喜马拉雅 · 喜马拉雅平台隐私信息保护政策

本次更新整体属于收紧性调整，核心变化在于将用户权利响应时限从十五个工作日统一缩短为十五日，与《个人信息保护法》规定的十五日（自然日）要求对齐，体现了对监管口径的主动靠拢。同时，在关联实体共享条款中，新增了具体共享的数据类型（用户ID、设备标识符、操作日志等），并删除了“以最小范围为限”的限定表述，实质上扩大了共享范围，增加了合规风险。此外，删除了关联实体定义及变更告知方式的详细描述，可能降低透明度。整体来看，喜马拉雅在用户权利响应方面采取了更严格的合规标准，但在数据共享方面有所放宽，同业中处于跟随监管要求但略偏宽松的水位。

1. 第五章 用户权利 - 访问权

旧版：如果您无法通过上述方式访问您的个人信息，您可以随时通过本政策披露的联系方式联系我们，我们将在十五个工作日内回复您的请求。

新版：如果您无法通过上述方式访问您的个人信息，您可以随时通过本政策披露的联系方式联系我们，我们将在十五日内回复您的请求。

合规影响

此变更属于实质性收紧调整。将响应时限从“十五个工作日”改为“十五日”，直接与《个人信息保护法》第44条及第50条规定的“十五日内”对齐。工作日通常排除周末和法定节假日，实际日历天数更长；改为自然日后，企业必须在更短的时间内完成响应，增加了合规压力。企业需调整内部处理流程，确保在15个自然日内完成身份验证、信息检索和回复。同时，若未能在15日内回复，可能构成行政违法，面临责令改正、罚款等风险。此变更不触发用户重新同意，但需更新内部SOP并加强监控。

借鉴价值

网易类似政策（如游戏隐私政策）可以借鉴此处将“十五个工作日”改为“十五日”的做法，以主动对齐《个保法》要求，降低合规风险。建议直接采用“十五日内”表述，并同步更新所有涉及响应时限的条款，保持一致性。

2. 第二章 个人信息收集 - 第五条第三款 与关联实体共享

旧版：5. 与关联实体共享。为向您提供生态一体化的产品与服务，提升账号互通、内容推荐、会员权益协同、运营管理及安全保障能力，在符合相关法律法规要求的前提下，我们可能会通过系统接口调用、数据回传等方式，与腾讯音乐娱乐集团内的关联实体及其关联产品共享您的个人信息，包括用户ID、设备标识符、操作日志信息、交易/订单记录、权益/资产信息、用户画像标签，以及您在使用相关产品或服务过程中主动提供或形成的其他个人信息。具体共享范围将以实现相关目的所必需的最小范围为限。

新版：5. 与关联实体共享。为向您提供生态一体化的产品与服务，提升账号互通、内容推荐、会员权益协同、运营管理及安全保障能力，在符合相关法律法规要求的前提下，我们可能会通过系统接口调用、数据回传等方式，与腾讯音乐娱乐集团内的关联实体及其关联产品共享您的个人信息，包括用户ID、设备标识符、操作日志信息、交易/订单记录、权益/资产信息、用户画像标签，以及您在使用相关产品或服务过程中主动提供或形成的其他个人信息。

合规影响

此变更属于实质性放宽调整。旧版明确共享范围“以最小范围为限”，新版删除了这一限定，实质上扩大了共享的边界，增加了合规风险。根据《个人信息保护法》第6条，个人信息处理应当具有明确、合理的目的，并与处理目的直接相关，采取对个人权益影响最小的方式。删除最小必要原则的表述，可能导致共享范围超出必要，违反最小必要原则。此外，共享数据类型中“您在使用相关产品或服务过程中主动提供或形成的其他个人信息”这一兜底条款，结合删除最小范围限定，可能被解读为允许共享任何与目的相关的信息，增加了数据主体的担忧。企业需确保实际共享仍符合最小必要原则，并保留合规证据。此变更可能触发用户重新同意，尤其是涉及敏感个人信息时。

借鉴价值

网易类似政策（如网易云音乐隐私政策）应避免删除“最小范围为限”的表述，建议保留并强化，例如明确“具体共享范围以实现本政策所述目的所必需的最小范围为限，并定期进行合规审计”。同时，对于兜底条款“其他个人信息”，建议增加限定词如“为实现上述目的所必需的”，以降低解释风险。

3. 第二章 个人信息收集 - 第五条第三款 关联实体定义

旧版："关联实体"是指腾讯音乐娱乐集团及其控制、共同控制或施加重大影响的公司，以及接受同一控制或共同控制的公司，包括腾讯音乐娱乐（深圳）有限公司、腾讯音乐娱乐科技（深圳）有限公司、深圳市腾讯计算机系统有限公司、北京酷我科技有限公司等。如关联实体范围发生变化，我们可能会通过更新本隐私政策、页面提示或其他适当方式向您进行告知。

新版：（已删除）

合规影响

此变更属于实质性收紧调整（从透明度角度）。旧版明确列举了关联实体并承诺范围变化时告知，新版完全删除了该定义和告知承诺。这降低了透明度，可能违反《个人信息保护法》第7条（公开透明原则）和第17条（告知事项应包括个人信息处理者的名称和联系方式）。用户无法知晓具体哪些实体接收其个人信息，增加了信息不对称。同时，删除变更告知承诺，意味着关联实体范围变化时可能不再主动通知，增加了合规风险。企业需评估是否仍通过其他方式（如弹窗）履行告知义务，否则可能面临行政处罚。

借鉴价值

网易类似政策应保留并细化关联实体定义，建议采用“包括但不限于”的列举方式，并明确变更告知方式（如“通过更新本政策、发送站内信或弹窗提示”）。删除定义的做法不可取，会降低用户信任并增加监管风险。

本次更新主要体现了喜马拉雅在用户权利响应时限上主动对齐《个保法》要求，但在关联实体共享方面有所放宽，删除了最小必要原则表述和关联实体定义，整体合规水位在头部互联网企业中属于跟随监管但略偏宽松。法务团队应关注以下要点：1）将用户权利响应时限统一为“十五日内”，并调整内部流程确保按时响应；2）重新评估关联实体共享条款，补充最小必要原则表述，并恢复关联实体定义或通过其他方式明确告知；3）对于删除的告知承诺，需确认是否通过其他渠道履行了告知义务。建议网易法务团队在30天内复审本公司的隐私政策，重点检查响应时限表述是否与《个保法》一致，以及数据共享条款是否包含最小必要原则和明确的实体清单。