爱加密合规指引

根据《个人信息保护法》、《数据安全法》、《网络安全法》等法律法规和监管部门规章要求，App 开发运营者(以下简称为“开发者”)在提供网络产品服务时应尊重和保护最终用户的个人信息，不得违法违规收集使用个人信息，保证和承诺就个人信息处理行为获得最终用户的授权同意，遵循最小必要原则，且应当采取有效的技术措施和组织措施确保个人信息安全。为帮助开发者在使用威胁感知SDK的过程中更好地落实用户个人信息保护相关要求，避免出现侵害最终用户个人信息权益的情形，特制定本合规使用说明，开发者使用威胁感知SDK时必须在《隐私政策》中告知终端用户SDK使用用途，并且在终端用户未同意《隐私政策》前不得初始化任何 SDK。请您务必按照以下步骤做好合规自查，避免被监管部门通报或下架您的应用。

升级最新版SDK

请务必确保您已经将升级到满足监管新规的最新版本。

SDK业务功能的配置说明

接入说明：爱加密威胁感知SDK包括基本业务功能和扩展业务功能。
基本功能：为开发者提供移动安全监测服务，可监测APP运行状态，及时发现潜在风险，保证APP可以安全运行。
扩展功能：为开发者提供风险应用检测服务，可监测硬件中可能会对APP造成攻击的风险应用。

功能区分 业务功能 功能介绍 相关个人信息及处理目的 配置方式
基本功能 应用风险监测 对APP的运行状态进行全面实时监测，及时发现并预警潜在风险。 应用信息（包括应用名称、应用版本号、包名、应用运行模式、证书MD5、签名证书）用于定位遭受攻击的应用信息，开发者可根据应用信息，针对问题较多的应用版本对应用进行优化。 硬件信息（包括设备型号、设备厂商、IMEI、IMSI、屏幕分辨率、内存使用率、剩余电量、CPU使用率、CPU型号、CPU架构、设备名称、设备序列号、Android ID、指令集1、指令集2、主板信息、ROM构建日期）：用于生成脱敏的终端用户设备唯一性标识，以确保能准确定位风险设备 系统信息（包括系统名称、系统版本）用于定位遭受攻击的系统信息，开发者可根据系统信息，针对问题较多的系统版本对应用进行优化。位置信息（包括经度、维度）用于定位遭受攻击的设备的地理位置，用于风险数据统计。 网络信息（包括网络代码、基站编号、基站位置区域码、联网方式、外网IP、BSSID、蓝牙MAC、WiFi_MAC、WiFi名称、局域网IP）用于定位风险设备的网络信息，应对团伙攻击场景，及时发现团伙内的其它风险设备。 基本业务，必要个人信息
扩展功能 风险应用监测 对设备里是否安装了风险应用进行监测，保证APP的运行环境安全。 应用安装列表（包括应用名称、应用版本、应用包名）用于定位风险应用信息，如框架攻击应用、病毒木马应用等，可帮助开发者对风险应用进行识别、阻断，保护APP的运行环境安全。 开启： WxgzSdk.setEnableCollect AppInfo(context, true);
关闭： WxgzSdk.setEnableCollect AppInfo(context, false);

SDK申请系统权限的说明

接入说明：对于爱加密威胁感知SDK可选申请的系统权限，您可以参考相关如下表格的内容，详细了解相关权限与各业务功能的关系及其申请时机，因相关权限的不申请将会对其对应的功能造成影响，您可以结合业务实际需要进行合理配置。

Android 操作系统应用权限列表
权限 是否可选 用途 申请时机
INTERNET 必选 网络权限。用于实现和服务器通信，以便提供态势感知服务 启用业务功能读取
ACCESS_NETWORK_STATE 必选 查看网络状态的权限。用于实现网络断开后sdk重新连接 启用业务功能读取
READ PHONE STATE 必选 获取手机状态参数，包括Android ID、IMEI、IMSI、设备序列号，辅助生成态势感知唯一设备标识符 启用业务功能读取
ACCESS_COARSE_LOCATION 可选 获取粗略位置，包括经度、维度，用于识别某些安全风险，如位置欺诈、高频更换地域等 启用业务功能读取
ACCESS_WIFI_STATE 可选 获取WiFi状态，包括WiFi名称、WiFi BSSID、WiFi 信号强度、WiFi MAC，用于识别WiFi风险事件 启用业务功能读取
QUERY_ALL_PACKAGES 可选 获取应用安装列表，用于识别风险应用、群控攻击、病毒木马、框架环境等给APP带来业务风险的安全事件 启用业务功能读取

SDK隐私政策披露要求与示例

接入说明：开发者在App集成威胁感知SDK后，威胁感知SDK的正常运行会收集必要的设备信息用于监测APP运行安全和业务安全。请开发者根据集成威胁感知SDK的实际情况，在您APP的隐私政策中，对威胁感知SDK名称、公司名称、处理个人信息种类及⽬的、采集方式、隐私政策链接等内容进行披露。 建议：确认您所接入的威胁感知SDK版本和功能模块，从隐私政策中确定与威胁感知SDK交互的数据内容；在您App的隐私政策中，以文字或列表的方式向公众披露威胁感知SDK的相关信息。

披露示例：

SDK名称：爱加密威胁感知SDK

第三方主体：北京智游网安科技有限公司

SDK 用途：保障APP运行安全和业务安全，避免用户受到黑灰产攻击

处理个人信息类型：应用信息(应用名称、应用版本号、包名、应用运行模式、证书MD5、签名证书)，硬件信息(设备型号、设备厂商、IMEI、IMSI、屏幕分辨率、内存使用率、剩余电量、CPU使用率、CPU型号、CPU架构、设备名称、设备序列号、Android ID、指令集1、指令集2、主板信息、ROM构建日期)，系统信息(系统名称、系统版本)，位置信息(经度、维度)，网络信息(网络代码、基站编号、基站位置区域码、联网方式、外网IP、BSSID、蓝牙MAC、WiFi_MAC、WiFi名称、局域网IP)

数据处理方式：去标识化、数据加密

隐私权政策链接：https://www.ijiami.cn/privacypolicy/infoBeat-apk-privacy.html

官网链接：https://www.ijiami.cn

最终用户同意方式的说明及示例

接入说明： App 首次运行时应当有隐私弹窗，隐私弹窗中应公示简版隐私政策内容并附完整版隐私政策链接，并明确提示最终用户阅读并选择是否同意隐私政策；隐私弹窗应提供同意按钮和拒绝同意的按钮，并由最终用户主动选择。 如涉及敏感个人信息，应当取得您最终用户的单独授权同意，您可以通过单独弹窗的形式来实现最终用户的授权，并在您的《隐私政策》中针对敏感个人信息通过字体加粗或其他显著标识显示。

隐私政策授权弹窗示例：

应用安装列表授权弹窗示例：

最终用户行使权利说明

接入说明：开发者在其 APP 中集成威胁感知SDK后， 威胁感知SDK的正常运行会收集必要的设备信息用于监测APP运行安全和业务安全的目的。开发者应根据相关法律法规为最终用户提供行使个人信息主体权利的路径或功能，需威胁感知SDK配合的，请与爱加密公司及时进行联系，我们将与开发者协同妥善解决最终用户的诉求。

SDK 业务功能调用时机

接入说明：请务必在用户同意您App中的隐私政策后，再进行威胁感知SDK的业务功能调用。用户同意隐私政策之前，避免动态申请涉及用户个人信息的敏感设备权限；用户同意隐私政策前，您应避免私自采集和上报个人信息。

SDK安全监测功能启用

威胁感知调用：确保 APP 首次启动时，在用户阅读您的《隐私政策》并取得用户授权，才调用威胁感知功能接口，此时SDK会进行注册，并生成威胁感知唯一标识（deviceId）和采集业务功能所必要的个⼈信息（设备信息、网络信息及位置信息）并上报。

若用户未授权或未同意您的《隐私政策》，则不能调用威胁感知。

隐私保护机制

如果您对威胁感知SDK权限有任何疑问、意见和建议，可通过以下联系方式与我们联系：

  • 电子邮件：service@ijiami.cn
  • 电 话：4000-618-110
  • 联系地址：广东省深圳市福田区梅林街道孖岭社区凯丰路10号翠林大厦12层

以下合规文件供开发者参考：

《个人信息保护法》
《工业和信息化部关于开展信息通信服务感知提升行动的通知》
《工业和信息化部关于开展纵深推进 App 侵害用户权益专项整治行动的通知》
《工业和信息化部关于开展 App 侵害用户权益专项整治工作的通知》
《App 违法违规收集使用个人信息行为认定方法》
《App 违法违规收集使用个人信息自评估指南》
《常见类型移动互联网应用程序必要个人信息范围规定》
《GB/T 35273-2020信息安全技术 个人信息安全规范》
《网络安全标准实践指南一移动互联网应用程序(App)使用软件开发工具包(SDK)安全指引》
《网络安全标准实践指南一移动互联网应用程序(App)系统权限申请使用指南》