Current Precise Location Data Collection Not Disclosed in Privacy Policy

隐私政策中未披露的当前精确位置数据收集

Risk: medium

描述

应用程序收集用户的当前精确位置数据 (Current Precise Location Data)，但隐私政策并未明确披露这种做法。精确位置数据可以揭示有关个人移动和习惯的敏感细节。未能向用户告知这种收集做法可能会产生误导，并可能违反隐私法规，因为这些法规通常要求获得用户的明确同意才能访问和处理此类数据。

建议

更新应用程序的隐私政策，以明确声明收集了当前的精确位置数据。清楚地描述这种收集的目的，以及数据的使用、处理、存储方式和保留期限。确保在访问精确位置之前获得用户的明确同意，并为用户提供易于理解的控制项以管理此权限。

链接

• GDPR - Recital 49 (Location Data)
• Apple Developer - Accessing Protected Resources (Location)
• Android Developer - Location and SENSORS
• CWE-359: Exposure of Private Information ("Privacy Violation")

标准

• GDPR:
  • ART_5
  • ART_6
  • ART_7
  • ART_12
  • ART_13
  • ART_25
  • ART_32
• CCPA:
  • CCPA_1798_100
  • CCPA_1798_110
  • CCPA_1798_150
• OWASP_MASVS_v2_1:
  • MASVS_PRIVACY_1
  • MASVS_PRIVACY_2
• SOC2_CONTROLS:
  • CC_2_3
  • CC_5_3
  • CC_6_1
• CNIL_FOR_EDITORS:
  • EDITORS_3_1_1
  • EDITORS_3_1_2
  • EDITORS_5_1_1
  • EDITORS_5_1_5