煮酒言规 | 第137期 | 法务为什么不该牵头数据安全

-答2：我理解不用，这就是委托开发。到要用a的名义弄个sdk的隐私政策。也可以在a的app，SDK列表里披露。

-答3：法律身份上：A本身就是APP运营者，使用APP母包or使用SDK收集处理APP用户个人信息都是正常的端侧数据收集方式，也都是APP隐私政策中本来就应披露的、以A的名义收集处理的个人信息活动——A以自己名义开发和实际运营的SDK是A自身服务的一部分。B只是静态代码的开发者，没有实际参与APP个人信息的收集、处理，更没有以自己名义来收集处理APP个人信息，即B没有参与数据流转中，监管方没有依据也没有动机要求A必须披露这种程度的供应链信息。
但实践中，对于A在自己母包中嵌入自己名义开发和运营的SDK（例如使用本集团共享功能的各种SDK），少数监管方要求视为“第三方SDK”、隐私政策清单和检测清单中一并列出；大部分监管方（含平台审核方）不视为第三方SDK处理。遇到了前者增强式的披露要求就遵守，不要纠结磨叽才好。

多说一句，A-B合作的关键不是在终端如何告知用户，而是在双方合作协议中写明B没有获取、处理任何A的用户数据——“反向”数据处理协议也很重要，也得写。如果双方不敢写上，那可能B的处理活动没有律师以为的那么简单哦~

-答4：是的，本来就是内外有别，内部和合作伙伴之间不是单纬度的数据关系而是更复杂的商业模式，我现在看到的是一个外部意见建议在2C数据界面对外披露a-b的委托关系，就觉得很奇怪。

-答5：因为检测的时候区分不出来。

-答6：可能会看包名吧？

-答7：这样的外部建议是充分提高透明度的措施，虽然不算错的，但实践采用得少，且会增加业务摸排工作量。这种“加戏”的合规工作~~自选吧。

-答8：从外部律师给透明度建议的角度肯定不错，但如果是作为一个在外部也要区分开发和运营且均需披露的建议，有点过了。