小游戏能收集哪些数据,又是什么会让你被罚？

隐私是用户走后寄来的那张账单。一个悄悄囤数据、或者更糟——漏数据的——小游戏,等不到警告,等来的是监管的一封信,上面写着数字。规则不神秘,只是比大多数上线清单更严。咱们走一遍你能收集什么,以及什么真的会让你被罚。

Q：小游戏能正当收集哪些数据？

游戏运转需要的数据:有账号就有账号基础信息,有平衡就有玩法事件,有支付就有处理商本就持有的支付记录。团队翻车的地方,是叠一堆第三方 SDK,把设备 ID、位置、通讯录"以防万一"地捞走。收集功能用到的,功能用不到的一律不收。你手里越少,要守的越少。

这是游戏被烧的地方。如果你的受众偏 13 岁以下(欧盟部分区域是 16 岁以下),你就进了"指定儿童"地带:不能有行为广告、不能画像,往往还得在收集大部分东西前拿到家长同意。美国的 COPPA 和 GDPR 儿童条款在这里毫不留情——"我们不知道他们是孩子"这个辩护理由,一碰到监管就碎。

如果你在欧盟收、在别处处理,你需要一个合法传输机制——标准合同条款(SCC)或充分性认定,而不是"指望一下"。一个已经在跨境运营的 runtime 或宿主可能帮你处理,但举证义务仍是你的。陷阱是以为"云"是个地点;它是一份合同,而且合同得写对东西。

很容易。一个看似无害、却把数据发给你没审过的供应商、或静默抓标识符的分析工具,把你的游戏变成最弱的一环。像审外包一样审每个 SDK:它发什么、发去哪、你能不能关。那个"只追留存"的 SDK,惹的罚单比任何玩法功能都多。

两件事,快做:通知,止损。多数制度要求在固定窗口内通报泄露——GDPR 下常是 72 小时——而且评判你的不是泄露本身,是之后的手忙脚乱。上线前要有预案:谁通知、说什么、怎么控制。干净应对的团队能活过泄露;隐瞒的团队拿到罚单加头条。