# 13_隐私授权_内容审核_合规设计

## 1. 文档目标

系统 B 处理真人照片、婚恋关系、家庭成员、儿童照片和定制视频，必须从第一版就设计隐私授权、内容审核、删除机制和版权合规。

## 2. 基本原则

1. 用户作品默认私密。
2. 用户照片只用于本次项目生成。
3. 公开展示案例必须单独授权。
4. 未成年人照片必须确认监护人授权。
5. 用户可以申请删除作品和素材。
6. 后台访问敏感数据必须记录日志。
7. 音乐和素材必须有商业授权来源。

## 3. 上传前授权

用户上传照片前必须勾选：

```text
我确认拥有上传照片的合法使用权。
我确认已获得照片中人物授权。
我授权平台为本次项目生成图片和视频。
我知道作品默认不公开展示。
如涉及未成年人，我确认我是监护人或已获得监护人授权。
```

V3 真人动态视频新增授权：

```text
我确认拥有上传照片中所有人物授权。
我授权平台仅为本项目生成图像和视频。
我理解 AI 生成结果可能与本人存在差异。
我确认不得上传未经授权的他人照片。
我理解 AI 真人动态视频可能产生表情、动作、服装和场景变化。
如涉及未成年人，我确认我是监护人或已获得监护人授权。
```

授权记录保存：

```text
user_id
project_id
authorization_type
content
ip
user_agent
confirmed_at
```

## 4. 公开案例授权

默认不公开。

用户在成品页主动点击“授权公开为案例”后，才允许后台加入案例库。

授权内容应说明：

- 可在首页、案例页、宣传材料展示。
- 可展示成品图/视频。
- 不展示用户手机号等隐私信息。
- 用户可申请撤回授权。

## 5. 未成年人规则

涉及主题：

- 宝宝百日
- 儿童成长
- 亲子纪念
- 家庭全家福

必须：

- 默认不公开展示。
- 增加监护人确认。
- 后台审核更严格。
- 禁止生成不适合儿童的内容。

## 6. 用户删除权

用户可申请：

- 删除项目
- 删除上传照片
- 删除成品
- 删除公开案例

删除策略：

```text
前台删除：用户不可见，进入删除队列。
后台删除：运营确认后清理 MinIO 文件和数据库状态。
备份删除：按备份保留策略到期清理。
```

## 7. 内容审核范围

必须审核：

```text
用户上传照片
用户输入文案
系统生成 Prompt
生成图片
生成视频封面
最终视频
公开案例
```

## 8. 禁止内容

禁止生成：

- 色情或露骨内容
- 侮辱性内容
- 暴力血腥内容
- 未成年人不当内容
- 未授权名人/公众人物冒用
- 政治人物冒充
- 违法犯罪宣传
- 恐吓、诈骗、仇恨内容

## 9. 文案审核

用户输入：

- 一句话誓言
- 特别要求
- 片尾文案
- 自定义世界描述

必须先走文本审核。

审核失败：

- 提示用户修改
- 不进入生成流程

## 10. 图片审核

阶段：

1. 上传照片审核
2. 预览图审核
3. 正式图审核
4. 案例公开前审核

审核结果：

```text
pass
warning
reject
```

## 11. 视频审核

最终视频合成后必须检查：

- 画面是否违规
- 字幕是否违规
- 封面是否违规
- 是否含未经授权 logo 或水印

V3 真人动态视频片段还必须检查：

- 是否像本人。
- 是否变脸。
- 是否男女混脸。
- 是否年龄变化过大。
- 动作是否自然。
- 表情是否怪异。
- 是否有低俗、不尊重或不合适姿势。
- 是否适合公开案例。

结果为 `warning` 或 `manual_review` 的片段，不允许自动进入公开案例。

## 12. 后台权限控制

原则：

- 普通运营不能查看 Provider 密钥。
- 审核员只能看审核相关素材。
- 财务只能看订单和成本，不看用户原图。
- 超级管理员敏感操作要记录日志。

## 13. 文件访问安全

要求：

- 原图不直接暴露公网。
- 下载使用签名 URL。
- 下载链接有效期可配置。
- 公开案例资源复制到公开 bucket 或 public path。
- 删除项目后停止下载链接生成。

## 14. EXIF 清理

用户上传照片后必须去除 EXIF 信息，避免泄露：

- 拍摄地点
- 设备信息
- 拍摄时间

## 15. 音乐版权

音乐素材必须记录：

```text
音乐名称
来源
授权类型
授权文件
使用范围
有效期
```

不允许使用来源不明音乐进行商业交付。

## 16. 用户协议与隐私协议

至少需要：

- 用户服务协议
- 隐私政策
- 肖像授权说明
- 公开案例授权说明
- 未成年人监护人确认说明
- 退款和修改规则

## 17. 审计日志

记录：

- 管理员查看用户照片
- 管理员下载素材
- 管理员删除素材
- 修改项目状态
- 上架公开案例
- 修改 Provider 配置

## 18. 风险处理

如果发现用户上传未授权照片或生成侵权内容：

1. 暂停项目。
2. 隐藏作品。
3. 通知用户补充授权或删除。
4. 必要时关闭账号。

## 19. V3 真人身份和原图保护

系统 B V3 涉及真实用户人脸，必须强化：

- 原图私有存储，不直接暴露公网。
- 原图下载和后台预览必须记录审计日志。
- 公开案例不使用原始照片，除非用户单独授权。
- 默认不把原图、锚点图、视频片段用于模型训练。
- 身份锚点图属于敏感资产，访问权限等同原图。
- 删除项目时，原图、锚点图、关键帧、视频片段都进入清理队列。

## 20. V3 未成年人保护

涉及儿童成长、宝宝百日、亲子纪念、家庭全家福时：

- 必须确认监护人授权。
- 默认不公开案例。
- 不允许成人化服装、成人化姿势、暧昧表达、危险动作。
- 动态视频和口型内容必须人工复核。
- 后台公开案例审核必须二次确认未成年人风险。

## 21. V3 公开案例二次授权

公开案例授权必须独立于项目生成授权。

授权内容必须明确：

```text
可展示哪些图片。
可展示哪些视频片段。
是否展示完整成片。
是否允许展示人物昵称或纪念主题。
用户可随时撤回公开授权。
```

默认值：

```text
不公开
不进案例库
不用于宣传材料
不用于模型训练
```