豆瓣 · 第三方合作清单

此次更新整体方向为收紧和厘清，删除了与第三方商家共同处理个人信息的场景（购买商品、营销活动），减少了数据共享范围，降低了因合作方数据处理不当引发的连带责任风险。同时，对现有SDK的敏感系统权限进行了调整（如腾讯云等从'位置权限'改为'无'），并扩展了部分SDK收集的个人信息类型（如增加'系统环境及运行状态''部分搜索及浏览关键词'），体现了对《个保法》最小必要原则的进一步落实。在行业水位上，豆瓣此次调整属于跟随型，与主流互联网企业逐步清理非必要第三方共享的趋势一致，但删除营销活动场景可能影响业务灵活性。

1. 附录一 第三方合作清单 - 第1项（腾讯云、智齿科技、高德地图等）

旧版：敏感系统权限：位置权限 第三方：腾讯云、顺丰、智齿科技、高德地图等业务供应商、服务提供商 使用目的：为我们的产品或服务提供短信通知、数据存储、物流配送、技术支持、实名认证、定位服务等基础服务 涉及的个人信息类型：手机号码、日志信息、收货人信息、真实姓名、身份证照片、精确位置信息、其他基础服务所需的必要个人信息

新版：敏感系统权限：无 第三方：腾讯云、智齿科技、高德地图等业务供应商、服务提供商 使用目的：为我们的产品或服务提供短信通知、数据存储、物流配送、客服支持、技术支持、实名认证、定位服务等基础服务 涉及的个人信息类型：手机号码、日志信息、收货人信息、真实姓名、身份证照片、精确位置信息、订单相关交易记录、客服沟通记录、其他基础服务所需的必要个人信息

合规影响

此变更属于实质性调整。首先，删除'位置权限'敏感权限声明，可能意味着相关SDK不再申请该权限，符合《个保法》第6条最小必要原则，降低过度收集风险。其次，删除'顺丰'第三方，可能表明物流配送服务不再通过该SDK处理，减少了数据共享链条，降低《个保法》第21条委托处理中的连带责任。新增'订单相关交易记录、客服沟通记录'，扩展了个人信息类型，需确保有明确告知并取得用户同意（《个保法》第17条）。使用目的中'物流配送'改为'客服支持'，与删除顺丰一致，但需注意新增的客服沟通记录可能涉及敏感信息，应加强安全措施。整体上，企业需更新隐私政策中关于第三方共享的清单，并重新评估数据处理协议。

借鉴价值

网易类似政策（如游戏SDK清单）可以借鉴豆瓣此处删除'顺丰'的做法，主动清理非必要第三方，减少合规风险。同时，新增'订单相关交易记录'时，应明确标注该信息仅用于订单处理，并限制第三方使用范围。建议在隐私政策中增加'我们不会与第三方共享您的交易记录用于其他目的'的承诺。

2. 附录一 第三方合作清单 - 第2项（广告及效果监测SDK）

旧版：涉及的个人信息类型：网络信息（IP地址、接入网络的方式、类型、状态、网络质量数据、运营商信息）、设备信息（设备型号、硬件配置、操作系统、系统设置、Android ID、OAID、IDFV、IDFA、软件版本号）、广告互动信息、粗略位置信息、部分应用安装信息

新版：涉及的个人信息类型：网络信息（IP地址、接入网络的方式、类型、状态、网络质量数据、运营商信息）、设备信息（设备型号、硬件配置、操作系统、系统设置、系统环境及运行状态、Android ID、OAID、IDFV、IDFA、软件版本号）、广告互动信息、粗略位置信息、部分应用安装信息、部分搜索及浏览关键词

合规影响

此变更为实质性扩展。新增'系统环境及运行状态'和'部分搜索及浏览关键词'，扩大了个人信息收集范围。'部分搜索及浏览关键词'属于用户行为数据，可能涉及个人偏好，根据《个保法》第13条，需取得用户单独同意（若用于个性化推荐）。同时，新增信息可能触发《算法管理规定》第11条关于算法推荐服务的透明度要求。企业需在隐私政策中明确告知新增信息类型及用途，并确保用户有权撤回同意。此外，'系统环境及运行状态'可能包含安全状态信息，需注意是否涉及《数安法》中的网络运行安全数据。

借鉴价值

网易在更新广告SDK清单时，应谨慎添加'搜索及浏览关键词'，若确需收集，建议在隐私政策中单独说明用途（如'用于优化广告投放效果'），并提供关闭个性化推荐的选项。同时，可借鉴豆瓣的表述方式，将'系统环境及运行状态'归类于设备信息，但需明确该信息不包含敏感权限。

3. 附录一 第三方合作清单 - 删除第3项（购买商品或服务）及第4项（参加营销活动）

旧版：3、购买商品或服务 第三方：合作的第三方商家 合作类型：共同处理 使用目的：帮助你选购商品或服务，为你提供售后服务，与合作方进行财务结算 涉及的个人信息类型：相关交易记录、客服沟通记录、收货人信息 4、参加营销活动 第三方：营销活动合作商 合作类型：共同处理 使用目的：帮助你参加提前观影、线下沙龙、展览、集市等营销活动 涉及的个人信息类型：豆瓣ID、性别、年龄段、真实姓名、联系电话

新版：（已删除）

合规影响

此变更为实质性删除，显著缩减了第三方共享场景。删除'购买商品或服务'场景，意味着豆瓣可能不再直接通过平台销售商品或服务，或已将该业务转移至自营模式，从而避免与第三方商家共同处理个人信息。根据《个保法》第23条，共同处理者需承担连带责任，删除此场景降低了因商家违规处理数据导致的行政处罚风险。删除'参加营销活动'场景，减少了向营销合作商提供用户信息（如真实姓名、联系电话）的环节，符合《个保法》第6条最小必要原则。但需注意，若实际业务中仍存在此类活动，则删除清单可能构成未充分告知，违反《个保法》第17条。企业应确保业务调整与清单删除一致，并更新隐私政策。

借鉴价值

网易在审查自身第三方合作清单时，可借鉴豆瓣主动删除非核心业务场景的做法，例如若游戏内不再有第三方商家入驻，应及时删除相关条目。同时，应保留业务调整的书面记录，以备监管检查。若未来恢复此类业务，需重新添加清单并取得用户同意。

此次更新整体合规启示有三：一是主动缩减第三方共享场景可有效降低《个保法》下的连带责任风险，符合监管对最小必要原则的强调；二是对SDK收集信息类型的扩展需谨慎，新增'搜索及浏览关键词'等行为数据可能触发个性化推荐合规要求，建议同步更新算法备案；三是删除业务场景后需确保实际业务已停止，避免告知与实操不符。与监管最新口径（如《个保法》实施两周年执法重点）契合度较高，行业基准定位属于跟随型，头部企业如腾讯、阿里已普遍采用类似清单管理。法务团队接下来30天内应：① 复审所有第三方合作清单，确保与实际SDK接入一致；② 对新增信息类型（如搜索关键词）补充单独同意弹窗；③ 检查是否仍有未列明的第三方共享行为，及时补录。