# Track 03 — Workflows: China ICP Filing & Internet Content Compliance SOPs

中国网站备案 / 互联网内容合规 这一行业的 SOP 主体由 **三方文档** 共同定义, 缺一不可: (1) **监管一手通知**, 集中在 工信部 `beian.miit.gov.cn` + `www.miit.gov.cn` + 各省通信管理局 `*ca.miit.gov.cn` 子站, 加 网信办 `www.cac.gov.cn` / 公安部 `www.beian.gov.cn` / `www.mps.gov.cn`, 加 全国人大 `flk.npc.gov.cn` 法律全文; (2) **接入服务商 vendor docs** (阿里云 / 腾讯云 / 华为云 帮助中心), 因为 ICP 备案的 法定提交者是接入商而非申请人, 大量 流程性 一手细节只出现在 vendor docs; (3) **律所 client alerts** (君合 / 中伦 / 金杜 / 大成 / 海问 / 汉坤), 在 政策模糊期 (尤其是 算法 / 大模型 / 数据出境) 是解释执行口径的 唯一公开渠道. **各省口径差异** 不是细枝末节 — 沪 / 京 / 粤 / 浙 在 前置审批要求 / 个人备案接受度 / 法人实地核验 / 网站建设方案书 是否要求上 都有专门通知, 直接体现在 SOP 步骤的分支判断. **% 比例 一律 inline 加 caveat 标注** (业内估 / 协会公开 / 本 prototype metadata 三类之一); 数字 仅作 SOP 阶段时长 / 通过率 / 资本门槛 的 量级提示, 不作 绝对依据. **AI / 大模型备案 SOP 仍在演变中** — 网信办 2023-08 生成式 AI 暂行办法后, 算法备案 + 大模型备案 + 安全评估 的实务边界 至 2026-05 仍在 案例驱动 收敛, 各省 网信办 落地步骤 / 受理材料清单 不尽相同, 本 Track 仅记录主线 SOP, 细化分支以 律所 alerts 标注 fluid. 反面 canon (滴滴 80.26 亿罚款 / 多家 App 无证经营被关停) 在 应急 段落中 反复出现, 用于校准 警示烈度 — 假资料代办 + 数据违规出境 + 备案与实际不符 不是 "整改一下" 而是 主体多年不可再备案 + 营业执照吊销 + 刑责追究 的实质后果, SOP 不能软化.

## Source Manifest

| source_id | url | bucket | last_checked | author/host | one-line note |
|---|---|---|---|---|---|
| T03-S001 | https://beian.miit.gov.cn/ | verified_primary | 2026-05-18 | 工信部 ICP/IP 地址/域名 信息备案管理系统 (beian.miit.gov.cn) | ICP 备案 唯一官方申报与查询入口, 主体 / 网站 / APP 备案统一平台 |
| T03-S002 | https://www.miit.gov.cn/zwgk/zcwj/wjfb/tz/index.html | verified_primary | 2026-05-18 | 工信部 (www.miit.gov.cn) | 工信部 ICP 政策通知 / 通管局执法 / 接入商监管 通知发布主页 |
| T03-S003 | https://www.beian.gov.cn/ | verified_primary | 2026-05-18 | 公安部 全国互联网安全管理服务平台 (www.beian.gov.cn) | 公安备案 (公网安备) 唯一官方申报与查询入口 |
| T03-S004 | https://www.mps.gov.cn/ | verified_primary | 2026-05-18 | 公安部 (www.mps.gov.cn) | 公安部 网安局 政策通知 + 等保备案监管 + 重大网络案件通报 主页 |
| T03-S005 | https://www.cac.gov.cn/ | verified_primary | 2026-05-18 | 国家互联网信息办公室 (www.cac.gov.cn) | 算法备案 / 深度合成 / 生成式 AI 大模型备案 / 数据出境申报 政策与通知主页 |
| T03-S006 | https://beian.cac.gov.cn/ | verified_primary | 2026-05-18 | 网信办 互联网信息服务算法备案系统 (beian.cac.gov.cn) | 算法 + 大模型 + 深度合成 备案唯一官方申报入口 |
| T03-S007 | https://www.gov.cn/gongbao/content/2011/content_1860864.htm | verified_primary | 2026-05-18 | 国务院 (www.gov.cn) | 《互联网信息服务管理办法》国务院令 292 号, ICP 备案 + 经营许可双轨制总纲 |
| T03-S008 | https://flk.npc.gov.cn/ | verified_primary | 2026-05-18 | 国家法律法规数据库 (flk.npc.gov.cn) | 全国人大 CSL / DSL / PIPL 现行有效全文检索入口 |
| T03-S009 | https://shca.miit.gov.cn/ | verified_primary | 2026-05-18 | 上海市通信管理局 (shca.miit.gov.cn) | 沪 ICP 备案 / 接入资源管理 地方口径与通知 |
| T03-S010 | https://bjca.miit.gov.cn/ | verified_primary | 2026-05-18 | 北京市通信管理局 (bjca.miit.gov.cn) | 京 ICP 备案 / ICP 许可证 地方口径与通知 |
| T03-S011 | https://gdca.miit.gov.cn/ | verified_primary | 2026-05-18 | 广东省通信管理局 (gdca.miit.gov.cn) | 粤 ICP 备案 / 行业行政处罚 地方口径与通知 |
| T03-S012 | https://zjca.miit.gov.cn/ | verified_primary | 2026-05-18 | 浙江省通信管理局 (zjca.miit.gov.cn) | 浙 ICP 备案 / 电商接入合规 地方口径与通知 |
| T03-S013 | https://jsca.miit.gov.cn/ | verified_primary | 2026-05-18 | 江苏省通信管理局 (jsca.miit.gov.cn) | 苏 ICP 备案 / IDC 接入资源 地方口径与通知 |
| T03-S014 | https://www.cnnic.cn/ | surrogate_primary | 2026-05-18 | 中国互联网络信息中心 (www.cnnic.cn) | .cn 域名实名认证 + 域名持有人核验 主管, 备案前置 [declared=surrogate_primary, auto=secondary; reason=监管 (CNNIC 中国互联网络信息中心 — 域名实名认证主体, .cn 不在 primary suffix)] |
| T03-S015 | https://www.itsec.gov.cn/ | verified_primary | 2026-05-18 | 中国信息安全测评中心 (www.itsec.gov.cn) | 等保 / 关基保护测评 国家测评机构, 测评报告权威出具方之一 |
| T03-S016 | https://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno=BAFB40BBA85B0B0F26D31E2DD716BE3F | verified_primary | 2026-05-18 | 国家标准化管理委员会 (openstd.samr.gov.cn) | GB/T 22239-2019 等保 2.0 基本要求 国家标准全文 |
| T03-S017 | https://www.tc260.org.cn/ | verified_primary | 2026-05-18 | 全国信息安全标准化技术委员会 TC260 (www.tc260.org.cn) | 网络安全 / 个人信息 / 生成式 AI 安全 推荐性国家标准与实践指南 |
| T03-S018 | https://www.cac.gov.cn/2022-07/07/c_1658811536396503.htm | verified_primary | 2026-05-18 | 网信办 (www.cac.gov.cn) | 《数据出境安全评估办法》网信办令 11 号, 关基 + 重要数据 + 100w 个信出境必评估 |
| T03-S019 | https://www.cac.gov.cn/2023-02/24/c_1678884830036813.htm | verified_primary | 2026-05-18 | 网信办 (www.cac.gov.cn) | 《个人信息出境标准合同办法》2023-06-01 施行, SCC 备案制 |
| T03-S020 | https://www.cac.gov.cn/2022-01/04/c_1642894606364259.htm | verified_primary | 2026-05-18 | 网信办 (www.cac.gov.cn) | 《互联网信息服务算法推荐管理规定》四部门令 9 号 2022-03 施行 |
| T03-S021 | https://www.cac.gov.cn/2022-12/11/c_1672221949354811.htm | verified_primary | 2026-05-18 | 网信办 (www.cac.gov.cn) | 《互联网信息服务深度合成管理规定》三部门令 12 号 2023-01-10 施行, 内容标识强制 |
| T03-S022 | https://www.cac.gov.cn/2023-07/13/c_1690898327029107.htm | verified_primary | 2026-05-18 | 网信办 (www.cac.gov.cn) | 《生成式人工智能服务管理暂行办法》七部门 2023-08-15 施行, 大模型备案 + 安全评估 |
| T03-S023 | https://www.cac.gov.cn/2022-07/21/c_1660021534306352.htm | verified_primary | 2026-05-18 | 网信办 (www.cac.gov.cn) | 滴滴 80.26 亿罚款行政处罚决定原文通报 — 反面 SOP 教训 |
| T03-S024 | https://www.miit.gov.cn/zwgk/zcwj/wjfb/tz/art/2024/art_d5e2c4af6b1d4c2487ce8f5b9f9c8a3f.html | verified_primary | 2026-05-18 | 工信部 (www.miit.gov.cn) | 《关于开展移动互联网应用程序备案工作的通知》信管函〔2023〕105 号, APP 备案 2024-03 整改截止 |
| T03-S025 | https://www.gov.cn/zhengce/content/2021-08/17/content_5631671.htm | verified_primary | 2026-05-18 | 国务院 (www.gov.cn) | 《关键信息基础设施安全保护条例》国务院令 745 号, CII 识别与运营者义务 |
| T03-S026 | https://www.mps.gov.cn/n2253534/n2253535/c8347814/content.html | verified_primary | 2026-05-18 | 公安部 (www.mps.gov.cn) | 公安部令 33 号 计算机信息网络国际联网安全保护管理办法 — 公安备案总纲 |
| T03-S027 | https://www.djbh.net/ | surrogate_primary | 2026-05-18 | 公安部 网络安全等级保护网 (www.djbh.net) | 等保备案 + 测评机构推荐目录 + 等保实施指南官方入口 [declared=surrogate_primary, auto=secondary; reason=vendor docs (公安部 等级保护备案管理系统 — .net 不在 primary suffix)] |
| T03-S028 | https://www.isc.org.cn/ | verified_primary | 2026-05-18 | 中国互联网协会 (www.isc.org.cn) | 行业自律组织, ICP 备案培训 / 行业自律公约 / 反诈联盟 |
| T03-S029 | https://help.aliyun.com/document_detail/35958.html | surrogate_primary | 2026-05-18 | 阿里云 (help.aliyun.com) | 阿里云 ICP 备案 vendor docs (国内 No.1 接入商), 流程 + 材料 + 时效 + 拍照背景幕指引 [declared=surrogate_primary, auto=secondary; reason=vendor docs 厂商] |
| T03-S030 | https://cloud.tencent.com/document/product/243 | surrogate_primary | 2026-05-18 | 腾讯云 (cloud.tencent.com/document) | 腾讯云 ICP 备案 vendor docs, 含小程序 + APP + 域名 备案联动 [declared=surrogate_primary, auto=secondary; reason=vendor docs 厂商] |
| T03-S031 | https://support.huaweicloud.com/icprecord/index.html | surrogate_primary | 2026-05-18 | 华为云 (support.huaweicloud.com) | 华为云 ICP 备案 vendor docs, 政企与集团备案 + 跨省迁移场景文档 [declared=surrogate_primary, auto=secondary; reason=vendor docs 厂商] |
| T03-S032 | https://www.junhe.com/legal-updates | surrogate_primary | 2026-05-18 | 君合律师事务所 (www.junhe.com) | 君合 数据保护与网络安全业务线 client alert 律所 vendor docs, 跨境数据 + PIPL + 算法合规系列简报 [declared=surrogate_primary, auto=secondary; reason=律所 law firm client alert] |
| T03-S033 | https://www.zhonglun.com/research/articles | surrogate_primary | 2026-05-18 | 中伦律师事务所 (www.zhonglun.com) | 中伦 网络与数据合规 / TMT client alert 律所 vendor docs, ICP 备案实务 + 算法备案 + 数据出境实务文章 [declared=surrogate_primary, auto=secondary; reason=律所 law firm vendor docs] |
| T03-S034 | https://www.kwm.com/cn/zh/insights.html | surrogate_primary | 2026-05-18 | 金杜律师事务所 (www.kwm.com) | 金杜 中国网络安全与数据合规 client alert 律所 vendor docs, CSL/DSL/PIPL 三法合规实操 + APP 备案专题 [declared=surrogate_primary, auto=secondary; reason=律所 law firm vendor docs] |
| T03-S035 | https://www.dachenglaw.com/news | surrogate_primary | 2026-05-18 | 大成律师事务所 (www.dachenglaw.com) | 大成 网络与数据合规专委 律所 vendor docs, ICP/EDI/IDC 经营许可申请实务 + 处罚案例解读 [declared=surrogate_primary, auto=secondary; reason=律所 law firm vendor docs] |
| T03-S036 | https://www.haiwen-law.com/publications | surrogate_primary | 2026-05-18 | 海问律师事务所 (www.haiwen-law.com) | 海问 数据合规与网络安全 client alert 律所 vendor docs, 关基识别 + 数据出境评估实务 [declared=surrogate_primary, auto=secondary; reason=律所 law firm client alert] |
| T03-S037 | https://www.hankunlaw.com/portal/article/index/cid/8/id/13135.html | surrogate_primary | 2026-05-18 | 汉坤律师事务所 (www.hankunlaw.com) | 汉坤 数据合规与网络安全团队 client alert 律所 vendor docs, 生成式 AI 备案 + 算法备案实操指南 [declared=surrogate_primary, auto=secondary; reason=律所 law firm client alert] |
| T03-S038 | https://www.caict.ac.cn/kxyj/qwfb/bps/ | surrogate_primary | 2026-05-18 | 中国信息通信研究院 (www.caict.ac.cn) | 信通院 智库 研究院 报告, 互联网治理 / 数据合规 / 算法治理 白皮书 [declared=surrogate_primary, auto=secondary; reason=智库 研究院 / vendor docs] |
| T03-S039 | https://www.cesi.cn/ | surrogate_primary | 2026-05-18 | 中国电子技术标准化研究院 (www.cesi.cn) | CESI 智库 研究院 报告, 数据 / 个人信息 国家标准研究与解读 [declared=surrogate_primary, auto=secondary; reason=智库 研究院 / vendor docs] |
| T03-S040 | https://digichina.stanford.edu/ | surrogate_primary | 2026-05-18 | Stanford DigiChina (digichina.stanford.edu) | 国际研究 智库 think tank research, 中国网信法规英文翻译与实施分析 [declared=surrogate_primary, auto=secondary; reason=智库] |

## Workflows

### 01. ICP 主体 + 网站 备案 首次申请 (非经营性 通用版)

**适应症 / 适用情境**: 网站服务器位于中国大陆境内, 主体为大陆企业或个人, 网站不直接通过互联网向用户有偿提供信息服务 (无 在线支付 / 在线交易 / 会员付费 等经营性元素).

**禁忌 / 不适用 + 替代路径**: 服务器在境外或港澳台 → 不需 ICP 备案 (但若访问中国用户达到 PIPL 第 3 条情形仍受管辖); 网站含经营性内容 → 改走 SOP 02 ICP 经营许可证.

**入门路径 (代办 / 标准流程 / 厂商 SOP)**:
1. **选定接入商 + 购买大陆服务器 / 云资源** (1-3 天): 阿里云 / 腾讯云 / 华为云 三家覆盖大约 70%+ 备案接入市场 (业内估), 须确认接入商已在所属省通管局取得 B1 / B2 资质. 陷阱: 海外节点 / 香港节点 / CDN 单独节点 一律不能备案, 必须是 大陆 IDC + 大陆 IP.
2. **域名实名认证** (1-2 天): 通过 CNNIC 体系内的域名注册商完成持有人实名, 域名持有人必须与备案主体一致 (个人 vs 企业 不可错位). 陷阱: 域名注册商核验未通过 → 域名无法解析, 备案自动驳回.
3. **接入商备案系统填报主体 + 网站信息** (1-2 天): 阿里云"备案管理"/ 腾讯云"备案"/ 华为云"备案中心"小程序内完成 主体信息 + 网站信息 + 负责人信息 + 上传营业执照 / 身份证 / 域名证书 / 授权书. 陷阱: 主体名称 / 法定代表人 与营业执照一字不差; 网站名称 不得含 "中国" / "中华" / "国家" / "官方" 等敏感字 (除非有相应资质).
4. **短信核验 + 人脸核验** (1-3 天): 工信部 106 短信码 + 阿里云 / 腾讯云 备案小程序 活体人脸识别; 部分省 (如沪 / 京) 仍要求 寄送幕布 + 手持身份证拍照. 陷阱: 人脸库不通过最常见原因是手机号实名与备案人不一致.
5. **接入商初审 + 提交省通管局** (1-3 工作日): 接入商客服会做形式审核, 不通过会退回让补料, 通过后接入商代提交省通管局. 陷阱: 接入商客服初审周期工作日内, 周末和节假日不算.
6. **省通管局审核** (1-20 工作日, 各省差异大): 沪 / 京 / 粤 通常 5-10 工作日, 一些内陆省份偶有 15-20 工作日. 通过后下发 "省份简称 ICP 备 XXXXXX 号-N" 编号. 陷阱: 审核期间 网站必须不能解析, 一旦发现 已上线则直接驳回.
7. **网站底部公示 + 接入** (1 天): 备案号必须以文字 + 链接形式公示在网站首页底部, 链接指向 `beian.miit.gov.cn`. 陷阱: 公示缺失或链接错误 是工信部抽查最常见整改项.

**资深路径**:
- **跳过 接入商客服往返**: 资深用户在接入商小程序内可一次性把 营业执照 / 法人身份证 / 域名证书 / 授权委托书 / 网站建设方案书 (沪粤要) 全部按命名规则上传完整, 客服初审 直接放行不补料, 周期从 3-5 天压到 1 天.
- **优化 拍照 / 幕布**: 选 阿里云 / 腾讯云 已对接 公安部一所 人脸库的省份, 通过小程序 5 分钟人脸活体, 跳过寄送幕布 + 邮寄手持照, 沪京粤浙苏 等 8+ 省 (业内估) 已全面电子核验.
- **额外 多域名一次申报**: 主体备案下 一次性 加 5-10 个二级域名 (主域 + 子域 + 多套接入), 后续 网站备案 直接走 "增加网站" 而非 "新主体" 二阶段流程, 节省后续每个网站独立报审的 5-20 工作日.
- **跳过 个人备案被驳风险**: 资深用户若注册个体工商户或 一人有限责任公司, 走企业备案路径, 比纯个人备案 通过率明显更高 (尤其京 / 沪 个人备案审核更严), 个人备案后续若要做 经营性升级也不影响.

**常见 驳回 + 应急**:
- **主体名称与营业执照不一致** (含 空格 / 全半角 / "(" vs "（")): 重新核对营业执照逐字录入, 退回后 接入商可在 5-10 工作日内重提.
- **域名持有人与备案主体不一致**: 先到域名注册商办过户 (个人 → 企业 须出过户协议 + 身份证 + 营业执照), 过户完成后 重新提交备案.
- **网站名称含敏感字 (中国 / 国家 / 官方 / 中央)**: 不可叫 "中国 XX 网", 改为 "XX 服务" / "XX 平台" 后重提.
- **审核期间网站可访问 / 解析未关**: 立即关闭 DNS 解析, 等审核通过再开, 否则进入 "审核中网站访问" 黑名单, 同主体下其它申请 都会被牵连.

**figures**: beian.miit.gov.cn / 阿里云备案管理 / 各省通管局 (shca / bjca / gdca)
**evidence**: [T03-S001 / T03-S002 / T03-S007 / T03-S009 / T03-S010 / T03-S011 / T03-S029 / T03-S030 / T04-S002 / T06-S006]

### 02. ICP 经营许可证 申请 (B25 信息服务业务)

**适应症 / 适用情境**: 网站 / APP / 小程序 涉及 在线交易 / 付费会员 / 付费内容 / 广告投放 / 中介撮合 等 经营性 元素, 主体须取得 "B25 信息服务业务" 经营许可 (俗称 "ICP 许可证" / "ICP 证").

**禁忌 / 不适用 + 替代路径**: 纯展示型企业官网 / 个人博客 → SOP 01 ICP 备案足够; 主营在线数据处理 / 电商交易撮合 → 改走 B26 EDI 许可证 SOP 路径.

**入门路径**:
1. **公司主体准备** (1-4 周): 注册资本 省内 ≥ 100w / 跨地区 ≥ 1000w 人民币 实缴或认缴 (具体看注册地通管局口径), 主体须为内资公司 (外资 / 中外合资须走 FDI 增值电信特别审批, 大约耗时 3-12 月业内估). 陷阱: 注册资本 仅认缴不行, 部分省 (如京) 要求实缴或银行验资.
2. **三名以上员工社保证明** (1-2 周): 申请前 1 个月 须有 3 名以上员工社保连续缴纳记录, 部分省要求 6 个月. 陷阱: 找代缴社保被通管局抽查到 → 不予批准 + 主体列入诚信记录.
3. **接入资源准备** (1-2 周): 须与 持有 B11 IDC / B12 ISP 的接入商签订正式合作合同, 含 服务器 / IP / 带宽 / 安全运维 等条款. 陷阱: 仅个人云账号 截图不行, 必须 正式合同盖章.
4. **网络与信息安全保障措施材料** (2-4 周): 网络拓扑图 + 用户管理 + 信息安全 + 个人信息保护 + 应急预案 等 文件包, 部分省要求 等保 二级以上预评估证明. 陷阱: 安全方案 模板化抄袭 → 通管局会驳回要求重写.
5. **省通管局申报 + 受理 + 审核** (60 工作日): 通过工信部"电信业务综合管理平台"或省通管局窗口 提交全套材料, 受理后 通管局 60 工作日内完成审核, 期间可能 现场核查 + 补正通知. 陷阱: 补正 1 次 = 时钟暂停, 多数申请实际周期 3-6 个月.
6. **领证 + 公示 + 年报** (1 周 + 每年): 取得 "B25-XXXXXXXX" 编号证书, 须 网站底部公示 经营许可证号, 每年 1-3 月通过 平台提交年报. 陷阱: 漏年报会被通管局列入异常名录, 连续两年漏报 → 吊销许可证.

**资深路径**:
- **跳过 自己组建社保**: 直接收购 已有许可证的 已停业 / 待转让 主体 (壳公司), 通过 主体变更 实现 "买证", 业内市场价 因省份 / 资本要求 有显著差异 (本 prototype metadata 仅作量级提示, 京沪粤 跨地区 B25 壳价显著高于内陆).
- **优化 注册地选择**: 在 各省 经营许可证 受理速度差异 显著, 资深用户会选择 受理时长稳定 + 现场核查不严 的省份 (海南自贸区 / 部分内陆省) 作为 主体注册地, 通过本地接入资源对接全国业务.
- **额外 一次性多业务种类申请**: 在同一份申报中 同时申请 B25 + B26 + B22 (信息服务 + EDI + 短信), 比 分次申请 节省 2-3 个 60 工作日周期.
- **优化 等保 三级预先做好**: 资深用户在申报 B25 时 同步提交 等保 三级备案证明, 通管局现场核查直接跳过 网络与信息安全 模块抽查.

**常见 驳回 + 应急**:
- **社保人员不足 / 异常**: 补缴 3 名以上员工 6 个月社保 (沪京粤通管局已抓"代缴社保")后重新提交.
- **接入资源 合同不规范**: 接入商出具 标准合作协议 (含服务器位置 / IP 段 / 带宽 / 安全责任) 重提.
- **网络与信息安全方案过于模板化**: 找律所或 专业代办公司 重写, 加入 主体业务具体场景 + 应急组织架构 + 联系人 + 备案系统对接 等定制内容.
- **资本认缴未实缴 (京 / 沪)**: 完成 实缴或银行验资报告 后重新申报.

**figures**: 工信部电信业务综合管理平台 / 各省通管局窗口 / 君合 + 大成 律所 alerts
**evidence**: [T03-S002 / T03-S007 / T03-S010 / T03-S035 / T04-S004 / T04-S016 / T06-S009 / T06-S067 / T06-S069]

### 03. 公安备案 30 日补办

**适应症 / 适用情境**: 任何已取得 ICP 备案号 的网站 / APP, 必须在 上线 / 取得 ICP 备案后 30 日内 到 `www.beian.gov.cn` 公安部全国互联网安全管理服务平台 完成 "公网安备" 备案.

**禁忌 / 不适用 + 替代路径**: 服务器在境外不做 ICP 备案 → 公安备案也不强制 (但若境内服务器 + 海外接入仍须); 内部办公系统不对外服务 → 走 等保 备案而非公网安备.

**入门路径**:
1. **注册公安备案账号 + 主体登记** (1-2 天): 在 `www.beian.gov.cn` 注册法人或个人账号, 上传 营业执照 / 法人身份证 / ICP 备案截图 (含备案号). 陷阱: 公安备案号 与 ICP 备案号 完全独立, 用户最常误以为已经备案了.
2. **网站 / APP 信息登记** (1 天): 填报 网站名称 / 域名 / 服务器 IP / 接入商 / 服务类型, 上传 网站首页截图 + ICP 备案截图. 陷阱: 服务器 IP 填错 (用了 CDN 临时 IP) 会被属地公安网安电话核实.
3. **指定安全员 + 上传身份证 + 信息安全制度** (1-2 天): 主体须指定 ≥ 1 名 网络安全员 (有效身份证 + 联系电话 + 邮箱), 上传 信息安全管理制度 + 用户信息安全保护制度 + 信息内容审核制度. 陷阱: 制度文件模板化 + 安全员是法人本人 沪京粤 公安 会要求改.
4. **属地公安网安部门 后台审核** (5-20 工作日): 属地 (按服务器物理位置或主体注册地) 公安网安大队 审核, 通过后下发 "省份简称公网安备 XXXXXXXXXXXX 号" (12 位数字, 不同于 ICP 的省份缩写格式). 陷阱: 属地按 服务器物理位置 而非主体注册地, 跨地接入易踩坑.
5. **网站底部公示 + 加链** (0.5 天): 网站底部以 文字 + 链接 + 国徽小图标 形式公示, 链接指向 `www.beian.gov.cn/portal/registerSystemInfo?recordcode=XXX`. 陷阱: 缺国徽图 + 不挂超链 = 公安抽查必整改.

**资深路径**:
- **跳过 主体重新登记**: 同一主体下 多个网站可共用一次主体登记, 资深用户在主体已登记的情况下 直接走"新增网站"二阶段, 节省 主体审核 5-10 工作日.
- **优化 安全员配置**: 选 公司内 信息安全 / IT 岗位 员工担任安全员而非法定代表人本人, 通过率显著提高 (业内估), 沪京公安网安实务中 法人兼安全员被认为风险较高.
- **额外 提前完成等保 二级以上备案**: 资深主体在公安备案时 同步上传 等保备案证明, 公安网安审核基本秒过 + 后续 例行检查频次降低.

**常见 驳回 + 应急**:
- **服务器 IP 与接入商不符**: 找接入商重新出具 IP 与接入证明, 在公安系统更新接入商信息.
- **安全制度模板太通用**: 按 公安部 32 条 信息内容审核要求 重写, 加入 具体业务场景 + 用户投诉处理流程 + 24h 应急联系人.
- **30 日逾期未办**: 立即补办 + 接受 公安 警告或 1-5w 罚款 + 列入 网安重点关注名录, 第二次违反 → 接入商被通知断网.
- **属地搞错 (服务器在 A 省 主体在 B 省)**: 按 服务器物理位置 重新选择属地, 跨省时须 注销原属地 + 重新申请.

**figures**: www.beian.gov.cn / 各属地公安网安大队 / 公安部令 33 号原文
**evidence**: [T03-S003 / T03-S004 / T03-S026 / T03-S028 / T04-S005 / T06-S010 / T06-S011 / T06-S012]

### 04. APP 备案 (工信部 2024-03 新规)

**适应症 / 适用情境**: 任何面向中国大陆用户提供下载或服务的 移动互联网应用程序 (APP / 小程序 / 快应用), 包括 H5 套壳 APP / 国内分发的 出海产品. 工信部要求 2024-03 起 应用市场全面下架 未备案 APP, 同时 APP 提供者必须完成 主体 + APP + 分发平台 三层备案.

**禁忌 / 不适用 + 替代路径**: 纯内部办公 / 不在公开应用市场分发 / 仅供员工内测 → 不强制走公开 APP 备案 (仍须公司 IT 安全管理); 仅 Web 网站无 APP 形式 → SOP 01 / 02 即可.

**入门路径**:
1. **主体 ICP 备案 前置** (依赖 SOP 01 / 02): APP 备案必须以 主体已有 ICP 备案 为前提, 同一主体的 APP 备案号 形如 "省份简称 ICP 备 XXXXXXXX 号-XA". 陷阱: 主体若无 ICP 备案 必须先完成 SOP 01 主体备案再做 APP 备案.
2. **APP 信息填报** (1-2 天): APP 名称 / 类型 / 适用领域 / 主要功能 / 服务器 IP / 域名 / 安装包 SHA256 / 应用市场上架情况; 通过 阿里云 / 腾讯云 / 华为云 APP 备案小程序 或 直接走 `beian.miit.gov.cn` 个人 / 企业账户. 陷阱: APP 名称必须与 应用市场上架名称 严格一致, 否则被驳回.
3. **分发平台同步登记** (1 天): APP 提供者须告知 应用商店 (App Store 中国区 / 华为 / 小米 / OPPO / vivo / 应用宝 等) 备案号, 应用商店在 7 天内完成 校对入库. 陷阱: 海外发行的 国际版与中国版 须分开备案, 同包名不同备案视为不同 APP.
4. **接入商初审 + 省通管局审核** (1-20 工作日): 与 SOP 01 同样的接入商初审 + 省通管局审核流程, 备案号通过后 工信部公示. 陷阱: APP 服务器若与 ICP 网站服务器是 不同接入商, 须分开走两个接入商提交.
5. **应用市场公示 + 卸载未备案版本** (持续): APP 详情页 / 启动页须显著公示 备案号; 未备案 APP 2024-03 后被各应用市场强制下架. 陷阱: H5 套壳 APP 因后台 URL 变化 偶尔被识别成"未备案变更", 须及时变更备案.

**资深路径**:
- **跳过 多 APP 独立申报**: 同主体下 多个 APP 一次性 批量备案, 申报系统支持 一份主体材料 + 多个 APP 子表单, 节省每个 APP 重复填报 主体信息 的时间.
- **优化 与 SOP 01 主体备案同步**: 资深用户在 SOP 01 主体备案时 直接预留 APP 申报槽位, 主体备案下证后 立即 APP 备案, 不需等待网站备案完成.
- **额外 分发渠道一次性通报**: 资深用户 整理 一份 多家应用市场的 备案号通报模板, 同步 邮件 / 后台 提交给 7+ 家市场, 节省 多次重复沟通.

**常见 驳回 + 应急**:
- **APP 名称与应用市场不一致**: 修改应用市场上架名称或调整备案名称, 二者一字不差后重提.
- **服务器 IP 在境外或未在接入商资源池**: 迁服务器至 大陆接入商资源, 重新提交备案.
- **未备案被应用市场下架**: 立即提交备案 + 在应用市场提交 整改完成通知, 通过后重新上架; 若已上线超 1 年仍未备案 → 进入工信部 通报名单, 主体声誉受损.
- **APP 功能与备案描述不符 (后增加内容服务)**: 30 日内做 变更备案, 不变更则 抽查发现按 "未备案" 处理.

**figures**: beian.miit.gov.cn APP 备案 / 工信部 信管函〔2023〕105 号 / 主要应用市场后台
**evidence**: [T03-S001 / T03-S002 / T03-S024 / T03-S029 / T03-S030 / T04-S015 / T06-S022 / T06-S034]

### 05. 算法推荐备案 (网信办)

**适应症 / 适用情境**: 提供 "算法推荐服务" (个性化推送 / 排序精选 / 检索过滤 / 调度决策 / 生成合成 五类之一) 且 用户规模 + 社会影响 达到 网信办备案门槛, 主要适用 大型平台 / 资讯类 APP / 短视频 / 电商个性化 / 信息流广告.

**禁忌 / 不适用 + 替代路径**: 纯企业内部使用算法 / 用户规模 显著低于平台级阈值 → 一般不强制备案 (但仍受算法推荐管理规定 第 4-22 条 实体义务约束); 涉及深度合成 → 同时走 SOP 06; 涉及生成式 AI → 同时走 SOP 07.

**入门路径**:
1. **算法清单梳理 + 自评估** (2-4 周): 内部梳理 平台所有 算法推荐功能 (推荐 / 排序 / 检索 / 调度 / 生成 五类), 每个算法 填写 算法名称 / 类型 / 用途 / 数据 / 模型 / 用户标签维度 / 推送策略, 完成 算法影响自评估. 陷阱: 算法定义宽泛, 资讯流 / 弹幕排序 / 搜索结果排序 / 优惠券推送 都算, 漏报会被网信办抽查认定 "未备案".
2. **算法安全自评估报告** (2-3 周): 按 TC260 算法安全实践指南 + 网信办 备案模板 撰写, 含 算法机制机理 + 安全风险 + 用户权益保障 + 投诉处置 + 应急 等章节. 陷阱: 自评估报告 写成营销稿被网信办退回, 必须严格按 备案系统 提供章节结构.
3. **网信办算法备案系统填报** (1 周): 在 `beian.cac.gov.cn` 备案系统 填写 主体信息 + 算法信息 + 上传自评估报告 + 公示信息. 陷阱: 备案系统账号注册需 营业执照 + 法人身份证 + 公函, 周期 3-5 工作日.
4. **省级网信办初审 + 中央网信办复审** (1-3 个月): 省级网信办 形式 + 实质审核, 通过后报中央网信办备案存档, 通过后 在 `beian.cac.gov.cn` 公示 + 下发 备案编号. 陷阱: 实质审核可能要求 算法机理具体说明, 写得太抽象会被驳回.
5. **算法公示 + 用户告知 + 投诉机制建立** (持续): 在 APP / 网站 显著位置公示 算法机制机理 + 用户开关; 用户可一键关闭个性化推荐. 陷阱: 缺一键关闭按钮 + 算法机理写得用户看不懂 是常见整改项.

**资深路径**:
- **跳过 多算法分次申报**: 同主体下 多个算法 一次性合并备案 + 一份自评估报告 覆盖 (按模块分章节), 节省 多次走 1-3 个月审核流程.
- **优化 与 TC260 标准对齐**: 资深用户直接 按 TC260 算法安全实践指南 章节 撰写自评估报告, 与 网信办备案模板 100% (业内估) 对齐, 实质审核基本 一次通过.
- **额外 设立 算法治理委员会 + 内部留痕**: 主体内部成立 算法治理委员会 (法务 / 安全 / 产品 / 数据), 每月 算法变更 / 风险评估 留档备查, 后续 算法变更备案 / 监管约谈 准备充分.
- **跳过 用户开关被忽视**: 资深用户在 备案前 已上线 一键关闭个性化推荐 + 个性化广告 + 行为画像 三档独立开关, 网信办公示阶段 用户投诉率 显著降低.

**常见 驳回 + 应急**:
- **算法清单漏报**: 立即补充上报 漏报算法, 接受网信办约谈, 不得拖延.
- **自评估报告章节缺失 / 写得太营销**: 按备案系统强制章节重写, 加入 风险与缓解措施 具体描述.
- **一键关闭功能缺失**: 7 个工作日内上线 一键关闭开关 + 在 APP 设置突出位置, 重新公示.
- **算法变更未更新备案**: 重大变更 (训练数据源 / 推送逻辑) 30 日内提交变更备案, 不及时变更被视为 "未备案" 处理.

**figures**: beian.cac.gov.cn 算法备案系统 / 网信办公示页 / TC260 算法安全实践指南
**evidence**: [T03-S005 / T03-S006 / T03-S017 / T03-S020 / T03-S032 / T03-S034 / T04-S010 / T06-S042 / T06-S085 / T06-S086]

### 06. 深度合成备案 (网信办)

**适应症 / 适用情境**: 提供 "深度合成" 服务 (利用深度学习 / 虚拟现实等 生成 / 编辑 文本 / 图像 / 音视频 / 虚拟场景), 包括 AI 换脸 / 语音克隆 / 数字人 / 虚拟主播 / AIGC 文生图 / 文生视频 等. 自 2023-01-10 深度合成管理规定 施行起, 服务提供者 + 技术支持者 双备案.

**禁忌 / 不适用 + 替代路径**: 仅企业内部测试 / 不对公众提供 → 不强制深度合成备案 (但 训练数据合规 + 输出标识 实体义务仍适用); 同时提供生成式 AI 公众服务 → 同时走 SOP 07.

**入门路径**:
1. **服务定位评估** (1-2 周): 内部确认是 服务提供者 (直接面向 C 端 / 公众) 还是 技术支持者 (向其它服务提供者输出 API / 模型), 二者备案路径与材料 不同. 陷阱: 同时是 提供者 + 支持者 须双重备案.
2. **算法备案 (SOP 05 前置)** + 深度合成专项材料 (2-4 周): 深度合成备案 走 算法备案系统但 多一组 专项材料 (合成方式 / 关键技术 / 训练数据来源 / 内容审核机制 / 标识技术), 撰写 服务安全评估报告. 陷阱: 训练数据来源 不能写 "互联网公开数据", 须具体数据集 + 授权情况.
3. **内容标识技术准备** (4-8 周): 部署 显式标识 (角标 / 水印 / 提示文字 — 用户可见) + 隐式标识 (数字水印 / 元数据 — 用户不可见但可技术检测), 须 符合 TC260 内容标识实践指南. 陷阱: 标识 易被裁剪 / 压缩去除是 网信办重点关注问题.
4. **网信办备案系统填报 + 审核** (1-3 个月): 在 `beian.cac.gov.cn` 提交 主体 + 算法 + 深度合成专项 三层信息, 省级网信办初审 + 中央网信办复审 + 公示. 陷阱: 输出内容若涉及 政治敏感 / 历史人物 / 公众人物, 备案审核 显著更严, 须提交 内容审核细化方案.
5. **上线后内容监控 + 投诉响应** (持续): 7×24 小时内容安全监控 + 投诉处置 < 24h + 重大风险 立即向网信办报告. 陷阱: 公众人物换脸 / 涉政内容 已有 多起处罚通报, 单次违规可致 服务下线整改.

**资深路径**:
- **跳过 标识技术自研**: 资深用户 直接采用 TC260 已发布的 数字水印参考实现, 或 接入 信通院 内容溯源 服务, 节省 自研 4-8 周.
- **优化 服务提供者 + 技术支持者 一体备案**: 若主体既做 C 端服务也做 API 输出, 一次性 双身份合并申报, 节省 后续单独申报 1-3 个月.
- **额外 训练数据来源全程可溯**: 资深用户 建立 数据来源 + 授权 + 清洗 + 标注 全链路留档 (区块链 / Git 版本控制), 备案审核与日常检查 直接出具溯源记录.
- **跳过 后续政治敏感内容人工巡检**: 资深用户预先 接入 第三方 内容安全 SaaS (含历史人物 / 公众人物 / 涉政关键词库), 服务上线时即覆盖, 大幅降低事后下架风险.

**常见 驳回 + 应急**:
- **训练数据来源说明过于笼统**: 列具体数据集 + 数据集授权 / 许可证 + 数据清洗规则, 补正重提.
- **输出标识 易被绕过**: 加强 数字水印 + 同时部署 角标 + 元数据 三重标识, 提交 标识鲁棒性测试报告.
- **输出内容涉及公众人物 / 政治敏感**: 立即下线相关功能 + 接受网信办约谈 + 提交 整改报告, 整改不到位 → 备案撤销 + 罚款.
- **未实时响应用户投诉**: 上线 7×24 投诉受理 + 24h 响应承诺 + 投诉处置率公示, 接受网信办专项检查.

**figures**: beian.cac.gov.cn 深度合成备案 / TC260 内容标识 / 信通院内容溯源
**evidence**: [T03-S005 / T03-S006 / T03-S017 / T03-S021 / T03-S033 / T03-S037 / T03-S038 / T04-S011 / T06-S043 / T06-S088]

### 07. 生成式 AI 服务备案 + 大模型备案 (网信办)

**适应症 / 适用情境**: 面向 中国境内公众 提供 生成式 AI 服务 (文本 / 图像 / 音视频 / 代码 等 AIGC) 的 服务提供者, 须 算法备案 + 大模型服务备案 + 安全评估 三件套. 自 2023-08-15 生成式 AI 服务管理暂行办法施行.

**禁忌 / 不适用 + 替代路径**: 不向境内公众提供服务 (仅企业内部 / 仅供海外用户) → 不强制网信办备案 (但仍须 满足 PIPL / DSL 等数据合规); 仅提供生成式 AI 模型 不直接服务 C 端 → 走 算法备案 + 深度合成 (SOP 05 / 06).

**入门路径**:
1. **训练数据合规审计** (4-8 周): 训练数据来源合法 (授权 / 公开 / 自有) + 不含侵权内容 + 不含敏感个人信息 / 国家秘密 / 历史虚无主义 等违规内容; 形成 训练数据合规报告. 陷阱: "互联网公开数据" 不是当然合法, 须 区分 著作权 / 个人信息 / 商业秘密 三个维度自审.
2. **安全评估自查 (TC260-003 基本要求)** (4-8 周): 按 TC260-003 生成式 AI 服务安全基本要求, 自查 31 类风险关键词 + 输出内容安全 + 测试集准确率, 形成 安全评估报告. 陷阱: 测试集准确率 阈值 行业内动态调整, 须以最新 TC260 公告为准.
3. **算法备案 (SOP 05) + 大模型服务备案 双申报** (2-3 个月): 在 `beian.cac.gov.cn` 提交 算法 + 大模型 + 安全评估 三套材料; 省级网信办初审 + 中央网信办复审; 重点大模型 须中央层面专项评估. 陷阱: 大模型备案 比 算法备案 多 模型规模 / 训练算力 / 训练时长 / 落地场景 等专项问题.
4. **服务上线 + 显著公示 + 用户告知** (1 周): 公示 大模型备案号 + 适用人群 + 适用场景 + 内容生成限制 + 用户投诉渠道; 输出内容须 显著标识 "由 AI 生成". 陷阱: 标识不清 + 输出内容未限制 14 岁以下用户 是常见整改项.
5. **持续 安全评估 + 漏洞披露 + 重大事件报告** (持续): 重大模型升级 30 日内 提交变更备案; 重大安全事件 立即报告网信办 + 行业主管部门. 陷阱: 已有 多起 大模型违规输出 (历史 / 政治 / 公众人物) 被网信办约谈通报, 单次处理可达 服务暂停整改.

**资深路径**:
- **跳过 自建 训练数据合规体系**: 资深主体直接 采购 已 合规清洗的开源数据集 + 商业授权数据集, 节省 自建数据清洗 4-8 周.
- **优化 安全评估与产品研发并行**: TC260-003 自查与 模型训练 + 微调 并行, 模型上线即同步出 安全评估报告, 节省 串行流程 4-8 周.
- **额外 与 信通院 / 国家网信办 试点项目联动**: 资深主体加入 网信办 大模型试点 / 信通院 安全评估试点, 获得 优先备案 + 政策解读 内部通道.
- **跳过 后续重大模型升级再申报**: 资深用户在初次备案时 已预留 模型 v1 ~ v3 路线说明, 后续小版本升级 不必每次重新走 2-3 个月备案, 仅做变更通报.

**常见 驳回 + 应急**:
- **训练数据合规报告不充分**: 补充 数据集来源 + 授权链 + 清洗规则 + 侵权排查 详细说明, 重新提交.
- **TC260-003 测试集准确率不达标**: 优化 模型微调 + RLHF + 关键词过滤, 准确率达标后重测重报.
- **输出内容涉及 历史虚无 / 政治敏感 / 公众人物**: 立即下线相关功能 + 限制输入关键词 + 引入第三方内容安全审核, 提交 整改报告.
- **未做生成内容标识**: 7 个工作日内上线 显著标识 (角标 / 水印 / 文字提示), 重新公示, 接受网信办检查.

**figures**: beian.cac.gov.cn 大模型备案 / TC260-003 / 信通院 AI 安全评估
**evidence**: [T03-S005 / T03-S006 / T03-S017 / T03-S022 / T03-S032 / T03-S037 / T03-S038 / T04-S012 / T06-S044 / T06-S087 / T06-S089 / T06-S090]

### 08. 等保 2.0 三级测评 申报

**适应症 / 适用情境**: 网络运营者按 GB/T 22239-2019 定级为 三级 (含) 以上, 即 一般会涉及 公众利益 + 公民合法权益 + 社会秩序, 大多数 互联网服务 + 公共信息系统 + 金融 / 医疗 / 教育 / 政务 二线及以上业务系统都需要.

**禁忌 / 不适用 + 替代路径**: 仅企业内部 / 受影响人群极少 → 二级即可, 走 二级备案 + 自测; 关基系统 → 同时走 关基保护条例附加要求 (SOP 09 数据出境 联动).

**入门路径**:
1. **定级与专家评审** (2-4 周): 主体按 GB/T 22240 自行预定级 + 组织专家评审 (含 ≥ 1 名信息安全专业人员), 形成 定级报告. 陷阱: 三级定级须 备案后由公安网安复核, 自我降级会被公安抽查发现要求重定级.
2. **公安备案 (与 SOP 03 联动)** (5-15 工作日): 携 定级报告 + 系统拓扑 + 主体证件 到属地公安网安部门 备案, 取得 公安备案证明 (黄色单据). 陷阱: 不同省份对 上传材料 / 是否现场盘 要求不同, 须先看 各省公安厅 网安总队 通知.
3. **整改建设 (等保 2.0 基本要求 + 安全设计技术要求)** (1-6 个月): 按 GB/T 22239 / GB/T 25070 在 物理 + 网络 + 主机 + 应用 + 数据 + 安全管理 6 大模块完成 安全建设, 包括 防火墙 / 入侵检测 / 日志审计 / 备份 / 加密 / 数据脱敏 / 安全管理制度. 陷阱: 整改预算 跨度极大, 三级整改 中型互联网公司 典型预算量级以 数十万至数百万人民币 计 (本 prototype metadata 仅作量级提示).
4. **委托公安部认可测评机构 测评** (2-4 周): 在 `djbh.net` 推荐目录中 选具备资质的测评机构, 现场 + 远程测评, 出具 测评报告. 陷阱: 测评机构与本主体不能有直接关联 (利益冲突), 部分省禁止 同一接入商关联测评机构.
5. **测评报告 + 整改报告 + 备案证明 三件套 归档** (1-2 周): 测评不通过项 整改后 出整改报告, 三件套 提交属地公安网安, 完成等保闭环. 三级系统须 每年开展一次复测.

**资深路径**:
- **跳过 重头建设**: 资深主体 在系统设计阶段 已按 等保 三级 同步规划安全架构, 整改 实际只是补漏 + 文档完善 而非二次建设, 节省 3-6 个月.
- **优化 测评机构选择**: 资深用户选择 与监管熟悉度高 + 报告通过率稳定 的 公安部一级测评机构 (业内估), 测评 一次通过率 显著提高.
- **额外 与 ISO 27001 + 国密合规联动**: 同时申请 ISO 27001 + 国密 二级商用密码应用安全性评估, 一份 安全管理体系文档 多重应用, 出海 + 国内 双合规.
- **跳过 测评后再整改**: 资深用户 测评前先做 第三方预测评 (模拟测评), 提前修补, 正式测评 一次通过率 大幅提高.

**常见 驳回 / 整改 + 应急**:
- **定级偏低被公安要求重定级**: 重新评估 + 上调至三级 + 重做整改与测评.
- **测评高危项未整改**: 立即整改 + 重测, 必须达到 "无高危项 + 中危项 ≤ 阈值" 才能出 合格测评报告.
- **测评机构资质过期 / 利益冲突**: 更换 djbh.net 公示目录内 资质有效机构 重测.
- **整改后未及时报送备案**: 立即补送 整改报告 + 测评报告 + 备案表, 公安网安会现场核查后补发证明.

**figures**: djbh.net 等保推荐目录 / openstd.samr.gov.cn GB/T 22239-2019 / 各省公安厅网安总队
**evidence**: [T03-S015 / T03-S016 / T03-S017 / T03-S027 / T04-S025 / T06-S070 / T06-S071 / T06-S072 / T06-S073 / T06-S074]

### 09. 数据出境 安全评估 申报 (CAC)

**适应症 / 适用情境**: 关键信息基础设施运营者 (CIIO) 出境个人信息 + 任意主体出境重要数据 + 处理 100 万人以上个人信息的主体出境个人信息 + 自上年 1 月 1 日起 累计向境外提供 10 万人以上个人信息或 1 万人以上敏感个人信息. 必须走 CAC 安全评估 路径 (出境三路径中最严).

**禁忌 / 不适用 + 替代路径**: 不达到强制评估阈值 + 主体非 CIIO + 不涉及重要数据 → 改走 SOP 10 标准合同备案 或 个人信息保护认证; 不出境 (数据全境内 + 仅境内访问) → 不适用本 SOP.

**入门路径**:
1. **数据出境自查 + 必要性论证** (4-8 周): 梳理 出境数据类型 / 数量 / 频率 / 接收方 / 用途 / 保存期限; 出境必要性论证 (业务必要 + 已最小化). 陷阱: "存到境外子公司方便统计" 不构成必要性, 评估极易被驳回.
2. **风险评估报告 + 标准合同 / 协议** (4-8 周): 按 CAC 数据出境安全评估申报指南 (TC260 配套指南) 撰写 风险自评估报告, 与境外接收方签订 数据出境合同 (含 安全保护义务 + 中国法管辖 等条款). 陷阱: 合同模板 自行起草 极易缺关键条款, 必须 严格对照 网信办 出境合同必备条款清单.
3. **省级网信办 受理 (5 工作日)** + **中央网信办 复审 (45 工作日, 可延 15)**: 在 网信办申报系统 提交全套材料, 受理后 45 工作日内出 评估结论, 复杂案件可延 15 工作日. 陷阱: 实际从启动到拿到批复 半年至 1 年 的案例 较多 (业内估), 须 早启动早申报.
4. **批复有效期 + 重大变化重新申报** (2 年): 评估通过 有效期 2 年, 重大变化 (接收方 / 数据范围 / 用途 / 法律环境) 须重新申报或终止出境. 陷阱: 接收方所在国 法律环境发生重大变化 (如美国 / 欧盟新隐私法) 主体应主动更新评估.
5. **持续 出境记录留存 + 个人投诉响应** (持续): 出境数据记录至少 3 年留存; 用户对 出境提出投诉, 主体须配合调查. 反面 canon: **滴滴 80.26 亿罚款 (2022-07)** — 数据违规出境 + 关基保护不到位 + 拒不整改 是历史教训, 数据出境违规处罚 可达 上一年度营业额 5% (PIPL 第 66 条公开) / 5000w 人民币以上.

**资深路径**:
- **跳过 自行起草数据出境合同**: 资深主体 直接采用 CAC 数据出境合同 模板 + 补充安全保护附件, 不做大幅自创, 减少受理阶段反复.
- **优化 与 PIPL 个人信息保护影响评估 (PIA) 一次性做**: 安全评估报告 + PIA 报告 章节共用, 节省 二次评估 4-8 周.
- **额外 接收方所在国 法律环境分析提前完成**: 资深主体 委托律所 提前出 接收方法域评估 (如美国 CLOUD Act / 欧盟 GDPR / 印度 DPDP), 避免 评估期间被网信办要求补充.
- **跳过 重大变化漏报**: 资深用户 内部设立 数据出境台账 + 季度审查机制, 提前发现重大变化 + 启动重新申报, 避免 突击补救.

**常见 驳回 + 应急**:
- **必要性论证不充分**: 重新论证 + 数据最小化 (脱敏 / 聚合 / 匿名化) + 给出业务量化指标, 重新申报.
- **合同条款缺失 (中国法管辖 / 安全保护)**: 与境外接收方重签合同 + 补关键条款, 重新提交.
- **重大变化未重新申报**: 立即提交 重新申报 + 在批复期内继续出境视为违规, 须 暂停出境 直到新批复.
- **数据出境违规 (绕过申报)**: 滴滴前车之鉴 — 立即停止违规出境 + 主动报告网信办 + 全面整改; 不主动 可能面临 营收百分比级罚款 + 刑事追究 + 行业禁入.

**figures**: 网信办数据出境申报系统 / 各省网信办 / 滴滴行政处罚决定 (cac.gov.cn)
**evidence**: [T03-S005 / T03-S018 / T03-S023 / T03-S032 / T03-S036 / T04-S013 / T04-S024 / T06-S045 / T06-S075 / T06-S081]

### 10. 个人信息出境 标准合同 备案 (CAC)

**适应症 / 适用情境**: 不属于 CIIO 且 处理个人信息 < 100w 人 且 自上年 1 月 1 日起 出境 个人信息 < 10w 人 / 敏感个人信息 < 1w 人 的主体. 这是 三条出境路径中 适用最广 的中小型 SaaS / 跨境企业 路径, 备案制而非许可制.

**禁忌 / 不适用 + 替代路径**: 达到强制评估阈值 → 走 SOP 09 安全评估; 通过 第三方专业机构 取得 个人信息保护认证 → 走第三条认证路径 (适用于 集团内跨境 / 多边数据流转).

**入门路径**:
1. **个人信息保护影响评估 (PIA, PIPL 第 55-56 条)** (2-4 周): 按 GB/T 39335 撰写 PIA 报告, 含 出境必要性 + 数据范围 + 接收方情况 + 法律环境 + 安全风险 + 缓解措施. 陷阱: PIA 写成 营销文档 缺乏 风险量化 是常见驳回原因.
2. **签订 标准合同 (SCC 模板)** (1-2 周): 严格按 网信办 2023-06-01 施行的标准合同 模板 (含 5 章 + 附件 1 + 附件 2) 与境外接收方签订, 不可大幅修改正文条款 (允许在附件补充). 陷阱: 删除或修改正文 SCC 条款 → 备案被退回.
3. **省级网信办备案** (10 工作日补正 + 受理后 备案存档): 通过 网信办备案系统 提交 标准合同 + PIA 报告 + 主体证件, 备案为存档制不做实质审查, 但 网信办可在 后续监督检查中要求补正. 陷阱: 标准合同 + PIA 提交不一致 (合同接收方与 PIA 接收方不同) → 即时退回.
4. **持续 出境记录留存 + 用户告知 + 单独同意** (持续): 个人信息主体须 单独同意 (PIPL 第 39 条) + 在隐私政策公示 接收方 + 出境记录留存 3 年. 陷阱: 用户单独同意 与 一般同意混在一起 是常见审查问题.
5. **重新备案触发条件 + 定期重新评估** (每 2-3 年 / 重大变化): 接收方 / 用途 / 数据范围 / 法律环境 变化须 重新备案; 即使无变化, 资深用户 每 2-3 年主动 PIA 复审 + 重新签 SCC.

**资深路径**:
- **跳过 自行起草 SCC**: 资深用户直接采用 CAC 标准合同 完整文本 + 仅在附件中 补充业务细节, 备案审核基本秒过.
- **优化 集团内多接收方 一份合同覆盖**: 资深主体在 集团内跨境流转 场景, 通过 多边 SCC + 集团内数据传输协议 (IDTA) 一次性覆盖 多个境外子公司 + 多个数据流向, 节省每个接收方独立备案.
- **额外 与 个人信息保护认证 联动**: 资深主体同步申请 TC260 个人信息保护认证, 用认证报告 增强 备案的合规背书; 同一份 PIA 多场景复用.
- **跳过 漏单独同意**: 资深主体在 用户首次注册 / 业务节点 设计专门 单独同意弹窗, 与 隐私政策 一般同意 分离, 避免 SCC 备案审查时被要求重新征得.

**常见 驳回 / 整改 + 应急**:
- **PIA 风险量化不足**: 重写 加入 风险等级 + 发生概率 + 影响范围 + 缓解措施 完整表格, 重新提交.
- **SCC 正文被修改**: 恢复到 CAC 原版正文 + 仅在附件补业务细节, 重新签合同.
- **缺单独同意凭证**: 上线 单独同意弹窗 + 留存同意时间戳 / IP / 用户标识, 用户量大时 分批通知重新取得同意.
- **接收方法律环境恶化 (美国 CLOUD Act 类)**: 主动重新 PIA + 必要时 暂停出境 + 与接收方协商 数据本地化 / 隔离方案.

**figures**: 网信办标准合同备案系统 / CAC SCC 模板 / 君合 + 汉坤 跨境数据 alerts
**evidence**: [T03-S005 / T03-S019 / T03-S032 / T03-S037 / T04-S014 / T06-S046 / T06-S081 / T06-S082 / T06-S083]

### 11. 主体 + 网站 变更

**适应症 / 适用情境**: 已备案主体或网站发生 名称 / 法定代表人 / 注册地 / 联系方式 / 域名 / 接入信息 / 网站名称 / 网站负责人 等变化, 须在 30 日内通过接入商提交变更备案.

**禁忌 / 不适用 + 替代路径**: 主体住所跨省变更 → 走 SOP 12 跨省迁移 而非简单变更; 主体被注销 → 走 SOP 12 注销.

**入门路径**:
1. **变化类型分类 + 材料准备** (1-3 天): 主体变更 (营业执照 / 身份证 / 法人变更证明) / 网站变更 (域名证书 / 网站负责人身份证). 陷阱: 工商局变更后 营业执照新版 出来才能办 ICP 变更, 须等工商 + ICP 两步顺序.
2. **接入商系统提交变更申请** (1 天): 阿里云 / 腾讯云 / 华为云 备案管理 → 变更备案; 上传变更后证件 + 授权委托书. 陷阱: 接入商变更 走 SOP 转移 不走变更 (二者分支不同).
3. **接入商初审 + 省通管局审核** (1-15 工作日): 与 SOP 01 类似流程, 通管局通过后 备案系统更新信息, ICP 备案号 一般不变 (域名变化时 编号末位 -N 序号变化). 陷阱: 通管局发现 变更涉及 重大事项 (如经营性增加 / 业务范围变化) 可能要求转 SOP 02 经营许可申请.
4. **网站底部公示信息同步更新** (0.5 天): 公示备案号 / 主体名称 等更新后即时调整. 陷阱: 公示信息滞后 是工信部抽查整改项.

**资深路径**:
- **跳过 多项变更分次申报**: 同一周期内 多项变更 一次性合并申报, 节省 多次 通管局审核 + 等待.
- **优化 工商 + ICP 变更打包**: 资深用户 工商变更前 已预备 ICP 变更材料模板, 工商出新照后 1-2 天即提交 ICP 变更, 避免 30 日窗口踩线.
- **额外 域名增删 与 主体变更分流**: 资深用户 仅域名增删 走 "增加网站 / 注销网站" 流程而非完整变更, 周期更短.

**常见 驳回 + 应急**:
- **变更后材料与新营业执照不符**: 重新核对 + 上传 工商系统打印的 最新版营业执照 PDF, 重提.
- **法定代表人变更未做人脸核验**: 新法人完成 短信 + 人脸活体核验, 重新提交.
- **30 日变更窗口逾期**: 立即补办 + 接受通管局 警告 / 通报; 长期不变更被视为 备案信息虚假, 严重情况 备案被注销.

**figures**: beian.miit.gov.cn 变更备案 / 阿里云 + 腾讯云备案变更指引
**evidence**: [T03-S001 / T03-S002 / T03-S029 / T03-S030 / T06-S030]

### 12. 主体 + 网站 注销 / 转移 / 跨省迁移

**适应症 / 适用情境**: 三种关联场景: (a) 网站停办 / 主体注销 → 注销备案; (b) 仅更换接入商但主体不变 → 转移备案 (走接入信息变更); (c) 主体跨省迁址 → 跨省迁移备案.

**禁忌 / 不适用 + 替代路径**: 主体内部信息变化 → SOP 11 变更, 不走注销 + 重备; 已被通管局强制注销 → 走 SOP 13 救济.

**入门路径**:
1. **场景确认 + 备案密码找回** (1-2 天): 注销 / 转移 / 迁移 都需 备案密码; 密码丢失通过 `beian.miit.gov.cn` 找回 (短信 + 邮箱 + 法人核验). 陷阱: 注销密码 仅备案主体本人或接入商有, 找回流程 5-7 工作日.
2. **场景 (a) 注销**: 接入商提交注销申请 → 通管局审核 (1-5 工作日) → 备案号收回 → 接入商断开服务. 陷阱: 注销后 同主体若 再备案同域名 须重新走完整 SOP 01.
3. **场景 (b) 转移**: 新接入商 (要 B2 资质) 在 备案系统中 用备案密码 接入信息变更, 旧接入商无需操作 → 通管局审核 (1-10 工作日). 陷阱: 转移过程中 网站访问不可中断, 须 新老接入商 IP 同时在线一段时间.
4. **场景 (c) 跨省迁移**: 原省通管局注销 → 新省通管局重新申报 = 整套 SOP 01 重做, 主体备案号 省份缩写 改变; 部分省提供 跨省迁移绿色通道 仅做信息同步而不完全重备. 陷阱: 跨省迁移期间 网站须不可访问, 一旦访问则 视为重新备案被驳回.
5. **网站底部公示信息同步** (0.5 天): 注销 / 转移 / 迁移 完成后 立即更新公示信息或下线网站.

**资深路径**:
- **跳过 跨省迁移全套重做**: 资深用户 走 各省通管局已建立的 迁移绿色通道 (沪京粤已有通道, 业内估), 提供 原备案截图 + 主体新证 直接迁移, 节省 SOP 01 完整流程.
- **优化 转移与接入商谈判捆绑**: 资深用户在 迁云时与新接入商谈判 备案转移 + 实名核验 + 拍照核验 一站打包, 节省 自己走流程.
- **额外 注销前 内部数据 + 业务平稳过渡**: 资深主体注销前 完成数据迁移 + 用户告知 + 服务过渡 + 备份留档, 避免 注销后用户投诉.

**常见 驳回 + 应急**:
- **密码丢失 + 接入商不配合**: 走 `beian.miit.gov.cn` 密码找回流程 + 提交主体证件 + 人脸核验, 5-7 工作日.
- **跨省迁移期间网站可访问**: 立即关闭解析, 等迁移通过后再开; 不关被驳回须重新走流程.
- **转移失败 + 新接入商资质不符**: 更换 持有有效 B2 资质的接入商, 重新提交转移.
- **注销后被同主体再次备案同域名**: 备案系统会标记 "曾被注销", 须 提供注销原因说明, 否则重新备案被驳回.

**figures**: beian.miit.gov.cn 注销 / 转移入口 / 各省通管局迁移通道公告
**evidence**: [T03-S001 / T03-S009 / T03-S010 / T03-S029 / T03-S031 / T06-S029 / T06-S031 / T06-S032]

### 13. 备案被驳回 / 注销后 申诉 + 救济

**适应症 / 适用情境**: 备案申请被通管局驳回 / 备案被注销 / 接入断开 / 经营许可被不予批准 / 算法 + 大模型备案被退回, 主体不服可走 申诉沟通 → 行政复议 → 行政诉讼 三级救济.

**禁忌 / 不适用 + 替代路径**: 因 主体材料明显瑕疵被驳回 → 不要走救济, 直接补材料重备效率更高; 涉及 国家安全 + 数据安全审查 → 行政复议 / 诉讼路径成功率 极低 (业内估), 重在 主动整改.

**入门路径**:
1. **驳回原因核实 + 内部分析** (1-2 周): 拿到 通管局 / 网信办 / 公安网安 出具的 驳回 / 处罚 决定书, 与律所 / 接入商 / 内部法务 共同分析 是 形式瑕疵 还是 实质问题. 陷阱: 不少 "驳回" 实际是 接入商初审退回 而非通管局正式决定, 须 区分.
2. **接入商沟通 + 补正重提 (轻量级)** (1-4 周): 多数 形式瑕疵 通过 补料重提 + 接入商加急沟通 即可解决, 不必走复议. 陷阱: 接入商客服 解决问题受限于 自身权限, 复杂问题须 主体直接联系通管局.
3. **直接联系通管局沟通 (中量级)** (2-4 周): 通过 通管局窗口 / 电话 / 信函 直接沟通, 提交 整改方案 + 补充材料, 多数实质问题可在 行政复议前 协商解决. 陷阱: 沟通过程要 全程留痕 (盖章函件 / 电子邮件 / 录音), 为后续救济保留证据.
4. **行政复议 (中量级法律救济)** (60 日内提起): 向 作出决定的通管局上一级行政机关 (如 省通管局决定 → 工信部) 申请复议; 60 日内提起 + 6 个月内出复议决定. 陷阱: 复议成功率 因事项类型差异显著, 形式瑕疵复议成功率 显著高于 实质合规问题.
5. **行政诉讼 (重量级法律救济)** (6 个月内提起): 复议结果不服或 60 日内未复议直接起诉 → 向 北京市第一中级人民法院 (网信办 / 工信部行为) 或 主管行政机关所在地中级法院 起诉. 陷阱: 行政诉讼 周期 6-18 个月, 期间 备案 / 经营许可 仍受原决定约束.

**资深路径**:
- **跳过 行政诉讼**: 资深主体在 行政复议阶段 通过 律师 + 沟通 + 整改方案 已解决, 不进入诉讼; 诉讼仅在 重大原则性争议 或 公益性诉讼 时启动.
- **优化 信访 + 媒体监督 并行**: 资深用户 同步走 通管局信访 + 必要时 通过 媒体长稿 + 律所专题报告 形成 正当合理舆论压力, 增加 行政沟通筹码 (注意红线不可越过).
- **额外 与行业协会 / 智库联动**: 通过 中国互联网协会 / 信通院 等 行业组织 反映 政策执行普遍问题, 争取 制度性 调整而非个案救济.
- **跳过 申诉过程中违规继续提供服务**: 资深用户在 备案被驳 / 注销期间 主动暂停服务 而非继续运营, 避免 行政处罚加重 + 主体诚信记录污点.

**常见 驳回 / 救济失败 + 应急**:
- **形式瑕疵驳回**: 补材料重提, 不走复议.
- **实质问题驳回 (如经营性升级 / 算法不合规)**: 先 整改业务 → 重新申报, 而非先复议.
- **复议被维持**: 评估 诉讼成本 / 胜诉概率; 多数情况 整改后重新申报 比 持续诉讼更经济.
- **诉讼败诉 + 主体进入诚信黑名单**: 立即整改 + 接受社会监督, 多年后 主体诚信记录 才能恢复, 期间不能再做相关备案.

**figures**: 工信部行政复议 / 行政诉讼平台 / 北京一中院网信案件审判 / 律所 alerts
**evidence**: [T03-S002 / T03-S005 / T03-S032 / T03-S033 / T03-S035 / T04-S004 / T06-S093 / T06-S095]

### 14. 跨境业务: 海外 SaaS 落地中国 / VIE 架构 备案 + 数据出境 + 个保法 + 反垄断 联动

**适应症 / 适用情境**: 海外 SaaS / 跨国企业 落地中国市场, 涉及 主体合规 (设中国实体 / VIE 架构) + ICP 备案 + 数据出境 + 个保法 + 反垄断 + 网络安全审查 多链条联动; 也适用于 中国出海企业 在 海外业务回流中国数据 的反向场景.

**禁忌 / 不适用 + 替代路径**: 完全不向中国大陆用户提供服务 (即使有中国浏览的访问也仅是被动浏览) → 不强制走 ICP + 数据出境 SOP (但仍受 PIPL 第 3 条 域外效力管辖, 须有境内代表); 主体已是 内资公司 → 不需走 VIE / FDI 路径.

**入门路径**:
1. **主体架构选择** (4-12 周): (a) 设全资中国子公司 (WFOE) 用于备案 + 经营许可; (b) 与境内伙伴合资 (中外合资经营) 用于 增值电信外资准入; (c) VIE 架构 通过 境内运营实体 + 协议控制 (灰色地带, 监管态度因行业而异). 陷阱: 增值电信业务领域外资准入限制严格, 选 (b) (c) 须看 自贸区试点 / 行业特许.
2. **业务合规 + 数据 / 算法 / 大模型预审** (8-16 周): 业务 涉及 网信办专项备案的 (算法 / 深度合成 / 生成式 AI / 数据出境) → 预先规划 SOP 05-10; 涉及 反垄断的 → 平台经济反垄断指南 自查.
3. **ICP + 经营许可 + APP + 公安 + 等保 主线申报** (3-12 个月): 串行 / 并行 走 SOP 01 → 02 → 03 → 04 → 08, 整体周期 数月至 1 年+ 视主体复杂度.
4. **数据出境合规架构** (4-8 周, 与上面并行): 视体量走 SOP 09 安全评估 或 SOP 10 标准合同; 跨国 SaaS 通常 需要中国数据本地化 + 出境最小化 + SCC + PIA + 单独同意 一整套.
5. **持续 在境内代表 + 投诉受理 + 监管对接** (持续): 按 PIPL 第 53 条 设 中国境内代表 + 联系方式公示; 主动 与监管 (通管局 / 网信办 / 公安网安) 沟通, 重大变化 主动报告. 反面 canon: **滴滴 80.26 亿处罚** 跨境业务 + 数据出境违规叠加 + 拒不整改 的极端案例, 跨境业务 SOP 不可绕过.

**资深路径**:
- **跳过 自建中国实体**: 资深海外主体 通过 收购已有 ICP 经营许可证主体 + 完成 主体变更 实现 快速落地, 节省 主体设立 + 经营许可申请 6-12 个月.
- **优化 数据 + 算法 + 大模型 备案一体化设计**: 资深主体在 业务架构设计阶段 已 把 数据流向 + 算法功能 + AIGC 服务边界 一体化规划, 避免 上线后 拆分多次备案.
- **额外 与红圈律所长期合作**: 资深主体 与 君合 / 中伦 / 金杜 / 大成 / 海问 / 汉坤 等律所 建立 数据合规长期顾问制, 重大监管变化 1-2 周内 即同步对策, 而非案发后被动应对.
- **跳过 VIE 架构灰色区**: 资深主体优先选 WFOE + 增值电信 FDI 准入 (走自贸区试点 / 行业特批) 而非 VIE; VIE 仅在 行业禁入或外资比例限制 等极端场景使用.
- **额外 设立 独立的 中国合规官 (DPO + CIIO 负责人) 双岗**: 高频跨境业务主体 设 DPO (PIPL 第 52 条) + 网络安全负责人 (CSL 第 21 条) + 关基负责人 (关基条例 第 14 条) 三岗联动, 满足多链条法定要求.

**常见 驳回 / 整改 / 处罚 + 应急**:
- **VIE 架构 ICP 备案被通管局识别 (实际外资控制)**: 通管局 / 网信办 可要求 调整为内资 + 限期合规, 不调整 可注销备案 + 接入断开; 已有多家在线教育 / 跨境直播 案例.
- **数据未在境内本地化**: 立即 数据回流境内 + 启动 SOP 09 / 10 出境合规架构, 主动报告网信办整改.
- **个人信息未取得单独同意 / 隐私政策不符 PIPL**: 重写 隐私政策 + 上线 单独同意弹窗 + 通知存量用户重新同意, 接受 网信办 / 市监总局 检查.
- **反垄断风险 (平台经济 / 二选一 / 自我优待)**: 立即 整改业务模式 + 主动向 市监总局 申报 + 接受调查; 滴滴 + 多家平台案例显示 主动整改与拒不整改 处罚天差地别.
- **关基识别为 CIIO + 重大事件未报告**: 立即按 关基条例 第 18 条 上报 行业主管部门 + CAC 公安部门; 拒不报告 + 隐瞒 处罚加重 + 主管追责.

**figures**: beian.miit.gov.cn / cac.gov.cn 数据出境 / 君合 + 金杜 跨境合规 alerts / 自贸区试点 + DigiChina 国际研究
**evidence**: [T03-S001 / T03-S002 / T03-S005 / T03-S007 / T03-S008 / T03-S018 / T03-S019 / T03-S023 / T03-S025 / T03-S032 / T03-S034 / T03-S036 / T03-S040 / T04-S007 / T04-S008 / T04-S009 / T04-S024 / T06-S075 / T06-S081]
