1、同盾SDK基本信息
SDK名称：同盾设备指纹SDK
SDK开发者：同盾科技有限公司
SDK主要功能：为使用者提供业务安全和风控服务
SDK下载地址：SDK下载地址
2、个人信息处理规则
此文档针对同盾设备指纹SDK作为最终用户数据处理者，您作为最终用户数据控制者的数据处理进行说明。
设备指纹SDK涉及的个人数据清单，包括使用目的、采集信息、所需权限，明确对应功能实现所需的必要的个人信息和所需权限，其他不涉及个人信息为可选个人信息：
Android
| 使用目的 | 采集信息 | 所需权限 |
|---|---|---|
| 设备识别 | 同盾自有标识 | WRITE_EXTERNAL_STORAGE |
| 设备和风险识别 | IMSI、IMEI、MEID、SIM卡序列号、国家代码、移动运营商、SIM卡运营商、手机制式、网络制式、MCC、MNC，设备序列号 (Android 9.0及以后需要权限) | READ_PHONE_STATE |
| 风险识别 | 无线IP地址、无线网络名称、无线BSSID | ACCESS_WIFI_STATE， ACCESS_FINE_LOCATION，ACCESS_COARSE_LOCATION |
| 设备识别 | 无线Mac地址、网关地址、WIFI子网掩码 | ACCESS_WIFI_STATE |
| 风险识别 | 安装的应用列表 | QUERY_ALL_PACKAGES (Android 11.0及以上需要权限) |
| 设备识别 | 蓝牙MAC地址 | BLUETOOTH，ACCESS_FINE_LOCATION，BLUETOOTH_CONNECT (Android 12.0及以上需要权限) |
| 风险识别 | GPS定位坐标 | ACCESS_FINE_LOCATION，ACCESS_COARSE_LOCATION |
| 设备识别 | Android ID、OAID、设备类型、设备型号、系统类型、登录IP地址 | 不涉及权限 |
| 风险识别 | 传感器（光传感器、重力传感器、磁场传感器、加速度传感器、陀螺仪传感器、心率传感器） | 不涉及权限 |
iOS
| 使用目的 | 采集信息 | 所需权限 |
|---|---|---|
| 设备识别 | 广告追踪标识符 | iOS14.0及以上需要授权 |
| 风险识别 | 当前连接的无线网络名称、当前连接的无线网络BSSI D、最近一次定位坐标 | 定位权限 |
根据法律法规的要求，我们不会收集与为您或您的最终用户提供服务或与您或您的最终用户使用本产品无关的个人信息。我们遵循合法、正当、必要和诚信的原则，仅收集实现产品功能所必要或相关的个人信息。您或您的最终用户在使用我们提供的服务的过程中，我们将按照以上目的，收集和使用您或您的最终用户在使用服务时主动提供或因使用服务产生的信息。
3、同盾SDK合规使用指导
3.1、监管政策要求
目前结合国内监管政策、法规及目前的App治理实践，一般以实现业务目的收集最小必要信息为基本原则，针对敏感个人信息的主要要求为：
1、一般禁止采集账户、密码、手机号等用户隐私数据；
2、如基于安全、风控目的收集能标记、识别、定位到个人的信息（如IMEI、IDFA、定位等），必须在App隐私协议中说明且得到用户明示同意，并基于业务目的做最小化低频采集。
3.2、安全合规说明
如果集成同盾SDK，客户App的隐私政策中应当明确披露同盾SDK的相关信息，并得到用户授权和确认，不然流程上是不合规的。
同盾SDK涉及的应用权限均需通过宿主App向用户展示说明、弹框提醒和申请授权，只有用户授权才能采集，否则采集不到权限相关数据，同时SDK也不会触发弹框提醒和非授权的静默采集。同时需要注意的是，用户首次启动App并在App开始采集信息之前，应以交互界面或设计（如隐私政策弹窗等）向用户完整告知收集、使用、与第三方共享最终用户个人信息的目的、方式和范围，并征得用户的明示同意。在工信部关于App侵害用户权益专项整治行动中，对于App使用第三方SDK的情形，较为典型的问题是用户首次启动App并开始采集信息之前是否通过隐私政策等明确披露并获得用户明示授权。如在未明确披露或在用户授权同意前即开始收集信息，则App有较大可能会被认定为违规收集个人信息。
同盾隐私协议参考：
同盾SDK：为了业务安全和风控，我司使用了同盾 SDK，该 SDK 需要获取您的手机终端唯一标志信息（IMEI/IDFA）、Android ID、OAID、IMSI、MEID、MAC 地址、SIM卡序列号、设备序列号、设备类型、设备型号、系统类型、地理位置、登录 IP 地址、应用程序列表、运行中进程信息、传感器（光传感器、重力传感器、磁场传感器、加速度传感器、陀螺仪传感器、心率传感器）相关设备信息，用于设备欺诈风险识别。
同盾隐私政策链接：https://www.tongdun.cn/other/privacy/id=1
3.3、关键事项总结
- App作为运营载体，需要在App隐私政策中披露App、SDK（包括：同盾SDK等）相关隐私政策，用户首次安装需要授权、确认，否则流程不合规，也存在下架、通报风险；
- 不要在App安装、启动、切换后台时采集，存在合规风险；
- 不要频繁初始化采集（一般要求1分钟内采集次数低于10次），建议只在重点场景采集。