本文介绍验证码服务在运行过程中采集的数据范围、采集方式、使用目的、处理方式和存储策略等。
阿里云验证码 2.0 仅提供 Web/JavaScript（H5）接入形态，不提供 Native SDK（Android/iOS 原生 SDK）形态，因此本产品不涉及移动端 SDK 隐私协议的适用场景；
所有数据采集行为均发生在浏览器（含移动端浏览器、WebView 内嵌 H5 页面）环境中，通过 JavaScript 脚本完成。
采集和使用原则
验证码服务采集的信息仅为设备与浏览器的环境静态信息及人机交互行为特征，用于安全风险判断，不涉及个人身份、通讯、金融账户、输入内容等个人隐私信息；
验证码服务遵循最小化原则：仅在安全风控判断所必需的范围内采集和使用数据，不采集与验证功能无关的信息；
所采集信息仅用于验证码服务本身的功能保障与问题排查，不用于任何广告、用户画像或其他与验证无关的目的。
采集信息类别说明
验证码 JS 组件在终端用户加载及完成验证的过程中，采集以下四类环境信息，上报至阿里云风控服务用于人机识别：
数据类别 | 具体数据项 | 使用目的 | 采集方式 | 必要性说明 |
浏览器信息 | 浏览器内核类型及版本、浏览器品牌、User-Agent 请求头、Cookies、localStorage、浏览器插件列表、JS 运行环境信息 | 识别浏览器环境的真实性与完整性，检测自动化工具、脚本框架、篡改/伪造的浏览器指纹 | 验证页面加载及验证执行时，由 JS 组件采集上报 | 自动化攻击工具通常在浏览器环境特征上与真实浏览器存在差异，该信息是人机攻防对抗的基础 |
设备网络信息 | IP 地址、联网状态 | 识别网络环境风险（如代理、机房 IP、IP 段聚集性攻击），保障验证服务链路可用 | 由服务端在接收验证请求时获取 | IP 层面的风险识别是反批量攻击的必要手段 |
设备信息 | 设备制造商、平台类型及型号名称、操作系统类型及版本、处理器信息、内存信息、GPU 信息、时区、语言、屏幕分辨率、电池信息、媒体硬件信息 | 构建设备环境指纹，识别模拟器、群控设备、批量伪造环境等异常 | 验证页面加载及验证执行时，由 JS 组件采集上报 | 设备硬件与系统参数组合用于区分真实设备与伪造环境，属于风险判断的必要最小集合 |
用户行为信息 | 鼠标移动/点击轨迹、触摸滑动轨迹、键盘操作等行为轨迹 | 通过行为模式区分人类操作与机器脚本（如轨迹平滑度、加速度分布、操作时序特征） | 验证交互过程中，由 JS 组件采集上报 | 行为特征是人机验证与风险判定的核心依据；仅采集操作方式，不采集操作内容 |
数据存储说明
存储地域：采集数据存储于阿里云位于中国内地的服务器；如用户使用的是国际站服务，数据存储于对应服务区域的阿里云数据中心。
留存期限：验证码服务仅在功能保障和问题排查所必需的最短时间内存储和使用上述信息。
存储安全：数据存储采用访问控制、加密存储、审计日志等安全措施，仅限承担验证码风控职能的授权人员在最小权限范围内访问。