团 体 标 准
T/TAF 267.9—2026
软件开发工具包(SDK)用户权益和个人信息保护技术要求 第 9 部分：第三方登录类
Technical requirements for user rights and personal information
protection of Software Development Kits(SDK)—
Part 9: Third-party login category
2026-02-09 发布 2026-02-09 实施
电信终端产业协会 发布
前 言
本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起草。
本文件是T/TAF 267《软件开发工具包(SDK)用户权益和个人信息保护技术要求》的第9部分。T/TAF 267已发布了以下部分：
——第1部分：广告类;
——第2部分：推送类;
——第3部分：地图类;
——第4部分：支付类;
——第5部分：统计类;
——第6部分：实时音视频类;
——第7部分：游戏联运类;
——第8部分：性能监控类;
——第9部分：第三方登录类。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。
本文件由电信终端产业协会(TAF)提出并归口。
本文件起草单位：中国信息通信研究院、天翼数字生活科技有限公司、中国移动通信有限公司研究院、中国联合网络通信有限公司、蚂蚁科技集团股份有限公司、友盟同欣(北京)科技有限公司、北京抖音信息服务有限公司、北京微梦创科网络技术有限公司、阿里巴巴(中国)有限公司、华为终端有限公司、小米通讯技术有限公司、维沃移动通信有限公司、OPPO广东移动通信有限公司、荣耀终端股份有限公司。
本文件主要起草人：李鑫、常浩伦、臧磊、郭文双、卢利颖、仇诗煜、陈培实、符永捷、陈星、李文琦、温暖、彭涛、胡能鹏、唐雅红、封琳洁、劳妙淑、孙艺、曹咪、汪坤、白晓媛、贾紫薇、姚栋、安潇羽、任资政、康宇、黄天宁、衣强、吴越、赵盈洁、张航、孔祥蔚、付艳艳、赵晓娜、李辰淑。
软件开发工具包(SDK)用户权益和个人信息保护技术要求
第 9 部分：第三方登录类
1 范围
本文件规定了第三方登录类SDK个人信息处理要求、用户权益保护要求和业务功能划分及配置能力提供要求。
本文件适用于第三方登录类SDK开发运营者规范自身个人信息处理活动，同时也适用于主管部门、第三方评估机构等对第三方登录类SDK个人信息保护和用户权益保护能力进行监督和评估。
2 规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件;不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。
T/TAF 188—2023 软件开发工具包(SDK)收集个人信息技术要求
T/TAF 189—2023 软件开发工具包(SDK)用户权益保障基本要求
3 术语和定义
T/TAF 188—2023、T/TAF 189—2023界定的以及下列术语和定义适用于本文件。
3.1
软件开发工具包开发运营者 software development kit operator
软件开发工具包的开发者、所有者、管理者或提供者，也包括SDK相关的个人信息处理者。
注：简称SDK开发运营者。
3.2
移动互联网应用程序开发运营者 mobile Internet application operator
移动互联网应用程序的开发者、所有者、管理者或提供者，也包括APP相关的个人信息处理者。注：简称SDK使用者。
3.3
第三方登录类SDK third-party login category Software Development Kit
运营商、移动操作系统提供者、移动互联网服务提供者基于自身账号服务为第三方 APP 提供账号登录功能相关服务的软件开发工具包。
3.4
可变设备标识符 variable identifier
可变设备标识符是指设备在使用过程中可能发生变化的唯一性标识符，其值可随设备状态、用户操作或系统更新而调整，如Android ID 、OAID 、IDFA等。
4 缩略语
下列缩略语适用于本文件。
Android ID：Android 设备标识(Android Device ID)
APP：移动应用软件(Application)
ICCID：集成电路卡识别码(Integrate Circuit Card Identity)
IDFA：广告标识符(Identifier for Advertisers)
IMEI：国际移动设备识别码(International Mobile Equipment Identity)
IMSI：国际移动用户识别码(International Mobile Subscriber Identity)
MAC：媒体访问控制(Media Access Control)
MEID：移动设备识别码(Mobile Equipment Identifier)
OAID：开放匿名设备标识(Open Anonymous Device Identifier)
SDK：软件开发工具包(Software Development Kit)
SN：设备序列号(Serial Number)
5 个人信息处理要求
5.1 收集要求
第三方登录类SDK开发运营者在个人信息收集过程中，除满足T/TAF 188—2023、T/TAF 189—2023相关要求外，还应满足以下收集要求：
a) 第三方登录类 SDK 应向用户展示个人信息处理规则并取得最终用户同意，未获得最终用户同意前，不应获取最终用户个人信息。集成多款第三方登录类 SDK 的聚合类 SDK 应与 SDK 使用者确定最终用户授权同意方式，在用户同意环节，告知收集个人信息的目的、方式和范围等规则。获得最终用户同意前，不应收集最终用户个人信息;
注：如第三方登录类 SDK 提供自行开发登录页面的自渲染服务，应确保第三方登录类 SDK 向用户展示个人信息处理规则，且不应通过默认勾选等方式误导用户同意个人信息处理规则。
b) 第三方登录类 SDK 应仅在 SDK 使用者在选择调用第三方登录类 SDK 服务的场景下，收集最终用户个人信息，第三方登录类 SDK 各项业务功能收集的个人信息范围可参考附录A;
c) 集成使用第三方 SDK 的，应对第三方 SDK 个人信息保护能力进行评估，选择对最终用户影响最小的方式合理配置第三方 SDK 各项扩展功能及可选个人信息，并向 SDK 使用者提供配置能力;
d) 第三方登录类 SDK 不应收集 SN、设备 MAC 地址、IMEI、IMSI、MEID 、ICCID 等不可变更的设备标识符;
e) 第三方登录类 SDK 如需收集个人信息用于计费结算，宜采用因业务所需已收集到的个人信息，或仅收集可变设备标识符用于上述目的。
5.2 存储要求
第三方登录类SDK开发运营者存储个人信息时应遵守如下要求：
a) 第三方登录类 SDK 对个人信息的存储期限应为实现最终用户授权活动目的所必需的最短时间，法律法规另有规定的除外。超出上述个人信息存储期限后，应对个人信息进行删除或匿名化处理;
b) 第三方登录类 SDK 不应在客户端存储用户个人信息，针对服务端存储的个人信息，第三方登录类 SDK 应采取加密存储、分类分级管理等安全保障措施以确保个人信息的安全存储;
c) 第三方登录类 SDK 应采取个人信息保护管理措施，对个人信息存储进行访问控制、加密保护和异常行为监控，避免个人信息泄漏或破坏、损毁。
5.3 使用、加工要求
第三方登录类SDK开发运营者使用个人信息时应遵守如下要求：
a) 第三方登录类 SDK 在获得最终用户同意前，不应使用、加工最终用户个人信息，法律法规另有规定的除外;
b) 应设置访问控制措施，对个人信息的重要操作如批量拷贝、下载等应采取审批流程，对访问操作进行记录;
c) 第三方登录类 SDK 应在个人信息处理规则中说明的使用目的范围内进行使用，确需超出已告知的使用目的范围的，应重新告知并通知 SDK 使用者，并征得最终用户的同意。
5.4 传输要求
第三方登录类SDK开发运营者传输个人信息时，应遵守如下要求：
a) 应对个人信息进行加密传输，应使用 TLS1.2 及以上或同等安全的传输协议，保障信息传输过程安全可控，避免数据泄漏;
b) 传输敏感个人信息时，在加密或使用安全的传输协议的基础上，应对敏感个人信息采取单独加密等措施。
5.5 共享要求
第三方登录类SDK开发运营者在个人信息对外委托、提供等共享过程中应满足以下要求：
a) 第三方登录类 SDK 开发运营者在登录请求、展示与风险管控等环节如涉及向手机号码登录服务运营商或代理商、社交媒体平台、登录行为数据分析服务提供方等主体共享个人信息，应在个人信息处理规则中说明共享的业务场景、使用目的、数据类型等内容;
b) 数据共享范围应在实现相关业务目的的最小必要范围内，不得超出相关业务目的向相关方共享数据;
c) 第三方登录类 SDK 开发运营者应与相关方应签署合同或协议，合同或协议内容应明确双方的共享目的、共享的个人信息种类、双方的权利义务与责任分配，个人信息接收方应在第三方登录活动范围内采取对最终用户权益影响最小的方式处理个人信息。
5.6 公开要求
第三方登录类SDK开发运营者不应公开最终用户的个人信息，如需公开需遵守相关法律法规的要求。
5.7 删除要求
第三方登录类SDK开发运营者删除个人信息时，应遵守如下要求：
a) 第三方登录类 SDK 开发运营者终止运营登录服务的应主动删除个人信息，法律、行政法规规定的保存期限未届满或删除个人信息从技术上难以实现的，第三方登录类 SDK 开发运营者应当停止除存储和采取必要的安全保护措施之外的处理;
b) 第三方登录类 SDK 应向最终用户提供个人信息删除机制，便于最终用户行使个人信息删除权利，如接收到 SDK 使用者、最终用户的删除请求后，SDK 开发运营者应协助删除，如果删除个人信息从技术上难以实现的，SDK 开发运营者应当停止除存储和采取必要的安全保护措施之外的处理;
c) 在 SDK 使用者停止接入使用并移除第三方登录类 SDK 后，应及时通知第三方登录类 SDK 开发运营者，第三方登录类 SDK 开发运营者接到通知后应停止处理通过该 SDK 使用者收集到的个人信息，双方按照法律法规履行个人信息删除或匿名化义务。
6 用户权益保护要求
第三方登录类SDK开发运营者应满足以下用户权益保护要求：
a) 最终用户享有决定查阅、复制、转移、更正、补充、撤回同意其个人信息的权利，第三方登录类SDK 开发运营者应通过合同或个人信息处理规则等形式与SDK 使用者约定最终用户个人信息管理的实现机制，并在接到 SDK 使用者协助处理的请求时，及时提供支持与配合，积极处理最终用户请求;
b) SDK 开发运营者应建立最终用户诉求和投诉响应管理机制，并在接到诉求和投诉后 15 日内进行响应。
7 业务功能划分及配置能力提供要求
第三方登录类SDK开发运营者应为SDK使用者提供可选个人信息的配置能力，向SDK使用者提供可选个人信息配置方法应通过SDK合规使用说明、接入文档等方式进行清晰完整说明。
附 录 A
(资料性)
第三方登录类SDK各项业务功能收集的个人信息
第三方登录类SDK各项业务功能收集个人信息可参考表A.1，作为对T/TAF 188—2023的补充。
表 A.1 第三方登录类 SDK 各项业务功能收集个人信息范围
评论