ICS 33.180.10 CCS M33 YD 中华人民共和国通信行业标准 YD/T XXXXX—XXXX 电信和互联网软件开发工具包（SDK)） 个人信息处理规范 Processing specification for personal information of telecommunication network and internet software development kit (SDK) XXXX - XX-XX 发布 XXXX-XX-XX实施 中华人民共和国工业和信息化部 发布 YD/T xxx-xxxx 目 次 前 言 引 言 II 1范围 2规范性引用文件 3术语和定义 4缩略语. 5总体要求. 5.1SDK处理个人信息框架 5.2SDK处理个人信息原则 5.3SDK提供者与SDK使用者双方义务 6处理个人信息各环节要求 6.1个人信息收集要求. 6.2个人信息存储要求 6.3个人信息使用要求. 6.4个人信息加工要求 6.5个人信息传输要求 6.6个人信息对外提供要求 6.7个人信息公开要求 6.8个人信息删除要求 6 6.9个人信息跨境要求 7用户权利保障. 8SDK提供者要求 9评估方法. 9.1个人信息处理各环节的评估 9.2用户权利保障的评估．.. 16 9.2.1测试项：详见7a）， 16 9.2.2测试项：详见7b）.. 16 9.2.3测试项：详见7c）... 16 9.2.4测试项：详见7d） 16 9.3SDK提供者的评估 17 YD/T ×XX-XXXX 前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》给出的规 则起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由中国通信标准化协会提出并归口。 本文件起草单位：中国信息通信研究院、泰尔认证中心有限公司、北京抖音信息服务有限公司、阿 里巴巴（中国）有限公司、北京快手科技有限公司、郑州信大捷安信息技术股份有限公司、OPPO广东移动 通信有限公司、荣耀终端有限公司、每日互动股份有限公司、北京小米移动软件有限公司、上海商汤智 能科技有限公司、北京三快在线科技有限公司、高通无线通信技术（中国）有限公司、维沃移动通信有限 公司、华为技术有限公司、博鼎实华（北京）技术有限公司、北京奇虎科技有限公司、北京三星通信技 术研究有限公司、中兴通讯股份有限公司、深圳市腾讯计算机系统有限公司、上海兆言网络科技有限公 司。 本文件主要起草人：武林娜、宋恺、刘陶、王艳红、杜云、王淞鹤、宁华、王宇晓、李婧、贾雪 飞、黄天宁、方强、于洋、落红卫、王昕、刘献伦、刘为华、赵晓娜、董霖、方毅、顾泽宇、宋方方、 成瑾、王江胜、贾科、徐曼、董雾、付艳艳、衣强、李实、姚一楠、吴越、张宏伟、徐永太、王芳、祖 岩岩、蔡倩文、郑云、王平、曾雅静、张贝贝、赵乃萱、张吉、李巨、田泽宇、姜宇栋。 II YD/T XXX-XXXX 引言 本文件根据《中华人民共和国个人信息保护法》等相关法律要求，针对电信和互联网软件开发工具 包（SDK）提出了个人信息处理要求，进一步促进移动互联网行业的健康稳定发展。 I YD/T xxx-xxxx 电信和互联网软件开发工具包（SDK）个人信息处理规范 1范围 本文件规定了电信和互联网对外提供服务的软件开发工具包（SDK）个人信息处理规范，包括软件 开发工具包（SDK）处理个人信息的基本要求、软件开发工具包（SDK）提供者的基本要求以及保障及 时响应用户权利的要求。 本文件适用于电信和互联网软件开发工具包（SDK）提供者对个人信息处理活动进行设计、开发和 评估，也适用于主管部门、第三方评估机构等组织对软件开发工具包的个人信息处理行为进行监督、管 理和评估。 2规范性引用文件 本文件没有规范性引用文件。 3术语和定义 下列术语和定义适用于本文件。 3. 1 移动互联网应用程序application 可安装在移动智能终端内，能够利用移动智能终端操作系统提供的公开开发接口，实现某项或某几 项特定任务的应用程序。 注：包含移动智能终端预置应用、小程序、快应用以及互联网信息服务提供者提供的可以通过网站、 应用商店等应用分发平台下载、安装、升级的应用程序，简称APP。 3. 2 软件开发工具包使用者softwaredevelopmentkituser 将SDK集成到自身产品并决定该产品的开发、运营、个人信息处理、数据安全管理等活动的目的和 方式的组织或个人，简称SDK使用者。 3. 3 软件开发工具包softwaredevelopmentkit 协助软件开发的软件库，包括相关的代码、文档、范例和工具的集合，简称SDK。 3. 4 软件开发工具包提供者softwaredevelopmentkitprovider 决定SDK的开发、运营、个人信息处理、数据安全管理等活动的目的和方式的组织或个人，简称 SDK提供者。SDK提供者提供的内容不只是简单的SDK工具包，还有为了实现相关功能与之配套的平 台能力。 3.5 个人信息personalinformation 以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，不包括匿名化处理后的 信息。 1 XXXX-XXX 1/0A 3. 6 敏感个人信息sensitivepersonalinformation 一旦泄露或者非法使用，可能导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人 信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周 岁未成年人的个人信息。 3. 7 敏感权限sensitivepermissions 是移动智能终端对系统敏感资源的一种管控方式，通常简称为敏感权限。敏感权限管控范围涵盖应 用程序所涉及用户敏感个人信息的受限数据或资源的区域，或者可能会影响用户存储的数据或其他应用 软件的操作。 注：敏感权限通常由APP向移动智能终端系统作出权限申请，用户授权后访问。 3.8 自动化决策 automated decision 通过计算机程序自动分析、评估个人的行为习惯、兴趣爱好或者经济、健康、信用状况等，并进行 决策的活动。 缩略语 4 下列缩略语适用于本文件。 APP 移动应用软件 Application SDK 软件开发工具包 Software Development Kit 5 总体要求 5.1SDK处理个人信息框架 SDK使用者一般会在宿主程序的基础上集成若干SDK提供者提供的SDK，SDK使用者与SDK提供者 的个人信息保护责任划分包括以下三种情况： a) SDK提供者独立处理个人信息的，应自行承担个人信息保护责任 b)s SDK提供者受SDK使用者委托或与SDK使用者共同处理个人信息的，可按照合作协议或共同协 商各自承担的责任。 SDK使用者独立处理个人信息的，应由SDK使用者承担个人信息保护的责任。 c) SDK处理个人信息数据流转框架图如图1所示。 2 YD/T xxx-xxxx SDK后台 APP后台 Server Server 提供 传输 提供、公开 收集 SDK 存储 宿主程序 使用 收集 加工 用户 APP ↑ 提供 提供 主体行为 图例： 数据处理活动 SDK提供者 SDK使用者 图1SDK处理个人信息数据流转框架图 5.2SDK处理个人信息原则 SDK提供者开展个人信息处理活动应遵循合法、正当、必要的原则，具体包括： 合法必要：处理个人信息应合法、正当、必要和诚信，不应通过误导、欺诈、胁迫等方式处理 个人信息； b) 目的明确：处理个人信息应具有明确、合理的目的，应与处理目的直接相关，应采取对个人权 益影响最小的方式； c) 最小必要：收集个人信息时，应当限于实现处理目的的最小范围，不得过度收集个人信息； d) 公开透明：应以明确、清晰、易懂的方式公开个人信息的处理规则； 告知同意：应以合理的方式将个人信息的处理目的、方式、范围等规则进行告知，并征得用户 (a 同意；若无法独立实现的，SDK使用者应辅助其实现； f) 确保安全：应采取必要的管理措施和技术手段保障所处理的个人信息的安全； g) 主体参与：应向个人信息主体提供能够查询、更正、删除其个人信息，以及撤回授权同意、投 诉等方法； h) 知情自愿：基于用户同意处理个人信息的，该同意应由用户在充分知情的前提下自愿、明确作 出。 5.3SDK提供者与SDK使用者双方义务 SDK处理个人信息或为用户提供服务时，涉及SDK使用者的，应满足以下要求： 若SDK使用者与SDK提供者共同处理个人信息，应双方协商确定如何告知用户，征得用户的同 意以及提供用户权利保障功能； 若SDK提供者，作为受托方，根据SDK使用者的要求处理个人信息，应由SDK使用者告知用户 b) 征得用户同意，并提供用户权利保障功能，SDK提供者应协助SDK使用者完成上述义务： 若SDK提供者独自处理个人信息的，应自行告知用户，征得用户同意，并提供用户权利保障功 C) 能，SDK使用者协助SDK提供者实现相应功能。 3