上海农商银行手机银行（企业客户）
个人信息保护政策
本个人信息保护政策最近更新日期：2020 年 10 月 23 日
本个人信息保护政策生效日期：2020 年 10 月 23 日
前言
上海农村商业银行股份有限公司（以下简称“我行”或“上海农商银行”）
一直重视客户（以下简称“您”）的个人信息保护，并承诺始终贯彻落实个人信
息保护政策。在您使用我行提供的手机银行（企业客户）APP（以下简称“手机
银行”）服务时，我行将根据本《上海农商银行手机银行（企业客户）个人信息
保护政策》（以下简称“本个人信息保护政策”）以及其他相关法律文本中的有
关约定在中华人民共和国境内（为本个人信息保护政策之目的，不包括中国香港、
澳门特别行政区及台湾地区）收集、使用、储存及共享、转让、公开披露您的个
人信息。此外，我行将通过本个人信息保护政策，说明您如何访问、更正或更新、
删除、管理您的个人信息以及您所享有的相关权利。本个人信息保护政策适用于
您通过我行手机银行来访问和使用我行的产品和服务。
本个人信息保护政策与您使用我行的服务关系紧密，我行建议您仔细阅读
并理解本个人信息保护政策全部内容，尤其是确保已全部知晓并充分理解加粗
字体内容的含义及相应法律后果，并在此基础上自主做出您认为适当的选择。我
行将恪守以下原则，保护您的个人信息：权责一致原则、目的明确原则、选择同
意原则、最小必要原则、确保安全原则、主体参与原则、公开透明原则。同时，
我行努力用通俗易懂、简明扼要的文字表达，并对本个人信息保护政策中与您的
权益存在重大关系的条款，采用粗体字进行标注以提示您注意。如您对本个人信
息保护政策内容有任何疑问、意见或建议，您可联系我行的客服（客服热线：021-
962999、4006962999）咨询。
本个人信息保护政策将帮助您了解以下内容：
一、我行如何收集和使用您的个人信息；
二、我行如何使用 Cookie 和同类技术；
三、我行如何委托处理、共享、转让和公开披露您的个人信息；四、我行如何存储和保护您的个人信息；
五、您的权利；
六、对第三方的责任声明；
七、对未成年人个人信息的约定；
八、本个人信息保护政策如何更新；
九、如何联系我行。
一、我行如何收集和使用您的个人信息
个人信息是指以电子或者其他方式记录的能够单独或者与其他信息结
合识别特定自然人身份或者反映特定自然人活动情况的各种信息。
个人信息包括姓名、出生日期、身份证件号码、个人生物识别信息、通
信通讯联系方式、住址、账户信息、交易信息、财产信息、征信信息、消费
偏好、行踪轨迹、个人教育工作信息、健康生理信息等。其中，个人信息中
属于个人敏感信息的包括：身份证件号码、个人生物识别信息、银行账号、
财产信息、征信信息、行踪轨迹、住宿信息、健康生理信息、交易信息、不
满 14 周岁的未成年人个人信息等。
在您使用手机银行服务的过程中，我行会按照合法、正当、必要的原则，
按照如下方式收集您因使用服务所产生的或在使用服务时主动提供的信息，
用以向您提供服务、优化我行的服务，并保障您的账户安全：
（一）我行如何收集您的个人信息
1.当您激活手机银行时，我行需要收集您的企业账号、证件类型及证件
号码、操作员姓名、短信验证码，用于验证身份和完成手机银行激活。如您
拒绝提供上述信息，您可能无法激活手机银行或无法正常使用我行的服务。
2.当您首次登录手机银行时，我行需要收集您的注册账号/手机号码、
登录密码，用于有效性核验。如您拒绝提供上述信息，您将无法登录手机银
行，但不影响您正常使用未登录情况下可用的功能或服务。如您需要修改登
录密码（交易密码），我行需要收集您的短信验证码、原登录密码（交易密
码）、新登录密码（交易密码），用于验证身份和完成登录密码（交易密码）
修改。除首次登录需要使用账号密码登录外，后续登录您可以选择基于设备本地生
物特征的指纹/Face ID 认证方式或通过设置手势密码进行登录，以帮助您后续
使用手势密码/指纹/Face ID 进行验证和完成登录。我行仅会收集您手机终端对
于指纹/Face ID 的认证结果，不留存您手机终端生物特征信息。如您拒绝提供
上述信息，您将无法使用指纹/Face ID/手势密码认证方式登录手机银行，但不
影响您使用其他登录方式或使用账号密码登录和正常使用未登录情况下可用的
功能或服务。您可以通过手机银行“客户服务”开启或关闭指纹/Face ID/手势
密码认证功能。
3.当您使用小额转账、新增收款人服务时，您需要提供收款方姓名、预留手
机号、财务负责人信息、银行卡卡号/账号、开户银行、资金用途信息，用于验
证身份和帮助您完成新增收款人、小额转账。此外，我行还会收集您的收付款交
易记录，以便于您查询。如您拒绝提供上述信息，您将无法使用小额转账、新增
收款人服务，但不影响您正常使用手机银行的其他服务。
4.当您使用手机银行服务时，为了维护服务的正常运行、保障您的交易安全，
我行会收集您的地理位置信息、电子设备信息（包括设备型号、操作系统、手机
银行版本号、WiFiMAC 地址、唯一设备标识符、登录 IP 地址、接入网络的方式、
类型和状态）、操作日志信息。这些信息是向您提供服务所必须收集的基础信息，
以保障您正常、安全使用我行的服务。
5.在向您提供服务的过程中，我行系统还可能通过第三方 SDK 采集以下信
息，如您不提供以下信息，将无法使用此类服务：
（1）安全键盘 SDK：当您使用安全键盘时，CFCA 安全键盘会对您输入的密
码进行加密处理，用于键盘安全输入。
（2）飞天 KEY SDK：当您使用飞天 KEY 进行转账时，需要采集您的地理位
置信息，用于通过蓝牙/音频接口连接飞天 key 设备进行认证。
（3）微信 SDK：当您打开微信小程序或使用微信分享功能时，需要采集您的
设备信息，包括设备型号、MAC 地址、IMEI、IMSI、系统版本、手机型号，用于
打开微信小程序和实现微信分享。
6.您使用手机银行服务时，在以下情形中，您可选择是否授权我行使用您的
个人信息或权限：（1）相机（摄像头），用于识别二维码、扫一扫。
（2）地理位置（位置信息），用于手机银行交易风控、连接蓝牙 key。
（3）蓝牙，用于通过蓝牙将您的手机与蓝牙 key 连接并交互。拒绝授
权后，蓝牙 key 功能将无法使用或无法正常使用。
（4）网络通讯，用于与服务端进行通讯。拒绝授权后，手机银行所有
功能将无法使用或无法正常使用。
（5）电话，用于获取设备识别码、拨打电话。拒绝授权后，手机银行
将无法使用或无法正常使用。
（6）存储，用于缓存您在使用手机银行过程中产生的文本和图像，拒
绝授权后，手机银行将无法使用或无法正常使用。此外，用于图片保存、扫
一扫、收钱码签约，拒绝授权后，这些功能将无法使用或无法正常使用，但
不影响您使用手机银行的其他服务。
上述功能可能需要您在您的设备中向我行开启您的相机（摄像头）、地
理位置（位置信息）、蓝牙、网络通讯、电话、存储的访问权限，以实现这
些功能所涉及的信息的收集和使用。请您注意，您开启这些权限即代表您授
权我行可以收集和使用这些信息来实现上述功能，如您取消了这些授权，则
我行将不再继续收集和使用您的这些信息，也无法为您提供上述与这些授
权所对应的功能，但不影响您使用我行提供的其他服务。您关闭权限的决定
不会影响此前基于您的授权所进行的个人信息的处理。
（二）我行如何使用您的个人信息
为了遵守国家法律法规及监管要求，向您提供服务及提升服务质量，或
保障您的账户和资金安全，我行会在以下情形中使用您的信息：
1.实现本个人信息保护政策中“我行如何收集您的个人信息”所述目的；
2.为了保障服务的稳定性与安全性，保护您的账户与资金安全和履行反
洗钱的法定义务，我行会将您的个人信息用于身份验证、安全防范、诈骗监
测、预防或禁止非法活动、降低风险、存档和备份用途；
3.根据法律法规或监管要求向相关部门进行报告；4.当我行要将您的个人信息用于本个人信息保护政策未载明的其他用途时，
会按照法律法规的要求以确认协议、具体场景下的文案确认动作等形式再次征求
您的同意。
（三）征得授权同意的例外
根据相关法律法规及国家标准，以下情形中，我行可能会依法收集并使用您
的个人信息而无需征得您的同意：
1.与我行履行法律法规规定的义务相关的；
2.与国家安全、国防安全直接相关的；
3.与公共安全、公共卫生、重大公共利益直接相关的；
4.与刑事侦查、起诉、审判和判决执行等直接相关的；
5.出于维护您或他人的生命、财产等重大合法权益但又很难得到您本人同意
的；
6.所收集的个人信息是您自行向社会公众公开的；
7.根据您的要求签订和履行合同所必需的；
8.从合法公开披露的信息中收集的，如合法的新闻报道、政府信息公开等渠
道；
9.用于维护所提供的服务的安全稳定运行所必需的，如发现、处置产品或服
务的故障。
（四）收集、使用个人信息目的变更
随着我行业务的发展，我行可能会对手机银行的功能和提供的服务有所调整
变化。原则上，当新功能或服务与我行当前提供的功能或服务有关时，收集与使
用的个人信息将与原处理目的具有关联。在与原处理目的无关联的场景下，我行
收集、使用您的个人信息，会再次进行告知，并征得您的同意。
（五）其他
我行在向您提供其他业务功能时，会另行向您说明信息收集的范围与目的，
并征得您的同意后方收集提供相应服务所必要的您的信息。我行会按照本个人信
息保护政策以及相应的用户协议约定使用、存储、对外提供及保护您的信息。
二、我行如何使用 Cookie 和同类技术
（一）Cookie为确保网站正常运转，我行会在您的计算机或移动设备上存储名为
Cookie 的小数据文件。Cookie 通常包含标识符、站点名称以及一些号码和
字符。借助于 Cookie，网站能够存储您的偏好或者您使用的商品或服务等
数据。我行不会将 Cookie 用于本个人信息保护政策所述目的之外的任何用
途。您可根据自己的偏好管理或删除 Cookie。您可以清除计算机上保存的所
有 Cookie，大部分网络浏览器都设有阻止 Cookie 的功能。但如果您这么做，
则需要在每一次访问我行的网站时亲自更改客户设置。
（二）Do Not Track（请勿追踪）
很多网络浏览器均设有 Do Not Track 功能，该功能可向网站发布 Do
Not Track 请求。目前，主要互联网标准组织尚未设立相关政策来规定网站
应如何应对此类请求。但如果您的浏览器启用了 Do Not Track，那么我行
的所有网站都会尊重您的选择。
三、我行如何委托处理、共享、转让和公开披露您的个人信息
（一）共享
1.我行不会与任何公司、组织和个人共享您的个人信息，除非获得您的
明确同意。目前我行会在以下情形中，向您征求您对共享个人信息的授权同
意：
我行可能会将您的个人信息与我行的关联方共享。但我行只会共享必
要的个人信息，且受本个人信息保护政策中所声明目的的约束。我行的关联
方如要改变个人信息的处理目的，将再次征求您的同意。
2.我行可能会依据法律法规的规定，或按政府机构、监管部门、司法机
构的强制性要求对外共享您的个人信息。
（二）转让
我行不会对外转让您的个人信息，除非出现以下情况：
1.获得您的明确同意或授权；
2.依据法律法规的规定，或按政府机构、监管部门、司法机构的强制性
要求对外转让您的个人信息；
3.根据法律法规和商业惯例，在我行发生合并、收购、资产转让或类似
交易中，如涉及个人信息转让，我行会告知您相关情况，同时要求新的持有您个人信息的公司、组织继续受本个人信息保护政策的约束，承担相应的义务和
责任，否则我行将要求该公司、组织重新征求您的同意并获得授权。如前述交易
将会导致使用您个人信息的目的发生重大变更，我行将重新征求或要求新的持有
您个人信息的公司、组织重新取得您的同意和授权。
（三）公开披露
我行不会公开披露您的个人信息，除非出现以下情况：
1.获得您的明确同意或授权；
2.依据法律法规的规定，或按政府机构、监管部门、司法机构的强制性要求
公开披露您的个人信息。在此种情况下，我行将公开披露您的个人信息。
（四）征得您的授权同意的例外
根据相关法律法规及国家标准，以下情形中，我行可能会共享、转让、公开
披露您的个人信息且无须事先征得您授权同意：
1.与我行履行法律法规规定的义务相关的；
2.与国家安全、国防安全直接相关的；
3.与公共安全、公共卫生、重大公共利益直接相关的；
4.与刑事侦查、起诉、审判和判决执行等直接相关的；
5.出于维护您或其他个人的生命、财产、声誉等重大合法权益但又很难得到
您本人同意的；
6.您已自行向社会公众公开的个人信息；
7.从合法公开披露的信息中收集的客户信息，如合法的新闻报道、政府信息
公开等渠道。
四、我行如何存储和保护您的个人信息
（一）个人信息的存储
1.依照法律法规的规定，我行在中华人民共和国境内产生、收集、获得的个
人信息，将存储在中华人民共和国境内。
2.我行会采取一切合理可行的措施，确保未收集和保存无关的个人信息。
3.我行仅在法律法规要求的期限内，为实现本个人信息保护政策之目的，以
及为您提供服务所必须的最短时间内保留您的个人信息，除非有必要延长保留期或得到法律允许。超出前述存储时间后，我行会对您的个人信息进行删除
或匿名化处理。
4.当我行的产品或服务发生停止运营的情况时，我行将以公告、推送通
知、站内信等形式通知您，并在合理期限内删除您的个人信息或进行匿名化
处理，法律法规另有规定的除外。
（二）个人信息的保护措施
1.我行已采用符合业界标准的安全防护措施保护您的个人信息，防止数
据遭到未经授权的访问、公开披露、使用、修改、损坏或丢失。我行会采取
一切合理可行的措施，保护您的个人信息。例如，我行会使用加密技术确保
数据的保密性；我行会使用受信赖的保护机制防止数据遭到恶意攻击；我行
会部署访问控制机制，确保只有授权人员能够访问个人信息。
2.信息安全方面，我行建立的信息安全管理体系符合 GB/T22080-
2016/ISO/IEC27001:2013 及适用性声明，并获得相应的认证。
3.我行的数据安全能力：我行已使用符合业界标准的安全防护措施保护
您提供的个人信息，尽最大可能防止数据遭到未经授权的访问、公开披露、
使用、修改、损坏或丢失。我行会采取一切合理可行的措施，保护您的个人
信息。
4.根据我行的备份策略，为确保稳定、持续地向您提供有关服务并落实
有关法律法规和监管的要求，您的个人信息将同步存储至我行备份数据库；
技术保障措施上，我行在存储时采取了不可逆的加密存储或隔离存储，在信
息展示和下载时采取了脱敏处理，传输时采取了专线传输、加密传输、密钥
和数据介质隔离传输等技术措施，以确保您的个人信息安全。
5.互联网并非绝对安全的环境，我行将尽力确保您发送给我行的任何
信息的安全性。同时，也请您务必妥善保管您的手机银行的登录名、登录密
码及其他身份要素，使用复杂密码。您在使用手机银行服务时，我行会通过
您的登录名、登录密码及其他身份要素来识别您的身份。一旦您泄漏了前述
信息，您可能会遭受损失，并可能产生对您不利的法律后果。如您发现手机
银行登录名及/或其他身份要素可能或已经泄露时，请您立即修改并与我行
取得联系，以便我行及时采取相应措施以避免或降低相关损失。6.在您终止使用手机银行服务后，我行会停止对您的信息的收集和使用，法
律法规或监管部门另有规定的除外。如我行停止运营，我行将及时停止收集您个
人信息的活动，将停止运营的通知以逐一送达或公告的形式通知您，并对所持有
的您的个人信息进行删除或匿名化处理。
7.如不幸发生个人信息安全事件，我行将按照法律法规的要求，及时将事件
相关情况以邮件、信函、电话、推送通知等方式告知您，或采取合理、有效的方
式发布公告。同时，我行还将依据监管规定，上报个人信息安全事件处置情况。
五、您的权利
按照中华人民共和国相关法律法规和其他监管规定，我行保障您对您的个人
信息行使以下权利：
（一）访问您的个人信息
您有权访问您的个人信息，法律法规规定的例外情况除外。您可以通过手机
银行“我的”，访问操作员信息。
如果您想访问您在使用我行的产品和服务过程中产生的其他个人信息，请通
过客服热线 021-962999、4006962999 联系我行，只要我行不需要过多投入，我
行会在合理的范围内向您提供。
（二）更新、更正您的个人信息
当您发现我行处理的关于您的个人信息有错误或您需要更新您的个人信息
时，您有权要求我行进行更正、更新。
如您需要更新、更正财务负责人信息，您可以通过手机银行“客户服务-财
务负责人维护”进行更新、更正。
若无法更正、更新，您可以通过客服热线 021-962999、4006962999 联系我
行。我行会在 15 个工作日内回复您的更正、更新请求。
（三）删除您的个人信息
如出现以下情形，您有权要求我行删除您的个人信息：
1.如果我行处理您个人信息的行为违反法律、法规的规定；
2.如果我行在未征得您同意的情况下收集、使用您的个人信息；
3.如果我行处理您个人信息的行为违反了与您的约定；
4.如果您不再使用我行的产品或服务，或您注销了账户；5.如果我行不再为您提供产品或服务。
当您从我行的服务中删除信息后，我行可能不会立即在备份系统中删除
相应的信息，但会在备份更新时删除这些信息。
（四）改变您授权同意的范围及取消授权
每个业务功能均需要一些基本的个人信息才能得以完成。对于我行收
集和使用您的个人信息，您可以随时给予或收回您的授权同意。
您有权决定是否继续授权我行收集、处理、使用您的个人信息。如您需
要取消授权，您可以通过“客户服务-《上海农商银行企业客户隐私政策》-
撤销同意协议”来撤回您关于我行继续收集您个人信息的授权。授权取消后，
我行将不再继续收集、处理、使用您相应的个人信息，同时我行将无法向您
提供部分服务和业务功能。
但您取消授权的决定将不会影响此前我行基于授权对您个人信息进行
的处理。超出前述存储时间后，我行会对您的个人信息作删除或匿名化处理。
（五）注销您的账户
您有权随时可通过我行网点注销您此前注册的账户。受理注销账户请求
后，需要人工处理的，如无特殊情况，我行将在 15 个工作日内完成核查和
处理。
账户注销后，我行将停止为您提供产品或服务，但法律法规另有规定的
除外。但您在使用手机银行服务期间提供或产生的信息我行仍需按照监管
要求的时间进行保存，且在该依法保存的时间内有权机关仍有权依法查询。
请您注意，作为手机银行注册用户，在您仅从手机设备中删除手机银行
时，我行不会注销您的手机银行账户，有关您手机银行的一切信息不会删除。
您仍需通过上述流程方能注销您的手机银行账户。
（六）确保您的上述要求得到响应
为保障您的个人信息安全，可能需要您提出书面请求，并证明您的身份。
我行有权要求验证您的身份之后再处理您的请求。如无特殊情况，我行将在
15 个工作日内做出答复。
对于您的合理请求，我行原则上不收取费用。但对于多次重复、超出合
理限度的请求，我行将视情况收取一定成本费用。对于无端重复、需要过多技术手段、给他人合法权益带来风险或非常不切实际的请求，我行有权予以拒绝。
尽管有上述约定，按照法律法规要求，如出现以下情况，我行将无法响应您
的请求，请您谅解：
1.与国家安全、国防安全直接相关的；
2.与公共安全、公共卫生、重大公共利益相关的；
3.与刑事侦查、起诉、审判和判决执行等相关的；
4.有充分证据表明您存在主观恶意或滥用权利的；
5.如响应您的请求将导致您或其他个人、组织的合法权益受到严重损害的；
6.涉及商业秘密的；
7.与我行履行法律法规规定的义务相关的；
8.出于维护您或他人的生命、财产等重大合法权益但又很难得到本人同意的。
如您对我行个人信息保护安全不满意或发现问题，可以致电我行客服热线
021-962999、4006962999 或向投诉邮箱 962999@srcb.com 进行投诉、举报。如
无特殊情况，我行将在 15 个工作日内受理和处理您的投诉、举报。
六、对第三方的责任声明
请您注意，您的交易相对方、您访问的第三方网站经营者、通过我行接入的
第三方提供的服务和接收您的个人信息的第三方可能有自己的个人信息保护政
策；当您查看第三方创建的网页或使用第三方开发的应用程序时，这些第三方可
能会放置他们自己的 Cookie 或其它插件，这些 Cookie 或插件不受我行的控制，
且它们的使用不受本个人信息保护政策的约束，建议您与他们联系以获得关于
他们的个人信息保护政策的详细情况。如您发现这些第三方创建的网页或第三
方开发的应用程序存在风险时，建议您终止相关操作以保护您的合法权益。
七、对未成年人个人信息的约定
1.我行期望父母或监护人指导未成年人使用我行的服务，未经父母或监护人
同意，未成年人不得创建自己的用户账户。我行将根据国家相关法律法规的规定
保护未成年人的个人信息的保密性及安全性。
2.如您为未成年人，请您的父母或监护人阅读本个人信息保护政策，并在征
得您父母或监护人同意的前提下使用我行的服务或向我行提供您的信息。对于经父母或监护人同意而收集您的信息的情况，我行只会在受到法律允许、父
母或监护人明确同意或者保护您的权益所必要的情况下使用或公开披露此
信息。如您的监护人不同意您按照本个人信息保护政策使用我行的服务或
向我行提供信息，请您立即终止使用我行的服务并及时通知我行，以便我行
采取相应的措施。
3.如您为未成年人的父母或监护人，请您仔细阅读本个人信息保护政策。
当您对您所监护的未成年人的个人信息处理存在疑问时，请通过本个人信息
保护政策中的联系方式联系我行。
八、本个人信息保护政策如何更新
1.根据国家法律法规及提供服务、业务运营的需要，我行可能对本个人
信息保护政策进行部分或全部修订。修改后的内容将通过包括但不限于推送
通知、弹窗形式、手机银行公告等方式来通知您。特别的，对于重大变更内
容，我行还会提供更为显著的通知。
2.本个人信息保护政策所指的重大变更包括但不限于：
（1）我行的服务模式发生重大变化。如处理个人信息的目的、处理的
个人信息类型、个人信息的使用方式等；
（2）我行在所有权结构、组织架构等方面发生重大变化。如业务调整、
破产并购等引起的所有者变更等；
（3）个人信息委托处理、共享、转让或公开披露的主要对象发生变化；
（4）您参与个人信息处理方面的权利及其行使方式发生重大变化；
（5）我行负责处理个人信息安全的责任部门、联络方式及投诉渠道发
生变化时；
（6）个人信息安全影响评估报告存在高风险时。
3.您有权选择是否继续授权我行收集、处理和使用您的个人信息。请您
在充分理解我行修改后的个人信息保护政策的基础上，作出您认为适当的
选择。若您不同意修改后的个人信息保护政策，您有权并应立即停止使用我
行的产品/服务。4.您可以在我行手机银行通过“客户服务-《上海农商银行企业客户隐私政
策》”查看本个人信息保护政策。我行鼓励您在每次使用手机银行时都查阅我行
的个人信息保护政策。
如何联系我行
如您对本个人信息保护政策有任何疑问、意见或建议，可通过以下方式与我
行联系：
我行全称：上海农村商业银行股份有限公司，地址：上海市中山东二路 70
号，邮编 200002；联系电话：客服热线 021-962999、4006962999。
一般情况下，我行将在 15 个工作日内回复。
如您对我行的回复不满意，特别是我行个人信息处理行为损害了您的合法权
益，您可以向有关政府部门或行业协会进行反映。