為有效治理APP強制授權、過度索權、超範圍收集個人信息等現象，保障個人信息安全，2019年1月，中共中央網絡安全和信息化委員會辦公室、工業和信息化部、公安部、國家市場監督管理總局聯合發布了《關於開展App違法違規收集使用個人信息專項治理的公告》。同時，受四部門委託，全國信息安全標準化技術委員會、中國消費者協會、中國網際網路協會、中國網絡空間安全協會成立App違法違規收集使用個人信息專項治理工作組，具體推動App違法違規收集使用個人信息評估工作。
APP（包括APP嵌入的第三方代碼、插件）對於個人信息的收集使用及對個人信息主體權益的保障問題作為相關主管部門的重拳治理事項，其監管力度正日益加大，監管標準亦日益趨嚴。
為幫助使用TalkingData SDK的APP開發者和運營者（以下簡稱「您」）更好地落實終端用戶個人信息保護相關事宜，避免因涉及第三方SDK的業務而違反相關法律法規、政策及標準的規定，同時，也便於您更清楚地理解TalkingData數據業務的合規性和已採用的安全保護技術能力，特別是保護個人信息和隱私的方法和措施，TalkingData特編寫《TalkingData SDK合規與安全指南》，供您參考。
1. APP上線需要面向終端用戶制定哪些配套的合規文件？
您至少需要制定一份獨立的《隱私政策》。
《隱私政策》是說明APP的個人信息收集和使用情況，獲得用戶的合法授權以及保護用戶個人信息主體權利的重要文檔，其內容應符合國家相關法律法規、政策及標準的規定及您與TalkingData的約定。特別是：
（1）符合《GB/T 35273-2017信息安全技術個人信息安全規範》，該文件關於個人信息示例、個人敏感信息判定、保障個人信息主體選擇同意權的方法、隱私政策模板的四份附錄，對您理解個人信息保護要求和隱私政策起草亦具有重要的參考價值；
（2）您的隱私政策應向終端用戶明示您在APP中部署TalkingData SDK收集使用個人信息的目的、方式和範圍等，提供的保護標準應不低於TalkingData的隱私保護。
2. APP上線的《隱私政策》中應披露第三方SDK的哪些內容？
您應向終端用戶逐一明示您嵌入的第三方SDK收集使用個人信息的目的、方式和範圍。您應當在《隱私政策》中明確告知終端用戶，您謹慎地選擇了TalkingData作為合作方，並委託其收集、使用、加工和處理終端用戶個人信息。
建議您參考下面的表格，根據實際選用的TalkingData SDK提供的服務類型向您的用戶披露。您應知悉和了解，部分設備信息、位置信息和網路信息需要通過您安裝TalkingData SDK 的宿主APP功能頁面申請權限，並只有在獲得用戶的授權同意後我們才會進行收集。
針對在APP《隱私政策》中數據共享與披露章節的表述條款，以及《隱私政策》的展示方案，TalkingData也提供了具體建議，請點擊文末閱讀原文，查看完整內容。
3. 如果終端用戶不希望其個人信息被處理，應當如何應對？
您應當告知終端用戶可以通過TalkingData終端設備opt-out途逕行使退出權，一旦終端用戶行使opt-out權，其信息將不會被以任何形式進行收集處理，也不會頻繁徵求用戶同意。TalkingData強烈建議您在《隱私政策》中嵌入TalkingData的opt-out連結，以便終端用戶更便捷地行使其退出權。
本部分合規要求的解讀並不構成TalkingData對開發者個人信息保護的法定義務的全面完整的法律建議。我們強烈建議您充分了解現有及可能不時發布的有關個人信息保護的法律、法規、政策、標準和執法檢查要求等，您可參考的相關資料包括：
您使用TalkingData SDK
服務時的合規注意事項
1. 您使用TalkingData SDK服務前的合規自查
您在下載TalkingData SDK前，應當仔細閱讀《SDK下載合規聲明》，並依據聲明的規定對您的《隱私政策》及您的APP產品收集使用個人信息的情況進行合規自查。您應確保在APP首次運行時通過明顯方式提示終端用戶閱讀您的《隱私政策》並取得終端用戶的合法授權，此後，再初始化SDK進行信息收集與處理。
根據您已閱讀並同意的TalkingData《隱私政策》，您應特別注意如果需要通過TalkingData處理來自於其APP終端用戶的個人信息，應當事先獲得終端用戶的授權與同意。TalkingData提供給您服務的前提是您已承諾：
「（1）您已經獲得終端用戶充分必要的授權、同意和許可，允許使用我們履行服務所需的目的（若您的APP是針對不滿十四周歲的兒童設計和開發的，您應已採取必要的技術措施，保證已獲得其監護人的授權、同意和許可）；
（2）您已經獲得終端用戶充分必要的授權、同意和許可，允許我們對已收集的數據進行匿名的、聚合性的處理（若您的APP是針對不滿十四周歲的兒童設計和開發的，您應已採取必要的技術措施，保證已獲得其監護人的授權、同意和許可）；
（3）您已經遵守並將持續遵守適用的法律、法規和監管要求，包括但不限於制定和公布有關個人信息保護和隱私保護的相關政策；
（4）您已經向終端用戶進行披露和說明，允許我們對已收集的數據進行的去標識化和聚合性的處理後，並構建TalkingData資料庫，用以提供數據服務，但您同時應向終端終端用戶提供易於操作的選擇機制，說明終端用戶如何以及何時可以行使選擇權，並說明行使選擇權後如何以及何時可以修改或撤回該選擇，使得終端用戶可以選擇同意或不同意為商業目的而收集和使用其個人信息的去標識化數據。」
TalkingData不僅專注於技術實踐積累、完善產品服務，同時也在積極踐行個人信息與公共數據的保護，嚴格遵守國家的法律法規、政策與標準。
關於各項保護措施及保護機制的具體信息，請點擊文末閱讀原文，查看完整內容。
TalkingData非常重視個人信息保護，並在數據生命周期的各個不同階段都採取了不同的措施來保障個人信息的安全。
1）數據採集安全
TalkingData從不同的維度建立了信息安全保護機制來保障數據主體的數據安全，並根據法律法規的政策性變化不斷完善內部的管理合規制度。
1）組織與管理
3. TalkingData的數據安全保護能力認證
TalkingData 的主要系統已獲得網絡安全等級保護三級備案，且TalkingData通過如下體系認證或測評：
（3）軟體能力成熟度集成模型 CMMI（Level3）；
（4）中國信息安全測評中心的SDK安全測評證明，安全性滿足EAL1級。
因篇幅所限，本文只節選了《TalkingData SDK合規與安全指南》的部分內容。使用TalkingData SDK的APP開發者和運營者，請務必請點擊文末閱讀原文，前往TalkingData官網查看完整指南。