必须严格遵守《个人信息保护法》。核心要求：1. 告知同意：制定清晰、易懂的隐私政策，以显著方式向个人告知处理目的、方式、信息种类、保存期限等，并取得个人单独同意（处理敏感信息需取得书面同意）。2. 最小必要：仅收集与业务直接相关的最少必要信息，不得过度收集。3. 目的限制：仅用于已告知的目的，如需用于其他目的，需再次取得同意。4. 安全保障：采取技术和管理措施（如加密、访问控制）防止信息泄露、篡改、丢失。5. 个人权利保障：建立机制，保障个人的查阅、复制、更正、删除（被遗忘权）及撤回同意的权利。6. 跨境提供：如向境外提供，需通过安全评估、认证或订立标准合同等法定途径。建议任命专人负责个人信息保护，定期进行合规审计。