SDK开发者使用合规规范

为帮助使用应用性能监控全链路版SDK的开发者和运营者（以下简称“您”）在符合相关法律法规、政策及标准的规定下开展第三方SDK业务，更好地落实用户个人信息保护相关要求，同时，也便于您更清楚地理解应用性能监控全链路版的合规性和已采用的安全保护技术能力，特别是保护个人信息和隐私的方法和措施，作为应用性能监控全链路版SDK的提供方，北京火山引擎科技有限公司（以下简称“火山引擎”或“我们”），我们特制定《应用性能监控全链路版SDK开发者使用合规规范》（以下称“本规范”），便于您使用应用性能监控全链路版 SDK过程中符合相应的合规要求。

一、开发者个人信息保护的合规要求
以下内容主要针对您在使用应用性能监控全链路版SDK的过程中，有关个人信息收集使用的重点合规要求的解读。

1. SDK业务功能及可选信息配置说明
   接入说明：SDK初始化不会获取个人信息。请务必在用户同意您APP中的隐私政策后，再进行应用性能监控全链路版SDK的初始化；用户同意隐私政策前，避免动态申请涉及用户个人信息的敏感设备权限；用户同意隐私政策前，您应避免私自采集和上报个人信息。当您的APP未向用户提供服务时，例如APP在后台运行时，请勿请求应用性能监控全链路版SDK的相关服务。具体的初始化时机可以详细查阅相关接入文档的内容。Android端请参见Android SDK接入，iOS端请参见iOS SDK接入。

   1. 信息采集
      【通用信息】应用性能监控全链路版 SDK 合作所需的基础信息

      	功能描述	个人信息采集类型与字段	收集目的
      Android端	识别移动端应用的终端用户的设备异常与性能数据	设备信息：设备ID、设备型号、操作系统、系统时区、屏幕分辨率、磁盘使用情况、内存使用情况、运行线程数、CPU信息（频率、型号、架构）、移动设备国家编码（MCC）、移动设备网络编码（MNC）、设备dpi；安卓ID、设备品牌、操作系统api版本、user agent、电池电量、网络流量、设备abi、ROM；	通过自动化的程序和算法进行设备的识别、获取设备状态（ 在线、离线、所处网络环境 ）、进行设备数统计以及单设备问题调试。
      		应用信息：应用版本、应用程序包名称、进程启动时间、崩溃时间、崩溃线程名、活动过的页面名称、当前进程所有线程堆栈、应用服务日志信息、应用文件名称、应用文件大小、磁盘大小；fd列表；
      		系统和网络识别信息：用户ID、IP地址、运营商信息、网络访问模式。
      iOS端		设备信息：设备ID、设备型号、操作系统、系统时区、屏幕分辨率、磁盘使用情况、内存使用情况、运行线程数、CPU信息（频率、型号、架构）、移动设备国家编码（MCC）、移动设备网络编码（MNC）、设备dpi；越狱状态、IDFV（identifier for vendor)；
      		应用信息：应用版本、应用程序包名称、进程启动时间、崩溃时间、崩溃线程名、活动过的页面名称、当前进程所有线程堆栈、应用服务日志信息、应用文件名称、应用文件大小、磁盘大小；应用内语言、应用发布渠道；
      		系统和网络识别信息：用户ID、IP地址、运营商信息、网络访问模式。
      小程序Pro	小程序端监控付费版	设备信息：设备品牌、设备型号、操作系统、操作系统api版本、系统语言、系统时区、屏幕密度、屏幕分辨率；	小程序异常、性能、网络信息查看与分析
      		应用信息：应用版本；
      		系统或网络识别信息：IP地址、移动网络码（运营商信息）、移动设备国家编码（MCC）、移动设备网络编码（MNC）、网络访问模式（WIFI状态）
      小程序端	小程序端监控免费版	设备信息：设备品牌、设备型号、操作系统、操作系统api版本、系统时区、屏幕分辨率、user agent、网络流量；	小程序基础监控
      		应用信息：应用版本、应用程序包名称；
      		系统或网络识别信息：用户ID、IP地址、localstorage、session数据、运营商信息；
      Web端	Web端监控服务	设备信息：设备ID、设备品牌、设备型号、操作系统、操作系统api版本、系统时区、屏幕分辨率、user agent、网络流量；	web崩溃信息查看，内存性能监控，网络异常监控
      		应用信息：应用版本、应用程序包名称；
      		系统或网络识别信息：用户ID、IP地址、localstorage、session数据、运营商信息。
      OS端	OS端监控服务	设备信息：设备MAC地址、硬件序列号、设备品牌、设备型号、操作系统、操作系统api版本、屏幕分辨率、屏幕密度、CPU信息（频率、型号、架构）、磁盘使用情况、内存使用情况；	OS崩溃信息查看，Android及内核重启，系统/服务/应用崩溃分析
      		系统或网络识别信息：移动网络码；网络访问模式；
      		应用信息：应用版本、应用程序包名、系统权限设置；
      		个人位置信息：系统国家/区域信息；
      PC端	PC端监控服务	设备信息：操作系统、操作系统版本、设备ID	PC崩溃、自定义事件上报及分析，支持Wins/Mac/Linux
      		应用信息：SDK版本、日志类型、崩溃事件、崩溃进程、build_id、崩溃场景、场景

      【可选信息】您可以基于数据计算分析目的，选择是否使用应用性能监控全链路版SDK获取

      	功能描述	个人信息采集类型与字段	收集目的
      Android端	用户唯一标识符	设备信息：OAID、GAID	UV 计算、数据查询过滤
      小程序Pro		系统或网络识别信息：用户ID
      PC端		系统或网络识别信息：用户ID、IP地址、localstorage、session数据、运营商信息
      		应用信息：应用版本、应用小版本

      SDK可选个人信息的配置说明
      接入说明：对于应用性能监控全链路版SDK可选收集的个人信息的控制，您可以参考相关接入文档的相关内容，详细了解因相关信息的不收集将会对其对应的功能造成影响，您可以结合业务实际需要进行合理配置。具体配置说明，请参见SDK上报配置。
      SDK不同版本获取的字段信息会有差异，为了保证终端用户的安全和服务的可行性，火山引擎会不断更新SDK版本以提升安全性，SDK版本更新火山引擎会向您以发送站内信等方式告知，请您及时更新SDK版本，因更新不及时产生的任何问题，由您自行解决并承担全部责任。

   2. 权限申请
      应用性能监控全链路版SDK还将向终端用户请求如下权限：
      【可选权限】开发者可以基于数据计算分析目的，选择是否使用应用性能监控全链路版SDK获取
      对于应用性能监控全链路版 SDK可选申请的系统权限，您可以参考相关如下表格的内容，详细了解相关权限与各业务功能的关系及其申请时机，因相关权限的不申请将会对其对应的功能造成影响，您可以结合业务实际需要进行合理配置。具体配置说明，请参见SDK上报配置。
      SDK初始化及业务功能调用时机的要求：确保在用户同意您APP中的隐私政策后，再进行应用性能监控全链路版SDK的初始化。用户同意隐私政策前，您应避免私自采集和上报个人信息。当您的APP未向用户提供服务时，例如APP在后台运行时，请勿请求应用性能监控全链路版SDK的相关服务。

      	权限	说明	收集目的
      Android端	READ_EXTERNAL_STORAGE	读取外置存储器	用户同意开启权限，用以读取磁盘监控相关数据
      	WRITE_EXTERNAL_STORAGE	写入外置存储器	用户同意开启权限，用以保存临时数据
      	READ_PHONE_STATE	读取电话状态	用户同意开启权限，用以收集移动网络类型

   3. SDK可按照不同频次、精度收集个人信息的配置说明
      接入说明示例：
      收集频次方面，应用性能监控全链路版SDK的数据采集仅在APP调用/最终用户触发相关功能时触发，不涉及定时逻辑等频次控制选项。收集精度方面，主要涉及定位相关功能，主要通过权限进行控制，应用性能监控全链路版SDK通过可选权限让APP可以控制是否申请精确地理位置权限或粗略地理位置权限。

2. SDK隐私政策披露示例

   参数	配置示例
   SDK名称	应用性能监控全链路版SDK
   涉及个人信息	【Android端必要信息】设备ID、设备型号、操作系统、CPU信息（频率、型号、架构）、移动设备国家编码（MCC）、移动设备网络编码（MNC）、设备dpi；安卓ID、设备品牌、操作系统api版本、user agent、用户ID、IP地址、应用版本、应用程序包名称、fd列表等；【Android端可选信息】OAID、GAID。 【iOS端必要信息】设备ID、设备型号、操作系统、CPU信息（频率、型号、架构）、移动设备国家编码（MCC）、移动设备网络编码（MNC）、IDFV（identifier for vendor)、用户ID、IP地址、应用版本、应用程序包名称等。
   合作方主体	北京火山引擎科技有限公司
   使用目的	识别移动端应用的终端用户的设备异常与性能数据
   使用场景	通过自动化的程序和算法进行设备的识别、获取设备状态（ 在线、离线、所处网络环境 ）、进行设备数统计以及单设备问题调试
   收集方式	SDK自行采集
   官网链接	https://www.volcengine.com/
   隐私政策	SDK隐私政策

3. 最终用户同意方式的示例
   APP首次运行时应当有隐私弹窗，隐私弹窗中应公示简版隐私政策内容并附完整版隐私政策链接，并明确提示用户阅读并选择是否同意隐私政策；隐私弹窗应提供同意按钮和拒绝同意的按钮，并由用户主动选择。
   披露示例：
   

4. 最终用户行使权利的配置说明
   开发者在产品中集成应用性能监控全链路版 SDK后，应用性能监控全链路版SDK的正常运行会收集必要的用户信息用于应用性能监控技术服务目的。开发者应根据相关法律法规为用户提供行使个人信息主体权利的路径或功能， 需要应用性能监控全链路版SDK配合的，请与应用性能监控全链路版SDK及时进行联系，我们将与开发者协同妥善解决最终用户的诉求。

二、您使用应用性能监控全链路版SDK服务时的合规注意事项
您接入应用性能监控全链路版SDK前，应当仔细阅读应用性能监控全链路版服务相关协议约定、本规范、用户协议、隐私政策等内容，并依据相关内容对您APP的《隐私政策》及您APP收集、存储、使用、共享等处理个人信息的情况进行合规自查。

1. 您知悉并认可：应用性能监控全链路版SDK本身所采集的数据并不能识别特定自然人的身份。我们按照相关合作协议的约定代表您采集、处理数据，您作为个人信息处理者应承担个人信息保护的法律责任。
2. 您已认真阅读并理解应用性能监控全链路版SDK相关协议约定、本合规规范、用户协议、隐私政策、采集个人信息及获取用户权限的接入/配置说明等约定，并承诺针对应用性能监控全链路版SDK采集、处理相关个人信息，您已取得了用户的授权和同意，并保证您不会违反国家相关法律法规、相关国家标准以及双方约定的目的。
3. 您承诺遵守未成年人保护及儿童个人信息保护的相关法律法规，如果您的APP可能会对不满十四周岁的儿童用户提供服务，您承诺已采取相关措施并保证已获得其监护人的授权同意。
4. 您的APP隐私政策应当符合与数据安全、个人信息保护相关的国家法律法规、国家标准、相关监管要求及您与火山引擎约定，并将应用性能监控全链路版 SDK的相关信息在隐私政策中向您的用户进行充分告知。开发者在产品中集成应用性能监控全链路版SDK后，应用性能监控全链路版SDK的正常运行会收集必要的用户信息用于应用性能监控技术服务目的。 请开发者根据集成应用性能监控全链路版SDK的实际情况，在您APP的隐私政策中，对应用性能监控全链路版SDK以及数据采集情况进行披露。建议：确认您所接入的应用性能监控全链路版SDK版本和功能模块；根据上述版本和模块，从隐私政策中确定与应用性能监控全链路版SDK交互的数据内容；在您APP的隐私政策中，以文字或列表的方式向公众披露应用性能监控全链路版SDK的相关信息。
   您应当保证《隐私政策》的独立性和明显提示性，即《隐私政策》应单独成文，APP首次运行时会通过弹窗等明显方式提示用户阅读《隐私政策》， 用户确认同意《隐私政策》后，再启用应用性能监控全链路版SDK进行个人信息的采集与处理 。
   您保证已在APP的隐私政策中明确告知用户已选择火山引擎作为合作方进行数据分析合作，并向您的用户告知应用性能监控全链路版SDK采集使用个人信息的目的、方式和范围等情况。
5. 如因您违反火山引擎的协议约定、本合规规范、用户协议、隐私政策等约定，导致您的用户或第三方对火山引擎主张任何形式的索赔或权利要求，或导致火山引擎因此产生任何法律纠纷的，您将负责解决并承担全部责任，如因此给火山引擎及其关联主体造成损失的，您应赔偿因此给火山引擎及其关联主体造成的全部损失。

三、火山引擎的数据安全保护能力
火山引擎非常重视数据安全，将努力采取合理的安全措施（包括技术方面和管理方面）来保护数据安全，防止您提供的数据信息被不当使用或未经授权的情况下被访问、公开披露、使用、修改、损坏、丢失或泄漏。我们会使用不低于行业同行的加密技术、匿名化处理及相关合理可行的手段保护数据安全，并使用安全保护机制防止您的数据信息遭到恶意攻击，并建立专门的安全部门、安全管理制度、数据安全流程保障您的个人信息安全。我们采取严格的数据使用和访问制度，确保只有授权人员才可访问您的个人信息，并适时对数据和技术进行安全审计。尽管已经采取了上述合理有效措施，并已经遵守了相关法律规定要求的标准，但请您理解，由于技术的限制以及可能存在的各种恶意手段，在互联网行业，即便竭尽所能加强安全措施，也不可能始终保证信息百分之百的安全，我们将尽力确保您提供给我们的数据信息的安全性。

您知悉并理解，您接入我们的服务所用的系统和通讯网络，有可能因我们可控范围外的因素而出现问题。因此，我们强烈建议您采取积极措施保护数据信息的安全，包括但不限于使用复杂密码、定期修改密码、不将自己的账号密码及相关数据信息透露给他人。我们会制定应急处理预案，并在发生数据安全事件时立即启动应急预案，努力阻止这些安全事件的影响和后果扩大。一旦发生数据安全事件（泄露、丢失）后，我们将按照法律法规的要求，及时向您告知：安全事件的基本情况和可能的影响、我们已经采取或将要采取的处置措施、您可自主防范和降低风险的建议、对您的补救措施。我们将及时将事件相关情况以推送通知、邮件、信函、短信及相关形式告知您，难以逐一告知时，我们会采取合理、有效的方式发布公告。同时，我们还将按照相关监管部门要求，上报用户信息安全事件的处置情况。但一旦您离开火山引擎及相关服务，浏览或使用其他网站、服务及内容资源，我们将没有能力和直接义务保护您在火山引擎及相关服务之外的软件、网站提交的任何数据信息，无论您登录、浏览或使用上述软件、网站是否基于应用性能监控全链路版SDK服务的链接或引导。