先看法律矩阵：四部上位法 + 一套国家标准

境内个人信息处理不是只受一部法约束，而是一个矩阵：《网络安全法》（2017 年施行，2025 年修正文本）确立网络运营者安全义务与网络安全等级保护；《数据安全法》（2021 年施行）管数据分类分级与数据处理安全；《个人信息保护法》（2021 年 11 月 1 日施行）是个人信息处理的根本大法，确立告知—同意、最小必要、目的明确、个人权利等核心规则；《网络数据安全管理条例》自 2025 年 1 月 1 日施行，进一步细化数据处理者义务。配套还有国家标准 GB/T 35273-2020《个人信息安全规范》和全国网络安全标准化技术委员会（TC260）的《App SDK 安全指引》。检索于 2026-09，正式合规以现行有效文本为准。

六类红线：四部门认定方法

国家四部门《App违法违规收集使用个人信息行为认定方法》（2019 年发布，公安部等网站可查全文）把违规行为归为六类，这也是应用商店隐私审核和监管专项治理的直接对照标准：

六类红线（《App违法违规收集使用个人信息行为认定方法》，四部门2019）1)未公开收集使用规则：没有隐私政策、政策藏得深、表述含糊2)未明示目的/方式/范围并经同意：没说清收什么、为什么，默认勾选同意3)未经同意向他人提供：把个人信息共享给第三方却未单独告知同意4)无法撤回同意/无法注销：不同意就不让用、找不到退出授权和注销入口5)未逐项明示收集目的：笼统说“改善体验”，不按功能逐项说明6)超范围收集/强制授权：收与功能无关信息、捆绑授权、不给全权限不让用

一份能过审的隐私政策要写什么

隐私政策不是抄模板，要和你 App 的真实行为逐字一致（商店会对照你声明的权限/SDK 和实际行为，不一致即驳回甚至下架）。必备要素：①主体身份与联系方式（个人开发者也要留有效联系邮箱）；②收集哪些个人信息、分别用于什么功能、是否敏感个人信息；③第三方 SDK/服务清单（名称、提供方、收集类型、使用目的、频次，例如 AI 对话会把文本发送给大模型服务方、TTS 会把文本发送给语音服务方，都要披露）；④信息存储地域、期限、安全措施；⑤对外共享/转让/公开披露的情形；⑥用户的查询、更正、复制、删除、撤回同意、注销账号的权利与操作方式；⑦未成年人保护；⑧政策更新机制与生效日期。

权限、注销删除与等保定级

权限申请遵循“运行时、场景化、可拒绝”：在用户触发对应功能时才申请系统权限，并用系统弹窗或前置说明讲清用途；不要在启动时一次性索要全部权限。账号注销与数据删除是硬性要求：App 内要提供可达的注销路径，说明受理与处理时限，注销后依法删除或匿名化个人信息；即使用户数据主要存在本地，也要提供“清除我的数据”的能力。网络安全等级保护（等保 2.0，GB/T 22239-2019）：有手机号注册或留存用户个人信息的普通应用通常定级二级（定级+备案，建议定期测评，二级常见两年一测）；涉及支付、医疗、政务，或存储身份证、银行卡等敏感信息的定三级（每年测评）；纯本地、不留存个人信息的工具门槛较低，但仍负网安法基本义务。

本节小结

法律矩阵：网络安全法（2017/2025修正）、数据安全法（2021）、个人信息保护法（2021-11-01）、网络数据安全管理条例（2025-01-01）+ GB/T 35273-2020 与 TC260 SDK 指引。核心原则最小必要（只收必需、不索无关权限、拒绝非必要不影响使用）。四部门2019认定方法六类红线：无规则、未经同意收集、未经同意提供、无法撤回/注销、未逐项明示、超范围/强制授权。隐私政策要素：主体联系方式、按功能说明收集项、逐项SDK清单（名称/提供方/类型/目的/频次）、存储与安全、共享情形、用户权利与注销、未成年人、更新与生效日期，且声明=实际。权限运行时场景化可拒绝；提供注销与删除；等保普通留存用户信息定二级（两年一测）、支付医疗政务敏感定三级；处理超100万人参考指定个保负责人。