独立站法律合规：隐私政策、服务条款、退款政策、Cookie 政策怎么写

做独立站，最容易翻车的地方不是选品，也不是流量，是页脚那几个没人点的链接。隐私政策、服务条款、退款政策、Cookie 政策，很多人上线前随手套个模板就挂上去了。问题是这四个页面怎么写，不全看你在卖什么，更看买你东西的人在哪。GDPR 对没在欧盟设立的控制者也适用，只要处理活动涉及向欧盟境内数据主体提供商品或服务，或者监控他们在欧盟境内的行为。

这就意味着，面向哪个市场，披露条目就要按那个市场的规则排。页面不是挂在页脚凑数的，里面写的每一项都要跟后台的实际设置对得上，写错比不写更麻烦。

• 四个页面：隐私政策、服务条款、退款政策、Cookie 政策。
• GDPR 域外适用：向欧盟境内数据主体提供商品或服务，或监控其在欧盟境内发生的行为，没在欧盟设立也适用。
• 先判断市场再写条目：面向欧盟按 GDPR 的披露义务排，面向加州按 CCPA 排。
• CCPA 明确企业不得要求消费者放弃权利，写明放弃的合同条款不可执行。

本文讲这四类页面各写什么、入口放哪、怎么生成，以及 GDPR 和 CCPA 两条线在披露上的差别。页面什么时候上线、跟全站结构怎么排，对着网站运营策划方案一起看。

四个法律页面各管什么：隐私政策、服务条款、退款政策、Cookie 政策

先分清四者的分工，写的时候才不会把内容搅在一起。隐私政策和 Cookie 政策是给用户看你收了什么、怎么用；服务条款是双方的使用约定；退款政策是交易出问题时的处理规则。四份文档里出现的事实要一致，互相打架比缺一条更难看。

独立站隐私政策：收什么、干什么用、给谁

隐私政策要回答三件事：你收集哪些个人数据、每一类用来做什么、会不会交给别的公司。GDPR 对个人数据的定义是与已识别或可识别的自然人有关的任何信息，可识别包括直接或间接识别，原文里点到姓名、识别号、位置数据、在线标识符这些。站上给访客打的标识，就落在这个范围里。

CCPA 这边给消费者的是知情权，企业要在收集前或收集时告知收集的个人信息类型，以及可能拿这些信息做什么。所以隐私政策不能写成一段「我们重视您的隐私」的表态，要写成清单：一类信息，对应一个用途，对应一类接收方。

独立站服务条款：你和用户之间的使用约定

服务条款管的是使用关系：谁能下单、下单之后你怎么履约、账号被怎么用算违规、出了争议按什么顺序处理。写的时候按自己站的真实流程来，别抄一段跟自己业务对不上的条文，抄来的条件你执行不了，等于给自己埋雷。

有一条硬线要先知道：CCPA 明确企业不得要求消费者放弃这些权利，任何写明放弃的合同条款不可执行。条款里塞一句「用户同意放弃查询和删除权」，写了也不生效，还会被当成限制消费者权利。写条款时，凡是涉及法定权利的地方，只描述流程，不加条件。

独立站退款政策：条件写清楚，跟实际做法一致

退款政策写四样东西：什么情况下可以退、退多少、谁来发起、多久处理。写完不是就放着了，要把客服和后台的实际流程对一遍。政策写 7 天可退、客服按 3 天执行，反过来也一样，用户拿着页面截图来对，站方没话说。

卖数字产品的话还要多写一句：交付之后怎么算。文件发出去收不回来，这个条件要放在用户付款前能看到的位置，不能只藏在一个页脚链接里。

独立站 Cookie 政策：名称、来源、用途、怎么退出

Cookie 政策要能对上站上实际在跑的设置：每一个 cookie 的名字、谁设的、用来做什么、用户怎么关掉。Stripe 隐私中心专门有一条讲商户应该记住的、与自己站点上 cookie 技术相关的义务，用它的站要照着看一遍。

加州总检察长公布的案例里，有在线零售商使用网络追踪技术把消费者个人信息提供给别的公司，换取广告或分析服务，既没提供退出机制，也没确认对方是符合 CCPA 的服务提供者，还没处理 GPC 退出请求。Cookie 政策写成一句「我们使用 cookie 改善体验」，上面这几项一项都对不上。

为什么你的独立站可能落在 GDPR 和 CCPA 里

这两部法都不看你公司注册在哪，看的是你的处理活动碰到了谁。判断顺序是反过来的：先看客户在哪，再看自己有没有踩到条件。

GDPR：没在欧盟设立也可能适用

原文列了两种情形：向欧盟境内的数据主体提供商品或服务，不论是否要求对方付款；或者监控他们在欧盟境内发生的行为。第一种里「不论是否要求付款」这几个字要留意，免费样品、免费报价、免费工具都算提供商品或服务。

「处理」的范围也很宽，收集、记录、组织、存储、改编、检索、查阅、使用、传输披露、限制、擦除都在内。所以不是只有下单付款那一步才算处理数据，访客打开页面、加购物车、填表单，每一步都在这条线上。

反过来说，GDPR 不适用于自然人在纯个人或家庭活动中处理个人数据。这条不是给站长的豁免，你开门做生意，处理活动就不是纯个人性质。

CCPA：加州消费者的知情、删除、退出出售、不受歧视

CCPA 给加州消费者四项基础权利：知道企业收集了什么、怎么用、怎么共享；要求删除；退出个人信息的出售或共享，包括通过 GPC 信号退出；以及行使这些权利之后不被区别对待。2023 年 1 月 1 日起又加了两项：更正不准确的个人信息，限制敏感个人信息的使用和披露。

对应到企业这边是两件事：回应消费者行使权利的请求，以及提供解释自己隐私实践的特定通知。规定写得很直白：企业收到退出请求之后，不得再出售或共享该消费者的个人信息，除非消费者之后再次授权。

CCPA 是 2018 年的加州消费者隐私法，2020 年 11 月加州选民通过的 Proposition 24（CPRA）是对它的修订，不另立新法，官方通常就写作 CCPA 或者 CCPA, as amended。CCPA 法规 2020 年 8 月 14 日生效，后续修订 2021 年 3 月 15 日生效。

怎么做：从判断市场到四个页面落地的六步

六步里前两步决定后面写什么，后四步是把内容写实。跳过前两步，直接拿一份独立站隐私政策模板来改，写出来的东西跟自己的站对不上，改了等于没改。

第一步：判断是否落入 GDPR

动作是对照两条：有没有向欧盟境内的数据主体提供商品或服务，有没有监控他们在欧盟境内发生的行为。两条占一条，就按 GDPR 的披露义务写。

这一步决定隐私政策里要不要放欧盟那条线的内容。拿不准就按适用写，多写的披露条目不会让站出问题，少写才会。

第二步：判断是否落入 CCPA

CCPA 适用于在加州开展业务、并且满足三条门槛里任意一条的营利企业。三条门槛的具体数字在下面那张表里，这里不重复。

只有落进去了，才需要加加州专章和 Do Not Sell 入口。逐条比对自己的情况，三条是「或」的关系，不是加总。

第三步：按 CCPA 准备隐私通知

通知里要写的项：收集的个人信息类别、每一类的用途、过去 12 个月收集和披露过的类别、每一类对应的接收方类别、消费者提出可验证请求时需要提供哪些信息、有没有出售个人信息。缺一项就可能被点名，加州总检察长公布的案例里，这几项都单独出现过。

点站上的收集通知链接，看它落在哪。案例里有一家企业的链接把消费者送到隐私政策开头，没送到相关章节，这被算作问题。

第四步：建立请求处理流程并核实身份

三个动作：站上留一个能提交请求的入口，页面上写清用户要提供什么信息，收到之后按规则核实身份。CCPA 法规专门给了核实提出请求的消费者身份的指引，流程照着它设计，别自己拍。

自己给自己发一封请求，看能不能收到回复，收不到就说明流程断在某一环。断在表单、断在邮箱、断在没人看后台，都要在上线前改掉。

第五步：处理支付处理商的披露和 DPA

Stripe 说明自己在为商户提供 Stripe 服务、代商户促成支付交易时是处理者。它的隐私中心有两个条目正好对上这件事：「作为 Business User，我向我的 End Customers 提供关于 Stripe 的什么通知」和「什么是数据处理协议（DPA），如何与 Stripe 签订」。

签完之后把日期记下来，写进自己的记录里。Stripe 也写明了它的材料仅供一般信息参考、不构成法律建议，所以那些条目是给你照着改自己政策用的，不能直接当条款搬。

第六步：把 Cookie 政策落到实际设置

打开站点的 cookie 设置，把实际在跑的名称、来源、用途、退出方式逐条抄进政策。Stripe 隐私中心有一条专门讲商户站点上 cookie 技术的义务，还有一条讲它是否遵守 GPC 退出偏好信号，这两条都要看。

政策里凡是空着的项，都要由本人填上。用工具把站上的记录整理成清单会省事，具体的用法在独立站运营工具清单里有。

CCPA 门槛和几个期限，别混着用

这几个数字经常被混着用，先把它们放回各自的格子。

表里最要紧的一句是三条门槛之间为「或」的关系，满足任意一条就落入，不是三条都满足才算。营收不到 2500 万美元的站，也可能因为第二条或第三条被装进去。

两个 30 天不是一回事。一个是消费者起诉前必须先书面通知企业违反了哪些条款，给企业 30 天书面回应、说明已经纠正；另一个是 2020 年 7 月 1 日执法开始之后，企业收到总检察长的涉嫌不合规通知，有 30 天纠正期。2023 年 1 月 1 日起，提起执法行动前不再要求先发违规通知或给纠正机会，这一格的规则已经改了。

750 美元是数据泄露诉讼里的法定赔偿上限，按每次事件算。它不是罚款标准，也不能套到别的违规上去。

加州总检察长点过名的问题，逐条对照排查

这部分材料全是公开的执法案例，被点名的写法可以直接当自查清单用。每条先看结论，再看它踩的是哪一条。

要求用户先接受隐私政策和服务条款才能行使权利

这是限制消费者权利，条款写得再客气也站不住。加州总检察长公布的案例里，一家企业因为要求消费者接受隐私政策和服务条款才能行使 CCPA 权利，被列为问题。

隐私政策写「每 12 个月只能提一次请求」

这句写进政策就是错的，知情请求的限制不是这个数。案例里有一家的隐私政策写着消费者每 12 个月只能提一次请求，被列为问题；官方页写的是知情请求一年最多两次、免费。

把知情请求当成删除请求处理

用户要的是「你手上有什么」，你删了就是另一回事。案例里有一家做疫苗接种预约匹配的企业，把部分消费者的知情请求当成删除请求处理，永久删掉了他们的个人信息，被列为问题。

退出开关的语义反了

开关上写着「退出出售」，拨到「开」却变成了同意出售。案例里有一家的开关就是这样：消费者把「opt-out of sale of personal information」拨到「on」，反而选择了加入外部的追踪 cookie 和个人信息出售。

收集通知的链接指向政策开头，政策缺类别清单

链接要落在相关章节，不能一落地就是政策第一段。案例里那家企业还被指出：政策没写清消费者提出可验证请求须提供的信息，没列过去 12 个月收集或披露的个人信息类别，没列每一类对应的接收方类别。

按顺序自查三件事，比从头到尾通读一遍政策有效：

1. 打开隐私政策，从「我们收集什么」那一节往下读，看每一类信息有没有写用途和对应的接收方类别。
2. 点站上的收集通知链接，看它落在哪一节，落不到相关章节就改锚点。
3. 走一遍退出流程，确认按钮文案和实际动作一致，拨到退出之后确实停止出售和共享。

页面能不能被正常打开、能不能被抓到，跟站点程序和外层的抓取规则也有关系。robots 规则怎么写看robots.txt写法，换不同程序搭站时的页面层差别看独立站程序和斗篷。

AI 能帮哪几步，哪几件事必须自己动手

这四个页面的活分两半：一半是把官方原文和自己的业务对齐，一半是把站上真实在跑的东西填进去。前一半 AI 能省时间，后一半只能自己来。

AI 能接的三步：

1. 把目标市场和收款方式当输入，让 AI 列出四个页面各自要覆盖的披露条目清单，再拿官方原文逐条删改。
2. 把执法案例里的问题改写成自查问题，逐条问自己的政策里有没有写。
3. 把自己的草稿逐句和官方原句比对，标出找不到依据的表述，自己动手删。

下面三条提示词是本文给的示例，不是官方模板，可以直接复制去改。

「我在做独立站，目标市场是欧盟和加州，收款用 Stripe。请按 GDPR 和 CCPA 分别列出隐私政策必须覆盖的披露条目，每条注明依据的是哪一条官方原文，没有官方原文依据的不要写。」

「下面是我的隐私政策草稿。请逐句检查，凡是找不到官方原文依据的句子标出来，并说明缺哪类依据。不要替我补写新句子。」

「请把这份 CCPA 执法案例里的问题改写成一组自查问题，每条问『我的隐私政策里有没有写清楚』，按隐私政策、Cookie 政策、退款政策、服务条款四类分组。」

必须自己动手的三件事：

1. 在 Stripe 后台或隐私中心找到 DPA 条目，确认自己的账户要不要签，签完把日期记下来。
2. AI 给出的 Cookie 政策框架里，空着的项自己去后台查了补上，比如某个 cookie 是谁设的、拿来做什么。
3. 在隐私政策里填上真实的联系邮箱和请求入口，然后自己发一封测试请求，看能不能收到回复，收不到就改流程。

AI 生成的框架只能当骨架用，条款里每一句最后都要落到自己站上真实发生的事。整理资料、对着官方原文过草稿、出一张改稿单这类活可以交给猎者出海的AI Agent，页面上的最终文字自己过一遍再挂上去。用 AI 起草的页面会不会影响站点本身，另有一篇讲，看AI生成内容影响。

常见问题

CCPA 适用于非营利组织吗？

一般不适用，它约束的是营利企业。官方原话把非营利组织和政府机构放在一起排除在外。

不是加州居民，能享受 CCPA 权利吗？

不能，只有加州居民有 CCPA 权利。加州居民指居住在加州的自然人，即使暂时在州外也算。

认为企业违反 CCPA，能直接起诉吗？

大多数违规不能起诉企业，只有发生数据泄露、并且满足有限条件时才能起诉。起诉前要先书面通知企业违反了哪些条款，并留出书面回应的期限。

Stripe 是数据控制者还是处理者？

两者都是，看具体活动。它为商户提供 Stripe 服务、代商户促成支付交易时是处理者；由它决定处理目的和方式的场景下是控制者。

公开可得信息算不算 CCPA 下的个人信息？

不算。来自联邦、州或地方政府记录的公开可得信息，比如职业执照和公共房地产记录，不在个人信息的范围里。

四个页面的事说完了，把它当成上线前的一张表：先按市场定披露条目，再按自己站上真实在跑的东西填，最后留一个能收到回复的请求入口。规则还会改，页面也要跟着改。上线之后拉数据、每周给一张改稿单这类活，可以交给猎者出海的AI Agent，改哪一句还是自己判断。