脉脉 · 第三方SDK列表

本次更新属于实质性扩展调整，主要针对苹果应用内支付SDK，将使用目的从单纯的支付服务扩展至包含处理消费争议，使用场景同步扩展，并新增收集权益使用信息。这反映了企业为应对消费争议处理中的举证需求，主动扩大数据收集范围，以降低自身在争议中的举证责任风险。该调整与《个保法》第六条关于个人信息收集应限于实现处理目的的最小范围原则存在一定张力，但若消费争议处理确属必要，则需确保告知同意环节充分明确。在同业中，此做法属于中等偏严水平，部分企业仅收集支付必要信息，未扩展至权益使用信息。

1. 附录一 SDK清单 - 苹果应用内支付SDK（使用目的）

旧版：使用目的：帮助用户使用苹果应用内支付服务

新版：使用目的：帮助用户使用苹果应用内支付服务和处理消费争议

合规影响

此变更为实质性变化，将使用目的从单一的支付服务扩展至包含处理消费争议。根据《个保法》第六条，收集个人信息应当限于实现处理目的的最小范围，不得过度收集。新增的处理消费争议目的，可能涉及收集更多个人信息（如订单详情、支付凭证、用户沟通记录等），企业需确保该目的与支付服务直接相关，且为处理争议所必需。若争议处理并非支付服务的必要组成部分，则可能构成超范围收集。此外，根据《个保法》第十七条，个人信息处理者在处理个人信息前，应当以显著方式、清晰易懂的语言真实、准确、完整地告知处理目的、方式、种类等。因此，企业需在隐私政策或SDK清单中明确告知该新增目的，并可能需要重新获取用户同意，尤其是当争议处理涉及敏感个人信息时。从举证责任角度看，扩展目的有助于企业在消费争议中合法收集和使用相关数据，降低败诉风险。

借鉴价值

网易类似政策（如游戏内支付SDK说明）可以借鉴此处的表述，将“处理消费争议”明确写入使用目的，以增强合规性。例如，在隐私政策中可写：“我们收集您的支付信息，用于完成交易及处理您可能发起的消费争议。”但需注意，应同时明确争议处理的具体场景和数据范围，避免过度概括。

2. 附录一 SDK清单 - 苹果应用内支付SDK（使用场景）

旧版：使用场景：商品/服务支付，仅限于iOS系统

新版：使用场景：商品/服务支付/处理消费争议，仅限于iOS系统

合规影响

此变更为实质性变化，使用场景从“商品/服务支付”扩展至包含“处理消费争议”。该调整与使用目的变更保持一致，但使用场景的表述更侧重于实际触发数据收集的环节。根据《个保法》第六条，个人信息处理应当具有明确、合理的目的，并与处理目的直接相关。新增的争议处理场景意味着在用户发起投诉或退款时，SDK可能会收集额外的数据（如争议详情、沟通记录等）。企业需确保该场景下的数据收集符合最小必要原则，例如，仅收集与特定争议直接相关的信息，而非全量支付数据。此外，根据《个保法》第二十三条，向第三方提供个人信息的，应当告知接收方名称、处理目的、处理方式和个人信息种类，并取得个人同意。若苹果作为SDK提供方，在争议处理中可能作为独立数据控制者，则脉脉需在隐私政策中明确说明该共享场景。

借鉴价值

网易类似政策可以借鉴此处的场景扩展，但建议进一步细化争议处理的具体情形，例如“仅当您通过客服渠道发起支付相关投诉或退款申请时，我们才会将您的订单信息共享给支付SDK用于争议核实”。这样既满足告知义务，又避免场景过于宽泛。

3. 附录一 SDK清单 - 苹果应用内支付SDK（个人信息种类）

旧版：个人信息种类：用户标识信息、订单交易信息

新版：个人信息种类：用户标识信息、订单交易信息、权益使用信息

合规影响

此变更为实质性变化，新增收集“权益使用信息”。权益使用信息通常指用户已购买或已使用的虚拟商品、会员权益、优惠券等状态数据。根据《个保法》第六条，收集个人信息应当限于实现处理目的的最小范围。新增的权益使用信息是否属于处理消费争议所必需，需具体分析。例如，在争议中可能需要确认用户是否已使用某项权益，因此该信息具有合理性。但企业需注意，权益使用信息可能包含用户偏好或消费习惯，若超出争议处理必要范围，则可能构成过度收集。此外，根据《个保法》第十七条，企业应在隐私政策中明确告知新增的个人信息种类，并说明收集的必要性。若该信息属于敏感个人信息（如涉及健康、金融等），则需取得单独同意。从合规风险看，若未充分告知或未取得同意，可能面临行政处罚或用户投诉。

借鉴价值

网易类似政策可以借鉴此处的做法，在SDK清单中明确列出“权益使用信息”作为收集项，但建议在隐私政策中进一步解释该信息的用途，例如“用于核实您的会员权益状态，以便处理相关消费争议”。同时，应评估是否所有权益信息均为必要，避免过度收集。

本次更新整体合规启示有三：一是扩展个人信息收集范围时，必须确保与处理目的直接相关且最小必要，并同步更新告知内容；二是处理消费争议作为新增目的，需在隐私政策中明确场景和数据范围，避免概括性表述；三是企业应建立争议处理数据收集的内部审批机制，确保每次扩展均有合规依据。与监管最新口径契合度较高，符合《个保法》对目的明确和最小必要的要求。在行业基准中，此做法属于中等偏严，部分头部企业已类似扩展，但仍有企业仅收集支付必要信息。法务团队接下来30天内需：① 复审本SDK的隐私政策告知是否已更新；② 评估权益使用信息是否涉及敏感个人信息，若涉及则需单独同意；③ 检查其他支付SDK是否需同步扩展。