本SDK合规指引适用于集成实证服务SDK的应用开发者（以下简称“SDK使用者”），旨在帮助您合规使用本SDK，确保对用户个人信息的保护。

一、权限使用说明

（一）NFC权限

功能相关说明：用于读取证件芯片内密文信息，是实现电子证件信息识读的核心功能。通过该权限，SDK能够获取证件芯片中的加密数据，进而解密出证件上的个人信息，以完成证件验真、信息识读等服务。

功能必要性：此权限为必要权限。若缺少NFC权限，SDK将无法读取证件芯片信息，导致证件验真、信息识读等核心功能无法使用，用户无法正常通过本SDK完成电子证件相关的认证服务。

（二）访问网络权限

功能相关说明：用于访问实证服务，对证件芯片内密文信息进行解析。在获取证件芯片密文信息后，SDK需要通过网络将数据传输至服务端进行解密和处理，并获取相应的验证结果及相关凭证。

功能必要性：该权限为必要权限。若应用未授予SDK访问网络权限，SDK无法将密文信息上传至服务端进行处理，也无法获取解析后的证件信息及验证结果，使得整个实证服务无法正常运行，用户无法获得完整的电子证件认证服务。

（三）获取设备授权码、本地文件读写权限（部分版本收集）

功能相关说明：用于识别终端设备是否有权限使用实证服务，主要针对选择包终端模式的特定设备（如被设备系统开发方或应用机构指定服务的设备）。通过获取设备授权码，并在本地存储服务授权凭证，SDK可以判断设备是否在服务授权范围内，以保障服务的合法使用。

功能必要性：对于一般用户使用自己手机的情况，该权限并非必要。在非指定设备场景下，即使不获取设备授权码，SDK的核心功能（证件验真、信息识读等）仍可正常运行。但在指定设备场景中，缺少此权限可能导致设备无法校验授权权限，从而无法使用实证服务。因此，在使用本SDK时，若涉及获取设备授权码，SDK使用者应注意区分设备类型，对于非指定设备，可提示用户该权限非必要。

二、延迟初始化要求

为了避免您的应用在未获取用户的同意前SDK提前处理用户的个人信息。我们提供了SDK初始化的接口，请保证您的应用获取用户同意后，且用户选择使用实证服务SDK提供的功能时才能调用此接口初始化SDK。

三、最小化使用功能要求

我们的SDK针对扩展功能和可选的个人信息的处理提供了配置能力，您可以基于业务诉求选择开启或关闭相关功能。

·  如何开启或关闭扩展功能

您可以通过this.eid.setCollectingPersonalInfo配置开启或关闭SDK相关识读日志扩展功能，以为您提供识读日志服务。

·  如何开启或关闭处理可选个人信息

您可以通过this.eid.setCollectingPersonalInfo() 配置开启或关闭可选个人信息开关。当您开启后，我们还会收集和使用设备硬件信息、操作系统信息，帮您更好的实现识读日志业务功能。

四、个人信息处理增强功能说明

本SDK主要围绕电子证件认证服务进行个人信息处理，暂未涉及个性化推荐功能。在数据收集方面，数据收集范围及内容由应用机构根据选择的服务方案确定，且均基于实现实证服务功能的必要原则进行收集。目前SDK不涉及自启动和关联启动功能。

五、SDK使用者协助要求

获取用户授权：SDK使用者应确保在集成SDK的应用中，根据法律要求，制定个人信息处理规则（包括但不限于隐私政策、用户协议等），以清晰、易懂的方式向用户说明通过实证服务收集用户个人身份信息的主体、目的、用途、依据、收集信息范围等，并在用户使用涉及相关权限和信息收集的功能前，就数据处理行为获取用户明确授权同意，保证依法按照用户授权同意开展个人信息处理活动，仅将实证服务用于向用户明示告知的用途。例如，在应用的隐私政策中详细说明本SDK的功能、权限使用及信息收集情况，引导用户阅读并同意后再开启相关功能。

特别提示：

1、实证服务SDK在完成个人身份信息识读处理前，无法判断所收集、处理的个人信息是否为未成年人信息。所以请SDK使用者注意在收集个人信息前，充分考虑未成年人使用本服务功能的可能性，并制定有效的告知及授权同意方式并保证授权链的完整性，确保您及我方在收集、处理未成年人信息过程中的合法性。

2、SDK使用者须遵守“合法、正当、必要、存储期限最小化”等基本原则，基于最小必要原则收集用户身份信息，如非法律法规要求或业务必须情形下，不通过实证服务收集用户信息，妥善保管合法合规收集到的用户个人身份信息，不得将之用于与用户授权同意之外的用途。

3、SDK使用者应当根据个人信息的处理目的、处理方式、个人信息的种类以及对个人权益的影响、可能存在的安全风险等，建立健全个人信息安全、数据安全保障制度，采取措施确保个人信息处理活动符合法律、行政法规的规定，并防止个人信息泄露、篡改、丢失。对于发现或暴露的安全风险，应与我方相互配合、情况互通、积极改进，将影响降到最低。

4、SDK使用者应当遵守适用的个人信息安全、数据安全相关的法律法规，禁止参与任何干扰、干涉、损害、未授权访问任何终端设备、服务器、网络或者任何第三方（包括用户、合作方以及任何移动网络运营商）的产品和服务的活动。

5、配合监督与数据处理规范：在数据处理过程中，应严格按照本SDK规定的流程进行，不得擅自更改数据处理方式或扩大数据使用范围。如按照规定，将获取的用户证件信息加密传输，并仅在授权范围内收集、处理、使用个人信息，在授权期满后及时删除个人信息等。

保障用户权利实现：SDK使用者应在应用中提供便于用户操作的方式，保障用户对个人信息的查阅权、更正及补充权、复制权、删除权、撤回同意权、可携带权等权利的实现。例如，提供明确的操作路径，让用户能够便捷地查询、更正个人信息，或在用户撤回同意后，及时停止使用相关个人信息。

六、合规资料参考

 法律法规要求：《中华人民共和国个人信息保护法》、《网络安全法》、《未成年人网络保护条例》等相关法律法规对个人信息保护提出了明确要求，SDK使用者应严格遵守这些法律法规，确保在使用本SDK过程中对用户个人信息的处理符合法律规定。

实践指南：可参考全国信息安全标准化技术委员会发布的《信息安全技术 个人信息安全规范》等实践指南以及《实证服务业务管理规范》、《实证服务识读证件信息说明》等业务资料，这些指南为个人信息处理活动提供了具体的操作规范和指导，有助于SDK使用者更好地理解和落实个人信息保护措施。

七、隐私政策披露要求与示例说明

在您接入、使用 实证服务SDK前，我们要求您在隐私政策中向用户告知我们SDK的名称、SDK提供方名称、收集个人信息类型、使用目的、隐私政策链接，并获取用户的同意或取得其他合法性基础：

第三方SDK名称：实证服务 SDK

所属公司名称：金联汇通信息技术有限公司

场景描述：帮助用户在XXX场景完成身份认证

收集方式：SDK本机采集

个人信息收集范围： 证件全要素信息、人像照片；*设备授权码（仅采集版本需标注）；设备硬件信息（设备型号）、操作系统信息（包括操作系统版本、系统名称）。

第三方隐私政策地址：https://eidcloudread.cneid.net.cn/pro/privacypolicy.html

八、最终用户授权同意的建议方式

App首次运行时应当有隐私弹窗，隐私弹窗中应公示简版隐私政策内容并附完整版隐私政策链接，并明确提示最终用户阅读并选择是否同意隐私政策；隐私弹窗应提供同意按钮和拒绝同意的按钮，并由最终用户主动选择。

示例如下：