小程序定制验收清单上，合规这一项最容易被跳过，直到收到微信平台的整改通知或者监管的问询才想起来补。用户隐私这件事，不是上线后能随手补救的，数据结构、页面布局、协议文本，都和功能绑在一起设计。讲讲哪些环节不能省。
隐私协议不是抄一段就行
微信要求涉及用户信息的小程序配置隐私保护指引，声明收集哪些信息、用来做什么、怎么存储。很多服务商直接复制一段通用模板，声明和实际收集的信息对不上，审核驳回是轻的，被用户举报才是大麻烦，协议文本让懂行的人过一遍，网上抄的模板里常有和自己业务对不上的条款，照抄等于埋雷。正确做法是按功能清单逐项对照：收集手机号用于会员身份识别，收集地址用于配送，逐条写清。功能改了，协议跟着改，这两者要同步维护。
收集要最小够用
合规的一个基本原则是最小必要：能不收集就不收集。注册要生日、要性别、要常住地址，除非业务真用得上，否则全是风险敞口。每多收一项，多一份保管责任。定制需求评审时，把每一项用户信息的用途过一遍，说不出用途的删掉。存储同样有讲究：密码必须加密存储，手机号展示要脱敏，后台客服能看到的信息要有权限边界，这些要在架构阶段定，不是界面上的小开关。
数据处理再往深一层是留存和删除策略。订单数据按法规要留几年、用户注销后营销数据多久删干净，这些定下来写进协议，执行要有记录。别嫌麻烦，真有人来问你要数据删除凭证的时候，一份执行日志就是全部的答案。
- 注销入口必须有，注销后的数据删除流程要可执行
- 第三方SDK清单要梳理，地图、统计、客服各收集了什么
- 员工权限分级，运营人员看不到完整手机号
分行业的额外门槛
有些行业另有一层：教育类涉及未成年人信息要单独授权，医疗健康类数据更敏感，金融相关要等保测评。做这类小程序定制，签约前问清服务商有没有同类目的合规经验，别拿普通项目的做法照搬。拿不准的行业，先查该类目在微信平台的服务类目要求，再反推系统要配的功能，顺序别反。
两条建议：把隐私合规作为验收项写进合同，逐条检查协议与实际功能的一致性；员工后台权限在上线前按最小够用原则配置一遍。合规做得早是流程，做得晚就是事故。比格网络交付的每个项目都附合规自查清单，这一项从来不省。
