Soul · Soul App个人信息共享清单

本次版本演变整体属于形式性调整与小幅扩展。核心变化有两处：一是删除了旧版表格标题行中的问号（'？所属系统'改为'所属系统'），属于排版或表述错误修正，不涉及实质合规义务变化；二是新增了抖音支付SDK的共享场景，明确了第三方名称、使用目的、场景、个人信息类型及共享方式。该新增内容符合《个人信息保护法》第23条关于向第三方提供个人信息时告知义务的要求，即应明确告知接收方名称、处理目的、处理方式、个人信息种类等。从同业水位看，Soul的共享清单结构清晰，但新增SDK场景属于常规更新，未体现领先或滞后。整体而言，本次更新未反映监管政策最新口径（如生成式AI管理要求），也未涉及用户权利或责任分配等重大调整。

1. 附录一 SDK共享清单 - 表格标题行

旧版：| ？所属系统 | 第三方 | | 使用目的 | 使用场景 | 涉及个人信息类型 | 共享方式 | 第三方个人信息处理规则链接 |

新版：| 所属系统 | 第三方 | | 使用目的 | 使用场景 | 涉及个人信息类型 | 共享方式 | 第三方个人信息处理规则链接 |

合规影响

此变更属于形式性调整，仅删除了标题行中'所属系统'前的问号，可能是旧版排版错误或未定稿标记。该修正不影响任何合规义务，不涉及法律法规的实质性要求。企业无需因此变更调整告知或留痕流程。但需注意，此类笔误可能影响用户对清单严谨性的信任，修正后有助于提升文本规范性。

借鉴价值

网易类似政策（如SDK共享清单）在发布前应进行多轮校对，避免出现问号、占位符等未定稿标记。建议在最终版本中统一表格格式，确保标题行无歧义。

2. 附录一 SDK共享清单（新增第8项）

旧版：（无对应内容）

新版：| 安卓/鸿蒙 | 抖音支付科技有限公司 | 抖音支付 OpenSDK | 使用抖音支付的功能 | 在用户使用抖音支付付款时 | 设备IP信息、基础设备信息（系统属性、设备型号、设备品牌、操作系统） | SDK采集 | 点击查看 |

合规影响

此变更为实质性扩展，新增了抖音支付SDK的共享场景。根据《个人信息保护法》第23条，向第三方提供个人信息的，应当向个人告知接收方名称、处理目的、处理方式、个人信息种类，并取得单独同意。Soul已明确列出第三方名称（抖音支付科技有限公司）、使用目的（使用抖音支付的功能）、场景（用户使用抖音支付付款时）、个人信息类型（设备IP信息、基础设备信息）及共享方式（SDK采集），并提供了第三方规则链接，基本满足告知义务。但需注意：① 是否已通过弹窗或单独勾选等方式取得用户单独同意？清单本身仅为告知，同意环节需在支付功能触发时落实。② 设备IP信息可能涉及精确位置信息（如IP定位），若用于风控，需评估是否属于敏感个人信息，如是则需单独同意。③ 基础设备信息中的操作系统版本等可能属于《个保法》第28条定义的敏感个人信息（如用于唯一设备识别），需谨慎。总体而言，该新增场景合规风险较低，但需确保同意环节到位。

借鉴价值

网易类似政策（如支付SDK接入说明）可借鉴Soul的表述结构：明确列出'第三方名称、SDK名称、使用目的、使用场景、个人信息类型、共享方式、规则链接'七要素。特别是'使用场景'字段（如'在用户使用XX付款时'）有助于精准限定共享触发条件，避免过度告知。建议网易在游戏或支付相关SDK清单中增加类似场景描述，以提升透明度。

本次更新整体合规启示：① 形式性修正（删除问号）提醒政策文本发布前需严格校对；② 新增SDK场景需同步检查用户同意机制是否到位，特别是单独同意的实现方式。与监管最新口径契合度一般，未涉及算法备案、生成式AI等新规。行业基准定位：Soul的共享清单结构清晰，属于常见水平，但未体现领先。法务团队接下来30天内需做的具体动作：① 复审所有SDK共享场景的用户同意流程，确保支付类SDK在首次调用时已取得单独同意；② 检查设备IP信息是否构成敏感个人信息，如是则需调整告知内容；③ 考虑在清单中增加'数据接收方处理目的'字段，以更全面符合《个保法》第23条要求。