百度安全应急响应中心隐私漏洞处理标准1.0

• 来源合规性：APP必须从正规APP应用市场或百度官方渠道获取，且为当时该APP的最新版本。补充说明：
• 若同一产品在各应用市场版本不一致，则以最新版本号为准；
• 若在BSRC正式提交漏洞报告前，此窗口期内APP更新了版本，则应以新发布版本为准。

• 名词标准化：隐私风险中名词的定义和内容参考GB/T 35273-2020《信息安全技术个人信息安全规范》。

• 信息完整性：提交漏洞报告时，需提供完整检测信息，包括：名称、APP来源、版本号、测试工具、复现路径、隐私风险证明及清晰截图证据，其中截图证据必须至少包括问题所在界面、接口、调用栈。
• 说明：对于无需技术手段即可发现的风险（如：信息窗口未提供显著的关闭或退出选项）可不提供接口、调用栈信息。

• 及时度要求：测试结果请在第一时间提交至BSRC，已经对外公开的隐私漏洞不在收取范围内。

• 计分规则：
• 相同类型隐私漏洞在同一APP中发现的，按照一个漏洞评定和给予奖励；
• 相同类型隐私漏洞在同一APP中发现的，第一个报告者获得奖励，后续报告者不再奖励；
• 相同类型隐私漏洞在多个APP中发现的，请合并一个漏洞报告提交，我们会根据漏洞具体情况给予额外奖励。

• 同意隐私政策前收集个人信息或打开个人信息权限；
• 收集的频率超出其实现产品或服务的业务功能所必需的最低频率；
• 收集的个人信息范围超出了隐私政策中描述的范围；
• 未经用户同意，非服务所必需或无合理场景，APP切换至后台后持续收集个人信息；
• 无隐私政策或隐私政策难以访问（如进入APP主界面，需多于4次点击等才能访问到）。

• 隐私政策未见向用户明示、未经用户同意，存在采集个人信息行为；
• 既未经用户同意，也未做匿名化处理，App客户端直接向第三方提供个人信息，包括通过客户端嵌入的第三方代码、插件等方式向第三方提供个人信息；
• 非服务所必须或无合理需求，提前向用户申请权限；
• 欺骗强迫用户下载且无法关闭或停止；
• APP频繁索权，用户拒绝权限申请后，在非用户主动触发权限所涉及的业务场景的情况下，再次弹出权限弹窗即为频繁。