網(wǎng)絡(luò)支付服務提供者收集個人信息應在遵守G R / T 35273—2020中 5.1、5.2、5.3的要求基礎(chǔ)上.遵 守以下要求：

a） 通 過 A p p 收集必要個人信息應符合G B / T 41391—2022中 A . 5的規(guī)定；

b） 擴展業(yè)務功能收集的個人信息均應由用戶可選提供，H.應限于實現(xiàn)處理目的的小范I韋1,常見 擴展業(yè)務功能收集的個人信息范圍及使用要求見附錄C;

c） 應采取具有信息輸入安全防護、即時數(shù)據(jù)加密功能的安全控件對支付鑒權(quán)信息的輸入進行安 全保護，并采取有效措施防止合作機構(gòu)獲取、留存。

注 ：支付鑒權(quán)信息包括但不限于網(wǎng)絡(luò)支付交易口令、快捷支付口令、銀行卡密碼。

網(wǎng)絡(luò)支付服務提供者如提供跨境支付服務，在境外商戶消費、向境外匯款/接收境外匯款、為用戶提 供跨境支付結(jié)算服務等場景F ，涉及數(shù)據(jù)出境。網(wǎng)絡(luò)支付服務提供者數(shù)據(jù)出境應遵守以下要求:

a） 不涉及處理跨境支付業(yè)務的.不應向境外提供個人信息等數(shù)據(jù)；

b） 出境數(shù)據(jù)應僅限為處理跨境支付業(yè)務所需的必要信息；

c） 應建立數(shù)據(jù)出境記錄.包括但不限于出境時間、數(shù)據(jù)類型、數(shù)量、目的地、境外接收方等.相關(guān)記 錄至少保存五年；

d） 根據(jù)業(yè)務發(fā)展和運營情況，每年應自行或委托D二方機構(gòu)對數(shù)據(jù)出境至少進行一次數(shù)據(jù)出境 風險評估。

附件：GB_T 42015-2022《信息安全技術(shù) 網(wǎng)絡(luò)支付服務數(shù)據(jù)安全要求》