在小米设备上发布或运行的应用，需符合法律法规及本应用隐私合规上架标准的要求。
一、个人信息的收集使用
个人信息是以电子或者其他方式记录的与已识别或者可识别的自然人有关的各种信息，包括但不限于IMEI、IMSI、设备MAC地址、软件安装列表、位置、OAID、CPUID、BOOT_ID等唯一标识符信息。
敏感个人信息是一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息，包括生物识别、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等信息，以及不满十四周岁未成年人的个人信息。
1、个人信息的收集使用
1.1 应用（包括委托的第三方或嵌入的第三方代码、插件）收集个人信息应明示收集目的、方式、范围。
1.2 应用不得在用户同意隐私政策前读取用户的个人信息。
1.3 应用不得获取系统没有提供撤回能力的，可识别、可关联自然人有关的各种信息，包括但不限于：CPUID、BOOT_ID等。
2、不得超范围收集个人信息
2.1 应用收集使用个人信息，应当遵循合法、正当、必要的原则，不得收集与其提供服务无关的个人信息，不应存在强制捆绑授权行为，或以欺诈、诱骗等不正当方式误导用户同意收集个人信息或打开可手机个人信息的权限。
2.2 应用收集个人信息的范围超出隐私政策中描述的范围，收集的频率不应超出其实现产品或服务的业务功能所必需的最低频率。
3、向第三方提供个人信息
3.1 应用在向第三方提供个人信息时，应当告知用户接收方的身份信息、联系方式、处理目的、处理方式和个人信息的种类等事项，并取得用户同意。接收方应当在上述处理目的、处理方式和个人信息的种类等范围内处理个人信息。接收方变更原先的处理目的、处理方式的，应当重新取得个人同意。
3.2 应用不得在未告知用户且未经用户同意的情况下，私自使用用户个人信息，或将用户个人信息用于其提供服务之外的目的，特别是私自向其他应用或服务器发送、共享用户个人信息。
4. 个人信息跨境提供
4.1 个人信息处理者因业务等需要，确需向中华人民共和国境外提供个人信息的，应当具备相关法律法规规定的条件，并采取必要措施，保障境外接收方处理个人信息的活动达到法律规定的个人信息保护标准。
二、隐私政策的告知与同意
1、隐私政策的告知
1.1 应用应当有独立的隐私政策，而不是作为用户协议、服务政策或其他文件的一部分存在。
1.2 应用首次运行应当有隐私政策弹窗，弹窗内容应当明确提示用户阅读用户协议、隐私政策等个人信息收集使用规则。
1.3 隐私政策的文本应易于阅读，不存在如文字过小过密、颜色过淡、模糊不清，或未提供简体中文版等。
1.4 隐私政策应当包括以下内容：
1.4.1 隐私政策应向用户清晰明示应用（包括委托的第三方或嵌入的第三方代码、插件）收集个人信息应明示收集目的、方式、范围等。
1.4.2 涉及敏感个人信息的应进行显著标识（如字体加粗、标星号、下划线、斜体、颜色等）。除向用户明示收集、使用的目的、方式、范围之外，还应当向用户告知处理敏感个人信息的必要性以及对个人权益的影响。
1.4.3 隐私政策应向用户清晰明示应用信息、开发者信息、开发者联系方式，并与开发者注册时信息保持一致，且真实有效。
1.4.4 隐私政策应当告知用户行使个人信息权利的方式和程序。
1.5 隐私政策应当便于查阅和保存，如用户进入应用主界面后不多于4次点击等操作即可访问。
2、获得用户同意
2.1 应用在征求用户同意隐私政策的环节，应提供明确的同意和拒绝选项，不可使用“好的”、“我知道了”等无法清晰表达用户意愿的词语；或者向用户提供主动勾选的方式时，不应设置为默认勾选/同意完成。
2.2 对涉及敏感个人信息需采取单独弹窗等明显方式取得用户的单独同意。
2.3 应用收集使用个人信息的目的、方式、范围发生变化时，应以适当方式通知用户，包括更新隐私政策等收集使用规则并通过弹窗等方式提醒用户阅读。
3、用户撤销隐私政策
应用内应支持用户的授权同意可撤回，并提供便捷的撤回操作流程（建议在4步之内完成）。
三、应用权限管理
1、获得用户同意
1.1 应用首次启动时，不得一次性向用户申请后续服务可能涉及的所有权限。
1.2 应用不得提前向用户申请与当前服务场景无关的权限。
1.3 应用不得在用户明确拒绝某项权限申请后，频繁弹窗提示用户授权，或反复申请被拒绝的此项权限。
1.4 当用户明确拒绝某项权限申请后，应用不得在重新运行时继续向用户反复申请此权限，或通过频繁弹窗提示的方式影响用户正常使用。
1.5 应用在用户拒绝权限申请后，不得出现退出、关闭或影响应用正常使用的情况。
1.6 应用注册、登录服务环节，用户拒绝权限申请后，应用不得出现无法正常注册或登录的情况。
2、用户撤销权限
2.1 经用户授权同意的权限，必须支持可撤回，并提供便捷的撤回操作流程（建议在4步之内完成）。
2.2 经用户授权同意的权限，可通过系统设置来关闭/撤回授权同意的权限，且应用中需有单独的权限授权管理页面，用于关闭各类权限。
四、用户权利的保障与响应
1、用户的相关权利
1.1 应用需满足用户在个人信息上享有的相关权利：知情权、决定权、限制权、拒绝权、查阅权、复制权、可携带权、更正权、删除权、自动化决策权利等。包括但不限于用户可以通过账号注销、撤回隐私协议授权、关闭系统权限等方式管理个人信息。
2、用户权利响应
2.1 应用应按法律规定提供更正、删除个人信息及注销用户账号功能，并及时响应用户相应操作。需人工处理的，应在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）完成核查和处理。
2.2 应用不应为更正、删除个人信息或注销用户账号设置不必要或不合理条件。
3、用户投诉与举报
应用应建立并公布个人信息安全投诉、举报渠道，并在承诺时限内（承诺时限不得超过15个工作日，无承诺时限的，以15个工作日为限）受理并处理。
五、常见问题与自查整改指引
1、隐私政策不合规
1.1 重点关注
APP隐私政策未向用户清晰明示APP、SDK收集使用个人信息的目的、方式和范围；在首次启动时，征求用户同意隐私政策的环节，未提供明确的同意和拒绝选项，使用“好的”、“我知道了”等无法清晰表达用户意愿的词语；或在注册、登录服务时，征求用户同意隐私政策的环节，未向用户提供主动勾选的方式，设置为默认勾选/同意。
1.2 自查整改指引
- APP应当有独立的隐私政策，而不是作为用户协议、服务政策或其他文件的一部分存在；
- APP应以隐私政策弹窗等形式向用户清晰明示用户协议、隐私政策等收集使用个人信息的规则；
- APP隐私政策未明示应用信息、开发者信息、开发者联系方式，或与实际不一致；
- APP隐私政策，应向用户清晰明示APP、SDK收集使用个人信息的目的、方式和范围；
- APP首次启动时，在征求用户同意隐私政策的环节，应提供明确的同意和拒绝选项，不应使用“好的”、“我知道了”等无法清晰表达用户意愿的词语；或在注册/登录服务时，征求用户同意隐私政策的环节，应向用户提供主动勾选的方式，不应设置为默认勾选/同意、登录/注册即代表同意。
1.3 问题案例
APP注册/登录服务，在征求用户同意环节，设置为默认同意/勾选。
1.4 指导建议
APP首次运行，在用户注册/登录时，向用户提供主动同意的勾选方式。
2. 未经许可读取个人信息
2.1 重点关注
APP、SDK未告知用户收集个人信息的目的、方式、范围且未经用户同意，私自收集用户个人信息的行为。
2.2 自查整改指引
APP中隐私政策，应向用户清晰明示APP、SDK收集使用个人信息的目的、方式和范围；用户授权同意隐私政策前，APP、SDK不应收集用户的个人信息（OAID、IMEI、IMSI、设备MAC地址、软件安装列表、位置、联系人、通话记录、日历、短信、本机电话号码、图片、音视频等）。
2.3 问题案例
APP中隐私政策未向用户清明示APP、SDK收集使用个人信息的目的、方式和范围；且在用户授权同意隐私政策前，APP、SDK违规收集用户的IMEI、IMSI、设备MAC地址、软件安装列表信息。
2.4 指导建议
APP应以隐私政策弹窗等形式向用户清晰明示APP、SDK收集使用个人信息的目的、方式和范围，且在用户授权同意隐私政策前，APP、SDK不应收集用户任何个人信息。
3. 频繁索取权限
3.1 重点关注
短时长、高频次，在用户明确拒绝权限申请后，频繁弹窗、反复申请与当前服务场景无关权限的行为。
3.2 自查整改指引
APP运行中向用户索取电话、通讯录、定位、短信、录音、相机、存储、日历等权限，用户拒绝后，重新运行时，不得向用户频繁弹窗申请开启权限，影响用户正常使用。
3.3 问题案例
APP运行中向用户索取位置等权限，非当前功能所必须且无合理的使用场景描述，用户拒绝后，重新运行时，再次向用户弹窗申请开启权限，影响用户正常使用。
3.4 指导建议
APP运行中向用户索取非当前功能所必须权限，且无合理的使用场景描述，用户拒绝后，重新运行时，不应再次向用户弹窗申请开启权限，影响用户正常使用。
4. 强制索取权限
4.1 重点关注
APP安装、运行和使用相关功能时，非服务所必需或无合理应用场景下，用户拒绝相关授权申请后，应用自动退出或关闭的行为。
4.2自查整改指引
APP首次启动或注册、登录服务时，向用户索取电话、通讯录、定位、短信、录音、相机、存储、日历等权限，用户拒绝后，应用不得退出、关闭或无法正常使用。
4.3 问题案例
APP首次启动时，向用户索取存储权限；用户拒绝后，应用退出、关闭、无法正常使用。
4.4 指导建议
无论用户拒绝任何权限，APP都需要向用户提供基础功能，不应直接退出、关闭或无法正常使用。
