808-regulations-eu-digital-markets-act

面向 Java 企业级守门人平台控制措施的《欧盟数字市场法》法规

使用此 Skill 审查 Java 企业应用、平台 API、市场平台、应用商店、广告系统、排名系统、身份服务、浏览器或操作系统集成、消息互操作性、商业用户门户、数据访问 API、分析流水线、CI/CD 工作流或运维工具，判断它们是否可能支持《数字市场法》（DMA）对守门人平台的义务。

使用此 Skill 确定系统发布、连接生产平台数据、向商业用户开放或用于运营核心平台服务之前，需要哪些工程控制措施、合规证据和升级路径。

此 Skill 不构成法律建议。它旨在帮助 Java 工程师、架构师、技术负责人、平台团队、产品团队和审核人员识别可能涉及 DMA 的情况，并将守门人平台方面的要求转化为企业架构控制措施，例如互操作接口、商业用户数据访问 API、同意与偏好证据、排名与自我优待审计信号、广告透明度证据、应用商店或市场平台访问控制、反规避防护措施、可观测性、变更控制、文档，以及合规证据移交。

此 Skill 旨在提高对系统潜在差距的认识，并为专业审核提供工程证据。此 Skill 生成的响应不代表法律建议、法律意见、守门人认定、核心平台服务分类或最终监管决定。

核心问题是：

Java 企业平台何时需要采用兼顾 DMA 的守门人控制措施，开发者应如何调整构建方式？

外部参考：《欧盟数字市场法》法规（EU）2022/1925。

《数字市场法》各章摘要参考：DMA 章节摘要。

Java 工程示例参考：DMA 工程示例。

报告模板资源：DMA 工程审查报告模板。

范围

此 Skill 适用于：

• 可能支持守门人、核心平台服务、在线中介服务、应用商店、在线搜索引擎、社交网络、视频分享平台、号码无关的人际通信服务、操作系统、网络浏览器、虚拟助手、云计算服务或在线广告服务的 Java 系统
• 存在平台访问、互操作性、排名、自我优待、商业用户数据访问、广告透明度或依赖同意的数据组合问题的 Spring Boot、Quarkus、Micronaut 和与框架无关的 Java 服务
• API、消息消费者、批处理作业、导出、报告、排名流水线、搜索索引、推荐服务、市场平台目录、应用商店工作流、身份服务、支付服务集成、浏览器或操作系统默认设置，以及合规报告工作流
• 需要为商业用户导出工作流、终端用户数据可携性、第三方互操作性、广告指标、排名公平性、访问条款、同意与偏好采集、反规避控制措施，以及合规负责人移交提供证据的系统
• 涉及数据库迁移、Kafka 消息契约、功能标志、排名实验、访问策略变更、同意 UI 变更、遥测模式、商业用户数据导出和生产发布门禁的平台变更

《数字市场法》工程审查

将守门人认定、核心平台服务范围、义务适用性、同意解释、自我优待评估、公平合理的访问条款、暂停或豁免申请以及监管解释，视为治理决策，并由法律、合规、平台治理、产品、隐私、安全、风险、竞争和高管问责负责人负责。

工程团队仍应创建证据，使这些决策可供审查：

• 哪些核心平台服务、企业用户旅程、终端用户旅程、数据存储、API、事件流、排名系统、广告系统、互操作接口或平台政策可能在范围内
• 哪些企业用户、终端用户、第三方提供商、广告商、发布商、开发者或竞争对手会受到 Java 系统的影响
• 现有哪些数据访问、导出、可携带性、互操作性、同意、偏好、排名、自我优待和反规避控制
• 哪些日志、指标、跟踪记录、审计事件、数据沿袭记录、决策记录、发布审批和合规报告可支持审查
• 哪些差距需要在生产发布或持续运营之前移交给负责人

约束

将《数字市场法》相关事项转化为适用于 Java 企业系统的工程控制。不得提供法律建议，也不得取代法律、合规、平台治理、产品、隐私、安全、风险、竞争或高管问责负责人的审查。

• 非法律建议：将调查结果表述为针对守门人平台的工程控制和升级事项；建议由具备资质的人员审查守门人认定、核心平台服务范围、义务适用性、同意解释、自我优待评估、公平访问条款和监管解释
• 先确定范围：在建议控制措施之前，识别可能涉及的核心平台服务、企业用户旅程、终端用户旅程、平台所有者、数据所有者、产品负责人、隐私负责人和合规负责人
• 互操作接口：审查技术接口、参考要约、安全控制、兼容性测试、速率限制、访问条款、请求工作流，以及证明互操作有效且未遭降级的证据
• 数据访问和导出：核实企业用户和终端用户数据访问 API、导出工作流、可携带性工具、广告商和发布商透明度数据、搜索数据访问，以及依赖同意的个人数据共享证据
• 同意和偏好：保留关于具体选择、主动选择加入、撤回、重试限制、中立 UI、偏好历史记录、目的绑定的证据；在合并、交叉使用或共享个人数据时，移交给隐私负责人处理
• 排名和自我优待：要求为排名输入、实验、业务规则、索引、抓取、赞助展示位、自有服务待遇、公平性检查和非歧视性访问条款提供审计信号
• 反规避：不得接受会拆分服务、降低质量、隐藏选择、增加行使权利的难度，或通过界面设计、技术限制、合同条款或数据流削弱第 5、6 或 7 条控制的设计
• 访问控制和可观测性：核实最小权限、请求身份验证、授权、防篡改审计日志、指标、跟踪记录、仪表板、告警、证据留存，以及对商业机密和个人数据的安全处理
• 变更控制：将排名变更、同意流程、数据导出架构、互操作 API、访问条款、广告指标、数据沿袭、平台默认设置和发布门禁视为需要可追溯审查的《数字市场法》证据事件

何时使用此技能

• 审查 Java 平台的《数字市场法案》（DMA）控制措施
• 为核心平台服务设计互操作接口或商业用户数据访问 API
• 添加同意、偏好设置、排名、自我优待、广告透明度或反规避审计控制
• 在生产发布前评估守门人平台的证据
• 检查市场、应用商店、搜索、广告、消息、浏览器、操作系统、身份或云平台的变更是否需要由了解 DMA 的负责人接手

工作流

1. 阅读 DMA 章节摘要、工程示例和报告模板

依次阅读 references/808-regulations-eu-digital-markets-act-chapters-summary.md、references/808-regulations-eu-digital-markets-act-engineering-examples.md 和 assets/reports/808-eu-digital-markets-act-engineering-review-report-template.md。使用章节摘要了解 DMA 章节、条款、范围、认定、义务、互操作性、反规避、监测、执法、报告和负责人交接背景。使用工程示例了解 Java 控制模式，例如互操作接口、商业用户数据访问、同意和偏好设置证据、排名审计信号、导出工作流、反规避发布门禁、可观测性和合规证据交接。只有在理解 DMA 章节摘要、示例参考和报告模板后，才能开始实施审查。

2. 划定平台范围

识别服务背景、潜在的核心平台服务信号、守门人范围信号、商业用户和终端用户旅程、平台负责人、数据负责人、产品负责人、隐私负责人、安全负责人、合规负责人、部署环境、API、数据存储、事件流、排名系统、广告系统、同意流程、访问策略、互操作接口、导出工作流和生产发布路径。有关守门人认定、核心平台服务分类、义务适用性、同意解释、自我优待评估、公平访问条款、暂停或豁免问题以及监管解释，应上报给合格负责人。

3. 审查实施情况和合规证据

审查 Java 代码、配置、API、DTO、存储库、架构、迁移、Kafka 消息、排名代码、功能标志、实验、同意和偏好设置记录、审计日志、指标、跟踪记录、仪表板、警报、导出作业、商业用户门户、文档、测试、发布记录和合规报告。检查所声称的控制措施与可供审查的证据之间是否存在差距。

4. 提出工程控制建议

将 DMA 相关问题映射为工程措施：互操作 API 契约、参考要约证据、数据访问 API、导出工作流、同意和偏好设置记录、排名和自我优待审计信号、广告透明度指标、商业用户访问条款、反规避防护措施、最小权限、可观测性、文档、变更审批和合规证据交接。

5. 生成审查报告并交接负责人

使用 assets/reports/808-eu-digital-markets-act-engineering-review-report-template.md 生成简明的工程审查报告，说明范围、审查的证据、DMA 风险信号、潜在违规或不合规信号、工程缺口、建议的控制措施、负责人交接、剩余风险、发布决定和验证步骤。明确说明，守门人认定、核心平台服务范围、义务适用性、同意解释、自我优待评估、公平访问条款和监管解释都需要由合格负责人审查。

参考资料

如需了解详细指南、示例和限制，请参阅：

• references/808-regulations-eu-digital-markets-act-chapters-summary.md
• references/808-regulations-eu-digital-markets-act-engineering-examples.md