網絡支付服務提供者收集個人信息應在遵守G R / T 35273—2020中 5.1、5.2、5.3的要求基礎上.遵 守以下要求：

a） 通 過 A p p 收集必要個人信息應符合G B / T 41391—2022中 A . 5的規定；

b） 擴展業務功能收集的個人信息均應由用戶可選提供，H.應限于實現處理目的的最小范I韋1,常見 擴展業務功能收集的個人信息范圍及使用要求見附錄C;

c） 應采取具有信息輸入安全防護、即時數據加密功能的安全控件對支付鑒權信息的輸入進行安 全保護，并采取有效措施防止合作機構獲取、留存。

注 ：支付鑒權信息包括但不限于網絡支付交易口令、快捷支付口令、銀行卡密碼。

網絡支付服務提供者如提供跨境支付服務，在境外商戶消費、向境外匯款/接收境外匯款、為用戶提 供跨境支付結算服務等場景F ，涉及數據出境。網絡支付服務提供者數據出境應遵守以下要求:

a） 不涉及處理跨境支付業務的.不應向境外提供個人信息等數據；

b） 出境數據應僅限為處理跨境支付業務所需的必要信息；

c） 應建立數據出境記錄.包括但不限于出境時間、數據類型、數量、目的地、境外接收方等.相關記 錄至少保存五年；

d） 根據業務發展和運營情況，每年應自行或委托第二方機構對數據出境至少進行一次數據出境 風險評估。

附件：GB_T 42015-2022《信息安全技術 網絡支付服務數據安全要求》