阿里云 · 号码认证服务隐私权政策

本次版本更新整体属于形式性调整，仅涉及生效日期更新和一处新增说明。生效日期从2025年11月27日更新为2026年4月10日，表明政策文本在时间上进行了延续，但未涉及实质性权利义务变更。新增内容在“号码认证”场景下，针对“运营商类型”补充了“调用SDK预取号接口、获取一键登录/验证token接口”时“仅采集不存储”的说明，这属于对既有数据收集行为的澄清性描述，未扩大收集范围或新增共享场景。该更新未反映任何新的监管政策口径（如《生成式AI服务管理办法》等），在同业中处于跟随水位，属于常规的版本维护。

1. 首部 生效日期

旧版：更新日期：2025年11月27日

新版：更新日期：2026年4月10日

合规影响

此变更为形式性调整，仅更新了隐私政策的生效日期，未涉及任何实质性权利义务变更。根据《个人信息保护法》第十七条，个人信息处理者应当公开个人信息处理规则，并便于查阅和保存。更新生效日期属于常规的版本管理行为，不触发用户重新同意义务，也不改变企业已有的合规义务。但需注意，若政策内容有实质变更，应重新取得用户同意。本次仅日期变更，无需额外告知或留痕。

借鉴价值

网易类似政策（如游戏隐私政策）在版本更新时，若仅涉及日期变更，可借鉴此做法直接更新日期并发布，无需触发用户重新同意流程。但建议在版本更新日志中明确标注“仅更新生效日期，内容无实质变更”，以降低用户疑虑和监管风险。

2. 附录一 SDK清单（新增第8项）

旧版：（无此内容）

新版：| 号码认证 | 运营商类型 | 调用SDK预取号接口、获取一键登录/验证token接口 | 仅采集不存储 |

合规影响

此变更为实质性澄清，新增了对运营商SDK数据收集行为的描述，明确“仅采集不存储”。根据《个人信息保护法》第六条，收集个人信息应当限于实现处理目的的最小范围，不得过度收集。该新增内容明确了数据收集后不存储，符合最小必要原则，也降低了数据存储带来的安全风险。同时，根据《个人信息保护法》第十七条，处理者应当以显著方式、清晰易懂的语言真实、准确、完整地告知个人信息处理目的、方式、种类等。该新增内容完善了SDK清单的告知义务，使数据主体更清楚数据流转情况。但需注意，若实际存在存储行为，则此声明可能构成虚假告知，增加行政责任风险。

借鉴价值

网易类似政策（如SDK接入说明）可以借鉴此处的“仅采集不存储”表述，用于明确数据生命周期，降低存储合规风险。建议在SDK清单中增加“数据存储期限”或“是否存储”字段，以增强透明度。同时，应确保实际业务操作与声明一致，避免虚假告知。

本次更新整体合规启示：① 形式性调整（如日期更新）无需触发用户重新同意，但应保留版本记录以备监管检查；② 新增的SDK数据采集说明体现了对最小必要原则和告知义务的重视，属于行业常见做法；③ 与监管最新口径（如《个保法》关于告知方式的要求）契合度较高，但未涉及AI等新兴领域。行业基准定位：该隐私政策在头部互联网企业中属于常规水位，未超前也未滞后。法务团队接下来30天内需要做的具体动作：① 复审SDK实际数据采集行为是否与“仅采集不存储”声明一致；② 检查其他SDK清单是否缺少类似数据生命周期说明，并考虑补充；③ 更新版本管理日志，记录本次变更内容。