有效告知的核心是“清晰易懂 + 时机得当”：在用户首次使用时以显著方式展示处理目的、方式和范围，逐一列明权限与功能的对应关系，不用默认勾选，不搞概括授权。《网络安全法》第四十一条要求明示收集使用信息的目的、方式和范围并经同意；《个人信息保护法》第十三条、第十四条进一步要求同意须由个人在充分知情的前提下自愿、明确作出。政策冗长不是免责理由，关键是分层呈现、要点前置。

需要。Cookie 与 SDK 均在收集或处理个人信息（设备标识、行为记录等），属于个人信息处理活动，应当依法告知并取得同意（《网络安全法》第四十一条、《个人信息保护法》第十四条方向）。常见误区：隐私政策只列自家处理活动、不列第三方 SDK；SDK 升级扩大收集范围但未更新告知；用户拒绝后 SDK 仍在采集。建议建立 SDK 清单并定期核对，在隐私政策中列明第三方 SDK 的名称、目的与方式，并约定其处理边界。

用户画像与个性化推荐本身不违法，但《个人信息保护法》对自动化决策有专门约束：应保证决策的透明度和结果公平、公正，不得对个人在交易价格等交易条件上实行不合理的差别待遇；通过自动化决策方式向个人进行信息推送、商业营销，应当同时提供不针对其个人特征的选项，或者提供便捷的拒绝方式。个人有权要求个人信息处理者予以说明，并有权拒绝仅通过自动化决策方式作出的决定。画像所依赖的信息处理同样要满足最小必要。

《个人信息保护法》第三十八条确立三条主要路径：通过国家网信部门组织的数据出境安全评估；经专业机构进行个人信息保护认证；按照国家网信部门制定的标准合同与境外接收方订立合同。路径选择由事实状态决定——是否属于关键信息基础设施运营者、是否涉及重要数据、累计出境规模、是否落入豁免情形。具体门槛可对照《促进和规范数据跨境流动规定》逐项核对，拿不准的建议结合最新监管口径咨询律师。

建议按“止损—评估—告知—整改”的顺序处理：立即采取补救措施控制影响扩大；评估泄露信息的种类、数量、影响范围与危害程度；按法律要求告知履行个人信息保护职责的部门和个人，告知内容包括信息种类与原因、可能造成的危害、已采取的补救措施、个人可采取的减轻危害的措施及联系方式。平时应制定应急预案并演练，避免临场被动；对受影响个人的响应口径要统一，防止二次伤害与舆情放大。

《个人信息保护法》第二十八条将不满十四周岁未成年人的个人信息列为敏感个人信息，处理时应当取得父母或其他监护人的同意，并制定专门的收集、存储、使用、转移、披露等处理规则。实务要点：年龄校验环节前置、监护人身份核验与同意记录留痕、营销推送等二次利用从严把握、儿童信息泄露的应急响应标准从严。具体还应结合未成年人网络保护的现行规定执行。

自动化决策需满足三点：保证决策的透明度和结果公平公正，不得在交易价格等交易条件上实行不合理的差别待遇；向个人推送信息、商业营销时提供不针对个人特征的选项或便捷拒绝方式；个人有权要求说明并有权拒绝仅通过自动化决策方式作出的决定。信贷审批、招聘筛选等对个人权益有重大影响的场景，建议事前开展个人信息保护影响评估并留存记录，同时保留人工复核通道。

不必然违法，但边界严格。处理员工个人信息应当具备合法性基础（如实施人力资源管理所必需、依法制定的规章制度依据），并遵循最小必要原则：监控范围与工作目的直接相关、告知在前、优先选择对员工权益影响最小的方式。避免在卫生间、更衣室等私密空间安装监控，避免收集与工作无关的私人通讯内容。建议在规章制度中写明监控目的、范围与留存期限，并经民主程序向员工公示。

求职者简历属于个人信息：只收集与岗位评估相关的信息，存储期限与招聘流程挂钩，落选者简历不应无限期留存；未取得同意不得用于其他目的或提供给第三方（猎头、关联公司、营销名单）。候选人有权查询、复制其简历并要求删除；委托第三方招聘平台处理的，签订委托处理协议并监督其履约。招聘场景的告知可在投递页面以简洁方式完成，重点是目的明确、范围最小。

必须响应，但不等于无条件照办。属于法定情形的（处理目的已实现或不再必要、个人撤回同意、违法违约处理等），应当主动删除或依请求删除（《个人信息保护法》第四十七条）；法律、行政法规规定的保存期限未届满的（如会计凭证、争议处理必需的证据），可以停止除存储和必要安全保护之外的处理；技术上难以删除的，同样停止除存储和必要安全保护之外的处理并向个人说明。建议把删除请求纳入客服响应流程并留痕。