OpenClaw 处理的数据与技术是否属于出口管制范围
无违反国家出口管制规定向境外提供管制类数据的情形

八、禁止性义务与红线合规

⚠️ **三条绝对红线**

❶ 不得窃取、非法获取、非法出售、非法向他人提供数据

❷ 不得开展危害国家数据安全、损害公共利益的数据处理活动

❸ 不得拒不配合监管部门的数据安全监督检查工作

✅ 不得窃取、非法获取、非法出售数据

法律依据：《数据安全法》第 32 条

检查项

无任何窃取、非法获取他人数据的功能设计与应用场景
已建立违法违规行为的拦截与追责机制

✅ 不得危害国家数据安全、损害公共利益

法律依据：《数据安全法》第 3 条、第 4 条

检查项

禁止通过 OpenClaw 处理危害国家主权、安全和发展利益的数据
无批量汇总、分析可能危害国家安全、公共利益的数据的场景
属于审查范围的已主动履行申报义务

✅ 不得拒不配合监管部门监督检查

法律依据：《数据安全法》第 35 条

检查项

已明确监管配合责任与对接流程
无拒绝、阻碍监管部门依法实施检查、调查取证工作的情形

九、持续合规管理

✅ 合规制度与管控措施动态更新

法律依据：《数据安全法》全条款

检查项

法律法规更新后 30 个工作日内完成合规制度修订与落地
产品版本迭代、新增功能上线前完成数据安全合规评估
每年开展 1 次全面合规自查，形成自查报告与整改计划

✅ 建立合规考核与问责机制

法律依据：《数据安全法》第 27 条

检查项

已将数据安全合规责任纳入岗位绩效考核
对违反数据安全管理规定的行为已按制度落实问责与整改

**📋 合规自查指南**：每季度对照本清单进行合规自查，对待整改项目制定整改计划并跟踪闭环。保存所有合规检查、整改、培训记录，关注法规动态持续更新。