团 体 标 准
T/TAF 286—2025
金融类 APP 用户权益保护技术要求
Technical requirements for protecting the users rights and interests of
Financial apps
2025-07-07 发布 2025-07-07 实施
电信终端产业协会 发布
前 言
本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起草。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。
本文件由电信终端产业协会(TAF)提出并归口。
本文件起草单位：中国信息通信研究院、上海淇毓信息科技有限公司、蚂蚁科技集团股份有限公司、小米通讯技术有限公司、OPPO广东移动通信有限公司、北京快手科技有限公司、北京梆梆安全科技有限公司、北京三快在线科技有限公司、深圳乐信软件技术有限公司、上海上湖信息技术有限公司、重庆信息通信研究院、郑州信大捷安信息技术股份有限公司、北京迈偲图信息技术有限公司、北京捷兴信源信息技术有限公司、天津桔子轻舟科技有限公司。
本文件主要起草人：邓佑军、王艳红、杜云、汪海、臧磊、常浩伦、李鑫、刘畅、廖文娟、汪坤、林冠辰、吴越、张丹静雅、侯思卉、李腾、落红卫、王昕、陈露、吴斌、李斌、袁斯山、胡振芳、张勇、刘锋、李飘、刘献伦、李斌、盛大江、杨澄宇、苗蕤蔓。
引 言
随着移动互联网的快速发展，各类金融创新产品和服务不断涌现，金融APP作为数字经济时代的产物，已经成为广大消费者获取金融服务的主要方式。相较于其他类APP，金融类APP具有复杂、敏感的金融交易功能，其风险隐患更加凸显，除违规处理个人信息外，还可能被不法分子利用从事非法放贷、诈骗等违法犯罪活动，直接威胁用户财产安全。
为了保护用户个人信息和财产安全，规范金融类APP个人信息处理、用户金融交易安全和金融网络营销等行为，指导开发者在产品设计、开发、运营过程中提升用户权益保护水平，维护消费者合法权益，特制定本标准。
金融类 APP 用户权益保护技术要求
1 范围
本文件规定了金融类 APP 个人信息处理、金融交易安全、金融网络营销和运营风险管控等活动的用户权益保护要求。
本文件适用于金融类 APP 开发运营者开展 APP 用户权益保护自评估，包含金融类功能的 APP 也可参考使用。同时适用于主管部门、第三方评估机构等组织对金融类 APP 用户权益保护活动开展监督、管理和评估。
2 规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件;不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。
T/TAF 078.9 APP用户权益保护测评规范 第9部分：移动应用分发平台信息展示
T/TAF 125 应用分发平台APP审核规范
T/TAF 078.1 APP用户权益保护测评规范 第1部分：超范围收集个人信息
T/TAF 078.3 APP用户权益保护测评规范 个人信息获取行为
T/TAF 078.6 APP用户权益保护测评规范 第6部分：违规收集个人信息
3 术语和定义
下列术语和定义适用于本文件。
3.1
金融类APP Financial apps
在移动智能终端上主要功能为向用户提供金融交易或金融网络营销等服务的应用程序。
注1：APP包含移动智能终端预置应用、小程序、快应用以及互联网信息服务提供者提供的可以通过网站、应用商店
等应用分发平台下载、安装、升级的应用程序。
注2：信息发布平台、传播媒介不在本标准的定义范围内。
3.2
个人金融信息 personal financial information
通过提供金融产品和服务或者其他渠道获取、加工和保存的个人信息。
注：包括账户信息、鉴别信息、金融交易信息、个人身份信息、财产信息、借贷信息及其他反映特定个人某些情况
的信息。
3.3
个人信用信息 personal credit information
反映个人信用状况的个人信息，包括个人基本信息、个人信贷交易信息以及反映个人信用状况的其他信息。
注：个人基本信息是指自然人身份识别信息、职业和居住地址等信息; 个人信贷交易信息是指商业银行提供的自然人在个人贷款、贷记卡、准贷记卡、担保等信用活动中形成的交易记录; 反映个人信用状况的其他信息是指除信贷交易信息之外的反映个人信用状况的相关信息。
3.4
金融交易 Financial transactions
交易双方按照一定的规则和约定，对各种金融资产或金融工具进行买卖、转让、借贷等操作，以实现资金融通、风险转移、价值发现等目的的经济活动。
3.5
金融网络营销 Financial network marketing
通过APP对金融产品和服务进行商业性宣传推介的活动，包括但不限于展示介绍金融产品和服务相关信息或业务品牌，为用户购买金融产品和服务提供转接渠道等。包括金融网络自营销、金融网络委托营销和金融网络受托营销。
3.6
APP签名服务系统 APP signature service system
为APP开发者、应用分发平台、用户权益保护检测机构和终端厂商提供APP信息签名和验签的数据服务系统。
3.7
应用分发平台 application distribution platform
提供移动互联网应用程序下载、安装、升级等分发服务的各类平台。
注：包括应用商店、分发网站、具有分发能力的移动互联网应用程序。
4 缩略语
下列缩略语适用于本文件。
APP：移动应用程序(Application)
5 金融类 APP 分类
金融类APP包括金融机构自营APP和非金融机构自营APP。金融机构自营APP是指金融机构开发运营、主要为金融机构自身金融业务提供服务的APP。非金融机构自营APP是指非金融机构开发运营、主要为金融机构金融业务提供代理服务的APP。
注：金融机构是指国务院金融管理部门或地方金融监督管理部门依法批准设立的从事金融业务的机构。包括银行业金融机构、证券业金融机构、基金业金融机构、保险业金融机构、交易及结算类金融机构、金融控股公司、小额贷款公司、消费金融公司、汽车金融公司、 融资担保公司、区域性股权市场、典当行、融资租赁公司、商业保理公司、地方资产管理公司。
6 总体要求
金融类APP用户权益保护总体要求如下：
a) APP应遵守相关法律法规、电信和金融管理规定和社会公序良俗，诚实守信，公平竞争，保障金融消费者知情权、自主选择权和个人信息权益，金融机构作为金融服务提供方应落实反洗钱、
反恐怖融资、利率管理、互联网贷款、征信等相关规定，不得损害国家利益、社会公众利益和金融消费者合法权益;
b) APP不应为非法金融活动提供网络营销服务，包括但不限于非法集资、非法发行证券、非法放贷、非法荐股荐基、虚拟货币交易、外汇按金交易等;不得为私募类资产管理产品、非公开发行证券等金融产品开展面向不特定对象的网络营销;
c) APP发布前，符合备案条件的，应完成工信部移动互联网应用程序备案;
d) 金融机构自营APP运营主体应具有国务院金融管理部门或地方金融监督管理部门依法批准设立的从事金融业务的资质;
e) 非金融机构自营APP运营主体应具有d)所述有从事金融业务资质的金融机构的合法授权或合作文件。
7 个人信息处理要求
7.1 个人信息处理规则
个人信息处理包括个人信息收集、存储、使用、传输、提供等，金融类APP个人信息处理规则要求如下：
a) APP涉及个人信息处理的，应制定个人信息处理规则，明确处理个人信息的目的、方式和范围;
b) 处理不满十四周岁未成年人个人信息的，应当单独制定未成年人个人信息处理规则;
c) APP集成的SDK处理个人信息的，应当展示SDK个人信息处理规则;
d) 以同意为合法性基础的，APP处理个人信息之前应向用户明示个人信息处理规则并征得用户同意、APP处理个人敏感信息时应征得用户单独同意、APP处理不满十四周岁未成年人个人信息时应取得未成年人的父母或者其他监护人的同意、APP个人信息处理目的、处理方式和处理的个人信息种类发生变更时应重新取得个人同意。
7.2 个人信息收集
金融类APP个人信息收集要求如下：
a) APP收集用户个人信息时，应当遵循合法、正当、必要的原则，不应从非法渠道收集，不应欺骗、误导、强迫收集个人信息，不应超范围收集;
b) APP收集个人信息时，应符合T/TAF 078.1、T/TAF 078.3和T/TAF 078.6标准的要求。
7.3 个人信息存储
金融类APP个人信息存储要求如下：
a)APP应对存储的个人信息进行访问控制，仅允许通过授权的主体进行访问;
b)APP应采用安全的密码算法对敏感个人信息进行保护;
c)APP发现存储的个人信息有误时，应及时进行核查和处理;
d)属于关键信息基础设施的APP或处理个人信息达到国家网信部门规定数量的APP，在境内收集产生的个人信息应存储在境内(符合网络数据跨境安全管理要求的除外);
e)APP使用面部识别特征、指纹、掌纹、虹膜等生物识别技术实现身份认证的，在认证成功后不应直接存储个人生物识别信息(法定条件或者取得个人单独同意除外)，可采取的措施包括但不限于：
1) 仅存储个人生物识别信息的摘要信息;
2) 在采集终端中直接使用个人生物识别信息实现身份识别、认证等功能;
3) 在使用面部识别特征、指纹、掌纹、虹膜等实现识别身份、认证等功能后删除可提取个人生物识别信息的原始图像。
f) APP采用第三方对个人进行实名认证的，需核查第三方身份，并与第三方签订合同或协议，保障个人信息处理规范。实现处理目的后应要求第三方及时删除个人信息或对个人信息进行匿名化处理;
g) 个人金融信息的存储时限应满足国家法律法规与行业主管部门有关规定要求，并符合个人金融信息主体授权使用的目的所必需的最短时间要求。超过该期限后，应对收集的个人金融信息进行删除或匿名化处理。法律、行政法规规定的保存期限未届满，或者删除、匿名化处理个人信息从技术上难以实现的，应当停止除存储和采取必要的安全保护措施之外的处理;
h) APP客户端不应以任何形式存储用户的支付敏感信息与金融业务查询口令。
7.4 个人信息使用
金融类APP个人信息使用要求如下：
a) APP应建立最小授权的访问控制策略，对批量修改、拷贝、下载等重要操作设置内部审批流程并保存审批记录;
b) 除交易对账、转账收款方确认等必须由用户确认的情况，APP在展示姓名、银行账号、手机号码、家庭住址等个人隐私信息时，应采取去标识化技术进行处理，降低个人信息泄露风险;
c) APP通过自动化决策方式向个人进行信息推送、商业网络营销的，不应设置不合理的商业条件限制不同用户使用，不应提供歧视性的产品和服务，应当同时提供不针对其个人特征的选项或便捷的拒绝方式;
d) APP查询个人信用信息时应单独告知并取得信息主体的同意，并且按照约定用途使用个人信用信息;
e) APP正式对外提供个人信用评价类产品和服务前，应当履行必要的内部测试和评估验证程序，使评价规则可解释、信息来源可追溯。
7.5 个人信息传输
金融类APP个人信息传输要求如下：
a) APP涉及个人信息网络传输的，应对通信双方进行身份鉴别和授权;
b) 应使用安全通信协议或应用层数据加密等保护措施，确保传输过程中个人信息的机密性和完整性。
7.6 个人信息提供
金融类APP个人信息提供要求如下：
a) APP向APP运营主体之外的第三方提供个人信息的，包括但不限于实名认证、征信查询、第三方信用评估等业务，应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类，并单独取得个人同意(具备其他合法性基础的除外);
b) 委托第三方开展个人信息加工活动的，应与第三方通过合同等形式明确双方的保护责任和义务，并要求第三方以约定的形式返还、删除接收和产生的个人信息;
c) APP向境外提供个人信息的，应事前进行个人信息保护影响评估，并对处理情况进行记录。
8 用户金融交易安全要求
8.1 防伪造
金融交易防伪造技术要求如下：
a) APP应采用适宜的身份验证要素，包括但不限于口令、短信验证码、手势密码、生物特征识别等方式。使用生物特征技术进行身份确认或识别，应对引用技术的安全性进行充分评估，采取适当的措施阻止已知的伪造攻击手段，降低伪造身份通过确认或识别的可能性;
b) APP如采用口令进行身份认证，用于登录验证的口令和用于交易的口令不应一致;
c) 对于大额资金交易，APP应采用两种或两种以上要素对用户身份进行认证;
d) APP与服务器应进行双向认证，可通过密钥、证书等密码技术手段实现服务器与APP之间的安全认证。
8.2 防篡改和防抵赖
金融交易防篡改和防抵赖技术要求如下：
a) APP签名宜通过APP签名服务系统或电子认证服务机构认证，确保APP安装包身份真实可信、可溯源;
b) APP采用电子方式签订贷款合同的，应确保电子合同包含合同双方电子签名，并满足《电子签名法》中可靠电子签名的要求，同时还应提供电子合同调阅和验真渠道。
8.3 防攻击
金融交易防攻击技术要求如下：
a) APP应具备基本的抗攻击能力，使用代码加壳、代码混淆等手段抵御静态分析、动态调试等操作;
b) APP应避免使用存在已知漏洞的系统组件与第三方组件;
c) APP应件应对软件接口进行保护，防止其他应用对客户端应用软件接口进行非授权调用;
d) APP应对传入的URL进行校验与安全处理，防止APP运行异常或操作异常;
e) APP应对接口的异常行为、脆弱性、敏感信息泄露等问题进行风险识别和监控，具备信息泄露等风险溯源能力，准确定位攻击威胁;
f) APP应提供客户输入支付敏感信息的实时防护功能，并对内存中的支付敏感信息进行保护，例如逐字符加密、自定义软键盘、防范键盘窃听技术等措施;
g) APP应具备对运行环境的检查能力，发现客户端环境存在重大安全缺陷或安全威胁时，应采取必要措施对用户进行警示或拒绝交易。
8.4 算法和密钥
金融交易密码算法和密钥管理技术要求如下：
a) APP应使用密码算法对资金有关交易或重要业务操作进行保护;
b) APP涉及的密钥在传输过程中应使用密码算法对密钥进行保护;
c) APP涉及随机生成的密钥应具有一定的随机性与不可预测性;
d) APP涉及的密钥应加密存储，并确保密钥储存位置和形式的安全;
e) APP应对代码签名密钥进行安全保护，防止密钥丢失或泄露，不宜将密钥托管保存在第三方代码服务平台。
9 金融网络营销要求
9.1 通用要求
金融网络营销通用要求如下：
a) 开展网络营销宣传不应影响他人正常使用互联网和移动终端。以弹出页面等形式开展网络营销的，应当显著标明关闭标志，确保一键关闭。不得欺骗、误导用户点击金融产品营销内容;
b) 根据金融消费者兴趣爱好、消费习惯等开展精准营销的，应当遵守适当性管理要求，将金融产品推介给适当的金融消费者。应当同时提供不针对个人特征推送的选项或便捷的拒绝方式。不宜针对在校大学生、老年人等资信脆弱人群实施精准营销;
c) 金融机构自营APP应按照金融主管部门要求向用户公示相关信息。非金融机构自营APP应公示金融机构名称或金融机构官方渠道披露、包含APP开发运营者名称的业务名单;
d) 对于存款、贷款、资产管理产品、保险、支付、贵金属等不同类别、不同风险等级的金融产品， APP宜分别设立宣传展示专区;
e) APP应提供客户服务、投诉电话等方式，及时处理用户的咨询和投诉。
9.2 委托营销
金融网络委托营销要求如下：
a) 金融机构自营APP委托非金融机构自营APP开展金融网络营销的，应当与受托方签订书面委托协议，明确委托范围、各方权责、金融消费者权益保护、数据安全、委托事项变更和终止的安排、违约责任等内容。不应允许受托方主导或变相主导授信审批、合同签订、资金划转等贷款核心环节;
b) 金融机构自营APP委托非金融机构自营APP开展金融网络营销的，应当建立事前评估机制，按照资质能力和承担责任相匹配的原则，从电信业务资质、经营情况、技术实力、服务质量、业务合规和声誉等方面对受托方进行评估。合作期内，金融机构自营APP应当持续跟踪评估，及时识别、防范、处置因受托方违法违规、违约、经营失败和重大负面舆情等导致的风险;
c) 无金融机构委托或转委托，非金融机构自营APP不应委托第三方APP开展金融网络营销。
9.3 受托营销
金融网络受托营销要求如下：
a) 金融类APP受托开展金融网络营销时，应事先核实委托金融机构业务资质，建立经营行为监测机制，发现非法金融活动或违规金融业务，应立即采取措施停止受托营销行为;
b) 金融类APP受托开展金融网络营销时，应清晰、醒目的方式展示委托金融机构的名称或相关标识，避免用户产生品牌混同;
c) 金融类APP应当恪守技术服务本位，不应借助技术手段违规获取、违规使用委托金融机构的客户信息和业务数据以及个人信息。
10 运营风险管控要求
10.1 版本发布
金融类APP版本发布要求如下：
a) APP宜选择应用分发平台进行分发;
b) APP隐私政策、服务协议中的主体应与APP开发运营者主体保持一致;
c) APP选择应用分发平台分发下载的，APP主要功能应和应用分发平台APP分类相符，主要服务功能发生变化的，应及时告知应用分发平台;
d) APP选择应用分发平台分发下载的，应及时关注应用分发平台下发的整改通知，收到整改通知后应按照整改要求及时进行整改。
10.2 引流下载
金融类APP引流下载要求如下：
a) APP为第三方APP提供直接下载服务的，应按照T/TAF 125的要求对第三方APP进行审核并按照T/TAF 078.9的要求对第三方APP进行信息展示;
b) APP为第三方APP提供外部下载链接的，应链接到应用分发平台或其他可信渠道。
10.3 功能更新
金融类APP功能更新要求如下：
a) APP不应通过热更新或云控等技术恶意更改产品主要功能、申请权限、个人信息收集使用场景和范围;
b) APP选择应用分发平台分发下载的，不应存在恶意绕过上架审核的更新行为，如不通过应用分发平台修改应用基本功能和内容的自动更新行为、在用户下载后立即要求更新的行为、强制用户更新的行为等。
10.4 体系建设
金融类APP体系建设要求如下：
a) APP运营主体宜建立用户权益保护管理机构，落实管理机构相关工作职责;
b) APP运营主体宜加强用户权益保护风险管理，定期梳理用户权益保护法律法规清单，全面识别企业可能面临的合规风险点，建立相应的合规风险评估流程，定期开展合规风险评估。对个人权益有重大影响的个人信息处理活动的，应开展个人信息保护影响评估;
c) APP运营主体宜完善用户权益保护管理制度，在APP生命周期管理过程中，遵守合法、正当、必要和诚信原则，避免发生欺骗、误导、强迫用户等行为;
d) APP运营主体宜健全用户权益保护保障机制，对从业人员进行安全教育和培训，采取相应的加密、去标识化等安全技术措施，防止未经授权的访问以及个人信息泄露、篡改、丢失;
e) APP运营主体宜提升用户权益保护评价能力，自行或委托专业机构对用户权益保护措施及执行情况进行合规审计。
评论