關(guān)于違規(guī)采集用戶信息的自查報告及整改措施為落實《個人信息保護法》《網(wǎng)絡(luò)安全法》等法律法規(guī)要求，切實保障用戶個人信息權(quán)益，我司于2023年9月15日至10月20日組織技術(shù)、法務(wù)、產(chǎn)品等多部門聯(lián)合開展用戶信息采集合規(guī)性專項自查工作。本次自查覆蓋公司旗下"智能生活"APP（V3.2.1版本）、"云服務(wù)"小程序（V1.1.0版本）及PC端官網(wǎng)（）三個用戶觸達(dá)渠道，重點針對用戶信息采集范圍、授權(quán)機制、告知同意流程、數(shù)據(jù)存儲與傳輸安全、第三方SDK合作等5大核心環(huán)節(jié)展開全流程排查，通過技術(shù)檢測（日志分析、接口審計）、人工核查（隱私政策文本比對、用戶授權(quán)記錄抽查）、第三方安全評估（委托XX網(wǎng)絡(luò)安全技術(shù)有限公司）三種方式交叉驗證，累計分析用戶行為日志230萬條，抽查用戶授權(quán)記錄1.2萬份，檢測接口調(diào)用記錄8700條，梳理第三方SDK15個。經(jīng)全面排查，共發(fā)現(xiàn)6類12項具體問題：一是告知義務(wù)履行不充分，"智能生活"APP在用戶首次啟動時僅通過隱私政策鏈接提示采集位置信息，但未在具體功能（如"附近服務(wù)"模塊）調(diào)用前單獨說明采集目的、方式及范圍；二是超范圍采集用戶信息，"云服務(wù)"小程序在用戶未使用"文件共享"功能時，仍默認(rèn)申請讀取通訊錄權(quán)限；三是強制授權(quán)問題，PC端官網(wǎng)注冊流程中，用戶拒絕提供手機號驗證碼即無法完成注冊（實際注冊僅需郵箱即可完成基礎(chǔ)賬戶創(chuàng)建）；四是數(shù)據(jù)存儲不規(guī)范，用戶姓名、身份證號等敏感信息在本地緩存時未進行脫敏處理，且數(shù)據(jù)庫訪問權(quán)限未按最小必要原則設(shè)置，存在普通運維人員可直接讀取敏感數(shù)據(jù)的情況；五是第三方SDK違規(guī)采集，合作的"XX推送SDK"（V2.3.0）在未向用戶明示的情況下，默認(rèn)采集設(shè)備MAC地址、IMEI號；六是兒童信息保護缺失，"智能生活"APP"親子模式"模塊未設(shè)置獨立的兒童信息采集告知流程，未要求監(jiān)護人同意即收集兒童姓名、年齡等信息。針對自查發(fā)現(xiàn)的問題，我司立即成立專項整改小組（由CTO任組長，涵蓋技術(shù)、法務(wù)、產(chǎn)品負(fù)責(zé)人），制定《用戶信息采集合規(guī)整改方案》，明確責(zé)任部門、整改期限及驗收標(biāo)準(zhǔn)，具體整改措施如下：1.完善告知同意機制：對"智能生活"APP"附近服務(wù)"模塊增加彈窗提示，在調(diào)用位置信息前明確告知"為向您推薦周邊生活服務(wù)，我們將獲取您的位置信息，您可隨時在設(shè)置中關(guān)閉"；同步優(yōu)化隱私政策文本，采用分級說明方式，在首頁顯著位置列出核心采集信息（如賬號信息、必要設(shè)備信息），非核心信息（如位置、通訊錄）單獨設(shè)置二級菜單詳細(xì)說明，確保用戶可快速理解。2.規(guī)范采集范圍與授權(quán)：對"云服務(wù)"小程序進行代碼層面改造，將通訊錄讀取權(quán)限調(diào)整為"文件共享"功能的可選授權(quán)項，用戶未主動使用該功能時不申請權(quán)限；PC端官網(wǎng)注冊流程增加"郵箱注冊"獨立入口，用戶選擇郵箱注冊時無需提供手機號驗證碼，僅需完成郵箱驗證即可創(chuàng)建基礎(chǔ)賬戶，手機號作為可選綁定信息。3.強化數(shù)據(jù)安全存儲：對本地緩存的敏感信息（姓名、身份證號）采用AES256加密算法處理，刪除明文存儲記錄；調(diào)整數(shù)據(jù)庫訪問權(quán)限，敏感數(shù)據(jù)查詢需經(jīng)部門負(fù)責(zé)人審批，普通運維人員僅能查看脫敏后的統(tǒng)計類數(shù)據(jù)，關(guān)鍵操作日志留存周期延長至3年。4.清理第三方SDK違規(guī)行為：與"XX推送SDK"提供方協(xié)商，要求其在10個工作日內(nèi)升級至V3.1.0版本（已通過工信部SDK備案），新增"設(shè)備標(biāo)識符采集需用戶單獨授權(quán)"功能；同步在隱私政策中新增"第三方服務(wù)詳情"章節(jié)，明確列出所有合作SDK的名稱、提供方、采集信息類型及用途，鏈接至第三方隱私政策原文。5.落實兒童信息保護：在"智能生活"APP"親子模式"入口增加"兒童用戶使用提示"，用戶選擇該模式時需先完成"是否為兒童使用"的身份確認(rèn)，若為兒童使用則跳轉(zhuǎn)至監(jiān)護人授權(quán)頁面，要求監(jiān)護人通過短信驗證碼或人臉識別完成同意，兒童信息僅采集姓名（昵稱）、年齡（需監(jiān)護人填寫），且不與其他功能模塊關(guān)聯(lián)使用。截至2023年11月15日，上述整改措施已全部落地實施。經(jīng)內(nèi)部復(fù)測及第三方機構(gòu)（XX網(wǎng)絡(luò)安全技術(shù)有限公司）驗證，"智能生活"APP、"云服務(wù)"小程序及PC端官網(wǎng)的用戶信息采集流程均符合《個人信息保護法》《常見類型移動互聯(lián)網(wǎng)應(yīng)用程序必要個人信息范圍規(guī)定》等要求，未再發(fā)現(xiàn)超范圍采集、強制授權(quán)等違規(guī)行為，第三方SDK已全部完成備