引言

2019年，中共中央网络安全和信息化委员会办公室（“网信办”）、工业和信息化部（“工信部”）联合公安部、国家市场监督管理总局制定了《App违法违规收集使用个人信息行为认定方法》，以指导各地网信办、通管局（即工信部位于各地的分支机构）等执法部门对App“未公开收集使用规则”、“未明示收集使用个人信息的目的、方式和范围”、“未经用户同意收集使用个人信息”等乱象开展执法工作。同时，受四部门委托，全国信息安全标准化技术委员会（“信安标委”）、中国消费者协会、中国互联网协会、中国网络空间安全协会成立了App 违法违规收集使用个人信息专项治理工作组（“App 专项治理工作组”），以具体推动App违法违规收集使用个人信息执法工作。

自2019年至今，《App违法违规收集使用个人信息行为认定方法》《App违法违规收集使用个人信息自评估指南》《App系统权限申请使用指南》《网络安全实践指南-移动互联网应用基本业务功能必要信息规范》《网络安全实践指南-移动互联网应用程序（App）使用软件开发包（SDK）安全指引》《信息安全技术移动互联网应用程序（App）SDK 安全指南》等文件陆续发布，为App专项治理工作组认定App违法违规收集使用个人信息行为提供参考，同时也为App开发者和运营者、SDK提供者等主体自查自纠提供了指引。

在执法工作开展过程中，工信部已多次发布“关于侵害用户权益行为的App通报”，以针对App违法违规收集、使用、共享个人信息行为开展执法工作。网信办也多次开展“清朗行动”、“剑网行动”等专项执法活动，以打击App违法违规收集、使用、共享个人信息的行为。可以预见，随着《个人信息保护法》、《数据安全法》等个人信息保护领域基本法的制定与生效，个人信息保护执法活动的频率将逐步升高。

小视在开展线上核验业务过程中，会通过API的方式与下游客户（统称为“您”）之间传输待核验的数据以及核验结果。为了便于您更清楚地理解与认识小视线上核验业务在个人信息保护方面的合规性与已采用的安全保护技术措施，并指导您合法合规地与小视就提供线上核验业务开展合作，我们特编写了此《小视线上核验业务合规与安全指南》（“《指南》”），以供您参考。

为避免歧义，本《指南》中的“合规要求”、“注意事项”等内容，均为小视基于自身对国家相关法律法规、政策及标准的理解而起草，仅作为参考内容向您提供，不构成也不应被视为对任何法律法规、政策及标准的有权解释、法律意见或法律建议，亦不构成小视对外的任何承诺与保证。同时，小视亦不对您所开发、运营的App或其他产品是否落实本《指南》中的合规要求进行担保或保证。在完整阅读本《指南》的基础上，我们仍强烈建议您充分了解现有及可能不时发布、更新的有关个人信息保护的法律、法规、政策、标准和执法检查要求等。

需要注意的是，我们的下游客户分为两类，一类客户运营的App或提供的产品主要面向终端用户（“直客型客户”），一类客户运营的App或提供的产品主要面向公司等法人用户（“非直客型客户”），《指南》将针对两类客户的特性，向其提供不同的合规建议。

指南正文：

本《指南》主要包括以下三方面内容，如有任何问题，请通过邮箱【[email protected]】与小视联系：

一、 您作为个人信息处理者，在运营App或提供其他产品过程中，需要关注的个人信息保护合规要点；

二、 您在与小视开展线上核验业务合作过程中，需要关注的个人信息保护合规要点，主要包括您应当开展的自查工作以及小视可能提出的审查要求；

三、 小视的个人信息保护能力，包含小视制定的个人信息保护内控制度、采取的保护措施等。

一、 您作为个人信息处理者，需要关注的个人信息保护合规要点

本部分主要针对您 作为独立的个人信息处理者，在开发、运营App或其他产品时，如需使用小视提供的线上核验业务，您需要履行的个人信息保护义务，内容包含如何就个人信息处理活动取得授权、如何向个人信息主体履行告知义务等。请注意，此部分并未涵盖《个人信息保护法》等适用法律法规中的全部合规要点，您在处理个人信息的过程中还需要关注其他合规要点，以缓释相关风险。

(一) 直客型客户需要关注的合规要点

1. App或其他产品需要向终端用户展示的合规文件

您运营的App或提供的产品需要制定一份独立的《隐私政策》（或称个人信息保护政策等类似名称），用以说明您个人信息的收集和使用情况，并向用户征求处理个人信息的授权同意。该《隐私政策》的具体内容可参考《GB/T35273-2020 信息安全技术 个人信息安全规范》（您可以通过国家标准全文公开系统 查询该文件内容，http://openstd.samr.gov.cn/ ）中的附录A至附录D，其中：

附录A：个人信息示例

附录B：敏感个人信息示例

附录C：如何保障个人信息主体选择权

附录D：隐私政策模板

除《隐私政策》外，您还需要制定单独的《个人信息共享清单》（或称个人信息对外提供清单等类似名称），并在其中将小视披露为个人信息的接收方。

2. 《个人信息共享清单》需要披露小视的信息

在向小视共享用户个人信息前，您需要向用户告知小视的名称、联系方式、处理个人信息的目的、处理方式、处理的个人信息字段。根据我们对市场一般实践的观测，建议您在《个人信息共享清单》中，选择下列两种方式之一向用户披露与小视之间的个人信息共享情况。

方式一：表格形式

方式二：文字形式

您也可以通过文字形式向用户告知个人信息共享情况。需要明确的是，您采用文字形式向用户告知的内容应当与表格保持一致。

如您希望向用户告知小视的个人信息保护策略以及采取的个人信息保护措施，您可以参照本《指南》第三部分“小视的个人信息保护能力”。

3. 您所制定《隐私政策》需满足的基本特征

您对《隐私政策》的展示应当符合国家法律法规、政策、以及国标行标的要求，您展示的《隐私政策》至少需要满足以下特征：

    (1) 独立性：您应当确保您制定的《隐私政策》独立成文，而并非《用户协议》或其他文件中的一部分；

    (2) 预置性：您应当确保在实际处理用户个人信息之前，已要求用户对《隐私政策》进行勾选。此处尤其要注意避免未经用户同意收集其剪切板、wifi、Mac地址等较为容易忽略的个人信息；

    (3) 易读性：您的《隐私政策》应当为简体中文版本，并确保其用语的通俗性与流畅性。同时，您应当确保该《隐私政策》展示界面的整洁度、亮度、排版等不会影响用户的阅读体验；

    (4) 便捷性：您应当确保用户可以通过便捷的方式对《隐私政策》的内容进行查询。您通过App展示《隐私政策》的，应当确保用户可以通过4次以内的点击与滑动对《隐私政策》进行访问；

    (5) 非强制性：《隐私政策》应由终端用户自主选择是否同意，不应以默认勾选同意的方式或是欺骗诱导的方式取得用户授权。

4. 您如何取从用户处取得个人信息共享的授权

当您完成了《隐私政策》以及《个人信息共享清单》的起草后，我们建议您从以下4种方案中任选其一，以就将个人信息共享给小视取得个人信息主体的同意：

    (1) 您可以在您App或产品的登录界面以弹窗、独立页面等方式展示《小视官网隐私政策》；

    (2) 您可以在您App或产品的《隐私政策》中“第三方个人信息共享”条款部分，简要介绍小视收集用户个人信息的类型与目的；

    (3) 您可以在您App或产品的《隐私政策》中“第三方个人信息共享”条款部分，嵌入《小视官网隐私政策》链接；

    (4) 您可以在您App或产品的《隐私政策》中“第三方个人信息共享”条款部分，简要介绍小视收集用户个人信息的类型与目的，同时嵌入《小视官网隐私政策》链接。

(二) 非直客型客户需要关注的合规要点

对于非直客型客户，由于您不会直接向终端用户提供App或其他产品，因此您往往依赖于从有合作关系的公司（“个人信息提供方”）处间接收集个人信息，同时您无法直接向终端用户展示您的《隐私政策》以及其他个人信息处理相关的授权文件。基于上述事实，我们向您提出如下合规建议：

1. 修订您与个人信息提供方签署的合作协议

鉴于您会从个人信息提供方处间接收集用户的个人信息，我们建议您在与个人信息提供方签署的合同中添加下述条款，以要求其就个人信息来源的合法性进行承诺，并明确要求其就收集个人信息用于核验服务取得个人信息主体的授权:

【注：在下方条款，甲方为个人信息提供方，乙方为您。具体表述可视协议签署情况调整】

甲方承诺，其向乙方提供的数据均来源于合法渠道，同时，甲方需确保个人信息主体授权甲方，除法律法规另有规定外，将个人信息主体提供甲方的个人信息提供给乙方以及因服务必要而开展合作或委托的合作伙伴（含乙方合作伙伴），为个人信息主体提供数据核验服务。

2. 对个人信息提供方就个人信息共享所获得的授权情况进行审核

除修订您与个人信息提供方签署的合作协议外，我们还建议您对个人信息提供方是否就个人信息共享向个人征求授权进行实质性审查，以避免在个人信息提供方未经授权共享个人信息时，导致您因《个人信息保护法》第69条承担过错推定责任。您可以采取的审查策略包括：

    (1) 安排您的员工对个人信息提供方的App或其他产品进行测试，以判断其是否就个人信息共享取得用户的单独同意；

    (2) 要求个人信息提供方向您提供用户在其App或其他产品中的操作日志统计情况，以判断用户是否勾选《个人信息共享清单》以对个人信息共享活动授权；

    (3) 要求个人信息提供方提供第三方审计公司出具的IT审计报告。

二、 您使用小视线上服务时应当注意的合规事项

1. 您使用小视线上核验服务前的合规能力自查

您在使用小视线上核验服务时，应当仔细阅读小视官网所公示的《小视官网隐私政策》、《小视线上核验业务合规与安全指南》，并依据您App或产品收集使用用户个人信息的情况开展审查。请您确保在使用小视线上核验业务之前，已满足以下要求：

    (1) 您已向用户充分展示您制定的《隐私政策》、《第三方个人信息共享清单》，并已就将个人信息共享给小视取得用户的充分授权；

    (2) 遵守并将持续遵守适用的法律、法规和监管要求，包括但不限于制定和公布有关个人信息保护的相关政策；

    (3) 向终端用户提供易于操作的选择机制，说明终端用户如何以及何时可以行使选择权，并说明行使选择权后如何以及何时可以修改或撤回该选择；

    (4) 向终端用户提供可行、便捷的个人信息相关权利行使方式。

2. 小视对您的合规审查

请您知悉，为确保您切实获得终端用户的授权，且您已满足上述明确要求，小视将可能视具体情况，在双方订立协议、开展合作前或合作过程中，对您进行必要的数据合规尽职调查与风险评估，包括但不限于：

    (1) 要求您提供所共享的个人信息的合法来源证明;

    (2) 查阅您官网及其他公开渠道可获取的用户协议/服务条款与隐私政策等文本文件;

    (3) 试用您的App以审查同意授权与告知机制等。如小视发现存在不合规情形，您可能会被要求增加或补充相关合规措施，如您未按时增加或补充，小视有权拒绝您使用服务。

请您知悉，该等尽职调查与风险评估属于小视内部必要的合规程序，不构成任何形式的承诺与保证，不具有对外部相对方的法律效力。

三、 小视的数据保护措施

小视十分重视您的个人信息保护，并在数据生命周期各阶段采取了不同的措施来保障数据安全，具体如下：

1. 数据采集安全

在开展核验业务过程中，小视会从下游客户处间接收集多项数据。在间接收集数据时，小视会坚守最小必要原则，要求下游客户对数据来源的合法性进行承诺，同时，小视会对下游客户是否就个人信息共享征求用户的单独同意进行审核。

2. 数据加密与隔离安全

在小视完成数据采集后，其会对收集到的人脸信息与非人脸信息采取物理隔离措施。除此之外，非人脸信息经过脱敏和不可逆算法加密（sha256加密）之后存储于阿里云ECS服务器。人脸信息使用可逆算法加密（AES加密）后存储于阿里云oss服务器，密钥存储于阿里云ECS服务器。

3. 数据容灾备份安全

小视在开展线上核验业务的过程中，会将收集到的数据储存于阿里云，并对账务数据进行定期备份，以预防数据丢失、损毁以及计算机系统损坏等突发事件可能造成的数据质量减损等后果。

4. 计算机信息系统安全

小视目前运行的AIOT系统已委托专业机构开展计算机信息系统定级测评，并将测评结果报送公安部门以完成计算机信息系统三级等保备案。

5. 内控制度建设

小视已制定诸多内控制度用以规范其数据处理行为，包括但不限于：