必须遵循合法、正当、必要和诚信原则，核心要求包括：1. 告知同意：制定清晰、易懂的隐私政策，以显著方式向个人告知处理目的、方式、信息种类、保存期限等（《个保法》第十七条）。处理敏感个人信息、向他人提供等情形需取得个人单独同意。2. 最小必要：仅收集与处理目的直接相关的最小范围信息。3. 安全保障：采取技术和管理措施防止信息泄露、篡改、丢失（《个保法》第五十一条）。4. 个人权利保障：建立机制响应个人的查阅、复制、更正、删除等请求。5. 跨境提供规则：向境外提供个人信息需满足特定条件（如通过安全评估、认证等）。6. 指定负责人：处理个人信息达到规定数量的，应指定个人信息保护负责人。建议进行合规审计，更新用户协议和内部管理制度。