《软件开发工具包（SDK）用户权益和个人信息保护技术要求 第4部分：支付类》.doc

TAF-WG4AS0001-V1.0.0

PAGEII

团体标准

软件开发工具包（SDK）用户权益和个人信息保护技术要求第4部分：支付类

TechnicalrequirementsforuserrightsandpersonalinformationprotectionofSoftwareDevelopmentKits(SDK)—

Part4：Paymentcategory

XXXX-XX-XX发布

XXXX-XX-XX实施

电信终端产业协会发布

ICS33.030

CCSM21

T/TAFXXX-XXXX

T/TAFXXX-XXXX

PAGE2

PAGE1

软件开发工具包（SDK）用户权益和个人信息保护技术要求第4部分：支付类

范围

本文件规定了支付类SDK的个人信息处理要求、用户权益保护要求和业务功能划分及配置能力提供要求。

本文件适用于支付类SDK开发运营者规范自身个人信息处理活动，同时也适用于主管部门、第三方评估机构等对支付类SDK个人信息保护和用户权益保护能力进行监督和评估。

规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

T/TAF188—2023软件开发工具包（SDK）收集个人信息技术要求

T/TAF189—2023软件开发工具包（SDK）用户权益保障基本要求

术语和定义

T/TAF188—2023、T/TAF189—2023界定的以及下列术语和定义适用于本文件。

3.1

软件开发工具包开发运营者softwaredevelopmentkitoperator

软件开发工具包的开发者、所有者、管理者或提供者，也包括SDK相关的个人信息处理者。

注：简称SDK开发运营者。

3.2

移动互联网应用程序开发运营者mobileinternetapplicationoperator

移动互联网应用程序的开发者、所有者、管理者或提供者，也包括APP相关的个人信息处理者。

注：简称SDK使用者。

个人信息处理要求

4.1收集要求

支付类SDK在个人信息收集过程中，除满足T/TAF188—2023、T/TAF189—2023相关要求外，还应满足以下收集要求：

应仅在支付流程被触发时，收集相关个人信息，不应在最终用户未发起或完成支付后收集个人信息，具有合理场景或者服务所必需的除外；

收集个人信息用于保障最终用户的账户和资金安全的，应在最小范围内收集用户个人信息，对可能收集的可变更设备唯一标识（如AndroidID、OAID）、不可变更的唯一设备标识（如MAC地址、IMEI号）、基本设备信息（如设备型号、设备品牌、操作系统信息）、软件安装列表以及网络信息（IP地址、网络类型、运营商信息、Wi-Fi状态、Wi-Fi参数、Wi-Fi列表）等，应合理划分必要和可选信息范围；

宜在该SDK对应的支付APP中收集用户交易相关信息，为保障最终能在多种业务场景下（如最终用户未安装该SDK对应的支付APP）顺利完成支付，支付类SDK收集的交易相关信息，包括内嵌该SDK的APP信息、订单编号、商品名称、商品金额、商品数量、交易时间、订单过期时间、卖家ID等，应根据实际支付情况、与SDK使用者的协议要求等因素合理确定信息数量；

需进行人脸、指纹等生物信息核验身份的，应具有合理的场景；

聚合其他第三方支付SDK的，应对第三方SDK个人信息保护能力进行评估，选择对最终用户影响最小的方式合理配置第三方SDK各项可选功能及可选个人信息。

4.2存储要求

支付类SDK在个人信息存储过程中应满足以下要求：

在中国境内收集和产生的个人信息，要向境外传输的，应当符合国家关于数据出境的要求；

不宜在客户端存储最终用户交易相关个人信息，在服务端存储的用户交易相关个人信息，应采取严格的加密、访问控制等措施，避免个人信息泄露；

仅提供聚合支付服务的SDK，不应在当次支付完成后留存用户相关个人信息。

4.3使用、加工要求

支付类SDK应仅在获得最终用户同意或满足其他合法性基础的条件下，才可使用、加工个人信息。

4.4传输要求

支付类SDK传输个人信息的要求如下：

传输个人信息时应当采取必要的安全措施；

涉及敏感个人信息传输时，支付类SDK使用者应采取数据加密、安全传输通道或安全传输协议进行数据传输。

4.5共享要求

支付类SDK在共享个人信息过程中应满足以下要求：

应在实现业务目的的最小必要范围内，向第三方（如银行等金融机构、银联/网联等清算机构）提供个人信