阿里云 · 号码认证服务隐私权政策

本次更新属于形式性调整，仅有两处变化：更新日期从2025年11月18日改为2026年4月10日，以及在号码认证服务下新增一条运营商类型SDK数据采集说明（调用SDK预取号接口、获取一键登录/验证token接口，仅采集不存储）。新增内容明确了SDK在特定接口下的数据采集行为，但未扩大收集范围或新增共享场景，属于对现有实践的澄清性描述。整体来看，此次更新未反映任何新的监管政策口径（如《生成式AI服务管理办法》等），也未触及《个保法》核心义务的调整。在同业中，此类定期日期更新和细节补充属于常见操作，合规水位处于跟随状态，无领先或滞后之处。

1. 政策首部 - 更新日期

旧版：更新日期：2025年11月18日

新版：更新日期：2026年4月10日

合规影响

此变更属于形式性调整，仅更新政策版本日期，不涉及任何实质性合规义务变化。根据《个人信息保护法》关于告知义务的要求，隐私政策版本日期更新本身不触发重新告知或重新同意义务，但企业应确保内部版本管理一致，避免因日期不一致导致举证困难。若政策内容有实质变更，需同步更新日期并重新获取用户同意。此处仅日期变更，无实质影响。

借鉴价值

网易类似政策（如游戏隐私政策）可借鉴此做法：定期更新版本日期以保持政策时效性，但需注意若内容无实质变更，不应仅通过日期更新误导用户认为政策有重大调整。建议在版本更新日志中明确标注变更类型（如“形式性更新”或“实质性更新”），以降低合规风险。

2. 附录一 SDK清单 - 号码认证服务（新增第8项）

旧版：（无此条目）

新版：| 号码认证 | 运营商类型 | 调用SDK预取号接口、获取一键登录/验证token接口 | 仅采集不存储 |

合规影响

此变更为新增条款，属于实质性变化但程度较轻。新增内容明确了在号码认证服务中，SDK调用预取号接口和获取一键登录/验证token接口时，运营商类型数据“仅采集不存储”。该表述符合《个人信息保护法》第6条“最小必要原则”，即收集个人信息应当限于实现处理目的的最小范围，且处理完毕应及时删除。同时，该条款也回应了《常见类型移动互联网应用程序必要个人信息范围规定》中关于号码认证服务的合规要求。企业需确保SDK实际行为与政策描述一致，即确实不存储运营商类型数据，否则可能构成虚假告知，违反《个保法》第17条。此外，该新增条款未触发用户重新同意义务，因为未扩大收集范围或新增处理目的。

借鉴价值

网易类似政策（如网易云音乐隐私政策中的SDK清单）可借鉴此处的表述方式：明确标注“仅采集不存储”以体现最小必要原则。建议在SDK清单中增加“数据处理方式”列，区分“采集并存储”“仅采集不存储”“仅调用不采集”等情形，增强透明度。同时，应规避“仅采集不存储”的模糊表述，需进一步说明采集后是否立即删除或匿名化处理，以避免合规争议。

本次更新整体合规启示：① 形式性调整（日期更新）和细节补充（SDK数据采集说明）均未改变政策核心义务，但体现了企业对隐私政策持续维护的合规意识；② 新增的“仅采集不存储”表述与《个保法》最小必要原则高度契合，反映了行业对SDK数据处理的精细化披露趋势；③ 在头部互联网企业中，此类定期更新和细节补充属于常见做法，合规水位处于跟随状态，无显著领先或滞后；④ 法务团队接下来30天内无需紧急动作，但建议：a) 复核SDK实际数据流是否与政策描述一致，确保“仅采集不存储”得到技术实现；b) 在下次实质更新时，考虑增加数据处理方式列以提升透明度；c) 关注监管对SDK数据处理的专项执法动态，及时调整披露粒度。