應用程式開發人員經常會利用第三方程式碼 (例如 SDK) 在自家應用程式中整合重要的功能和服務。在應用程式中加入 SDK 時，您不僅要確保使用者的安全，也要防止應用程式因此出現安全漏洞。在本部分中，我們會介紹現有的一些隱私權和安全性規定在 SDK 應用方面的規範，以及這些規定如何協助開發人員將 SDK 安全整合到應用程式中。
當您在應用程式中加入 SDK，就有責任確保 SDK 的第三方程式碼和相關做法不會造成應用程式違反《Google Play 開發人員計畫政策》。您必須瞭解應用程式使用的 SDK 會如何處理使用者資料，也要確實掌握這些 SDK 使用的權限、蒐集的資料類型和原因。提醒您，SDK 蒐集及處理使用者資料的行為必須符合應用程式在這方面的政策規定。
為確保您使用的 SDK 不會違反政策規定，請充分閱讀並理解下列政策，並留意下方與 SDK 相關的一些規定：
使用者資料政策您必須公開說明自己如何處理使用者資料，例如您向使用者蒐集的資訊或您自行蒐集的使用者相關資訊，包括裝置資訊。也就是說，您必須揭露應用程式存取、蒐集、使用、處理及分享使用者資料的行為，而且資料使用範圍僅限已揭露且符合政策的用途。
如果您在應用程式中加入第三方程式碼 (例如 SDK)，請務必確保應用程式中所用的第三方程式碼，以及該第三方對於應用程式中使用者資料的處理方式，符合《Google Play 開發人員計畫政策》，包括使用與揭露規定。舉例來說，您必須確保 SDK 供應商不會販售從應用程式中取得的使用者個人和機密資料。無論使用者資料是在傳送至伺服器後轉移，還是透過在應用程式中嵌入的第三方程式碼轉移，都適用這項規定。
使用者的個人和機密資料
使用者個人和機密資料的販售行為不販售使用者的個人和機密資料。
醒目揭露事項與同意聲明規定如果應用程式存取、蒐集、使用或分享使用者個人和機密資料的行為，可能不在使用者運用該產品或功能時的合理預期範圍內，請務必遵守使用者資料政策的醒目揭露事項與同意聲明規定。 如果應用程式整合了第三方程式碼 (例如 SDK)，並預設以該程式碼蒐集使用者的個人和機密資料，請務必在收到 Google Play 要求後的 2 週內 (或 Google Play 指定的更長期限內) 提供充分證據，表明應用程式符合本政策的「醒目揭露事項與同意聲明」規定，而且透過第三方程式碼存取、蒐集、使用或分享資料的行為亦符合規定。 切記，使用第三方程式碼 (例如 SDK) 時，您必須確保這不會導致應用程式違反使用者資料政策。 請參閱這篇說明中心文章，進一步瞭解醒目揭露事項與同意聲明規定。 其他個人和機密資料存取規定下表列出了對於具體活動的詳細規定。
SDK 導致的違規行為示例
「資料安全性」專區所有開發人員均須針對旗下每個應用程式提供清楚正確的「資料安全性」專區，詳述蒐集、使用和分享使用者資料的行為。這包括揭露透過應用程式所用的第三方程式庫或 SDK 蒐集與處理使用者資料的行為。開發人員應負責確保相關標示正確無誤，並即時更新資訊。在適用情況下，此專區中的內容必須與應用程式隱私權政策中的揭露事項保持一致。 如要進一步瞭解如何完成「資料安全性」專區的設定，請參閱這篇說明中心文章。 請參閱使用者資料政策全文。 |
||||||
|
如果您需要使用的權限和 API 會存取機密資訊，則這類要求對使用者而言必須具備合理性。您只能要求使用必要的權限和 API 來存取機密資訊，以便應用程式能夠執行在 Google Play 商店資訊中所宣傳的現有功能或服務。請勿將存取使用者/裝置機密資訊的權限或 API 用於未揭露、未提供或遭禁止的功能或用途。您不得販售透過存取機密資訊的權限或 API 所取得的個人或機密資料，亦不得基於促銷目的分享這類資料。 請參閱存取機密資訊的權限和 API 政策全文。 SDK 導致的違規行為示例
|
惡意軟體是指任何可能將使用者、使用者的資料或裝置暴露在風險中的程式碼。惡意軟體包括但不限於可能有害的應用程式 (PHA)、二進位檔或架構修改內容。目前已知有木馬程式、網路釣魚、間諜軟體應用程式等類別，而我們還在持續更新及增加新類別。
請參閱惡意軟體政策全文。
SDK 導致的違規行為示例
- 應用程式所含的 SDK 程式庫來自散布惡意軟體的供應商。
- 應用程式違反 Android 權限模型，或從其他應用程式竊取憑證 (例如 OAuth 權杖)。
- 應用程式濫用功能，讓使用者無法將其解除安裝或停止。
- 應用程式停用 SELinux。
- 應用程式所含的 SDK 會透過存取裝置資料取得進階權限，並用於未經揭露的用途，因此違反 Android 權限模型。
- 應用程式所含的 SDK 程式碼會誘騙使用者訂閱或購買內容，並將費用併入電信帳單。
未經使用者授權即取得裝置 Root 權限的權限提升應用程式，會被歸為取得 Root 權限的應用程式。
間諜軟體
間諜軟體是帶有惡意的應用程式、程式碼或行為，會蒐集、竊取或分享使用者/裝置資料，而這些動作與符合政策規定的功能無關。
若惡意程式碼或程式行為疑似會監視使用者，或是未充分告知使用者或徵得同意即洩漏資料，亦可視為間諜軟體。
請參閱間諜軟體政策全文。
例如，SDK 導致的間諜軟體違規行為包括但不限於：
- 應用程式使用的 SDK 會傳輸語音或電話錄音資料，但此種作為與符合政策規範的應用程式功能無關。
- 應用程式內含惡意的第三方程式碼 (例如 SDK)，會以使用者無法預期的方式，將裝置上的資料傳輸至他處，而且/或者執行此作業時，未充分告知使用者或徵得同意。
確保行為公開透明並清楚揭露相關資訊所有程式碼的行為都必須合乎對使用者所做的承諾。應用程式必須提供所標榜的所有功能，且不得讓使用者產生混淆。 違規示例：
保護使用者資料請清楚公開揭露對於使用者個人和機密資料的存取、蒐集、使用及分享行為。運用使用者資料時，必須遵循所有相關適用的使用者資料政策，並採取所有預防措施來保護資料。 違規示例：
請參閱行動垃圾軟體政策全文。 |
|
我們禁止任何應用程式干擾、中斷、損害或以未經授權的方式存取使用者的裝置、其他裝置或電腦、伺服器、網路、應用程式設計介面 (API) 或服務，包括但不限於裝置上的其他應用程式、任何 Google 服務或授權電信業者的網路。 如果應用程式或第三方程式碼 (例如 SDK) 會在執行階段載入 JavaScript、Python、Lua 等解譯語言 (例如未封裝於應用程式中)，則不得允許可能違反 Google Play 政策規定的行為。 我們禁止會導入或利用安全漏洞的程式碼。請查看「應用程式安全性提升計畫」，掌握我們為開發人員提供的最新安全性問題資訊。 請參閱裝置與網路濫用行為政策全文。 SDK 導致的違規行為示例
|
|
我們禁止應用程式企圖欺騙使用者或助長欺騙行為，包括但不限於遭判定為功能不實的應用程式。應用程式必須就其功能，在中繼資料的各個部分提供正確的相關揭露事項、說明和圖片/影片。此外，應用程式不得試圖模仿作業系統或其他應用程式的功能或警告。如要對裝置設定做出變更，必須事先告知使用者並徵得同意，同時確保使用者能復原變更。 請參閱欺騙行為政策全文。 行為公開透明對使用者而言，應用程式功能應清楚明瞭。請勿在應用程式中加入任何隱藏、未使用或未記錄的功能。我們禁止以任何手段規避應用程式審查。為確保使用者安全、系統完整性及合乎政策規定，應用程式可能必須提供其他詳細資料。
SDK 引發的違規行為示例
|
SDK 造成違規行為通常與哪些 Google Play 開發人員政策相關？
為協助您確保應用程式使用的第三方程式碼遵守《Google Play 開發人員計畫政策》，請參閱下列政策全文：
儘管與上述政策相關的問題更常見，但也要留意，不合規範的程式碼同樣可能造成應用程式違反其他政策。請務必閱讀並及時瞭解所有政策條文，因為各位身為應用程式開發人員，有責任確保 SDK 在處理應用程式資料時遵守政策規定。
如需瞭解詳情，請造訪說明中心。