数据保留与删除规则

双语法域与标准基线

• 中文板块定位：本政策围绕“按数据类别建立可执行的期限、冻结、删除、匿名化和备份清除计划”建立以中华人民共和国法律法规为优先的审阅基线，并结合本网站实际配置（生产域名 yslfivem.com、运营方自管的服务器与数据库环境、官方 KOOK 299 社区、FiveM 游戏服务器）逐项判断；适用性仍须结合运营主体、处理地点、数据主体、目标用户、内容类型和跨境流动事实确认。
• 中文法源顺序：适用的强制性法律、行政法规和部门规章优先适用；推荐性国家标准（GB/T）只在适用时作为实现、评估或合同参考，不自动等同于法律；英文文本不是中国大陆法律的逐字翻译。
• 中文专项法源：《个人信息保护法》、《数据安全法》、《网络安全法》（2025年修正）、《网络数据安全管理条例》、个人信息保护合规审计管理办法、数据出境安全管理相关规定、数据出境合规问答（2026）、GB/T 35273-2020《个人信息安全规范》、GB/T 39335-2020《个人信息安全影响评估指南》
• 英文法域基线：英文文本以适用国际法、跨境规则与国际标准作为独立基线，逐法域按强制性规则和域外适用条件判断，不是中国大陆正文的翻译；本政策当前登记的国际与境外参考为ISO/IEC 27701:2025; ISO/IEC 27018:2025; NIST Privacy Framework; GDPR (only where its territorial conditions apply); UK GDPR (only where its scope applies); California CCPA (only where its scope applies); OECD Privacy Guidelines; Brazil LGPD (only where its scope applies); Canada PIPEDA (only where its scope applies); Japan APPI (only where its scope applies)
• 涉及个人信息、网络数据、保留、请求、接收方或跨境的义务，按实际处理链路逐项核验；向其他处理者提供、敏感个人信息和出境的单独同意分别对应《个人信息保护法》第二十三、二十九、三十九条；国家标准作为实现和评估参考，不自动等同于法律。
• 冲突与效力：适用法域的强制性规则优先；本页面不会因为列出法律、国标、ISO、W3C 或 NIST 就宣称已合规、已认证、已批准或已生效。当前仍以政策状态和负责人/律师复核门禁为准。
• 逐项映射：本政策的中文/英文法源与标准 ID 登记在 policy-research/POLICY_LANGUAGE_BASIS_MATRIX.csv；没有锁定专项来源的政策必须先补齐事实和法域，不能用通用模板代替。

分类与证据核验

• 主分类：隐私与个人信息
• 分类标签：隐私、私人/个人、个人信息、安全、保留/删除
• 适用对象：公开访客、已授权内部用户、政策、监督与复核角色、安全与平台维护角色
• 证据状态：已发布
• 当前已核验事实：仅工单 retention_until 有实现
• 下一门禁/仍待补齐：批准全类期限并实现删除任务
• 专项数据登记：C-001、C-003、C-005、C-008、C-009、C-010、C-011、C-012、C-013、C-014、C-015、C-016、C-017、C-018、C-019、C-022、C-023、C-024、C-025、C-028、C-029、C-030
• 专项处理活动：PC-001、PC-002、PC-003、PC-004、PC-005、PC-006、PC-007、PC-008、PC-009、PC-010、PC-011、PC-012、PC-014、PC-015、PC-016
• 正文组成：已有 5 个专项扩展章节；通用条款仍作为共享底座。
• 证据来源：policy-research/POLICY_COVERAGE_MATRIX.csv
• 批准人/发布主体：政策登记库中没有批准记录，须由有权负责人批准后才能声明生效

当前已定义的保留期限

• 网站反馈（website_feedback）：retention_until 字段，天数按服务端环境变量配置；未配置时不写入截止时间。
• AI 对话（ai_assistant_conversations）：expiresAt 字段，对话级过期。
• 会话（sessions）：expiresAt 90 天 + revokedAt 主动撤销。
• 2FA 挑战（login_two_factor_challenges）：expiresAt 5 分钟。
• 网站反馈附件（website_feedback_attachments）：元数据行与图片文件保存在运营方控制的存储目录；当前没有随反馈到期自动删除文件的流程，仅在写入失败时回滚清理。
• 邀请令牌（account_invitations 等）：expiresAt + revokedAt。
• 到期 AI 助手会话（ai_assistant_conversations）：到达 expiresAt 后由日次到期回收分批物理删除。
• 会话行（sessions）：过期满 7 天、或被主动吊销满 30 天后，由日次到期回收分批物理删除。
• 服务端错误登记（server_errors）：最近一次出现满 90 天后分批删除。
• 已读站内通知（workspace_notifications）：读取时间满 90 天后分批删除；未读通知不在回收范围。
• KOOK 事件回执（kook_event_receipts）：接收时间满 7 天后分批删除。

保留机制已实现但未激活

src/modules/retention/service.ts 实现了 generateDispositionReviewTasks 和 executeDispositionTasks，支持 6 种资源类型：privacy_request、public_complaint、public_appeal、system_audit_log、ai_query_audit、ai_assistant_conversation。但需 data_resource_classifications 表中 retentionStatus=APPROVED 且 retentionDays>0 才会生成任务；当前尚无任何资源类别登记为已批准，因此这 6 类不会被自动删除。另有一套每日节流的到期回收独立运行，只清理可再生的低价值数据（见下一节），不经过上述处置链路。数据库备份目前保存在运营方控制的备份目录中，异地副本和恢复演练尚未完成。

不可删除的数据

• policy_acceptances（政策接受）：合规证据，不可删除（仅有 withdrawnAt 和 replacedByAcceptanceId）。
• consent_events（同意事件）：合规证据，触发器拒绝 UPDATE/DELETE。
• policy_audit_events（政策审计）：审计证据，不可删除。
• policy_versions（政策版本）：触发器拒绝 UPDATE，历史版本不可无痕覆盖。

需要负责人决定的保留期限

• 账号（users）：停用非删除，无清理机制。
• MDT 案件/证据：VOID 软删除存在，但物理删除缺失，上传文件保存在运营方控制的存储目录且没有对象生命周期策略。
• DOJ 庭审/案件受理/排期/律师委托：无 retention。
• 考勤/薪资/绩效：无 retention。
• 考试模板/题目/作答/结果：无 retention。
• KOOK 频道消息正文（kook_channel_messages）：无保留期限，也不在日次到期回收范围（回收只覆盖事件回执）。

需要法务复核的保留期限

• 审计日志（audit_logs）：删除涉及法律合规。
• 登录事件（auth_login_events）：安全审计数据。
• 安全事件（security_events）：安全审计数据。

通用条款引用

本政策适用《通用条款》，详见通用条款页面。通用条款包含适用于所有政策的共享章节（文档控制、项目性质、用户权利/义务、平台义务、禁止行为、数据处理、保留、安全、第三方、变更通知、联系投诉、账号与注销、未成年人保护、游戏内虚拟资产、内容生态治理、提交内容授权与第三方素材、不可抗力、通知送达、适用法律与争议解决、责任边界、语言版本等），不在本专项政策中重复。

文档控制与效力

• 文档编号：SLPS-POL-07；版本：2026.10.1；发布日期：2026-10-01。
• 生效日期：2026-10-01；本文件为已批准并发布的现行制度。
• 状态：PUBLISHED；责任职能：[𝓐𝓲𝓷𝓬𝓕𝓱]；批准人：[𝓐𝓲𝓷𝓬𝓕𝓱]。
• 是否必须同意：否，当前为告知型正式政策。

产品、域名与适用对象

• 适用产品：项目 C，即圣罗兰 FiveM 角色扮演城市官网（yslfivem.com）与官方 KOOK 299 社区；授权工作人员另使用登录后的内部工作台。
• 正式生产域名为 yslfivem.com，所有公开服务均通过该域名提供。
• 适用对象包括访客、申请人、内部用户、部门管理角色和平台维护角色；各自只承担与其场景有关的义务。

项目性质声明

本项目属于 FiveM / GTA 私人角色扮演服务，不是现实政府、法院、检察、警察、消防、医疗或监管机构，不代表或获得任何现实机构授权。所有职务、法典、案件、量刑、徽章和文书只用于指定游戏服务器，不构成现实法律意见。

术语定义

• 项目 C：本政策所述圣罗兰 FiveM 角色扮演城市官网（yslfivem.com）与官方 KOOK 299 社区。
• 内部用户：经申请或邀请、完成激活并具有有效部门成员关系的账号。
• 资源范围：服务端批准的部门、资源类型、对象、字段、权限和有效期组合。
• 政策版本：具有文档编号、完整正文、内容 Hash、状态和替代关系的不可变快照。

适用范围与专项规则

本文件专门规范按数据类别建立可执行的期限、冻结、删除、匿名化和备份清除计划。

• 当前只有网站反馈记录写入可配置 retention_until（由环境变量决定，未配置时不写入截止时间）；其余类别没有获批的统一期限。站内另有一套日次到期回收，但它只清理会话、到期 AI 会话、服务端错误登记、已读站内通知与 KOOK 事件回执，不覆盖其余业务数据。
• 保留处置的审核与执行代码已存在，但需数据资源分类登记为已批准且天数大于 0 才会生成任务；当前没有登记为已批准的数据类别，因此这条通用处置链路不生成任务，上述日次到期回收是另一条独立路径。
• 备份保存在运营方控制的存储环境中，异地副本与恢复演练尚未完成，因此不承诺固定的恢复时限。
• 在负责人和律师批准保留表、冻结例外、备份清除和验证方法前，本文件不得承诺具体统一期限。
• 例外：考试的逐题作答明细按 90 天滚动留存，当前代码在每次交卷的同一趟里分批回收超过 90 天的行（不依赖任何定时任务，也不承诺回收发生的确切时刻）；上述「通用处置链路不生成任务」指的是站内通用处置链路，不含这条路径。
• 考试场次记录本身——自报姓名的哈希提示、设备摘要、链接领用与跨设备拒收次数、异常计数与风险档位、分数与冷却时间——不在 90 天回收范围内，目前没有获批的清除期限，只有账号注销与数据删除请求经核验后按个案处置；不得把它读成永久保留，也不得声称已按统一期限删除。

用户权利

• 询问本政策是否适用于本人及相关处理场景。
• 请求访问或更正本人提交的资料，并说明疑似错误。
• 撤回可撤回的选择；撤回不自动抹除撤回前已形成的必要审计证据。
• 对拒绝、限制、更正或处理结果提交可追踪投诉或申诉。

用户义务

• 只提交与当前服务有关、本人有权提供且尽可能准确的信息。
• 保护账号、密码、激活码、会话和设备，不共享凭据或代替他人操作。
• 发现误发、越权、错误或安全问题时停止传播并及时报告。

平台义务与责任分工

• 按公开目的和最小必要原则配置字段、访问角色、资源范围和处理流程。
• 把部门业务决定交由相应部门授权角色处理；SYSTEM_ADMIN 仅维护平台，不默认干预部门业务。
• 保留必要的版本、决定理由、审计和纠错路径，并对已确认错误采取相称措施。

禁止行为

• 禁止冒充现实政府或执法人员，或把游戏内结果用于现实权利义务判断。
• 禁止绕过认证、部门隔离、权限、登录限流、动作级二次验证、会话或审计控制。
• 禁止越权查询、批量抓取、传播受限资料、提交恶意内容或把内部数据输入未批准的外部服务。

数据处理

• 具体数据、来源、目的、存储、接收者和处理路径以运营方内部的数据登记清单为事实基线。
• 自由文本不代表平台有权处理任意信息；超出必要范围的内容应限制访问、纠正或按批准流程处置。
• 实施变化必须先更新登记表、正文和测试，再评估是否要求重新同意。

保留、删除与备份

• 当前只有网站反馈记录写入可配置的保留截止时间，其余数据类别尚无获批的统一期限；站内另有一套日次到期回收，只清理会话、到期 AI 会话、服务端错误登记、已读站内通知与 KOOK 事件回执。
• 保留处置代码需要数据资源分类登记为已批准且天数大于 0 才会生成任务；通用处置链路当前不生成任务，另有日次到期回收清理会话、到期 AI 会话、服务端错误登记、已读站内通知与 KOOK 事件回执。备份保存在运营方控制的存储环境中，异地副本与恢复演练尚未完成，因此不承诺固定的恢复时限。
• 在保留表、法律/业务冻结、删除验证和备份清除获得批准前，不作固定期限或永久保留承诺。
• 撤回、停用或删除请求可能停止未来处理，但必要审计、争议证据和不可变版本的处理边界需单独裁决。

安全措施与验证体验

• 已验证控制包括口令与会话令牌摘要、按字段加密、同源与来源校验、按账号和来源地址摘要的登录限流、2FA 与受信设备、部门 RBAC、资源分类、追加式审计和会话撤销。
• 日常浏览、录入、草稿和常规审核不重复验证；只有明确的敏感动作白名单才要求重新输入当前密码，验证结果在当前会话复用 60 分钟。
• 当前未启用第三方人机验证服务；上传的附件保存在运营方控制的存储中且文件内容未做静态加密，不得声称全部数据均已加密。
• 安全措施降低但不能消除风险；不得声称绝对安全或未实现的全面加密。

运行环境、第三方与跨境

• 平台部署在运营方自行管理的服务器环境中，应用数据存放于运营方控制的数据库与文件存储，全站通过 HTTPS 提供服务。
• 本站数据不交由第三方云平台托管处理，代码中的兼容层仅用于本地运行环境；服务器所在地区、访问日志字段与处理角色仍需逐项确认。
• 外部生成式模型仅在其服务端配置并获批后才可用，当前未启用；第三方连接器在取得字段白名单、负责人批准并完成验证前，不得同步受控数据。

变更、通知与重新同意

• 正文变更生成新版本和新完整正文 Hash，不覆写旧版本。
• 涉及目的、字段、接收方、强制处理、权限或责任边界的重大变化应通知相关对象，并在需要时要求场景化重新同意。
• 非重大文字纠错不应错误阻断日常工作，但仍保留变更摘要和更新时间。

公共服务与问题反馈

• 当前公开服务入口为 /resources 与公开部门目录，可查看部门说明、公告、政策、法典与申请入口；页面反馈用于提交网站内容或使用问题。
• 站点页脚已展示真实的 ICP 备案号；联系与反馈通过站内页面反馈与官方 KOOK 299 进行，页面不编造未实际取得的联系地址、监管机关或备案与许可信息。
• 平台当前没有独立的安全邮箱或公开申诉表单；对已提交的反馈，平台仅在实际提供的管理流程内记录和处理，不承诺不存在的办理时限或结果。

责任边界

• 本政策不构成现实法律意见，也不赋予任何现实政府或执法权力。
• 平台不以“最终解释权”获得无限授权，也不以“任何情况下概不负责”排除依法或依约不能排除的责任。
• 用户仍应核验正式发布版本、适用范围和游戏服务器规则；发现错误可请求纠正。

可分割性与语言版本

• 如某一条款经有权审查确认不可执行，其余内容是否继续适用应在不扩大平台权利的前提下另行判断。
• 中文为当前主要审阅语言；英文版以适用国际法、跨境规则与国际标准作为独立基线发布，供中国大陆以外读者参照。
• 两个语言版本的正文存在差异时，以中文版本为准，并暂停依赖争议文本提交人工复核，不自行推定对平台最有利的解释。

已确认事项与效力说明

• 本文件已由责任职能 𝓐𝓲𝓷𝓬𝓕𝓱 确认并批准，自 2026-10-01 起生效，对外适用于本文件列明的适用对象。
• 运营主体、服务器所在地区、访问日志字段、适用法律与管辖，以生产部署现状与已取得的备案信息为准；不声称超出实际处理能力或合规认证。
• 后续修订按“变更、通知与重新同意”章节生成新版本与新完整正文 Hash，不覆写本版本正文。