T/TAF 163-2023 移动互联网服务互通和互操作通用要求

　　团 体 标 准

　　T/TAF 163—2023

　　移动互联网服务互通和互操作通用要求

　　General requirements for mobile internet service interoperability

　　2023-04-26 发布 2023-04-26 实施

　　电信终端产业协会 发布

　　前 言

　　本文件按照GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起草。

　　请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。

　　本文件由电信终端产业协会提出并归口。

　　本文件起草单位：中国信息通信研究院、泰尔认证中心有限公司、阿里巴巴(中国)有限公司、OPPO广东移动通信有限公司、维沃移动通信有限公司、华为技术有限公司、蚂蚁科技集团股份有限公司、百度在线网络技术(北京)有限公司。

　　本文件主要起草人：武林娜、刘陶、宋恺、王艳红、宁华、常琳、罗珞珈、袁玮、杜云、王淞鹤、桑明臣、方强、黄天宁、李腾、贾科、赵盈洁、衣强、陈鑫爱、周飞、李京典、李可心、白晓媛、马宝蓉。

　　引 言

　　在移动互联网服务行业自由发展的同时，为了满足日益丰富的产业及公众需求，维护社会公共利益，需要进一步推进移动互联网服务主体之间的互联和互操作，并建立一定的合理性规范。在这一过程中，期望通过标准先行、凝聚最佳实践的做法，为后续相关政策的制定提供借鉴，同时为保护企业合法权益并促进移动互联网服务之间的互通和互操作提供参考依据。

　　移动互联网服务互通和互操作通用要求

　　1 范围

　　本文件规定了移动互联网服务互通互操作的架构、参考模型及通用要求，提出了不同层面的互通互操作的典型场景、具体要求及安全管理保障要求。

　　本文件适用于移动互联网服务领域内企业对数据、应用及服务互通和互操作进行设计、开发和评估，也适用于主管部门、第三方评估机构等组织对移动互联网服务主体的互通互操作行为进行监督、管理和评估。

　　2 规范性引用文件

　　本文件没有规范性引用文件。

　　3 术语和定义

　　下列术语和定义适用于本文件。

　　3.1

　　互通和互操作 interoperability

　　移动互联网服务各产品之间建立连接，实现数据的安全流动与合理共享，以及业务的有效互通与便利操作，使不同产品的用户可以进行安全无障碍的便利切换和贯通服务。

　　3.2

　　移动互联网服务互通互操作主体 mobile Internet service interoperability controller

　　有能力决定互通和互操作内容、方式等的组织或个人，简称主体。

　　3.3

　　移动互联网服务互通互操作产品 mobile Internet service interoperability product

　　主体生产或运营的用于实现互通和互操作的产品，包括但不限于应用、服务、系统、设备，简称产品。

　　3.4

　　互通互操作发送方 interoperability sender

　　在互通互操作场景中，发送数据或指令的产品，简称发送方。

　　3.5

　　互通互操作接收方 interoperability receiver

　　在互通互操作场景中，接受数据或指令的产品，简称接受方。

　　3.6

　　市场支配地位 market dominant position

　　经营者在相关市场内具有能够控制商品价格、数量或者其他交易条件，或者能够阻碍、影响其他经营者进入相关市场能力的市场地位。

　　3.7

　　开放平台 open platform

　　从事互联网信息服务的企业运营的、通过互联网提供第三方开发者使用接口等资源以开发、展示、分发和管理开发者应用或服务的平台。该开放平台服务是将运营主体的一部分数据、能力或资源开放给第三方，使第三方使用其对外提供的产品或服务，或者基于开放的能力进一步开发产品，并通过平台与平台另一端的用户(如消费者)等进行交互的模式。

　　4 互通及互操作架构及参考模型

　　移动互联网服务的互通和互操作典型架构见图1，主要分成两个层面：

　　a) 数据层面的互通互操作，其典型场景包括但不限于：

　　1) 个人信息跨平台携带场景(如账号数据、设备数据、医疗健康数据、歌单数据、云盘数据等);

　　2) 具有公共属性的服务场景(如恶意应用信息共享、威胁数据共享等)。

　　b) 应用及服务层面的互通互操作，其典型场景包括但不限于：

　　1) 网址链接互通互操作;

　　2) 小程序互通互操作;

　　3) 搜索引擎互通;

　　4) 支付选项互通;

　　5) 基于开放平台的互通互操作。

　　图1 移动互联网服务互通和互操作架构

　　移动互联网服务的互通和互操作的参考模型见图2，主要有两类模型：

　　a) 主体直联模型：主体双方直接根据约定进行互通和互操作。

　　b) 基于第三方平台的互通模型： 主体之间不建立直接的连接，使用或借助第三方平台传输、加工或汇集各主体的指令或数据实现互通，并由第三方平台直接向主体各方下发指令、传输数据等操作。

　　a) 主体直联模型 b)基于第三方平台的互通模型

　　图2 互通和互操作参考模型类型

　　5 互通和互操作原则

　　主体开展互通和互操作应遵循合法、正当、公平、公正的原则，具体包括：

　　a) 目的正当： 具有合法、正当、明确的互通和互操作目的，不得影响其他服务功能;

　　b) 公开透明：互通和互操作应遵循公开、透明原则，公开互通及互操作规则;

　　c) 平等公平： 主体应遵循平等、公平、诚信的原则，不得对互通和互操作参与方实施恶意不兼容，或设置不合理的程序要求，或歧视性规则;

　　注：平等公平原则的判定依据相关法律法规规定。

　　d) 确保安全：采取必要的管理措施和技术手段保障互通和互操作的安全;

　　e) 知情自愿：开展互通和互操作时，平等征得互通和互操作参与方对互通和互操作目的、内容、方式的同意。

　　6 通用要求

　　主体在开展互通和互操作时，应满足以下要求：

　　a) 应制定互通和互操作规则，并以明确、清晰、易懂的方式公开互通和互操作规则;

　　注1：互通和互操作规则，是由互通互操作的双方或多方协商制定的规则。

　　注2：如涉及商业秘密或法律法规等不宜公开的除外。

　　b) 互通和互操作规则应包含但不限于以下内容：

　　1) 主体申请互联互操作的渠道、处理流程和时限;

　　2) 互通和互操作处理数据的目的、方式和范围;

　　3) 主体之间的通信框架或接口，可包括数据格式、身份认证、加密要求、传输机制等内容;

　　4) 主体之间的纠纷处理方式、处理流程和时限等。

　　c) 互通和互操作规则的制定应由互联和互操作的双方或多方协商决定，如涉及商业秘密或法律法规等不宜公开的除外。规则制定时，应满足以下要求：

　　1) 对于涉及主观判定的内容，应给出可执行的判定标准、案例;

　　2) 设有大小限制、用户投诉数量限制等限制性内容的，应明确具体参考数值;

　　d) 对于按照规则无法实施互通和互操作的情况，若互通和互操作规则中表明将向对方进行告知并说明具体理由的，相关主体应当按照规则，履行相关义务。

　　7 数据互通和互操作

　　7.1 数据互通互操作生命周期

　　移动互联网服务数据层面互通和互操作的生命周期见图3，数据在互通互操作中主要经历五个阶段：

　　a) 生成：产品通过收集、直接生成或其他方式转入产生数据的过程;

　　b) 存储：数据在产品上留存的过程;

　　c) 使用：数据在产品上被使用的过程;

　　d) 传输：数据离开发送方，到达接收方的过程;

　　e) 删除：数据在产品上被删除，保证其不可被检索、访问的过程。

　　图3 数据的互通互操作生命周期

　　7.2 互通及互操作要求

　　移动互联网服务之间的数据互通和互操作应满足以下要求：

　　a) 在开展互通和互操作前，主体双方应明确互通和互操作的目的、方式及数据范围等内容;

　　b) 在开展互通和互操作活动时，制定的数据格式和协议应具有规范性、兼容性;

　　c) 在开展互通和互操作活动时，应制定公平、公开、明确、可行的数据管理规则;

　　d) 在开展互通和互操作活动时，应按照相关国家标准，根据业务运营需要，依据分类分级的原则处理数据。

　　8 应用及服务互通和互操作要求

　　移动互联网服务之间的应用互通和互操作，应满足以下要求：

　　a) 主体应约定互通和互操作的规范要求和实现流程，具体内容不限于认证、发布、授权、发现、互联和互操作的状态同步等;

　　b) 接收方应鉴别发送方身份，确保通信安全;

　　c) 无正当理由，发送方与接收方在实施互通和互操作时，均不应妨碍、破坏对方网络产品或服务的正常运行;

　　d) 具有市场支配地位的主体通过开放平台公开提供服务的，应依据公平、合理、无歧视的原则，向申请方提供服务;

　　e) 对外提供接口服务的开发平台，应遵循市场机制，在双方约定的情况下开展互通合作。

　　9 安全管理保障

　　移动互联网服务互通和互操作应满足以下安全管理保障要求：

　　a) 应建立互通和互操作的组织管理机制，具备组织管理安全能力;

　　b) 应建立互通和互操作全生命周期的数据安全保护制度，针对数据生成、存储、使用、传输、删除等数据处理活动，从业务及技术层面实施数据安全保护措施，具备数据处理活动安全保护能力;

　　c) 应对数据处理的过程进行记录并留存，确保数据处理可审计、可追溯;

　　d) 应建立互通和互操作安全风险管理制度，具备对风险识别、安全防护、安全监测、安全响应和安全恢复的安全管理能力。