小米是怎么做好数据安全与隐私保护的？

 智能汽车安全新媒体 

小米坚信用户对其隐私拥有知情权与控制权。用户始终对其数据拥有独立控制（包括获取、修正或删除用户与我们共享的个人数据）的权利，小米只会在用户授权同意的情况下收集用户数据。无论何时何地，用户都可以在“隐私支持”中请求获取、修正或删除小米所收集的信息。

小米遵循公开透明政策，让用户全面了解收集的信息种类以及信息用途。《小米隐私政策》适用于所有小米设备、网站或应用程序，覆盖小米集团以及小米集团所有子公司， 小米对特定小米产品或服务还制定了独立的数据安全与隐私保护政策。

小米坚持最大限度减少数据收集和保留，只会收集为实现具体、特定、明确及合法的目的所必需的信息，并且确保不会对这些信息进行与上述目的不相符的进一步处理。在没有得到用户许可的情况下，小米的 AI 算法不会上传任何用户数据。

隐私和安全保护一直是小米产品设计的关键理念。小米致力于建立标准化、可持续的隐私影响评估程序，以确保产品和服务始终符合个人信息保护相关的法律法规。小米不会将任何个人信息出售给第三方，保证仅出于正当、合法、必要、特定、明确的目的共享为用户提供服务所必要的个人信息。小米将在必要时对第三方服务提供商进行尽职调查并签订合同，以确保其遵守用户所属司法管辖区中适用的数据安全与隐私保护法律。

小米已建立数据安全与隐私事件响应工作机制，明确事件响应团队与上报规范，以规范数据安全与隐私保护事件分类、上报和通知流程，通过制定数据安全与隐私保护事件预案场景，并定期演练，以提升应对突发事件的应急能力。此外，小米设置了公开的隐私问题反馈通道，面向包括用户、员工、合作伙伴、公众等全部人群。

小米十分重视对于供应商及合作伙伴数据安全与隐私保护的管理。对小米与之共享个人信息的合作伙伴，小米会对其数据安全环境进行合理审查，并与其签署严格的数据处理协议。小米亦要求第三方对用户的信息采取足够的保护措施，确保其遵守小米的数据安全与隐私保护原则。

在供应商准入阶段，供应商须按照小米数据安全与隐私保护审查程序进行申报与测评，如未通过，小米将要求供应商进行整改，直至通过后方可与小米开展合作。在合作期间，小米定期开展对供应商数据安全与隐私保护保护实践情况的审核，如发现问题则要求供应商暂停合作进行整改，整改完成后方可继续进行业务合作。

概念阶段——包括安全开发流程和安全需求培训；

计划阶段——根据产品隐私安全性受到损害时对用户产生的影响进行安全定级，并根据等级对产品安全技术需求进行评估，如产品方案不满足评估要求，则需对方案进行调整，直至合格后方可通过立项；

设计阶段——包括安全设计基线与威胁建模设置；

开发阶段——生成安全编码规范以及代码安全扫描；

验证阶段——在产品各测试阶段嵌入根据安全漏洞等级判断的安全测试，通过测试后的产品方可进入设备固件和软件开发阶段，产品完成开发前，需再次通过安全测试方可上线；

发布阶段——开展“安全蓝军”计划，完成安全事件响应测试；

生命周期——持续改进并维护产品隐私安全。