SDK 与共享怎么管
通过第三方 SDK 向他人提供个人信息前，应当告知个人信息种类、处理目的以及对方的名称与联系方式，并取得同意；涉及敏感信息或对个人权益有重大影响的，要求更严格。同时要对合作方开展安全评估、签订协议并持续监督。上线前最有价值的一步，是用台账加实际行为检测核对该 SDK 到底收集了什么字段、在什么时机初始化。
基本信息
| 法规依据 | 个保法第二十三条、GB/T 35273-2020、App 认定方法 |
|---|---|
| 前置动作 | 告知并取得同意，敏感信息需单独同意 |
| 合作管理 | 安全评估、共享协议、持续监督 |
| 台账字段 | 名称、提供方、用途、收集字段、触发时机 |
| 上线检查 | 初始化时机、字段一致性、静默共享、协议有效期 |
| 版本管理 | SDK 升级后重新核对采集行为 |
典型使用场景
- 新接入 SDK 前的合规评审
- SDK 版本升级后的行为复核
- 隐私政策中第三方共享章节的更新
- 监管抽检前的静默采集排查
- 共享协议到期与续签管理
SDK 台账字段
SDK 台账字段
# SDK 名称 | 提供方 | 用途 | 收集的个人信息 | 触发时机
# 初始化时机（启动前 / 同意后）| 隐私政策披露位置
# 共享协议编号 | SDK 版本 | 上线日期 | 最近一次行为检测日期上线检查点
上线检查点
# 1 SDK 是否在用户同意隐私政策前初始化或上报
# 2 收集字段与披露是否一致（抓包与行为检测核对）
# 3 是否存在静默共享或超范围采集
# 4 共享协议与安全评估是否在有效期内高频问题与后果
| 问题 | 表现 | 后果 |
|---|---|---|
| 提前初始化 | 同意前即上报设备信息 | 未告知先收集 |
| 字段超披露 | 实际收集位置、通讯录等 | 超范围采集 |
| 静默共享 | 无用户触发即上报数据 | 未经同意的对外提供 |
| 协议过期 | 无当前有效的共享协议 | 对外提供缺法律依据 |
SDK 版本升级可能改变采集范围：升级前后各做一次抓包对比，是成本最低的兜底手段，也便于留证。
隐私政策里只写「可能与合作方共享」难以满足告知的明确性要求，建议列明 SDK 名称、用途与收集字段。