摘要
许多免费追踪插件会贩售数据、索取过度权限、破坏送达。本报告基于 “Is Gmail email tracking safe?” 规格，提供供应商评估标准与运营政策。
评估清单
- 数据处理协议（DPA）： 条款中必须写明数据类别、用途、删除周期，并符合 GDPR/CCPA。
- 子处理器透明度： 要求提供基础设施、分析、客服伙伴名单及所在地。
- 安全认证： 查验 12 个月内的 SOC 2 Type II 或 ISO 27001 报告。
- 权限范围： OAuth Scope 不得包含删除邮件、修改内容或导出联系人，除非业务确实需要。
- 保留与删除流程： 确认可以自助导出与删除订阅者数据，而不是提交工单排队。
运营政策
- 加密： 传输使用 TLS，静态使用 AES-256。
- 访问日志： 保留不可篡改的 API 调用记录。
- 预热协同： 追踪与预热系统打通，模拟自然行为。
- 隐私请求： 提供自助退订入口，并在 30 天内响应所有请求。
指标
- 隐私事件： 目标为 0，若发生需 48 小时内完成复盘。
- 权限漂移： 每季度审查权限是否被增加。
- 用户信任： 监控退订反馈，异常暴增可能意味着隐私担忧。
未来规划
- 预填 Dureach 架构细节的自动 DPIA 模板。
- AI 识别回复中的敏感信息并在同步到 CRM 前脱敏。
- 权限姿态评分，提醒第三方插件是否引入高风险 Scope。