移动应用数据安全风险规程（完整版）.docxVIP

移动应用数据安全风险规程（完整版）

第一章总则

一、规程适用范围

1.本规程适用于所有在中华人民共和国境内上线运营的移动应用程序，覆盖安卓端、iOS端、鸿蒙端原生App，以及依托主流平台运行的小程序、快应用、轻应用产品。

2.本规程覆盖所有向用户提供信息服务、交易服务、工具服务的移动应用，不含仅面向企业内部员工发布、不对外公开下载的内部专属工具类应用。

3.所有移动应用的运营主体、开发主体、第三方合作服务商，均需严格遵照本规程要求开展数据安全风险防控工作。

二、责任主体划分

1.移动应用的运营主体为数据安全第一责任方，需设立专职的数据安全管理部门，配置不少于3名专职数据安全运维人员，统筹全生命周期的数据风险管控工作。

2.移动应用的开发主体承担编码阶段的安全责任，所有开发人员需通过数据安全合规考核后方可参与项目开发，考核得分低于80分的人员不得参与核心功能模块编码工作。

3.第三方合作服务商包括SDK供应商、云服务供应商、数据分析服务商，需在合作签署阶段明确数据安全责任边界，约定数据泄露后的赔付标准不低于单次事件造成直接经济损失的1.5倍。

三、日常管理基本原则

1.坚持最小必要收集原则，所有移动应用收集的用户数据类型必须与对外公示的服务功能直接关联，不得收集与提供服务无关的用户数据。

2.坚持全程可追溯原则，所有数据采集、传输、存储、使用、销毁全流程操作必须留下