TW Developer Screening

依據數位發展部在2023年10月12日公告的《數位經濟相關產業個人資料檔案安全維護管理辦法》，數位經濟相關產業業者應規劃、訂定及執行個人資料檔案安全維護計畫及業務終止後個人資料處理方法，且如有透過資通系統蒐集、處理或利用用戶的個人資料時，並應採取特定之資料安全管理措施。

為此，蝦皮已制定蝦皮開放平台(Shopee Open Platform)的資料保護政策，開發者需依照該政策:

• 第10.6條規定：刪除超過90天的個人資料，及
• 第10.2條規定：就90天內之個資按產業標準加密演算法及密鑰強度進行加密

為保障蝦皮購物平台用戶的個人資料安全及確保開發者遵循蝦皮開放平台的資料保護政策，開發者需配合年度資安調查並定期提供及填寫資料安全管理措施的相關文件。

請注意，若開發者逾期未完成蝦皮每階段的調查，及/或經蝦皮單方評估有資料安全疑慮者，蝦皮將會依據蝦皮開放平台的資料保護政策辦理並限制開發者帳號權限。

所有擁有蝦皮開放平台帳號的TW開發者皆為符合對象。

調查時間將會從每年五月開始，此調查開始後，將會透過開發者註冊蝦皮開放平台帳號時使用的e-mail地址寄送，若您需要增加更多收件人，請依據此說明在每年調查開始前依照蝦皮開放平台公告頁面第一點事項完成設置。

蝦皮將會透過系統發送電子郵件通知每階段審核結果或帳號權限遭受限制之情形。

蝦皮會在每年五月啟動資安調查，過程將分成四個階段:

1.第一階段 - 資安調查: 於此專案啟動後，開發者將會收到問卷填寫通知信，問卷需在時限30天內完成填寫，未於時限完成，將會有對應懲處。

2.第二階段 - 繳交改善計畫書: 若開發者於資安調查問卷的回答評級落在”初始級(Initial)”，則將在此階段收到通知信，開發者需於接獲通知信件時起算30天內提交「資安改善計畫書」；未於時限內繳交者，將會有對應懲處。

3.第三階段 - 視訊驗證一: 將依據資安改善計畫書內容評估，若未通過則將進入此階段。開發者收到通知信後，需根據通知信中的預約連結，於預約時限內預約視訊驗證；未於時限內預約者，將會有對應懲處。

4.第四階段 - 視訊驗證二: 依據”視訊驗證一”之結果，未通過者將會收到通知信，並且需要進行”視訊驗證二”，開發者收到通知信後，需根據通知信中的預約連結，於預約時限內預約視訊驗證；未於時限內預約者，將會有對應懲處。此階段仍未通過驗證，將會被永久限制帳號權限，無法復原。

針對資安調查，此評估服務使用之資訊安全架構評估方法論，主要係針對組織資訊安全面向進行各構面之瞭解，除組織之管理面外，亦涵蓋組織之技術面；蝦皮會依據開發者填具之資訊安全評估問卷，以評估其整體資安現況。

問卷構面結合資訊安全國際標準，並共分為五大構面。最終會依據填寫的內容進行對應的評級，評級等級定義如下：

1.初始級(Initial)

基本上尚未有健全的資安管理制度，每件事情都以特殊方法執行。由於缺乏健全的總體管理和詳細計劃，導致完成任務所需的時間和費用經常超支。最終，大多數的行動只是應付危機，而非事先計劃好的任務。

2.可重覆級(Repeatable)

組織可基於過去相似的管理經驗，執行一些基本的資安項目管理行為、設計和管理技術。此等級組織的管理人員在問題出現時即可發現，並立即採取修正行動，以防它們變成危機。

3.已定義級(Defined)

已文件化資訊安全管理的過程。資訊安全的管理方面和技術方面都已明確定義，並依據需要持續改善，且採用稽核的方式來保證資訊安全的質量。

4.已管理級(Managed)

位在此等級的組織，對每個項目都已設定品質和目標，品質和目標將被不斷地測量，當偏離目標太多時，即採取行動來修正。

5.優化級(Optimizing)

位在此等級的組織目標，是持續地改進資安治理。這樣的組織從各方面中獲得的知識將被運用在以後的項目中，從而使資安治理過程融入了正反饋循環，使效率和品質得到穩步的改進。

另針對資料保存的驗證，以下僅為參考範例，您仍須自行確認相關法規及蝦皮開放平台的資料保護政策並依照實際情況調整，蝦皮不負任何建議責任:

1.對於超過90天的訂單資料:

1-1.您應完整移除訂單資料，如因財務目的需留存，應將屬個資欄位的資料（例如姓名、手機、地址）以刪除/亂數/星號取代等方式永久去識別化後儲存。

1-2.物流配送標籤如包含個人資料，不論物流方式為何，皆不能儲存在系統中。

2.對於未超過90天的訂單資料:

2-1.在提供給賣家使用的介面中，不能直接展示完整的個人資料，例如:新增點開才能閱覽個人資料的功能。

2-2.儲存個人資料的方式應按使用產業標準加密演算法及密鑰強度進行加密。

⚠️ 注意

如果發現開發者違反蝦皮的平台合作準則，即使該開發者符合上述所有評分標準，蝦皮仍有完全限制開發者使用開放平台的權利，以保護蝦皮用戶的數據資料。

5.1 逾期未交

5.1.1. 每個階段逾期未交/未預約仍可以補交/補預約？

除第四階段 - 視訊驗證二不接受補預約，其餘階段可於懲處後起算30天內進行補交/補預約動作，若超過30天期間，將會被永久限制帳號權限，無法復原。

5.2 帳號限制

5.2.1. 每個階段逾期未交/未預約會有什麼懲處？

逾期未交，您的帳號將無法：

• 透過 API 取得買家相關個人資料
• 授權新賣場，且已授權賣場到期後也無法重新授權

5.2.2. 每個階段逾期後補交或補預約，帳號限制多久會解除？

補交或補預約需3~5工作天作業時間

5.3 資訊通知

5.3.1. 每個階段的通知都是透過什麼管道？

如”2. 對象與通知方式”所述，將透過您註冊蝦皮開放平台帳號時使用的e-mail地址寄送，若您需要增加更多收件人，請依據此說明在每年調查開始前依照蝦皮開放平台公告頁面第一點事項完成設置。

蝦皮將會透過系統發送電子郵件通知每階段審核結果或帳號權限遭受限制之情形。

5.3.2. 帳號權限被限制會有通知嗎？

您的帳號權限被限制時，蝦皮將會透過系統發送電子郵件通知；您亦可登入Open platform後，前往”Console > App List”，即可查看帳號限制的相關說明