一、未说明收集使用的个人信息目的，类型，方式
a）完整，清晰，区分说明各业务功能所收集的个人信息。宜根据用户使用习惯逐项说明各业务功能收集个人信息的目的，类型，方式，避免使用“等，例如”等方式不完整。
b）使用Cookie等同类技术（包括脚本，点击流，Web信标，Flash Cookie，内嵌Web链接等）收集个人信息时，简要说明相关机制，以及收集个人信息的目的，类型。
c）如嵌入的第三方代码，插件（如SDK）收集个人信息，说明第三个方代码，插件的类型或名称，以及收集个人信息的目的，类型，方式。
d）如存在委托第三方处理个人信息，说明委托第三方的类型或身份，涉及的个人信息类型，委托处理目的等。
e）收集使用个人信息的目的，方式，范围发生变化的时间，更新隐私政策等收集使用规则，并以推送消息，邮件，弹窗，红点提示等方式提醒用户阅读发生变化的条款。
二、隐私政策未征得用户明示同意
指App采用替代选择同意等非明示方式征得用户同意。
一个）为用户提供主动选择同意，显或关系着提醒用户阅读后同意隐私政策的选项对话，对于通过勾选框形式征得同意的，不默认勾选同意。
B）在首次运行应用程序或用户注册时，主动提示用户阅读隐私政策。如通过弹窗等形式主动展示隐私政策的主要或核心内容，用户帮助作者：解收集个人信息的范围状语从句：规则进而做出决定。
三、超范围收集
指向违反必要原则，收集与业务功能无关的个人信息，或收集个人信息的范围，频度等超过实现App业务功能实际需要。
a）结合实际的业务功能和场景所需，App收集的个人信息类型应与业务功能有直接关联，不收集与所提供的业务功能无关的个人信息。
b）遵循最小必要原则，仅申请应用程序业务功能所必需的权限，不申请与应用程序业务功能无关的权限（即使用户可以拒绝）。
c）参考《信息安全技术移动互联网应用程序（App）收集个人信息基本规范》，明确的App所提供的服务类型和最小必要的个人信息范围，且不因用户拒绝提供最小必要的个人信息以外的信息，拒绝提供该类型服务的基本业务功能。
d）如用户拒绝或撤回授予某项服务类型非必要系统权限，App强制强制退出或关闭，并且不影响权限相关的业务功能使用。
e）应用所需的权限应在对应的业务功能执行时动态申请，在用户未触发相关业务功能时，不提前申请与内部业务功能无关的权限。
f）权限申请获得授权后，自动采集个人信息的频率应在实现App业务功能所必需的最低合理频率范围内，并且仅访问满足业务功能需要的最少个人信息。
g）除为满足法律法规规定，保护公共利益和个人重要人身财产权之外，App开展业务活动时限定使用个人生物识别信息作为唯一一种实现业务目标的方式。
四、强制捆绑授权
指以捆绑，不断打扰等不合理的方式征得用户同意收集个人信息或申请系统权限。
a）AndrewApp的目标API等级应不低于23，目标API等级宜及时更新适应安卓新版本。
b）App宜区分基本业务功能和附加业务功能，不通过捆绑服务类类型，捆绑基本业务功能和附加业务功能等方式，强制要求用户一次性授权同意个人信息收集请求。
c）对于完全实现附加功能，个性化服务，提升用户体验，同时又不是应用实现基本业务功能所必要的个人信息，可单独征得用户同意，并保障用户可拒绝个人信息收集的权利，且用户拒绝此类信息后不影响其正常使用应用程序作者：基本务功能。
d）如用户明确拒绝App业务功能所需的权限，App重复申请层次的统一权限干扰用户正常使用，除非由用户主动触发功能，且没有该权限参与此业务功能无法实现。但不限于：
1）单个场景在用户拒绝权限后，48小时内弹窗提示用户打开系统权限的次数超过1次；
2）每次重新打开App或使用某些业务功能时，都会向用户索要或提示用户拥有相关系统权限。
五、未经用户同意收集个人信息
指实际收集使用个人信息的行为声称用户同意或违背用户意图。
a）用户点击同意隐私政策前，不产生任何个人信息收集行为。
b）将权限申请的触发时间点纳入用户点击同意所有权政策后。
C）如应用程序不存在下载，读取外部存储文件的实际业务功能，直柯林斯接在应用自有的目录下进行保存，不建议申请外部存储权限。
d）以下操作应由用户主动触发，并在用户知情情况下执行：
1）执行拨号电话，发送短信等操作;
2）：或关闭Wi-Fi，蓝牙，GPS等；3）拍摄，录音，截屏，录屏等；
4）读写用户短信，联系人等个人信息。
e）涉嫌隐蔽收集个人信息，当录音，拍摄，录屏，定位等敏感功能在后台执行时，应采用显着方式（如图标闪烁，状态栏提示，自定义提示条等）提示用户。
f）涉嫌在用户不知情或未授权的情况下，通过隐蔽方式读取并上传剪切板中包含的个人信息和公共存储区中的个人信息。
g）对于用户直接向第三方提供个人信息的情况，不私自收集用户直接向第三方提供的个人信息。
六、申请权限或收集个人敏感信息未同步告知目的
指应用申请权限或收集个人敏感信息时，未同步告知收集目的，目或的描述不明确。
a）收集个人生物识别信息前，单独向用户识别收集，使用个人生物识别信息的目的，方式和范围，以及存储时间等规则，并征得用户的明示同意。
b）收集身份证号，银行账户，行踪轨迹等个人敏感信息时，同步告知用户收集使用目的，目的应明确且易于理解。
c）申请权限时应同步告知权限申请目的，目的明确且易于理解，不包含任何欺诈，诱骗，误导用户授权的描述。
d）对于权限申请系统弹窗中可编辑目的的操作系统，App可在操作系统提供的权限申请弹窗中编辑具体明确的申请目的；权限申请系统一弹窗中无法编辑目的的，建议通过App弹窗提示等方式，向用户告知权限的申请目的。
七、实际收集使用个人信息行为与声明多重
指App实际收集使用的个人信息超过用户授权范围，或实际行为伴随所声明的隐私政策等收集使用规则存在偏差，替代。
a）实际收集的个人信息类型，申请打开可收集的使用个人信息的权限，提供的业务功能等，与相关政策等的收集使用规则中相关内容一致，而不是过多的政策等收集使用规则所述范围。
b）严格遵守隐私政策等收集使用规则，App收集或使用个人信息的功能设计同等政策保持一致，同步调整。
c）明示收集使用个人信息的目的需要真实，准确，不随意欺瞒，掩饰收集使用个人信息的真实目的，不诱骗用户同意收集个人信息或打开可收集个人信息权限。
八、同意向第三方提供个人信息
指App未经用户同意，也未做匿名化处理，私自将其他第三方应用或服务器发送，共享个人信息。
一个）如存在从客户端直接向第三方发送个人信息的情形，包括通过客户端嵌入第三方代码，插件（如SDK）方式等向第三方发送个人信息的情形，需事先征得用户同意，经匿名化处理的除外。
b）如个人信息传输至服务器后，App运营者向第三方提供其收集的个人信息，需事先征得用户同意，经匿名化处理的除外。
C）如向第三方传输的个人信息类型，数据接收的第三方身份等发生变更的，需以适当方式通知用户，并征得用户同意。
d）如应用程序接入第三方应用，当用户使用第三方应用时，需在征得用户同意后，再向第三方应用提供个人信息。用户当应用获知为第三方提供后，自行以主动填写等方式向第三方直接授权的除外。
E）应用程序提供者宜对于接入的第三方应用收集个人信息的合法，正当，必要性等方面进行审核，并明确标识相关业务功能为第三方提供。
f ）用户迁移至第三方应用时，宜提醒用户关注第三方应用的收集使用规则。
克）应用宜对第三方代码（如SDK）使用的权限进行审核，引要求入第三方代码所需使用的权限最小化。
1H）应用宜采取技术检测，安全审计等手段，第三方确保代码或插件收集，使用行为符合约定要求。
九、未提供删除，更正或投诉举报的功能或渠道
指App未提供有效且能及时响应的删除，更正或投诉举报的功能或渠道，或设置不合理条件。
a）提供有效的更正，删除个人信息的途径。
B）宜提供在线操作方式及时响应个人信息更正，删除请求，人需工处理的，应在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）完成核查和处理。
c）更正和删除个人信息的功能应简单易操作，不设置范围或不合理的条件。
d）用户更正，删除个人信息等操作完成时，App后台及时执行完成相关操作，因法律法规规定需要留存个人信息的，不再将其用于日常业务中。
e）建立并公布可起诉的个人信息安全问题相关的投诉，举报渠道，替代可采取的在线操作，客服电话，电子邮件等方式。
f）妥善接纳用户关于个人信息相关的投诉，举报，并在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）撤销并处理。
十、未提供有效的重置用户账号途径
指App未提供有效的撤除用户账号功能或渠道，或为重置用户账号设置过多或不合理条件。
a）提供适当的易操作的替代功能或渠道，若有可能宜在应用或网站上设置便捷的交互页面提供在线替换功能，并且可以替换入口可访问的，替换状态易于查询。
b）GB / T 35273-2020《信息安全技术个人信息安全规范》 8.7 e）设置了合理的设置。
注：如用户自愿选择放弃账号下相应的权益（如XX币，XX积分），若有可能宜允许用户允许账号。
c）解决过程如需进行身份核验，不要求用户提供超过注册，使用等服务交换收集的个人信息类型，特别是更换时要求额外提供手持体份证照片，银行卡绑定，人脸识别等。
d）制定并公开账号的条款，明示账号的条件，后果，方法，流程等信息。
注：条款可以作为个人信息保护政策的章节，也可以制定单独的替代协议。
e）及时响应用户期望的请求，需要人工处理的，在承诺时限内（不超过15个工作日）完成核查和处理。
f）用户注册表后的数据处理，建议：
1）重建后停止对用户个人信息的收集和使用，并按照相关要求和约定删除其个人信息或匿名化处理；
2）因法律法规规定需要保留个人信息，将其隔离存储，而不再将其用作日常业务活动中；
3）恢复时因验证用户身份所收集的个人敏感信息，完成用户身份验证后立即删除或匿名化处理。
g）多个App共用一个账号系统时，另外的App附加建议：
1）用户可退出或取消临时应用程序，并且不影响无必要业务关联应用程序的正常使用；
2）提供解除限额的应用程序用户帐户使用关系等措施实现重组，并
该应用帐户之外其他个人信息进行删除;
3）如多个应用之间存在必要的业务关联而无法重复账号，需在撤销前向用户详细说明账号关联的应用，替换条件，替换
后果等信息。
来源：《网络安全标准实践指南-移动互联网应用程序（APP）个人信息保护常见问题及处置指南》点击阅读查看下载材料。
北京易特信安科技有限公司能够为用户提供：
等保全生命周期服务：
系统定级咨询、系统备案、差距分析评估、安全建设整改咨询、等级保护测评、监督检查改进。
APP安全咨询认证一站式服务：
APP个人信息安全认证检测、APP安全漏洞检测、APP安全渗透测试、代码审计、等保合规性评估、APP安全加固等服务。
依托丰富的安全工作经验，切实提升企业客户的信息安全防护能力，最终使客户信息系统安全合规。
免责声明：
本文内容出于传递更多信息之目的，属于非营利性的转载。如无意中侵犯了某个媒体或个人的知识产权，请联系我们，我们将立即删除相关内容。其他媒体、网络或个人从本网下载使用须自负版权等法律责任。
