>-

# 印度DPDP法案合规检查清单（针对贵司数据情况）

一、总体判断

贵司数据涉及 Aadhaar 号码和支付信息，属于高敏感度个人信息，DPDP（《数字个人数据保护法》，2023年生效）合规要求较高，需逐项自查。

二、必须核查的核心合规项

1. 处理合法性基础（Section 5）

• 是否取得用户明确、知情、具体的同意（不得捆绑、默示）？
• 是否存在合规告知（Notice），说明数据用途、共享对象、撤回同意方式？
• ⚠️ Aadhaar 号码：DPDP 法案本身未直接禁止，但 UIDAI 规则严格限制 Aadhaar 的收集与使用，电商平台通常不属于有权要求 Aadhaar 的场景，建议评估是否必须留存。

2. 数据主体权利保障

• 用户能否访问、更正、删除其数据？
• 是否有便于行使“被遗忘权”和指定代理人（如用户死亡）的机制？

3. 数据受托人义务（Data Fiduciary）

• 是否有数据保留期限政策，到期即删除？
• 是否实施合理安全措施（加密、访问控制）防止泄露？
• 是否制定数据泄露通知机制（须通报数据保护委员会和受影响用户）？

4. 支付信息专项

• 同时受 RBI 支付数据本地化规定 约束：支付系统数据须仅存储在印度境内。
• PCI DSS 等行业安全认证建议核查。

5. 跨境传输

• DPDP 允许向多数国家传输（除政府黑名单），但支付数据受 RBI 本地化限制，Aadhaar 受 UIDAI 限制，需分开评估。

6. 其他

• 是否需要指定 DPO（数据保护官） 和独立审计（若被认定为“重要数据受托人”，50万用户规模可能触及门槛，需评估）；
• 儿童数据（18岁以下）是否需监护人同意。

三、建议行动步骤

1. 开展数据映射：确认 Aadhaar/支付数据的收集场景、用途、存储位置；

2. 评估删除 Aadhaar 的必要性与可行性；

3. 更新隐私通知与同意流程；

4. 建立泄露响应与保留删除机制；

5. 委托印度执业律师做正式合规审计。

> 免责声明：以上为一般性合规框架，具体结论需结合贵司业务细节，建议咨询印度数据合规律师。