惯常披露要点

披露概要和解读

因申请人未能遵守现行的网络安全和数据保护相关法律法规而存在被处罚的风险

虽然目前《网络安全法》《数据安全法》和《个人信息保护法》已相继生效，但考虑到该等法律施行时间还相对较短，各地区和行业主管部门对于法律适用的理解可能存在差异。

基于上述背景，申请人可能会在其招股书中就相关合规风险进行披露，例如：由于各地以及各行业主管部门对该等法律法规在执行和解释层面可能存在差异和不确定性，申请人若未能在其日常运营中完全遵守现行网络安全和数据保护法律法规及相关监管部门要求，则其存在被监管机构处罚的风险，进而可能对申请人的声誉和品牌造成负面影响。

因申请人未能及时调整网络安全和数据保护策略以适应未来监管环境而存在的潜在合规风险

随着《网络安全法》《数据安全法》和《个人信息保护法》的相继生效，相关部门目前正就网络安全和数据保护制定新的配套监管规定，例如《数安条例（意见稿）》和《网安办法（修订意见稿）》，且随着立法工作的深入推进，相关配套监管规则可能会逐步增多并趋于细化。

基于上述情况，申请人可能会在其招股书就相关风险进行披露，例如：若申请人未及时关注监管动态，以致其未能在相关监管规则正式实施后及时采取相应的网络安全和数据保护策略以符合新的监管要求的，则申请人可能在未来存在潜在合规风险。

此外，如本部分第（一）点（申请人披露情况概览）所提示，联交所指引信GL86-16明确指出，若申请人计划披露其可能存在无法遵守未来颁布的相关法律法规的风险，则申请人可能需要进一步结合其业务情况充分说明其可能无法遵守未来颁布的相关法律法规的“特定原因”。

如申请人同时涉及境外运营，其需相应遵守境外有关司法管辖区的网络安全和数据保护相关法律法规

针对在不同司法管辖区存在的网络安全和数据保护合规要求和风险，申请人可能会在如下方面进行惯常披露：

* 如申请人计划将其业务从境内延伸至境外（例如拓展海外用户群体），则其同时需遵守境内外的网络安全和数据保护法律法规。针对该等情况，申请人可能会披露：为确保遵守其运营所涉及的各司法管辖区的数据保护规则，申请人预期其合规成本会增加，其中包括配备相应的境外数据合规团队的成本；

* 就境外相关法律法规的遵守及展业情况，申请人可能会披露：如其未能及时按照其运营所涉及的各司法管辖区的相关法律法规要求执行网络安全和数据保护措施，其境外业务扩张计划可能因此受阻；

* 申请人可能亦会披露违反境外网络安全和数据保护法律法规的相关法律后果，例如：涉及在欧盟运营的申请人可能会披露，若其违反欧盟目前施行的《通用数据保护条例》（“GDPR”），则可能导致申请人面临高额罚款。

网络安全和数据保护内控措施及外部风险披露

内控制度及技术措施的惯常披露

申请人可能会在招股书中披露其在整个数据生命周期所采取的相关内控措施，包括从数据收集、使用、存储、传输直至销毁等各个环节的数据合规情况。

具体而言，申请人在招股书中披露的数据保护内控措施主要包括数据分类、访问限制、数据备份、恢复、加密及脱敏，以及申请人在防止个人信息泄露、不当使用、损坏、丢失及被盗用等方面所采取的内控措施。

除上述数据保护内控措施外，申请人可能也会在其招股书中披露其存储和处理数据所使用的信息网络系统、该等系统所采用的信息技术标准以及该等系统是否采取了软硬件层面的安全措施以防止第三方网络攻击和系统安全漏洞等内容。

对于外部风险的惯常披露

鉴于部分申请人在其开展业务过程中会收集、使用并存储大量用户、业务伙伴及雇员的数据和个人信息，尽管该等申请人采取了一系列内控措施以保障数据安全，但申请人仍可能面临超出其合理控制范围的外部风险。

例如，部分申请人在其招股书中披露，如申请人采取的数据保护措施无法始终有效地避免数据被未经授权地使用或访问，则可能构成申请人对数据安全相关法律法规或其与用户相关服务协议的违反，进而招致监管机构的处罚和/或用户诉讼。

针对第三方网络攻击及由于第三方提供的信息网络基础设施出现故障而引起的风险，申请人可能会进一步作出如下披露：如申请人的信息网络系统和软件产品遭到第三方恶意攻击（例如入侵用户账户盗取信息）或第三方提供的信息网络基础设施出现故障，上述事件可能导致申请人的服务或系统中断、延迟或关停，并可能造成申请人的数据丢失或泄露。

申请人与第三方合作情况及相关风险披露

如申请人与第三方存在数据和网络资源方面的合作（例如申请人委托第三方数据中心托管及管理服务器资源、向第三方采购云服务、或向第三方数据供应商采购数据等行为），申请人可能会披露其与该等第三方合作伙伴签订的合作协议主要条款。

尽管申请人与上述第三方合作伙伴签订的合作协议中可能包括网络安全和数据保护相关条款，但申请人可能仍然无法完全确保第三方合作伙伴依照协议约定履行相关网络安全和数据保护义务。针对与第三方合作给申请人带来的网络安全和数据保护方面的潜在风险，申请人在招股书中的惯常披露主要包括：

* 如第三方云服务商未经授权访问申请人的用户数据或处理该等数据，上述行为可能会对申请人在业内的声誉及用户满意度造成不利影响，进而影响申请人的业务表现，并且可能导致申请人因此面临潜在数据合规风险。

* 如第三方数据供应商向申请人提供的数据在收集过程中存在瑕疵或者缺陷（例如未取得个人信息主体的适当同意即收集的相关个人信息），申请人可能会因使用该等瑕疵数据而面临潜在数据合规风险。

特殊披露要点

披露概要和解读

1、SaaS企业

处理的数据类型

为满足客户的不同需求，SaaS企业收集、存储和传输的数据类型多种多样，其中个人信息可能包括客户的C端用户个人信息（如姓名、身份证号码、信用卡/借记卡号码、交易历史记录及付款记录等）；客户企业信息主要包括邮件、文字/语音信息、电子文档等。

数据处理场景

一般而言，虽然SaaS企业处理的数据类型和场景多种多样（例如为客户提供云端营销解决方案以及云端数据处理和存储服务），但其通常仅受其客户委托按照客户要求处理相关数据，而不为自身目的处理相关客户数据。

数据保护措施相关披露

客户数据的访问权限限制

根据部分SaaS企业在其招股书中的披露，为保护客户数据，SaaS企业的客户对于收集、存储、处理、导出、披露和删除存储在SaaS企业云平台的数据享有全部管理权限；除非经客户授权进行常规系统维护、数据分析或技术支持，SaaS企业不享有访问、使用或披露客户存储在SaaS企业云平台的数据的权限。

另外，由于部分SaaS企业申请人可能会向第三方采购云存储空间，该等情况下相关申请人一般会在招股书中进一步披露说明：未经客户授权，该等第三方云服务供应商无权访问、使用或披露客户存储在第三方云端的数据，客户对该等数据仍然享有全权管理权限。

境内外数据隔离存储

计划开展境外业务的SaaS企业通常在其招股书中披露：为符合相关境内外数据保护法律法规的要求，其境内外业务相关数据会分别在境内外分开存储，即境外产生的业务相关数据被存储在位于境外的服务器中，而境内产生的业务相关数据则被存储在位于境内的服务器中，并且该等SaaS企业一般会避免在其境内外平台之间进行数据传输。

2、互联网医疗企业

处理的数据范围

在互联网医疗企业收集和处理的数据中，患者个人信息通常受到监管部门和联交所的重点关注，该等患者个人信息主要包括患者的姓名、年龄、性别、地址、电话、身份证号码、社保号、医学影像、健康档案、检验报告、交易数据和银行账户信息等。

数据处理场景

互联网医疗企业的典型数据处理场景主要包括在线分诊、问诊以及开具电子处方。

分诊：初诊患者注册登录互联网医疗企业的在线医疗服务平台，患者通过平台上传其个人信息和病情资料，由平台根据患者具体情况将其分流入对应的专科诊室。

问诊和开具电子处方：通过患者提供的信息和资料，医生在线对患者进行诊断并依诊断结果开具电子处方。

除上述诊断相关服务外，部分互联网医疗企业还利用其信息技术优势，为线下医疗机构搭建线上服务平台，包括为线下医疗机构搭建线上预约平台以及诊疗报告在线查看平台等。在该等场景下，相关互联网医疗企业所提供的服务可能为传统技术服务（即不包括云端相关服务）或云端SaaS服务。在传统技术服务场景中，互联网医疗企业一般不接触线下医疗机构的患者个人信息，其仅为医疗机构提供相关软硬件解决方案和技术服务，由医疗机构自行采购和管理相关服务器。

数据保护措施相关披露

医疗数据加密和脱密

根据互联网医疗企业在招股书中的披露，互联网医疗企业需要根据《个人信息保护法》、《个人信息安全规范》及其内部政策要求进行相应的医疗数据加密和脱敏处理。

医疗数据泄露事件应对

根据互联网医疗企业在招股书中的披露，如发生患者信息和医疗数据泄露事件，互联网医疗企业须及时向卫生健康主管部门报告，并立即采取补救措施。

处理医院产生的数据

互联网医疗企业在其招股书中披露，在其为线下医院提供传统技术服务的场景中，互联网医疗企业事实上不存在处理或存储医院内产生的数据（例如患者在医院就诊的病历）的行为，其仅为医院提供管理和存储医院内部数据的技术。

3、人工智能企业

处理的数据范围

人工智能企业根据其业务和人工智能模型训练需求，可能会收集多种多样的数据，其中可能包括：面部识别数据和现实场景的图像及视频等。

数据处理场景

人工智能企业可能会在其进行数据训练的平台（“数据训练平台”）中对其收集的数据进行数据训练，并基于数据训练成果为客户提供定制化功能的AI软件，使得客户能够运用AI技术自动高效地处理海量数据。

例如，人工智能企业在利用交通信息数据完成其人工智能模型训练后，基于该等模型的人工智能软件能够自动捕获交通数据（例如实时路况图片）并识别交通拥堵，对交通异常情况进行实时诊断，从而智能控制交通信号灯以协助管理道路车流量。

数据保护措施相关披露

人工智能企业在其招股书中主要相关披露包括：

* 数据训练平台的相关披露，例如部分申请人披露其数据训练平台采用了严格的信息安全及数据隐私保障措施，包括系统性的访问控制、数据加密和数据自动脱敏技术（例如自动识别并脱敏面部、车牌和个人身份信息的技术）。此外，部分申请人内控措施要求其仅有权在有数据保护监控措施的云服务器上处理该等客户数据，不得将有关数据下载至申请人内部数据平台，以使客户能够监控相关处理过程。

* 使用客户数据情况的相关披露，例如部分申请人披露就客户向其提供的数据（如物业管理公司提供的小区监控录像），其仅有权在客户的监督下且仅为训练升级客户系统中的AI技术之目的而使用该等数据。

4、C端APP运营企业

处理的数据范围

用户在C端APP运营企业（“C端企业”）网络平台上进行账号注册时，C端企业可能会收集用户的姓名、电子邮件、手机号、年龄和性别等信息。

对于已注册用户，C端企业可能会收集用户过往浏览和操作行为，如点赞、分享、评论、发帖、关注、登录设备信息、付费购买行为等。

数据处理场景

根据部分C端企业在其招股书中的披露，其可能会收集用户个人信息，并将用户个人信息用于用户注册、实名认证等功能，C端企业亦可能使用人工智能算法对用户在C端APP上产生的账户信息、浏览和操作行为等数据进行自动智能计算分析，以在C端APP内向用户推送个性化内容，增加用户粘性。

数据保护措施相关披露

用户个人信息保护机制

根据部分C端企业的招股书披露，其在用户个人信息保护上采取的内控措施主要包括制定内部安全管理制度和操作规程、明确信息安全负责人及相关责任、实时监测网络运行安全状态、对用户个人信息可能发生的安全事件采取及时的补救措施和向主管监管部门报告等。

实名认证

根据《移动互联网应用程序信息服务管理规定》的要求（“《管理规定》”），向用户提供信息服务的C端企业需要对其注册用户进行实名认证，该等C端企业通常也会在其招股书中披露其采用的实名认证系统和相关个人实名信息保护情况。

平台内容审核相关要求

如果C端企业向用户提供相关信息服务（例如允许用户在其APP内发布评论），根据《管理规定》的相关要求，C端企业应对用户在其平台内发布的内容进行监督。

针对上述要求，部分C端企业在招股书中披露其已建立实时内容审核系统以监测APP内的违法内容，并聘请专门的内容审核团队对APP上的文本、图片及视频进行人工监测审核。相应地，该等企业进一步披露，如其内容审核机制存在漏洞，或者未能及时处理APP上的违法内容，则其存在面临罚款、相关功能被停用或APP被下架整改的潜在风险。