ICS 33.030 YD CCS M21 中华人民共和国通信行业标准 YD/T 4177.17—XXXX 移动互联网应用程序（APP）收集使用个人 信息最小必要评估规范 第17部分：交易信息 Application personal information collection and usage minimization and necessity evaluation specification Part17:Trading information （报批稿） XXXX - XX - XX 发布 XXXX-XX-XX实施 中华人民共和国工业和信息化部 发布 YD/T 4177.17-xxxx 目 次 前言 引言. .III 1范围. 2规范性引用文件 3术语和定义 4基本原则 5交易信息类型 6交易信息处理过程 7最小必要处理要求 7.1告知同意 7.2收集阶段 7.3存储阶段 7.4使用阶段 7.5传输阶段 7.6提供阶段， 7.7对外公开阶段 7.8删除阶段， 8评估流程和方法 8.1评估流程 8.2评估方法， YD/T 4177.17-xxxx 前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起 草。 本文件是YD/T4177《移动互联网应用程序（APP）收集使用个人信息最小必要评估规范》的第17 部分，已经发布了以下部分： 一第1部分：总则； 一第2部分：位置信息； 第3部分：图片信息； 第4部分：终端通讯录； 第5部分：设备信息； 一第6部分：软件列表； 一第7部分：人脸信息； 第8部分：录像信息； 第9部分：录音信息； 第10部分：通话记录； 第11部分：短信信息； 第12部分：好友列表； 第13部分：传感器信息； 第14部分：应用日志信息； 第15部分：身份信息； 一第16部分：剪切板信息； 第17部分：交易信息。 本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本标准由中国通信标准化协会提出并归口。 本文件起草单位：中国信息通信研究院、北京快手科技有限公司、西安交通大学、OPPO广东移动 通信有限公司、维沃移动通信有限公司、华为终端有限公司、荣耀终端有限公司、北京三快在线科技有 限公司、北京抖音信息服务有限公司、每日互动股份有限公司、广东小天才科技有限公司、青岛海信通 信有限公司。 本文件主要起草人：王宇晓、贾宝国、张静怡、刘陶、落红卫、宋恺、杨萌科、王昕、桑明臣、王 浩仟、范铭、付艳艳、李腾、赵晓娜、姚一楠、衣强、赵盈洁、李辰淑、吴斌、李肤婧、杜蕾、丁宁、 董霖、李颖莹、世杰、柯国锋、刘桢、许依榕、张学杰。 II YD/T 4177.17-xxxx 引言 随着数字经济的快速发展，移动应用软件已经成为人们工作和生活的重要载体，APP侵害用户权益 问题受到社会和人民群众的高度关注。移动应用软件如何保护用户个人信息，成为行业高质量发展的关 键。交易信息是个人信息的重要组成部分，在APP完成业务功能时落实最小必要原则，成为保护用户个 人信息的重要路径。YD/T4177由17个部分构成： 一移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第1部分：总则； 一移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第2部分：位置信息； 一移动互联网应用程序 （APP）收集使用个人信息最小必要评估规范第3部分：图片信息； 收集使用个人信息最小必要评估规范第4部分：终端通讯录； 移动互联网应用程序 必要评估规范第5部分：设备信息； 网应 信息最 移动互联网应用程 小必要评估规范第6部分：软件列表； 小必要评估规范第7部分：人脸信息； 移动互联网应用程序 必要评估规范第8部分：录像信息； 移动互联 必要评估规范第9部分：录音信息； 评估规范第10部分：通话记录； 第12部分：好友列表； 范 第13部分：传感器信息： 应用日志信息： ：身份信息： 第 第17部分：交易信息。 IHI YD/T 4177.17-xxxx 移动互联网应用程序（APP）收集使用个人信息最小必要评估规范 第17部分：交易信息 1范围 本文件规定了移动互联网应用程序（APP）在处理用户个人信息（交易信息）的收集、存储、使用、 提供、删除等个人信息处理活动的最小必要评估规范，并通过典型应用场景来说明如何落实最小必要原 则。 本文件适用于移动应用程序（APP）规范对用户个人信息（交易信息）的处理活动，也适用于第三 方评估机构等组织对移动应用程序收集使用交易信息的行为进行监督、管理和评估。 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T35273信息安全技术个人信息安全规范 YD/T4177.1移动互联网应用程序（APP）收集使用个人信息最小必要评估规范第1部分总则 3术语和定义 GB/T35273和YD/T4177.1界定的以及下列术语和定义适用于本文件。 3. 1 个人信息personal information 以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息,不包括匿名化处理后的 信息。 [来源：中华人民共和国个人信息保护法] 3. 2 交易信息tradinginformation 通过互联网等信息网络进行产品或服务交易所产生的相关数据。 注：交易信息包括但不限于商品或者服务信息、订单信息、支付记录、物流快递、售后与评价等， 3. 3 网络交易经营者onlinetransactionoperator YD/T 4177.17-xXxx 组织、开展网络交易活动的自然人、法人和非法人组织，包括网络交易平台经营者、平台内经营者 以及通过其他网络服务开展网络交易活动的网络交易经营者。 4基本原则 应满足YD/T4177.1的最小必要基本原则。 5交易信息类型 交易信息是由用户和网络交易经营者通过订单生成、支付、订单处理、服务等活动产生，根据交易 活动的处理环节，交易信息可包括表1所示。 表1交易信息类别及内容 交易信息类别 交易信息 用于完成交易的用户身份信息，包括不限于： 账号信息 昵称、手机号、邮箱、身份证或生物识别信息， 用户在商品或服务购买、签约过程中产生的交易记录数据，包括 不限于： 一交易订单数据：包括订单创建时间、订单下单时间、订单商 订单信息 品或服务内容、订单数量、订单金额等。 交易订单状态数据：包括订单下单消息、订单修改信息、订 单退货消息、订单完成消息、订单取消消息等， 用户在支付过程中产生的支付数据，包括不限于：订单编号、支付 支付记录 金额、下单时间、付款时间、支付方式等， 在有形商品运送过程中产生的物流数据，包括不限于：公司名称、 物流快递 交易订单编号、物流快递编号、发货时间、运送过程数据、物流 状态、快递员及联系方式等。 在完成交易后的服务内容数据，包括不限于用户咨询、售后、评 售后与评价 价、投诉与处理过程中产生的相关数据。 6交易信息处理过程 网络交易指通过互联网等信息网络（以下简称通过网络）销售商品或者提供服务的经营活动，包括 但不限于在线购物场景的下单购物，网络约车场景下打车或寻找代驾，在快递配送场景下提交寄件申请， 在餐饮外卖场景下购买下单等。按照交易发生过程，可以将其分为不同的阶段。交易可包括商品或服务 交易，涉及实物交易可能包括物流配送阶段，服务交易不涉及到物流配送，如图1所示。 5