docs(legal): 收口监控/告警与支付服务真实启用口径

核实结果:
- 监控/告警: 已启用但为自建本地告警, 不涉及第三方处理
  - OpsAlertSink / 告警审计页已落地
  - GAOKAO_ALERT_RECIPIENTS / GAOKAO_ALERT_WEBHOOK_URLS 未设置
  - 当前写本地 ops-alerts.jsonl
- 支付: 当前仍为 mock-only
  - GAOKAO_PAYMENT_PROVIDER 未设置, 默认 mock
  - 支付宝配置参数未设置
  - 文档补充正式线上环境最小测试参数模板
- 邮件/通知: 代码能力存在, 但第三方邮件服务未启用, 站内通知可用

同步文档:
- THIRD_PARTY_DISCLOSURE_TEMPLATE.md:
  - 2.2 支付服务改为 mock-only 真实口径
  - 2.3 邮件/通知改为“代码已落地但第三方未启用”
  - 2.4 监控/告警改为“自建, 无第三方处理”
- PRIVACY_POLICY_DRAFT.md 第 6 章同步三类口径
- SERVICE_TERMS.md 第 10 章同步说明

边界:
- 不把代码能力当成第三方已启用
- 未配置 SMTP / webhook / real payment params 前, 不披露对应第三方为已启用

docs/PRIVACY_POLICY_DRAFT.md

@@ -126,9 +126,9 @@
 | 场景       | 第三方类别                                                                   | 处理目的                           | 可能涉及的信息                   | 是否必要       |
 | ---------- | ---------------------------------------------------------------------------- | ---------------------------------- | -------------------------------- | -------------- |
 | 云基础设施 | 腾讯云（当前已启用）                                                         | 支撑系统运行、数据存储、备份与恢复 | 订单数据、附件、日志、报告文件   | 必要           |
-| 支付处理   | 第三方支付服务商                                                             | 完成支付、退款、交易回调与对账     | 订单号、金额、支付状态、交易标识 | 按支付场景必要 |
+| 支付处理   | 第三方支付服务商（当前 mock 模式，未真实启用）                               | 完成支付、退款、交易回调与对账     | 订单号、金额、支付状态、交易标识 | 按支付场景必要 |
 | 通知服务   | 邮件、消息通知或站内通知服务提供方（当前第三方邮件服务未启用，站内通知可用） | 发送状态通知、交付提醒、售后联系   | 联系方式、订单状态、通知内容     | 按场景必要     |
-| 安全与运维 | 监控、告警、审计相关技术提供方                                               | 安全监测、异常排查、运维留痕       | 最小必要日志、告警记录           | 必要           |
+| 安全与运维 | 监控、告警、审计相关技术提供方（当前为自建本地告警，不涉及第三方处理）       | 安全监测、异常排查、运维留痕       | 最小必要日志、告警记录           | 必要           |
 
 说明：
 

docs/THIRD_PARTY_DISCLOSURE_TEMPLATE.md

@@ -73,20 +73,63 @@
 
 **当前状态**: ⏸️ 未真实启用（mock 模式） / 待真实接入后填写
 
-| 字段         | 内容（模板）                                   |
-| ------------ | ---------------------------------------------- |
-| 第三方名称   | 待补充：如 支付宝 / 微信支付 / 其他支付服务商  |
-| 使用场景     | 支付、退款、对账                               |
-| 处理目的     | 完成交易、退款处理、争议对账                   |
-| 涉及信息类型 | 订单号、金额、支付状态、交易标识、用户支付凭证 |
-| 隐私政策链接 | 待补充：https://xxx.com/privacy                |
-| 是否必要     | 按支付场景必要                                 |
-| 启用状态     | 未启用 / 已启用                                |
+| 字段         | 内容（当前真实情况）                             |
+| ------------ | ------------------------------------------------ |
+| 第三方名称   | 未启用（当前为 mock 模式，未真实接入支付服务商） |
+| 使用场景     | 支付、退款、对账                                 |
+| 处理目的     | 完成交易、退款处理、争议对账                     |
+| 涉及信息类型 | 订单号、金额、支付状态、交易标识、用户支付凭证   |
+| 隐私政策链接 | 暂无（未启用第三方支付服务商）                   |
+| 是否必要     | 按支付场景必要                                   |
+| 启用状态     | 未启用                                           |
+
+**当前真实说明**：
+
+- `GAOKAO_PAYMENT_PROVIDER`：未设置（默认 `mock`）
+- 支付宝配置：
+  - `GAOKAO_PAYMENT_NOTIFY_URL`：未设置
+  - `GAOKAO_PAYMENT_RETURN_URL`：未设置
+  - `GAOKAO_PAYMENT_APP_ID`：未设置
+  - `GAOKAO_PAYMENT_MERCHANT_ID`：未设置
+  - `GAOKAO_PAYMENT_PRIVATE_KEY_PATH`：未设置
+  - `GAOKAO_PAYMENT_ALIPAY_PUBLIC_KEY_PATH`：未设置
+- `GAOKAO_PAYMENT_WEBHOOK_SECRET`：有值（dev 默认占位）
+- 测试能力：`mock` + `alipay_sim`（模拟支付宝沙箱）两种测试模式可用
+
+**正式线上环境最小测试参数**：
+
+```bash
+# 正式线上环境，如需启用真实支付（以支付宝为例）：
+GAOKAO_PAYMENT_PROVIDER=alipay
+GAOKAO_PAYMENT_NOTIFY_URL=https://your-domain.com/api/payment/webhook
+GAOKAO_PAYMENT_RETURN_URL=https://your-domain.com/pricing
+GAOKAO_PAYMENT_APP_ID=你的支付宝应用ID
+GAOKAO_PAYMENT_MERCHANT_ID=你的商户PID
+GAOKAO_PAYMENT_PRIVATE_KEY_PATH=/path/to/your/private_key.pem
+GAOKAO_PAYMENT_ALIPAY_PUBLIC_KEY_PATH=/path/to/alipay_public_key.pem
+GAOKAO_PAYMENT_WEBHOOK_SECRET=强随机密钥（至少32字符）
+
+# 生产环境必须设置：
+GAOKAO_ENV=prod
+```
+
+**启用后再填写示例**：
+
+```
+| 第三方名称 | 支付宝 |
+| 使用场景 | 支付、退款、对账 |
+| 处理目的 | 完成交易、退款处理、争议对账 |
+| 涉及信息类型 | 订单号、金额、支付状态、交易标识 |
+| 隐私政策链接 | https://render.alipay.com/p/c/k2cx04ci |
+| 是否必要 | 必要 |
+| 启用状态 | 已启用 |
+```
 
 **注意**：
 
 - 当前系统为 `mock` 模式，未真实接入支付服务商
 - 真实接入前必须先填写本表，并在隐私政策中同步披露
+- 生产环境必须使用强随机 `GAOKAO_PAYMENT_WEBHOOK_SECRET`
 
 ---
 
@@ -127,22 +170,32 @@
 
 ### 2.4 监控 / 告警 / 日志服务
 
-**当前状态**: ⏸️ 待确认真实启用情况
+**当前状态**: ✅ 自建（无第三方处理）
 
-| 字段         | 内容（模板）                                                              |
-| ------------ | ------------------------------------------------------------------------- |
-| 第三方名称   | 待补充：如 Prometheus + Grafana 自建 / 第三方监控平台                     |
-| 使用场景     | 系统监控、异常告警、故障排查                                              |
-| 处理目的     | 安全监测、运维审计、性能分析                                              |
-| 涉及信息类型 | 最小必要日志、错误信息、告警记录、系统指标                                |
-| 隐私政策链接 | 待补充：https://xxx.com/privacy（如为自建则标注"自建，无第三方隐私政策"） |
-| 是否必要     | 必要                                                                      |
-| 启用状态     | 未启用 / 已启用                                                           |
+| 字段         | 内容（当前真实情况）                         |
+| ------------ | -------------------------------------------- |
+| 第三方名称   | 无（自建本地告警日志，未接入第三方监控平台） |
+| 使用场景     | 系统监控、异常告警、故障排查                 |
+| 处理目的     | 安全监测、运维审计、性能分析                 |
+| 涉及信息类型 | 最小必要日志、错误信息、告警记录、系统指标   |
+| 隐私政策链接 | 无（自建，不涉及第三方处理）                 |
+| 是否必要     | 必要                                         |
+| 启用状态     | 已启用（自建）                               |
+
+**当前真实说明**：
+
+- 代码能力：`OpsAlertSink` + `WebhookAlertSender` + 告警审计页
+- 当前配置：
+  - `GAOKAO_ALERT_RECIPIENTS`：未设置
+  - `GAOKAO_ALERT_WEBHOOK_URLS`：未设置
+  - `GAOKAO_OPS_ALERT_LOG`：使用默认路径 `data/alerts/ops-alerts.jsonl`
+- 实际行为：告警写入本地 JSONL 文件，不涉及第三方监控平台
+- 后台可见：运维告警审计页 `/admin/ops-alerts`
 
 **特殊说明**：
 
-- 如为自建监控系统（不涉及第三方），可标注"自建，无第三方处理"
-- 如接入第三方监控平台，必须披露其隐私政策链接
+- 当前为自建本地告警，不涉及第三方处理
+- 如后续接入第三方监控平台（如 Prometheus + Grafana 云托管、第三方告警服务），必须补充实名披露
 
 ---
 
@@ -206,8 +259,10 @@
 
 - ✅ 模板就绪
 - ✅ 已确认 1 个真实启用第三方：腾讯云
+- ✅ 监控/告警为自建（本地 JSONL），不涉及第三方处理
 - ⏸️ 邮件/通知服务代码能力已落地，但当前未配置 SMTP / webhook，第三方邮件服务未启用
-- ⏸️ 其他类别（支付 / 监控 / 客服 / SDK）待按真实启用情况补充
+- ⏸️ 支付服务当前为 mock 模式，未真实接入第三方支付服务商
+- ⏸️ 其他类别（客服 / SDK）待按真实启用情况补充
 - ❌ 未填写时不得宣称对应类别披露已完成
 
 ---