《中华人民共和国个人信息保护法》自2021年11月1日起正式施行后，监管部门、各行业参与方和终端消费者越来越关注用户的隐私保护问题。为了有效治理App、SDK违规收集使用个人信息的现象，监管部门也陆续出台相关标准规范。

您作为开发者为最终用户提供服务，知悉并确认将遵守适用的法律法规和相关的标准规范，履行个人信息保护义务，并遵循合法、正当、必要和诚信的原则处理用户个人信息，包括但不限于《中华人民共和国个人信息保护法》、《中华人民共和国网络安全法》、《中华人民共和国数据安全法》以及其他适用的法律法规和相关的标准规范。

此文档用于帮助您更好地了解同盾设备指纹SDK并合规使用同盾设备指纹SDK服务，仅适用于开发者的业务区域为中国大陆地区的场景。

基本要求

您的产品及服务需要尊重用户隐私，遵守国家的数据保护法律和法规。禁止参与任何干扰、干涉、损害、未授权访问任何终端设备、服务器、网络的活动。

（一）隐私政策要求

您需根据法律要求以自身名义发布隐私政策，并就个人信息的处理行为获取用户同意或取得其他合法性基础。隐私政策的要求包括不限于如下：

有独立文本，不能作为用户协议的一部分。
App首次运行收集处理个人信息前需要以醒目方式提示用户阅读隐私政策。隐私政策需方便用户查看，例如用户在App主功能界面中通过4次以内的点击或滑动操作可访问。
描述语言需要清晰通俗，符合通用语言习惯，避免使用有歧义的语言。
隐私政策内容要包含产品及服务收集个人信息的目的、方式和范围，个人信息处理者的名称和联系方式等。
您的产品及服务如涉及向第三方共享个人信息或集成了第三方的SDK时，需要在隐私政策中向用户进行披露和说明，获取用户的授权或同意。

（二）处理个人信息要求

您的产品及服务在处理用户个人信息时，需要遵守的要求包括不限于如下：

处理个人信息需要基于使用目的所必需，满足最小化原则。
实际收集和处理的个人信息范围、使用目的需要与隐私政策的范围保持一致。
收集个人信息的频率需与隐私政策保持一致，禁止超频次收集个人信息。
有明确的个人信息到期删除机制，个人信息的存留期与隐私政策保持一致，到期按时删除个人信息或对个人信息进行匿名化处理。
如涉及处理不满十四周岁未成年人个人信息前，应取得未成年人的父母或其他监护人的同意。
如涉及处理个人信息用于个性化推荐功能或大数据分析业务的，应在告知并取得最终用户的授权同意情况下方可开展相关业务功能。
如涉及处理敏感个人信息前，应取得最终用户的单独同意。
如涉及跨境传输个人信息，需要按照国家网信部门会同国务院有关部门制定的办法和相关标准进行安全评估，并符合其要求。同时您还取得最终用户的单独同意。
支持用户方便地行使数据主体权利，例如查阅、复制、更正、删除个人信息等权利。

个人信息处理规则说明

此文档针对同盾设备指纹SDK作为最终用户数据处理者，您作为最终用户数据控制者的数据处理进行说明。
设备指纹SDK涉及的个人数据清单，包括所需权限、调用时机、使用目的、涉及的采集信息，明确对应功能实现所需的必要的个人信息和所需权限，其他不涉及个人信息为可选个人信息：

所需权限	调用时机	使用目的
INTERNET（必选）	数据收集完毕，上报时	数据上传
ACCESS_NETWORK_STATE（必选）	SDK加载后，数据采集完准备上报时	检测联网方式，用于数据上传以及网络环境异常检测
ACCESS_WIFI_STATE（必选）	SDK加载后，数据采集时	设备识别以及网络环境异常检测
READ_PHONE_STATE（可选）	SDK加载后，数据采集时	设备和风险识别
QUERY_ALL_PACKAGES (可选)	SDK加载后，数据采集时	风险识别
ACCESS_FINE_LOCATION（可选）	SDK加载后，数据采集时	风险识别
ACCESS_COARSE_LOCATION（可选）	SDK加载后，数据采集时	风险识别

同盾SDK合规配置说明

在您接入、使用同盾设备指纹SDK服务前，我们要求您在隐私政策中向用户告知我们SDK的名称、SDK提供方名称、收集个人信息类型、使用目的、隐私政策链接，并获取用户的同意或取得其他合法性基础。您可以参考如下方式提供条款内容：

● 以文字方式向用户告知
○ 第三方SDK名称：同盾设备指纹SDK
○ 第三方名称：同盾科技有限公司
○ 收集个人信息类型：设备基础信息、网络信息、设备标识信息(可选)、位置信息（可选）、应用列表（可选）
○ 使用目的：提供业务安全和风控服务
○ 隐私政策链接：https://www.tongdun.cn/other/privacy/id=4

用户授权说明

如果集成同盾SDK，客户App的隐私政策中应当明确披露同盾SDK的相关信息，并得到用户授权和确认。同盾SDK涉及的应用权限均需通过宿主App向用户展示说明、弹框提醒和申请授权，只有用户授权才能采集，同时SDK也不会触发弹框提醒和非授权的静默采集。同时需要注意的是，用户首次启动App并在App开始采集信息之前，应以交互界面或设计（如隐私政策弹窗等）向用户完整告知收集、使用、与第三方共享最终用户个人信息的目的、方式和范围，并征得用户的明示同意。在工信部关于App侵害用户权益专项整治行动中，对于App使用第三方SDK的情形，较为典型的问题是用户在首次启动App并开始采集信息之前是否通过隐私政策等明确披露并获得用户明示授权。如在未明确披露或在用户授权同意前即开始收集信息，则App有较大可能会被认定为违规收集个人信息。示例如下：

用户授权文本参考如下：

4.4.7及以上版本参考
为了业务安全和风控，我司使用了同盾 SDK，该 SDK 需要获取您的手机终端设备标识 IDFA、Android ID、OAID(包含VAID、AAID)、MAC 地址、WIFI列表、无线路由器标识（BSSID、SSID）、设备类型、设备型号、系统类型、粗略位置信息、精准位置信息、应用程序列表、运行中进程信息、网络制式、设备软件版本号、传感器（光传感器、重力传感器、磁场传感器、加速度传感器、陀螺仪传感器、心率传感器）相关设备信息，用于设备欺诈风险识别。同盾隐私政策链接：https://www.tongdun.cn/other/privacy/id=4

4.4.7以下版本参考
为了业务安全和风控，我司使用了同盾 SDK，该 SDK 需要获取您的手机终端唯一标志信息（IMEI/IDFA）、Android ID、OAID(包含VAID、AAID)、IMSI、MEID、MAC 地址、无线IP地址、WIFI列表、SIM卡序列号、无线路由器标识（BSSID、SSID）、设备序列号、设备类型、设备型号、系统类型、地理位置、应用程序列表、运行中进程信息、传感器（光传感器、重力传感器、磁场传感器、加速度传感器、陀螺仪传感器、心率传感器）相关设备信息，用于设备欺诈风险识别。
同盾隐私政策链接：https://www.tongdun.cn/other/privacy/id=4

设备指纹SDK集成配置说明

设备指纹企业版SDK

接口说明

API	功能
initWithOptions	模块加载和实施采集
getBlackBox	数据上报和服务调用凭证获取

调用时机说明

确保App首次冷启动时，在用户阅读您的《隐私政策》并取得用户授权之后，才调用模块加载和采集方法initWithOptions()，再调用数据上报和凭证获取getBlackBox()来获取服务的查询凭证，这个过程设备指纹SDK不会主动向用户申请任何权限，所有的数据采集都是基于用户赋予应用权限来收集。反之，如果用户不同意《隐私政策》授权，则不能调用initWithOptions()和getBlackBox()方法。

设备指纹标准版SDK

接口说明

API	功能
initWithOptions	模块加载
getDeviceInfo	数据采集上报和服务调用凭证获取

调用时机说明

确保App首次冷启动时，在用户阅读您的《隐私政策》并取得用户授权之后，才调用模块加载方法initWithOptions()，再调用getDeviceInfo()来进行数据采集上报和获取服务的调用凭证，这个过程设备指纹SDK不会主动向用户申请任何权限，所有的数据采集都是基于用户赋予应用权限来收集。反之，如果用户不同意《隐私政策》授权，则不能调用initWithOptions()和getDeviceInfo()方法。

可选信息配置不收集方法

可选信息	个人信息采集目的	配置方案及示例
MAC地址（wifiMac）	用于辅助识别设备指纹的稳定性，增强识别设备欺诈风险服务能力	默认关闭，可通过builder.enableWifiMac() 开启
SIM卡序列号(已不再收集)	用于辅助识别设备指纹的稳定性，增强识别设备欺诈风险服务能力	builder.disableReadPhone()
IMEI(已不再收集)	用于辅助识别设备特征，增强设备合法性验证服务能力	builder.disableReadPhone()
IMSI(已不再收集)	用于辅助识别设备特征，增强设备合法性验证服务能力	builder.disableReadPhone()
MEID(已不再收集)	用于辅助识别设备特征，增强设备合法性验证服务能力	builder.disableReadPhone()
设备序列号(已不再收集)	用于辅助识别设备特征，增强设备合法性验证服务能力	builder.disableReadPhone()
网络制式	增强识别设备欺诈风险服务能力	builder.disableReadPhone()
设备软件版本号	增强识别设备欺诈风险服务能力	builder.disableReadPhone()
应用程序列表	用于恶意软件识别，增强识别模拟操作欺诈风险服务能力	builder.disableInstallPackageList()
精确位置信息	用于恶意软件识别，增强识别模拟操作欺诈风险服务能力	builder.disableGPS()
粗略位置信息	用于恶意软件识别，增强识别模拟操作欺诈风险服务能力	builder.disableGPS()
WIFI列表	用于恶意软件识别，增强识别模拟操作欺诈风险服务能力	builder.disableGPS()
BSSID	用于恶意软件识别，增强识别模拟操作欺诈风险服务能力	builder.disableGPS()
SSID	用于恶意软件识别，增强识别模拟操作欺诈风险服务能力	builder.disableGPS()
运行中进程信息	用于恶意软件识别，增强识别模拟操作欺诈风险服务能力	builder.disableRunningTasks()
OAID(包括VAID、AAID)	用于辅助识别设备特征，增强设备合法性验证服务能力	disableOptions(TDRisk.OPTION_OAID)
传感器信息	用于恶意软件识别，增强识别模拟操作欺诈风险服务能力	builder.disableSensor()
AndroidId	用于辅助识别设备特征，增强设备合法性验证服务能力	builder.disableOptions(TDRisk.OPTION_ANDROID_ID)

上述配置必须在调用initWithOptions()和getBlackBox()之前完成。