YY · 第三方信息共享清单

本次版本演变属于扩展性与厘清性调整。核心方向是：① 新增多个第三方广告SDK（奇运SDK、Fancy SDK、ToBid Android SDK等），并详细披露共享信息名称、使用目的、场景和权限调用，体现对《个保法》第23条（向第三方提供个人信息）告知义务的履行；② 对原有SDK（如Menta SDK）的共享信息字段进行微调（如删除IMEI、补充MEID），反映对敏感个人信息（如设备标识符）的审慎处理；③ 整体上，YY在第三方共享清单的详细程度上已接近头部互联网企业水平，但部分SDK（如奇运SDK）的共享信息字段描述过于冗长，可能增加用户阅读负担。此次更新未涉及算法备案或生成式AI相关声明，与《生成式人工智能服务管理暂行办法》的衔接尚存空白。

1. 附录一 SDK清单 - 第28项（原api.wxcjgg.cn，现奇运SDK）

旧版：28、SDK名称：api.wxcjgg.cn

新版：28、SDK名称：奇运SDK 第三方公司名称：杭州奇运网络科技有限公司 共享信息名称：设备信息（设备品牌、型号、软件系统版本、屏幕密度、屏幕分辨率、屏幕背光、sim卡信息（mcc&mnc）、设备语言、设备时区、CPU信息、可用存储空间大小基础信息），设备标识符（AndroidID、OAID），网络信息（运营商信息、Wi-Fi状态、网络信号类型），应用信息（宿主的应用包名、运行中的进程信息、版本号、应用前后台状态）、WLAN接入点（如SSID、BSSID），设备传感器… 使用目的：供广告资源、日志统计 使用场景：在领页SDK进行流量分配和广告投放时使用 共享方式：SDK本机采集 第三方隐私链接：http://ag.xiangshu18.com/jySdkPrivacy.html

合规影响

此变更为实质性新增，将原先仅列SDK名称的模糊条目替换为完整的第三方信息共享披露。合规影响：① 明确第三方公司名称，符合《个保法》第23条向第三方提供个人信息时需告知接收方名称的要求；② 共享信息字段涵盖设备标识符、网络信息、应用信息等，其中运行中的进程信息可能涉及敏感个人信息（如应用列表），需评估是否属于《个保法》第28条定义的敏感个人信息；③ 使用目的和场景的明确有助于用户理解数据用途，但“供广告资源、日志统计”表述过于笼统，建议细化至“广告投放、效果监测、反作弊”等具体功能；④ 第三方隐私链接的提供是良好实践，但需定期验证链接有效性。

借鉴价值

网易类似政策（如游戏SDK接入清单）可以借鉴此处的做法：① 对每个SDK单独列出第三方公司名称、共享信息字段、使用目的、场景和隐私链接，形成标准化模板；② 注意避免使用“…”等省略号，应完整列出所有共享信息字段，否则可能被认定为告知不充分。

2. 附录一 SDK清单 - 第29项（新增Fancy SDK）

旧版：（无）

新版：29、SDK名称：Fancy SDK 第三方公司名称：北京泛为信息科技有限公司 共享信息名称：设备标识符（Android如IMEI、Android ID、OAID、IMSI、ICCID、MEID、硬件序列号/Serial，iOS如IDFV、IDFA），设备MAC地址，IP 地址，位置信息（如GPS、蓝牙和基站）、WLAN接入点（如SSID、BSSID），设备传感器信息、软件列表 使用目的：供广告资源、日志统计 使用场景：在领页SDK进行流量分配和广告投放时使用 共享方式：SDKSDK本机采集

合规影响

此变更为新增SDK，合规影响显著：① 共享信息包含IMEI、IMSI、硬件序列号等设备标识符，以及位置信息（GPS、蓝牙、基站），这些属于《个保法》第28条定义的敏感个人信息，需取得用户单独同意；② 软件列表的收集可能涉及用户应用安装情况，属于间接用户画像数据，需评估是否触发《个保法》第24条自动化决策的透明度要求；③ 共享方式“SDKSDK本机采集”存在笔误（应为“SDK本机采集”），可能影响合规文本的严谨性；④ 未提供第三方隐私链接，不符合《个保法》第23条告知义务的完整性要求，建议补充。

借鉴价值

网易类似政策应规避此处问题：① 新增SDK时务必提供第三方隐私链接，否则可能被认定为未履行告知义务；② 共享信息字段中涉及敏感个人信息的，应在清单中明确标注“敏感个人信息”并说明单独同意机制；③ 注意文本校对，避免笔误影响合规形象。

3. 附录一 SDK清单 - 第49项（Menta SDK共享信息字段修改）

旧版：共享信息名称：设备信息（设备生产商，设备型号，设备的操作系统信息（版本名、版本号），设备类型，设备语言，设备屏幕信息（方向、分辨率），设备网络类型，手机开机时间，设备存储容量信息），WiFi信息（无线网SSID名称）、WiFi状态、设备的MAC地址、IP地址，设备标识符（AndroidID/OAID/IMEIMEID、IMSI、GAID【仅GMS服务】、硬件序列号build serial，具体字段…

新版：共享信息名称：设备信息（设备生产商，设备型号，设备的操作系统信息（版本名、版本号），设备类型，设备语言，设备屏幕信息（方向、分辨率），设备网络类型，手机开机时间，设备存储容量信息），WiFi信息（无线网SSID名称）、WiFi状态、设备的MAC地址、IP地址，设备标识符（AndroidID/OAID/MEID、IMSI、GAID【仅GMS服务】、硬件序列号build serial，具体字段因软硬件…

合规影响

此变更为实质性修改，主要变化：① 删除“IMEI”字段，新增“MEID”，可能反映对IMEI作为敏感标识符的审慎处理（IMEI不可重置，风险更高）；② 删除“IMEIMEID”笔误，提升文本准确性；③ 末尾“具体字段…”改为“具体字段因软硬件…”，增加了动态说明，但省略号仍存在，可能被认定为告知不充分。合规影响：① 删除IMEI可降低敏感个人信息收集风险，但MEID同样属于设备标识符，需评估是否仍需单独同意；② 动态说明虽灵活，但建议明确“具体字段以SDK实际采集为准”并附上完整列表，否则可能违反《个保法》第17条“以显著方式、清晰易懂的语言”告知的要求。

借鉴价值

网易类似政策可以借鉴：① 定期审查SDK共享信息字段，及时删除不必要的敏感标识符（如IMEI），降低合规风险；② 避免使用省略号或“等”字，应提供完整字段列表或明确说明“具体字段以SDK最新版本为准”并附查询方式。

4. 附录一 SDK清单 - 第50项（新增ToBid Android SDK）

旧版：（无）

新版：50、ToBid Android SDK 第三方公司名称：北京创致科技有限公司 共享信息名称：设备信息（设备品牌、名称、型号、语言、时区、国家代码、操作系统版本及更新时间、系统启动时间、电池状态、蓝牙名称、屏幕分辨率及宽高、存储空间及剩余磁盘大小），设备标识符（OAID、Android ID、GAID【仅GMS服务】），网络与连接信息（IP 地址、UA、手机运营商、网络状态、WiFi SSID/BSSID），应用信息（应用名称、应用版本号），传感器信息 使用场景：广告竞价、反作弊、广告归因、个性化推荐及变现数据统计，提升广告收益与用户体验 权限调用：网络状态读取、设备标识读取；地理位置（用户授权后调用）、存储权限（用户授权后调用）

合规影响

此变更为新增SDK，合规亮点：① 明确列出权限调用（网络状态、设备标识、地理位置、存储），符合《个保法》第17条告知义务；② 使用场景细化至“广告竞价、反作弊、广告归因、个性化推荐”，其中“个性化推荐”需满足《个保法》第24条关于自动化决策的透明度要求（提供不针对个人特征的选项）；③ 共享信息字段未包含IMEI等不可重置标识符，风险较低；④ 未提供第三方隐私链接，建议补充。合规义务：需确保用户授权地理位置和存储权限时，SDK仅在授权后调用，且用户可撤回同意。

借鉴价值

网易类似政策可以借鉴：① 在SDK清单中增加“权限调用”字段，明确哪些权限是SDK主动调用、哪些需用户授权，提升透明度；② 使用场景中明确“个性化推荐”时，应同步在隐私政策中说明用户拒绝个性化推荐的方式。

本次更新整体合规启示：① 第三方共享清单的详细程度是《个保法》合规的关键，YY此次新增多个SDK并细化字段，体现了向头部企业看齐的趋势；② 但部分SDK仍存在省略号、笔误、缺少隐私链接等问题，需及时修正；③ 与监管最新口径（如《个保法》第23条、第28条）契合度较高，但未涉及算法备案或生成式AI声明，建议关注后续监管动态。行业基准定位：在第三方共享清单的透明度上，YY已处于中上水平，但相比腾讯、阿里等头部企业仍有提升空间（如增加权限调用说明、敏感个人信息标注）。法务团队接下来30天内应：① 复审所有SDK的共享信息字段，确保无省略号或模糊表述；② 补充缺失的第三方隐私链接；③ 对涉及敏感个人信息的SDK（如Fancy SDK）评估单独同意机制；④ 在隐私政策中增加“个性化推荐”相关说明。