2026年信息授权使用知情同意书

2026年信息授权使用知情同意书版本号：V2026.1.0

生效日期：2026年1月1日

适用范围：全体信息提供方（自然人或法定代表人）及信息使用方（承建、运维、服务提供单位）一、总则与法律依据本同意书为信息提供方（以下简称"甲方"）与信息使用方（以下简称"乙方"）之间就个人信息及重要业务信息的收集、存储、使用、加工、传输、提供、公开、删除等处理活动达成的专项授权约定。乙方在处理甲方信息前，必须取得甲方或其法定代理人签署的本同意书，并留存签署记录备查。本同意书的制定依据包括但不限于：•《中华人民共和国个人信息保护法》（2021年11月1日施行）•《中华人民共和国数据安全法》（2021年9月1日施行）•《中华人民共和国网络安全法》（2017年6月1日施行）•《中华人民共和国电子商务法》（2019年1月1日施行）•《信息安全技术个人信息安全规范》（GB/T35273-2020）•《信息技术安全技术网络安全第5部分：基于ISO/IEC27001的云服务安全控制措施实施指南》（GB/T32916-2016）•行业主管部门关于数据安全与个人信息保护的其他规范性文件甲方在签署本同意书前已充分阅读并理解全部条款。甲方签署本同意书即视为对其个人信息及授权范围内的非个人信息数据处理活动作出了明确、自愿、清晰的授权意思表示。若甲方为未成年人，须由其监护人代为签署本同意书，并承担相应监护责任。二、信息提供方与使用方主体界定2.1信息提供方（甲方）甲方信息根据场景分为两类：1.A类（自然人）：因接受服务、办理业务、参与项目等目的，向乙方提供个人信息的自然人。2.B类（组织）：因业务合作、项目交付、系统对接等目的，向乙方提供包含员工信息、客户信息、业务数据等在内的信息包的组织法定代表人。甲方身份通过实名认证方式进行核验。A类甲方核验方式包括身份证件信息比对、手机号运营商实名一致性校验、人脸识别活体检测三选二；B类甲方核验方式包括营业执照信息核验、法定代表人身份核验、授权经办人委托书核验。乙方应将核验方式、核验结果、核验时间记录在授权登记表中，保存期限自授权终止之日起不得少于3年。2.2信息使用方（乙方）乙方为接受甲方授权并处理甲方信息的主体，包括但不限于：•平台运营方：负责系统开发、功能维护、日常运营；•技术服务方：提供云资源、数据存储、安全防护、短信通道等基础支撑；•业务合作方：与甲方存在直接业务往来的第三方机构。乙方应当指定个人信息保护负责人，并将负责人姓名、联系方式在官方网站公示。乙方信息处理活动超出本同意书授权范围的，须另行取得甲方单独同意。三、授权处理的信息范围3.1信息分类与具体清单乙方仅可处理下表所列信息，超出清单范围的信息一律不得收集和存储：信息类别具体字段（示例）收集必要性说明是否使用加密存储基本身份信息姓名、性别、出生日期、证件类型、证件号码实名认证、签署合同、法律法规要求的留存义务是联系信息手机号码、电子邮箱（138******、zhang*@）业务通知、账号安全验证、客户服务是账户信息用户名、密码（加密存储）、密码提示信息、登录日志账号登录与安全管理是位置信息精确经纬度、活动轨迹（B类业务场景可选）提供基于位置的服务、物流配送是设备信息设备型号、操作系统版本、唯一设备标识符、IP地址安全风控、兼容性适配、故障排查是业务办理信息办理事项名称、办理进度、提交材料电子件履约服务、进度告知、争议追溯是支付信息支付金额、支付方式、交易流水号交易结算、退款处理、财务对账是——支付渠道侧影像资料人脸照片、身份证正反面照片、现场办理照片实名核验、安全保障、档案留存是其他非个人信息企业工商信息、项目数据、系统日志、脱敏统计数据业务运营、统计分析、安全审计按敏感级别分层敏感个人信息（证件号码、人脸照片、精确位置、支付信息、行踪轨迹）仅在满足以下全部条件时方可处理：具有特定目的和充分必要性、采取严格保护措施、取得甲方单独书面同意、逐项告知处理必要性及对甲方权益的影响。3.2未成年人信息乙方原则上不主动收集不满14周岁未成年人的个人信息。确因业务需要（如未成年人教育培训、医疗健康类服务）收集的，必须同时满足：1.取得未成年人父母或其他监护人的书面单独同意；2.采取加密等严格保护措施；3.设置专门的未成年人信息保护规则并公示；4.未成年人及其监护人可随时要求删除相关信息，乙方须在3个工作日内完成删除并反馈结果。3.3禁止收集的信息乙方不得以任何理由收集以下信息：禁止收集项禁止理由违规后果与业务无关的身份证号、银行账号超出最小必要原则，增大泄露风险按《个人信息保护法》第66条处罚，最高5000万元或上年度营业额5%罚款个人健康生理信息（与本次业务无关者）高度敏感，无业务必要性吊销相关业务许可或吊销营业执照性取向、宗教信仰、政治面貌除法律特别规定外不得收集最高可达刑事追责未经加密的明文密码、支付验证码直接危害账户与资金安全追究相关负责人责任，最高可判7年四、信息使用目的乙方仅在下列明确目的范围内处理甲方信息。超出任一目的使用信息均须重新获得甲方授权：1.提供服务与履行合同：完成业务办理、咨询服务、交易撮合、物流履约等甲方主动要求的服务。此类使用自甲方提交申请时起自动必要，不单独征询。2.账户安全管理：身份核验、异常登录检测、风险交易拦截、密码找回。3.客户服务与售后：解答咨询、处理投诉、故障报修、满意度回访。外呼回访须在工作日9:00至20:00之间进行，每月不超过2次。4.产品改进与数据分析：基于脱敏数据的统计分析和产品功能优化，不得用于针对甲方个人的自动化决策。5.法律合规义务：税务申报、反洗钱审查、诉讼举证、监管报送，依据法律法规规定的期限保存。6.营销推广：仅在甲方单独勾选同意的前提下，通过短信、邮件等方式推送与甲方已购服务相关的升级或优惠信息。甲方可随时退订。以下使用行为须取得甲方单独同意（不得与其他授权捆绑）：•将信息提供给乙方关联公司之外的第三方；•将个人信息用于个性化推荐或用户画像；•将敏感个人信息用于本同意书第4条所列目的之外的其他用途；•公开披露甲方个人信息（法律法规要求除外）；•将个人信息跨境传输至境外。五、信息使用方式与规则5.1处理方式乙方对甲方信息的处理方式包括收集、存储、使用、加工、传输、提供、公开、删除、匿名化处理。所有处理行为均在中华人民共和国境内完成。确需向境外传输的，乙方须另行取得甲方单独同意，并通过国家网信部门组织的安全评估或取得专业机构认证。5.2自动化决策约束乙方通过算法对甲方进行用户画像、信用评估、个性化推荐的，必须遵守以下规则：规则项具体要求透明度事前告知自动化决策的逻辑、影响及后果拒绝权甲方有权拒绝仅通过自动化决策作出的决定，要求人工复核救济渠道甲方对自动化决策结果有异议的，可在5个工作日内向乙方提出申诉，乙方须在10个工作日内完成核查并书面答复重大影响限制涉及贷款审批、房屋租赁、就业评估等对甲方权益有重大影响的决策，不得仅依赖自动化决策作出，必须引入人工审核环节5.3用户画像与标签管理乙方建立甲方用户画像标签体系的，标签维度仅限：基本信息类（性别、年龄段、所在城市）、行为偏好类（页面浏览、功能使用频次）、业务需求类（已购服务、咨询记录）。禁止使用以下标签：禁止标签禁止理由"低收入""还款困难"等财务能力推断标签可能引发歧视性待遇"敏感体质""患病倾向"等健康推断标签超出授权范围且高度敏感"易冲动消费""判断力弱"等人格贬损标签违反诚信原则和人格尊严保护要求政治倾向、宗教信仰标签法律明确禁止画像数据保留期限不超过3年，到期后自动匿名化处理。六、信息共享与委托处理6.1共享规则乙方将甲方信息共享给第三方时，必须同时满足以下全部条件：•已获得甲方对共享行为的单独同意；•已向甲方明确告知第三方的名称、联系方式、处理目的、处理方式、信息种类；•已与第三方签署数据保护协议，明确双方责任边界和违约赔偿机制；•共享信息范围控制在实现处理目的的最小范围内；•共享行为已记录在案，记录内容包括共享时间、共享对象、共享字段、共享原因，记录保存不少于5年。6.2委托处理管理乙方委托第三方处理甲方信息的，乙方作为委托方须履行以下义务：义务项具体要求时限要求尽职调查核验受托方安全能力、认证资质、过往合规记录建立合作关系前完成签订合同明确处理目的、期限、方式、信息种类、保护措施、违约责任委托行为开始前完成监督审计定期检查受托方安全措施有效性，每年至少1次；发生重大安全事件的，立即开展专项审计每年至少1次；事件发生后24小时内启动专项审计终止管理委托关系解除时，要求受托方删除或返还全部信息，并出具销毁证明关系解除后15日内完成受托方未经乙方书面同意不得转委托他人处理甲方信息。违反本条约定的，乙方须承担对甲方的全部赔偿责任。七、信息保留期限与删除7.1保存期限乙方对甲方信息的保存期限遵循最短必要原则，具体如下：信息类型保存期限起算时点超期处理方式账户注册信息账户存续期间及注销后180日注册成功之日删除或匿名化交易记录交易完成之日起5年交易完成之日删除或匿名化合同文本及履行资料合同终止之日起5年合同终止之日删除或匿名化日志信息（含IP、设备信息）6个月日志生成之日删除或匿名化实名认证影像资料最后一次业务办理之日起5年最后一次认证完成之日删除或匿名化安全事件相关日志及证据事件处置完毕后3年事件处置完毕之日删除或匿名化法律明确要求的留存材料按法律规定期限法定起算时点删除或匿名化法律法规对保存期限有明确要求的，从其规定。未在上述期限内完成删除的，甲方可向乙方或监管部门投诉。7.2删除机制乙方须建立信息删除的自动化触发机制：•保存期限届满的系统自动删除任务，每日运行1次，删除操作记录留痕；•甲方申请注销账户的，乙方在核实身份后于15个工作日内删除全部个人信息，仅保留法律法规要求留存的少量信息（如交易流水），并单独隔离存储；•乙方停止运营产品或服务的，须在停止运营前30日通过站内信、短信、邮件等至少两种方式通知甲方，并删除或匿名化处理甲方个人信息。八、甲方的权利与行使方式8.1权利清单权利内容说明响应时限渠道查阅复制权查阅本人全部个人信息，获取电子版副本15个工作日内在线客服、邮件、邮寄更正补充权更正不准确、不完整的信息15个工作日内在线客服、邮件删除权在约定情形下要求删除个人信息15个工作日内在线客服、邮件撤回授权权撤回本同意书项下全部或部分授权撤回即时生效；已处理的授权不受影响撤回通道见第8.3条注销账户权注销账户并删除相关信息15个工作日内设置页>注销账户拒绝自动化决策权拒绝仅通过算法作出的决定，要求人工复核10个工作日内完成复核在线申诉通道投诉举报权向监管部门投诉或向法院起诉不限12377、12321、属地网信办获得解释权要求乙方对信息处理规则进行解释说明15个工作日内客服热线：400-XXX-XXXX（工作日9:00-18:00）8.2权利行使流程甲方行使上述权利，通过以下流程办理：1.甲方向乙方客服热线（400-XXX-XXXX）、在线客服或书面函件（邮寄地址：XX省XX市XX区XX路XX号，收件人：数据合规部，邮编：100XXX）提出申请；2.乙方在受理申请后24小时内核验甲方身份（核验方式为手机号验证码+身份证号后6位+历史业务凭证三选二，防止冒充身份调取信息）；3.身份核验通过的，乙方按照上述时限要求办理；核验不通过的，于3个工作日内告知甲方补充材料；4.乙方拒绝甲方请求的，须书面说明理由，并告知甲方可向网信部门投诉或向法院起诉；5.以上处理全程留痕，记录保存3年。8.3撤回授权的具体操作路径甲方可通过以下任一渠道撤回本次信息授权：•移动端：登录App→"我的"→"设置"→"隐私与授权管理"→"信息授权列表"→选择对应授权项目→点击"撤回授权"→二次确认弹窗提示撤回后果→提交成功；•网页端：登录官网→"个人中心"→"账号安全"→"授权管理"→勾选撤回项目→点击"撤回"→短信验证码确认→提交成功；•线下渠道：拨打客服热线400-XXX-XXXX，经身份核验后由客服人员协助操作撤回。撤回授权操作完成后，乙方须在3个工作日内向甲方预留手机号发送确认短信，内容包括撤回范围、撤回时间、撤回生效时间提示。撤回授权后，乙方不得继续处理相应信息，但撤回前已完成的处理行为的效力不受影响。九、信息保护措施与安全事件处置9.1技术保护措施保护层面具体措施量化指标/频率传输安全TLS1.2及以上加密协议，敏感字段端到端加密全链路全覆盖，禁止明文HTTP传输存储安全数据库加密存储（AES-256或国密SM4），备份数据同步加密密钥定期轮换，每季度1次访问控制基于角色的最小权限控制，权限申请须经部门负责人+安全负责人双重审批权限复核每季度1次，离职人员权限即时回收安全审计系统操作日志留存、高危操作（批量导出、删除、修改）双人复核日志保存不少于6个月，高危操作记录保存不少于5年漏洞管理定期漏扫、渗透测试、代码审计漏扫每月1次，渗透测试每半年1次，重大版本发布前强制代码审计数据脱敏生产环境数据用于开发测试时须完成脱敏处理脱敏规则季度评审更新1次终端安全办公终端安装EDR，USB口管控，数据防泄漏软件覆盖率100%，告警响应在30分钟内完成容灾备份核心数据每日全量备份，增量备份每6小时1次恢复目标：数据丢失不超过24小时，系统恢复不超过4小时9.2安全事件分级与处置事件级别判定标准响应时间（从发现起算）处置要求一般事件未涉及敏感个人信息，仅少量非敏感信息泄露，影响范围在10人以内2小时内研判，24小时内处置完毕修复漏洞、评估影响、记录存档较大事件涉及敏感个人信息，影响范围在10人以上100人以下1小时内上报安全负责人，4小时内完成初步处置立即阻断泄露源、通知受影响甲方、72小时内向监管机构报告重大事件涉及敏感个人信息且影响超过100人，或可能导致人身财产重大损害15分钟内启动应急响应，30分钟内上报第一负责人启动应急预案、24小时内通知全体受影响甲方、协助监管调查、对事件原因开展溯源分析并在5个工作日内提交书面报告乙方须在事件处置结束后15个工作日内向甲方提供事件影响评估报告，内容包括：事件经过、影响范围、已采取处置措施、补救方案、预防改进措施。甲方因乙方安全事件遭受损失的，有权要求乙方承担相应赔偿责任。十、免责条款出现以下情形之一的，乙方不承担相应责任，但须在得知相关情形后及时采取合理措施减少损失：1.不可抗力：地震、洪水、战争、大规模停电、骨干网络故障等无法预见、无法避免且无法克服的客观情况。乙方须在不可抗力发生后48小时内向甲方告知情况，并在影响消除后72小时内恢复正常服务。2.甲方自身原因：甲方主动将账号密码告知他人、点击不明链接导致凭证泄露、在公共设备上登录未退出等因甲方过错造成的泄露。乙方应在日常安全提醒中尽到告知义务。3.第三方恶意攻击：乙方已履行本合同第9条约定的安全保护义务，仍遭受黑客攻击导致信息泄露的，乙方不承担赔偿责任，但须证明自身已尽到合理安全保护义务，并积极配合追查攻击源头。4.法律法规豁免：依据法律法规或监管机关强制性要求，乙方须向有权机关提供甲方信息的行为。十一、合同的变更、终止与解释事项规则条款变更乙方变更本同意书条款的，须提前30日在官网显著位置公示，并通过站内信、短信等至少一种方式通知甲方异议处理甲方对变更后条款有