《软件开发工具包（SDK）用户权益和个人信息保护技术要求 第3部分：地图类》.docx

PAGE

PAGE1

TAF-WG4AS0001-V1.0.0

PAGE

PAGEII

团体标准

T/TAFXXX-XXXX

软件开发工具包（SDK）用户权益和个人信息保护技术要求第3部分：地图类

TechnicalrequirementsforuserrightsandpersonalinformationprotectionofSoftwareDevelopmentKits(SDK)—

Part3:Mapscategory

电信终端产业协会发布

ICS33.030

CCSM21

XXXX-XX-XX发布

XXXX-XX-XX实施

T/TAFXXX-XXXX

PAGE

PAGE5

T/TAFXXX-XXXX

PAGE

PAGE6

软件开发工具包（SDK）用户权益和个人信息保护技术要求第3部分：地图类

范围

本文件规定了地图类SDK的个人信息处理要求、用户权益保护要求和业务功能划分及配置能力提供要求。

本文件适用于地图类SDK开发运营者规范自身个人信息处理活动，同时也适用于主管部门、第三方评估机构等对地图类SDK个人信息保护和用户权益保护能力进行监督和评估。

规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其必威体育精装版版本（包括所有的修改单）适用于本文件。

T/TAF188—2023软件开发工具包（SDK）收集个人信息技术要求

T/TAF189—2023软件开发工具包（SDK）用户权益保障基本要求

术语和定义

T/TAF188—2023、T/TAF189—2023界定的以及下列术语和定义适用于本文件。

3.1

软件开发工具包开发运营者softwaredevelopmentkitoperator

软件开发工具包的开发者、所有者、管理者或提供者，也包括SDK相关的个人信息处理者。

注：简称SDK开发运营者。

3.2

移动互联网应用程序开发运营者mobileinternetapplicationoperator

移动互联网应用程序的开发者、所有者、管理者或提供者，也包括APP相关的个人信息处理者。

注：简称SDK使用者。

个人信息处理要求

收集要求

地图类SDK在个人信息收集过程中，除满足T/TAF188—2023、T/TAF189—2023相关要求外，还应满足以下收集要求：

不同类别的地图SDK常见收集的个人信息范围参考附录A；

非服务所必须且无合理场景，地图类SDK不应收集不可变更的唯一设备识别码；

非服务所必须且无合理场景，地图类SDK不应收集与业务功能无关的个人信息，例如用户年龄、性别、职业、亲情、学历、身份证号、生物识别特征等；

单次定位场景下收集位置信息应仅在APP调用定位接口时请求一次，不应频繁请求；

连续定位默认收集间隔应不小于1000ms，针对特殊行业高频场景支持开发者在一定范围内配置更小收集间隔。

存储要求

地图类SDK的个人信息存储要求如下：

在中国境内收集和产生的个人信息，原则上应存储在中国境内；

在中国境内收集和产生的个人信息若需向境外提供的，应遵循国家相关法律法规要求；

非服务所必须且无合理场景，SDK处理的轨迹信息应仅限于在用户终端运行内存中，且不应在终端本地或服务端留存，如有业务需要，经最终用户同意后方可在本地或服务端存储；

注1：以上轨迹信息不包含匿名化处理后的个人信息。

轨迹信息与日志信息应在终端上以隔离目录分开存储；

SDK开发运营者对个人信息的存储期限应为实现最终用户授权使用的目的所必需的最短时间，超出上述个人信息存储期限后，应对个人信息进行删除或匿名化处理。

注2：如法律法规另有规定或者最终用户另行授权同意，按照法律法规或者最终用户授权执行。

使用、加工要求

地图类SDK的个人信息加工和使用要求如下：

SDK使用者应先征得最终用户同意并告知SDK开发运营者后，SDK开发运营者方可进行最终用户个人信息的加工和使用；

应仅限于地图类SDK业务所必需对个人信息加工和使用；

注：如SDK开发运营者需使用收集的信息进行画像分析等场景，则应由SDK使用者先征得最终用户同意。SDK开发运营者在处理过程中宜使用去标识化、匿名化或假名化后的数据；

应优先在移动终端本地加工和使用个人信息。

传输要求

地图类SDK的个人信息传输要求如下：

应采用加密机制传输个人信息；

向第三方传输个人信息前，应事先开展个人信息保护影响评估，通过SDK使用者向最终用户告知传输的个人信息种类、目的、处理方式、数据接收方的名称或者姓名、联系