广州游戏工作室合规系列第 8 篇 本文由广东慕名科技整理输出很多休闲游戏不走 IAP 内购依靠 IAA 广告流量完成商业变现。不少团队会选择外包定制广告聚合 SDK、广告效果统计模块。 SDK 外包会带来源码确权、接口对接风险广告 SDK 天然涉及设备标识符、用户行为数据采集隐私违规是 IAA 游戏被应用商店下架、通报的高频诱因。与此同时广告分成结算、入账开票也容易出现管理混乱。本文从外包合同、数据合规、隐私政策、财税结算四个维度完整拆解。核心结论前置IAA 广告变现游戏即便没有充值内购只要属于企业商业化运营自有 APP/H5 站点仍需要 ICP 备案与 ICP 经营许可证平台托管小游戏遵循平台自身进件规则。广告 SDK 外包需要在合同明确知识产权归属、数据处理责任边界外包方不能绕过游戏运营主体私自采集、转发用户数据。坚持最小必要原则广告相关设备标识必须取得用户明示同意之后再触发采集禁止 App 启动阶段静默拉取 OAID/IDFA 等广告标识符。广告分成做到合同主体、收款主体、开票主体统一全部广告收益入账杜绝资金体外循环。一、IAA 游戏 SDK 定制外包合同必须写清的关键条款很多团队只关注功能、工期、报价忽略知识产权与数据责任。上线后出现源码无法迭代修改、外包代码违规采集用户数据全部合规责任由游戏运营主体承担。1. 知识产权与源码归属明确本次定制开发产出的全部代码、接口文档、配置文件全部知识产权完整归属委托方游戏运营公司仅允许外包方保留非商用技术演示权限禁止外包方将同一套 SDK 复用于其他竞品项目。重点提示单纯支付开发费用不等于自动获得著作权必须书面约定著作权转让否则外包方持有著作权后续迭代维护会被限制。约定交付完整可编译源码、接口文档、部署配置说明约定交付后 3‑6 个月技术维保周期。要求外包方完整提供项目所使用开源组件清单规避 GPL 等传染性开源协议风险避免业务代码被迫开源。2. 个人信息与数据责任划分IAA 外包核心条款明确游戏运营主体承担个人信息处理的最终合规责任外包开发方仅负责代码实现必须严格按照委托方提供的隐私策略、权限时序开发不得私自新增采集字段、静默调用权限、通过热更新新增数据上报逻辑。硬性约束在用户未同意隐私政策之前不得初始化广告模块、获取 OAID/IDFA、读取设备信息。约定违约后果若外包交付代码存在违规采集逻辑外包方需要配合完成整改承担对应的调试修复成本。3. 验收、付款节点拆分交付节点原型确认→联调版本交付→隐私合规自测通过→完整源码交付分阶段付款不建议一次性全款预付。 验收清单必须加入隐私合规自测项权限时序、数据采集逻辑纳入验收标准。4. 结算开票外包属于软件开发服务外包服务商开具软件开发 / 技术服务费增值税发票全部对公转账留存合同、发票、银行回单完整凭证研发相关支出计入研发费用或者无形资产按企业会计制度要求摊销。区分两种业务场景场景 A委托外包定制广告聚合 SDK属于软件开发外包上面合同条款全部适用场景 B直接接入市面成熟第三方广告 SDK穿山甲、优量汇等不属于开发外包但隐私披露义务依旧由游戏运营方承担。二、IAA 游戏高频数据采集违规点外包开发极易踩坑IAA 游戏为实现广告归因、定向投放会获取设备广告标识符绝大多数违规问题集中在采集时机与采集范围上。❌App 刚启动隐私弹窗未弹出、用户未完成同意SDK 就初始化提前获取 OAID / IDFA、收集设备型号、IP 等信息。合规要求用户明示同意隐私政策之后再初始化广告 SDK。❌过度申请无关权限普通休闲 IAA 游戏无语音、社交功能却申请麦克风、通讯录、短信、高精度位置权限。最小必要原则广告变现本身不需要通讯录、短信权限非必要权限一律不申请权限做到 “使用时再申请”不要启动阶段一次性申请全部权限。❌用户拒绝广告跟踪权限之后游戏核心功能无法使用反复弹窗骚扰用户。规则用户拒绝广告标识符授权游戏仍可正常游玩仅关闭个性化广告切换展示非个性化广告。❌多层嵌套第三方 SDK隐私政策没有完整披露下游 SDK 清单。定制广告聚合 SDK 内部往往嵌套多家广告厂商 SDK隐私政策需要完整披露全部第三方 SDK 名称、收集信息类型、用途、官方隐私政策链接不能只写自家聚合 SDK刻意隐藏下游厂商信息。❌SDK 具备无管控热更新能力可以动态下发代码静默新增采集逻辑。合同层面约束外包方禁止无管控热更新上线之前完成隐私检测。三、隐私政策落地避坑清单隐私政策为独立文档不能嵌套在用户协议内部首次打开以弹窗形式提示提供清晰的同意 / 拒绝按钮禁止默认勾选同意。清晰写明广告相关设备标识OAID、IDFA采集目的用于广告投放、归因统计同时说明用户关闭个性化广告的操作路径。完整披露全部第三方广告 SDK 清单说明各 SDK 收集信息类型与用途附上对应官方隐私政策链接。用户可以便捷撤回个性化广告授权撤回授权之后立刻停止对应数据上报。隐私政策访问路径控制在 4 次点击以内字体清晰可读不使用灰色小字刻意隐藏。四、IAA 广告变现游戏的资质与结算入账资质自查清单企业主体、自有 APP/H5✅ICP 域名备案 ✅ICP 经营许可证 ✅软件著作权补充只要属于网络游戏出版物商业化上线就需要版号仅广告变现不等于可以无版号上线运营。 补充说明微信、抖音等平台托管小游戏以平台开发者规则为准。广告分成结算实操广告平台结算资金直接对公结算进入游戏运营主体对公账户禁止个人私户收款。会计处理广告流量收入计入营业收入前期 SDK 外包开发支出可以计入研发费用或者无形资产按期摊销。开票广告平台向游戏公司结算一般开具服务费 / 广告服务费发票游戏方按照实际收到广告收益确认营业收入。证据留存广告平台后台对账单、结算单、银行流水、发票完整留存至少 5 年备查。风险提醒部分团队误以为没有充值就不需要对公报税。监管判断业务是否经营性看业务模式而非是否存在内购依靠广告获取收益属于经营性互联网服务收入需要完整入账申报纳税。五、典型踩坑案例某休闲游戏工作室外包定制广告聚合 SDK。外包交付功能正常但代码逻辑写死 App 启动即拉取广告标识符不做用户隐私同意状态判断。版本上架应用商店被自动化检测通报产品直接下架。 问题根源外包合同只约定业务功能没有将隐私采集时序纳入验收条款上线前没有开展隐私合规检测。后期整改需要修改代码、重新打包提审项目进度大幅延误。六、工作室高频 FAQQ1纯 IAA 广告小游戏没有充值企业做自有 APP 还需要 ICP 许可证吗A企业主体运营自有 APP/H5依靠广告流量获取收益属于经营性互联网信息服务仅域名 ICP 备案不足需要 ICP 经营许可证托管在微信、抖音平台的小游戏以平台规则为准。Q2直接采购第三方现成广告 SDK不是外包开发还需要做隐私披露吗A需要。游戏运营主体对全部集成的第三方 SDK 行为对外承担责任必须完整披露第三方 SDK 信息管控 SDK 初始化时机责任不能转嫁广告 SDK 厂商。Q3用户拒绝提供广告 ID广告还能展示吗A可以展示非个性化广告游戏核心游玩功能不受影响不得限制用户使用产品。Q4广告 SDK 外包外包方要求留存一部分数据做统计是否可以A不建议。确有需要的情况下必须在隐私政策向玩家完整披露并取得用户同意禁止未告知用户私自将游戏用户设备数据同步给到外包服务商。Q5IAA 休闲游戏需要版号吗A只要属于网络游戏出版物开展商业化上线就需要版号不要误以为只有 IAP 充值游戏才需要版号。七、总结IAA 广告变现游戏合规风险主要集中两处一是广告 SDK 的数据采集逻辑二是团队普遍存在认知误区认为没有充值就不需要 ICP、版号。 选择外包定制广告 SDK不能只关注业务功能要把隐私合规写进合同、纳入验收环节。隐私政策不能直接复制网上模板需要和项目实际集成的全部 SDK 相匹配。广告收益完整对公入账完成业务、资金、票据闭环。本文为广州游戏工作室合规系列原创由广东慕名科技整理输出内容基于现行监管政策整理可供游戏研发团队做资质规划参考。