个推合规与安全指南

更新时间：2022年09月07日

　　近年来，移动互联网应用程序（App）得到广泛应用，在促进经济社会发展、服务民生等方面发挥了不可替代的作用；同时，App强制授权、过度索权、超范围收集个人信息等现象也引发关注。为落实《网络安全法》《消费者权益保护法》的要求，保障个人信息安全，2019年1月，中央网信办、工信部、公安部、市场监管总局等四部门发布了《关于开展App违法违规收集使用个人信息专项治理的公告》，在全国范围组织开展App违法违规收集使用个人信息专项治理，并陆续出台完善了《App违法违规收集使用个人信息行为认定方法》、《信息安全技术 个人信息安全规范》等标准规范。

　　2019年12月， App违法违规收集使用个人信息专项治理工作组举办“App个人信息保护工作研讨会”。会上，相关主管部门表示将进一步加大工作力度，切实加强个人信息安全工作。

　　2020年以来，随着工信部纵深推进App专项整治行动，以及陆续检测通报App违规情况，监管部门、各行业参与方、终端用户都越来越关注App和SDK的安全问题。

　　为帮助个推SDK的使用者们更清楚地了解监管要求、高效落实个人信息保护相关事宜，个推特编写了《个推合规与安全指南》（以下简称“指南”），供开发者们参考。

本指南共包括四部分内容：

一、App个人信息保护合规要求

二、App使用个推SDK时的合规指引

三、个推的信息安全保护能力与资质

四、个推推动行业自律的实际行动

一、App个人信息保护合规要求

（一）目前监管部门都关注哪些违规采集使用问题？

关注问题	问题描述
1.未经授权擅自收集	指的是App未明确告知收集使用个人信息的目的、方式和范围并获得用户同意前，就开始收集个人信息或打开可收集个人信息的权限。
2.过度和非必要收集	指的是App收集的个人信息类型或打开的可收集个人信息权限与现有业务功能无关，并非其正常运行或实现相关功能所必须；或App收集个人信息的频度超出业务功能实际需要。
3.频繁索权和强制收集	指的是App在用户明确不同意《隐私政策》或拒绝权限申请后，仍收集个人信息或打开可收集个人信息的权限，或频繁征求用户同意、干扰用户正常使用；甚至“不给权限不让用”，强制要求用户同意开放不必要权限，若用户不同意，就拒绝提供任何服务。
4.隐瞒第三方SDK收集行为	指的是App嵌入了收集用户个人信息的第三方SDK，但未通过《隐私政策》或其他显著方式向用户明示第三方SDK的个人信息收集行为。
5.私自共享个人信息给第三方	指的是App既未经用户同意，也未做匿名化处理，直接向第三方提供个人信息。
6.未提供账号注销，个人信息查询、更正或删除途径	指的是App未提供有效的更正、删除个人信息及注销用户账号功能；或App为更正、删除个人信息或注销用户账号设置不必要或不合理条件。

以上为有关主管部门披露的几大重点问题，App开发者和运营者可通过《App违法违规收集使用个人信息行为认定方法》《网络安全标准实践指南—移动互联网应用程序（App）个人信息保护常见问题及处置指南》等相关文件，进行深入了解。

（二）开发者应当如何进行合规自查？

开发者在进行合规自查时，可重点关注和评估以下几点：

　　1.是否有制定独立的《隐私政策》，并明示收集使用个人信息的目的、方式和范围？

App需制定一份《隐私政策》，并确保在产品界面中能找到。《隐私政策》须单独成文，而不是作为用户协议、用户说明等文件中的一部分存在。App应在《隐私政策》中明示收集使用个人信息的目的、方式和范围，并确保《隐私政策》链接正常有效，易于访问和阅读。

　　2.是否清晰说明各项业务功能及所收集的个人信息类型？

App应在《隐私政策》中将收集个人信息的业务功能以及每个业务功能所收集的个人信息类型进行逐项列举，不应使用“等”“例如” 等方式概括说明；同时，App须对个人敏感信息类型进行显著标识（如字体加粗、标星号、下划线、斜体、颜色等）。如果通过嵌入第三方代码、插件等方式将个人信息传输至第三方服务器，应通过弹窗提示等方式明确告知用户。

　　3.收集使用个人信息是否经过用户自主选择同意？是否存在强制捆绑授权行为？

App须在征得用户自主选择同意后，才能收集使用个人信息。App收集个人信息应提供由用户主动选择同意或不同意的选项，不同意应仅影响与所拒绝提供个人信息相关的业务功能。App不应将多项业务功能和权限打包，要求用户一揽子接受并授权同意。

　　4.是否公开个人信息处理规则及用户权益保障？

App还需要在《隐私政策》中清晰说明个人信息处理规则及用户权益保障，包括App运营者的基本情况，个人信息存储和超期处理方式，个人信息的使用规则，个人信息出境情况，个人信息安全保护措施和能力，对外共享、转让、公开披露个人信息规则，用户权利保障机制，用户申诉渠道和反馈机制，隐私政策时效及更新等内容。同时，App不应在用户协议、服务协议、《隐私政策》等文件中出现免除自身责任、加重用户责任、排除用户主要权利条款。

　　个推建议App和开发者参考《App违法违规收集使用个人信息自评估指南》进一步自查。

 

（三）开发者如何有效完善《隐私政策》？

　　《隐私政策》的内容应包括但不限于：

　　1.App开发者或运营者的基本情况，包括主体身份、联系方式；

　　2.收集、使用个人信息的业务功能，以及各业务功能分别收集的个人信息类型。涉及个人敏感信息的，需明确标识或突出显示；

　　3.个人信息收集方式、存储期限、涉及数据出境情况等个人信息处理规则；

　　4.对外共享、转让、公开披露个人信息的目的，涉及的个人信息类型，接收个人信息的第三方类型，以及各自的安全和法律责任；

　　5.个人信息主体的权利和实现机制，如查询方法、更正方法、删除方法、注销账户的方法、撤回授权同意的方法、获取个人信息副本的方法、对信息系统自动决策结果进行投诉的方法等；

　　6.提供个人信息后可能存在的安全风险，及不提供个人信息可能产生的影响；

　　7.遵循的个人信息安全基本原则，具备的数据安全能力，以及采取的个人信息安全保护措施，必要时可公开数据安全和个人信息保护相关的合规证明；

　　8.处理个人信息主体询问、投诉的渠道和机制，以及外部纠纷解决机构及联络方式。

二、App使用个推SDK时的合规指引

　　1.在使用个推SDK产品时，开发者需在App《隐私政策》的 “与授权合作伙伴共享”条款中，将个推用户隐私政策加入其中，并向终端用户逐一明示您嵌入的SDK收集使用个人信息的目的、方式和范围。

      具体请参考文档中心合规指引：https://docs.getui.com/compliance（重要）

　　2.您应确保在App首次运行时通过明显方式提示终端用户阅读您的《隐私政策》并取得终端用户的合法授权后，再初始化SDK进行信息收集与处理。

　　为帮助开发者高效制定隐私政策，个推针对不同细分领域的App整理输出了各个类型的App隐私政策模板，供开发者参考使用。 下载地址：http://docs.getui.com/templet

　　同时，我们也建议您对接入的个推SDK版本进行更新。

　　SDK下载地址：http://docs.getui.com/download.html

　　3．如果您和您的用户请求访问、更正、补充其用户信息，或要求行使删除权、更改其授权同意的范围等，您可以查看《个推隐私政策》，或联系个推用户信息保护负责人邮箱support@getui.com，向我们提出相关请求。

三、个推的信息安全保护能力与资质

1. 个推在业务开展的过程中，始终将安全合规放在首要位置，坚持以下四项基本原则，以最大限度地保护个人信息安全：

　　1)合法依规，匿名或非特定个体原则；

　　2)用户知情且授权，可遗忘可撤回原则；

　　3)必要性和最小化原则；

　　4)利于用户，绝不助恶原则。

2. 个推严把数据采集入口、划清数据流转边界、守正数据运用场景，基于多年的实践经验与创新，已经建立起从数据采集、流转到应用的全链条管控与防护机制。

　　1)数据收集的授权同意

　　个推坚持必要性和最小性原则，收集为实现各业务功能所必需的合理用户数据。个推所获取的用户数据来源于App终端用户对于App开发者及App许可的第三方的同意和授权。

　　2)数据的处理和使用

　　用户数据进入到个推大数据平台后，个推会严格按照法律法规要求对用户数据进行去标识化或匿名化处理。

　　3)数据传输和存储的安全措施

　　个推在和服务器交互的过程中使用业内标准的HTTPS协议以及自定义的RSA+AES+SIGN的方式双重保证数据传输过程中的安全。

　　同时，个推对数据入库和保存有着严格的流程，并对不同App进行隔离存储，降低数据泄露的风险，并使用受信赖的保护机制防止数据遭到恶意攻击。

　　4)数据删除的处理方式

　　个推只会在业务所需的期限内和法律法规规定的最短期限内保存用户数据，超出上述保存期间后，个推会根据适用的法律法规要求，对用户数据进行删除或匿名化处理。

 

3. 个推在网络信息安全方面，取得的资质认证：

•　公安部信息系统安全等级保护三级认证

•　公安部SDK安全认证

•　ISO9001质量管理体系认证

•　ISO27001信息安全管理体系认证

•　中央网信办、工信部等机构 “移动信息化可信选型”认证

•　公安部授予“网络安全管理优秀团队”称号

•　中国信息通信研究院“卓信大数据计划-大数据平台专项”认证

 

四、个推推动行业自律的实际行动

　　个推始终认为保护用户隐私是企业必须要坚守和捍卫的行业准则、道德底线，并要时刻保持对数据安全的敬畏之心。个推在严格落实合规和监管要求的同时，倡导行业自律，积极联合行业伙伴的力量，共同推动行业的健康发展。

 

个推合规实践

•　2017年，统一推送联盟成立，每日互动（个推）是唯一一家成为副理事长单位的第三方消息推送服务商，与中国信息通信研究院、阿里巴巴、百度、腾讯等单位共同推动中国移动互联网产业的健康发展。

•　2019年，自中央网信办、工信部、公安部、市场监管总局等四部门开展App违法违规收集使用个人信息专项治理行动以来，每日互动积极响应和参与，并向广大开发者提供了多份合规指引。

•　2019年7月，每日互动与移动互联网反欺诈研究中心以及产业链相关企业一起，共同参与发布《移动数字金融与电子商务反欺诈白皮书》，助力行业长期健康发展。

•　2019年9月，每日互动创始人、CEO方毅在2019年国家网络安全宣传周上提出数据治理的三原则：“严把数据采集入口、划清数据流转边界、守正数据应用场景”。

•　2020年6月，每日互动联合众多产业代表联合发起《西溪数据宣言》，倡议技术向善、强化底线意识、固守安全之本，推进产业健康、可持续发展。

•　2020年8月，由每日互动牵头起草的国内首份SDK安全国家标准《信息安全技术 移动互联网应用程序（App）SDK安全指南》正式立项。

•　2020年9月，每日互动参与提供技术支持的《网络安全标准实践指南—移动互联网应用程序（App）使用软件开发工具包（SDK）安全指引（征求意见稿）》发布。

•　2020年9月，每日互动以线上数字展的形式参加国家网络安全宣传周活动，持续践行网络安全责任。

•　2020年9月，每日互动率先接入统一推送联盟 “推送消息内容安全公共服务平台”——推必安，倡导绿色健康推送。

•　2020年10月，每日互动受邀参加工信部组织召开的App用户个人信息保护座谈会，参与讨论最小必要原则下的用户权益保护评估规范标准体系。

•　2020年11月，由工信部组织的全国App个人信息保护监管会召开。每日互动受邀参会，积极推动个人信息保护工作落到实处。

•　2021年1月，每日互动作为浙江省互联网协会App用户信息保护专委会成员单位，面向全省企业发出共同做好App个人信息保护的公开倡议。

•　2021年4月，《个人信息处理法律合规性评估指引》团体标准发布，每日互动作为该团体标准的试点单位受邀参加发布会并在现场发言。

•　2021年4月，中国信息通信研究院、移动互联网反欺诈联合研究中心与每日互动等行业头部企业共同发布《移动数字广告与流量反欺诈蓝皮书》。

•　2021年5月，每日互动发布关于App个人信息保护治理工作的实践与思考《每日互动：固守SDK安全之本，推动个人信息保护》。

•　2021年8月，由每日互动牵头起草的首份SDK国家标准《信息安全技术 移动互联网应用程序（App）SDK安全指南》试点工作顺利完成。

•　2021年9月，每日互动推出青少年网络游戏防沉迷解决方案，助力APP开发者构建完善的青少年保护系统。

•　2022年4月，每日互动接入推送消息内容安全公共服务平台，助力清朗网络空间建设。

•　2022年5月，每日互动作为大数据联合计算模式的首倡者，参与中国（温州）数安港的重要基础设施建设，积极促进数据要素价值释放，推动数据价值安全有序流转。

•　2022年5月，每日互动参与中国信通院发起的“绿色SDK产业生态共建行动”并签署《绿色SDK产业生态倡议书》。

•　2022年8月，《移动互联网应用程序SDK安全技术要求及测试方法》团体标准发布，每日互动多位专家作为主要起草人全程参与了标准的编制工作。

 

合规文件指引

　　为了更及时高效地落实合规要求，我们建议各位开发者充分了解现有以及陆续将发布的有关个人信息保护的法律、法规、政策、标准等，以下资料供您参考：

《GB/T 35273-2020 信息安全技术 个人信息安全规范》

https://www.tc260.org.cn/front/postDetail.html?id=20200920130917

《常见类型移动互联网应用程序必要个人信息范围规定》

http://www.cac.gov.cn/2021-03/22/c_1617990997054277.htm

《移动互联网应用程序个人信息保护管理暂行规定（征求意见稿）》

http://www.cac.gov.cn/2021-04/26/c_1621018189707703.htm

《App违法违规收集使用个人信息行为认定方法》

http://www.cac.gov.cn/2019-12/27/c_1578986455686625.htm

  《App违法违规收集使用个人信息自评估指南》

http://pip.tc260.org.cn/jbxt/privacy/detail/20190302114600934277

《网络安全标准实践指南—移动互联网应用程序（App）个人信息保护常见问题及处置指南》

https://www.tc260.org.cn/front/postDetail.html?id=20200918162332

《网络安全实践指南—移动互联网应用基本业务功能必要信息规范》

https://www.tc260.org.cn/front/postDetail.html?id=20190531230315

《网络安全标准实践指南—移动互联网应用程序(App)收集使用个人信息自评估指南(征求意见稿)》

https://www.tc260.org.cn/front/postDetail.html?id=20200319113609

《网络安全标准实践指南—移动互联网应用程序（App）个人信息安全防范指引（征求意见稿）》

https://www.tc260.org.cn/front/postDetail.html?id=20200330091643

《网络安全标准实践指南—移动互联网应用程序（App）系统权限申请使用指南》

https://www.tc260.org.cn/front/postDetail.html?id=20200918163359

《网络安全标准实践指南—移动互联网应用程序（App）中的第三方软件开发工具包（SDK）安全指引（征求意见稿）》

https://www.tc260.org.cn/front/postDetail.html?id=20200918155732

如有任何问题，您可通过以下方式与我们联系：

电话：4006-808-606

邮箱：support@getui.com