隨著移動互聯(lián)網(wǎng)的飛速發(fā)展，移動應(yīng)用程序（App）已成為人們?nèi)粘Ｉ睢⒐ぷ骱蜕鐣煌胁豢苫蛉钡闹匾M成部分。在App的開發(fā)與運營過程中，第三方軟件開發(fā)工具包（SDK）因其能夠提供諸如支付、地圖、社交分享、廣告推送、數(shù)據(jù)分析等便捷功能，而被廣泛集成使用。第三方SDK的引入也帶來了諸多安全與合規(guī)風(fēng)險，包括但不限于違規(guī)收集用戶個人信息、過度索取權(quán)限、潛在安全漏洞，以及因其自身行為導(dǎo)致App主體承擔法律責任等問題。

為規(guī)范App開發(fā)運營者合理、安全地使用第三方SDK，保障用戶個人信息和網(wǎng)絡(luò)安全，促進移動互聯(lián)網(wǎng)行業(yè)健康有序發(fā)展，相關(guān)部門依據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國數(shù)據(jù)安全法》《中華人民共和國個人信息保護法》等法律法規(guī)，并結(jié)合行業(yè)實踐，起草了《移動互聯(lián)網(wǎng)應(yīng)用程序（App）中第三方軟件開發(fā)工具包（SDK）安全使用合規(guī)指引（征求意見稿）》，現(xiàn)面向社會公開征求意見。

本指引旨在為App開發(fā)運營者提供清晰、可操作的安全合規(guī)指導(dǎo)，核心內(nèi)容包括：

1. 責任界定與管理要求：明確App開發(fā)運營者作為個人信息處理者，應(yīng)對其集成的第三方SDK處理個人信息活動承擔管理責任。要求建立第三方SDK準入審核與管理機制，將SDK安全合規(guī)能力納入選型評估，并通過合同等形式明確雙方權(quán)利義務(wù)與安全責任。

1. 全生命周期安全管理：

• 集成前評估：應(yīng)對擬集成的SDK進行安全與合規(guī)評估，重點關(guān)注其收集使用個人信息的必要性、最小化原則、權(quán)限申請合理性、數(shù)據(jù)加密與傳輸安全、過往安全事件記錄等。

• 集成中規(guī)范：遵循最小必要原則集成SDK功能，避免集成與App業(yè)務(wù)功能無關(guān)的SDK。在App隱私政策中清晰、逐一列明所集成SDK的名稱、提供商、功能、收集的個人信息類型、目的及方式，并確保獲得用戶有效同意。

• 運行中監(jiān)測：對集成SDK的App進行持續(xù)安全監(jiān)測，及時發(fā)現(xiàn)并處置SDK存在的安全漏洞、違規(guī)行為或異常數(shù)據(jù)收集情況。

• 終止后處理：在停止使用或更換SDK時，應(yīng)確保用戶個人信息得到安全刪除或匿名化處理，并及時更新App及隱私政策。

1. 用戶權(quán)益保障：確保用戶享有知情權(quán)、同意權(quán)、撤回同意權(quán)、刪除權(quán)等權(quán)利。當SDK處理個人信息行為發(fā)生變更時，App開發(fā)運營者應(yīng)重新獲取用戶同意。應(yīng)提供便捷的渠道供用戶行使個人信息相關(guān)權(quán)利，并協(xié)調(diào)SDK提供商共同響應(yīng)用戶訴求。

1. 安全技術(shù)能力：鼓勵A(yù)pp開發(fā)運營者與SDK提供商采用安全加固、代碼混淆、安全通信協(xié)議、數(shù)據(jù)加密存儲與傳輸?shù)燃夹g(shù)手段，提升整體安全防護水平。

1. 應(yīng)急響應(yīng)與上報：建立針對第三方SDK安全事件的應(yīng)急響應(yīng)預(yù)案。一旦發(fā)現(xiàn)SDK存在嚴重安全漏洞或發(fā)生數(shù)據(jù)泄露等安全事件，應(yīng)立即采取處置措施，并按照法律法規(guī)要求向主管部門和受影響用戶報告。

此次公開征求意見，旨在廣泛聽取社會各界，特別是廣大App開發(fā)運營者、SDK提供商、網(wǎng)絡(luò)安全企業(yè)、科研機構(gòu)、專家學(xué)者及用戶的寶貴意見和建議，使指引內(nèi)容更加科學(xué)、嚴謹、務(wù)實，更具指導(dǎo)性和可操作性。

征求意見截止日期為【請在此處插入具體截止日期】。相關(guān)意見或建議可通過電子郵件方式發(fā)送至【請在此處插入指定郵箱地址】，或通過信函方式郵寄至【請在此處插入通信地址】。反饋時請注明“SDK安全指引征求意見”字樣。

我們期待您的積極參與和真知灼見，共同筑牢移動互聯(lián)網(wǎng)應(yīng)用的安全基石，營造清朗的網(wǎng)絡(luò)空間環(huán)境。