本规则适用于对移动互联网应用程序（以下称“App”）的数据安全认证。

App安全认证的认证依据为 GB/T 35273《信息安全技术个人信息安全规范》及相关标准、规范。

上述标准原则上应执行国家标准化行政主管部门发布的最新版本。

App安全认证的认证模式为：技术验证+现场核查+获证后监督。

4.1认证申请

4.1.1申请方

认证申请主体为通过App向用户提供服务的网络运营者（以下简称“App运营者”），且取得市场监督管理部门或有关机构注册登记的法人资格。

App运营者有下列情形之一的，不得申请认证：

（1）违反相关法律法规；

（2）在12个月内发生重大信息安全事件；

（3）所持同类证书在撤销认证影响期内；

（4）认证机构规定的其他情况。

4.1.2 申请单元的确定

原则上按App版本申请认证。同一名称的App，版本号、操作系统平台等不同时，一般应分为不同申请单元，具体由认证机构依据本规则制定的认证实施细则予以规定。

4.1.3申请方应提交的文件和资料

认证申请方在申请认证时，提交的文档资料应至少包含以下内容：

（1）认证申请书；

（2）法人资格证明材料；

（3）App版本控制说明；

（4）对认证要求符合性的自评价结果及相关证明文档；

（5）对App符合相关安全技术标准的证明文件；

（6）不同发布渠道的版本差异性声明；

（7）其他需要的文件。

4.2 认证受理

认证机构对申请资料进行审核后做出受理决定，并向认证申请方反馈受理决定。

4.3技术验证

4.3.1 样品获取

认证申请方按照申请书填写的送样方式提交样本。

送样副本应反映所有发布渠道App副本与认证相关的技术特性；不能反映时，还应选送申请单元内其他App副本。

4.3.2 技术验证依据的标准

技术验证的依据为 GB/T 35273《信息安全技术个人信息安全规范》。

认证机构应根据GB/T 35273制定技术验证规范，确定针对标准要求的技术验证内容、方法和评价准则。

4.3.3技术验证方式

技术验证采用实验室检测和现场核查等方式进行。

4.3.4 技术验证实施

检测机构按照技术验证规范实施技术验证，并按照认证机构有关规定出具技术验证报告。

发现不符合时，检测机构向认证申请方出具不符合报告，并要求限期整改；逾期未完成整改的，中止认证过程。

4.4现场审核

技术验证通过后，认证机构对App运营者进行现场审核。

4.4.1现场审核依据的标准

现场审核的依据为 GB/T 35273《信息安全技术个人信息安全规范》。

认证机构应根据GB/T 35273制定现场审核规范，确定针对标准要求的现场审核内容、方法和评价准则。

4.4.2现场审核实施

认证机构按照现场审核规范实施现场审核，并按认证机构有关规定出具现场审核报告。

发现不符合时，认证机构向认证申请方出具不符合报告，并要求限期整改；逾期未完成整改的，中止认证过程。

4.5认证决定

认证机构根据申请资料、技术验证结论和现场审核结论等进行综合评价，做出认证决定。认证决定通过后，由认证机构向认证申请方颁发认证证书，并授权获证App运营者使用规定的认证标志。认证决定不通过的，终止认证。

4.6对认证决定的申诉

认证申请方如对认证决定结果有异议，可在收到认证结果通知后10个工作日内通过认证机构指定的申诉渠道进行申诉。认证机构自收到申诉之日起，应在5个工作日决定是否予以受理；对于受理的申诉，一般应在30个工作日给出处理结果，并将处理结果书面通知认证申请方。

4.7获证后监督

获证App运营者应持续进行获证后自评价，并配合认证机构的监督活动。

认证机构应对获证App和App运营者实施持续监督，监督方式包括日常监督和专项监督。

4.7.1获证后自评价

获证App运营者应对获证App持续符合认证要求的情况进行自评价。当出现如下情形时，获证App运营者应向认证机构提交自评价报告：

（1）获证App的分发渠道发生变化；

（2）认证标志使用情况发生变化；

（3）获证App发生变更，以及所引起的收集、处理和使用个人信息的目的、类型、方式发生变化；

（4）获证App运营者对所收集个人信息的共享、转让、公开披露的对象、方式和目的发生变化；

（5）获证App运营者收到获证App个人信息保护相关的投诉举报。

4.7.2 日常监督

认证机构应对获证App和App运营者持续实施日常监督，日常监督的内容至少包括以下方面：

（1）获证App一致性检查；

（2）获证App的更新情况；

（3）认证证书和认证标志的使用情况；

（4）企业开展自评价的情况；

（5）获证App被网民举报投诉和社会媒体曝光情况；

（6）其他影响获证App在个人信息收集、处理和使用方面持续符合认证要求的情况。

认证机构应定期对日常监督情况进行评价，形成日常监督报告。

4.7.3专项监督

当出现如下情形，认证机构应启动专项监督：

（1）网民举报投诉、媒体曝光、行业通报等涉及获证App存在个人信息安全方面的问题，并经查实获证App运营者负有责任时；

（2）获证App运营者因组织架构、服务模式等发生重大变更，或发生破产并购等可能影响App认证特性符合性时；

（3）认证机构根据日常监督结果，对获证App与本规则中规定的标准要求的符合性提出具体质疑时。

专项监督应对上述情形进行深入调查，并对获证App持续符合性全面审核，必要时还可进行技术验证。

认证机构可采取事先不通知的方式对获证App运营者实施专项监督。