11 隐私、合规与审计

11.1 数据保护原则

平台应遵循数据最小化、目的限制、最小权限、可追溯访问、受控保留和安全删除原则。甲方应确认适用的数据保护、金融监管、网络安全、密码、档案及跨境数据要求；服务商据此完成设计、配置和验证。

11.2 数据分类与存储

分类	示例	控制要求
公开/低敏感	公共 API 文档、公开状态	完整性、版本控制
内部业务数据	机构资料、规则、运行配置	访问控制、审计、备份
敏感个人/金融数据	客户身份、钱包关联、交易详情	最小化、加密、严格权限与导出控制
安全敏感数据	证书、Token、密钥引用、漏洞信息	更严格访问、脱敏、受控保存
密钥材料	私钥、PIN、恢复材料	不在普通应用/日志/文档中保存；由 KMS/HSM 受控

不可变账本中应避免写入非必要的直接识别信息；需要关联时，采用经批准的别名、受控映射或摘要策略，并保留合法审计与查询能力。

11.3 AML、反欺诈、限额与制裁

限额、KYC 分层、AML/反欺诈/制裁规则、命中后的动作、人工复核、冻结、解除和争议处理均应由甲方政策确定。系统应支持按批准规则执行、记录规则版本和结果，并提供对异常操作的审计与对账。

服务商不得在本 DTS 中擅自定义法定阈值、监管名单、评分算法、保存期限或最终裁决权限。第三方筛查服务的覆盖范围、误报处置、可用性和数据传输责任需单独确认。

11.4 审计要求

下列操作应产生受控审计记录：认证成功/失败、权限变更、机构和钱包生命周期、发行/转账/赎回、规则与限额调整、证书与密钥操作、管理配置变更、数据导出、生产发布、异常和人工补偿。

审计记录至少包含操作者或服务身份、动作、对象、关联请求/交易标识、时间、结果、原因、审批引用和前后值摘要。普通诊断日志不能替代审计记录。

11.5 保留、导出与删除

数据保留期、归档位置、访问权限、导出格式、法定留存、删除/匿名化条件和跨境传输限制由甲方确认。任何数据导出应有目的、审批、最小范围、加密传输、接收方和审计记录。

11.6 合规验证

合规验证包含数据流审查、访问矩阵核对、日志/审计抽样、数据导出测试、保留与恢复测试、规则生效证据和第三方评测（如适用）。未确认的法律或监管解释必须标记为待甲方/法律顾问确认，不得作为确定性产品承诺。