海外 App 合规与隐私实操指南：GDPR、CCPA、ATT 不踩雷

一、为什么“合规”会直接决定你能不能活下来？

很多出海团队对合规的态度是：

“等做大了再说。”
“我们体量小，没人管。”

但现实是：

• 账号被封，不给解释

• 广告账户直接关停

• 应用下架，无法申诉

• 收入被冻结

在海外市场，合规不是“锦上添花”，而是入场券。

二、先给你一个全局认知（非常重要）

海外合规的本质，不是法律条文，而是“用户数据控制权”。

你必须回答 3 个问题：

1. 你收集了哪些数据？

2. 用户是否明确同意？

3. 用户是否能随时撤回？

答不上来，就一定有风险。

三、你必须知道的 3 大合规体系（够用版）

① GDPR（欧盟）

适用范围：

• 只要你有欧盟用户，就适用

• 与公司注册地无关

核心原则：

• 明示同意

• 最小化收集

• 可删除、可导出

② CCPA / CPRA（美国加州）

适用范围：

• 面向美国用户

• 特别关注“数据出售”

核心原则：

• 用户有权拒绝数据出售

• 用户有权要求删除

③ ATT（Apple Tracking Transparency）

适用范围：

• 所有 iOS App

核心原则：

• 未授权 = 不可追踪

• 不得诱导授权

ATT 不合规，广告直接废掉。

四、最容易踩雷的 5 个地方（血泪经验）

1 没有明确隐私政策

• 随便复制一份

• 或根本没放

App Store / Google Play 必查项

2 隐私政策 ≠ 实际行为

• 写了“不收集”

• 但接了 SDK

这是高危行为。

3 默认勾选同意

• 欧盟直接违规

• 苹果直接拒审

4 ATT 弹窗文案违规

• 暗示“不允许会影响体验”

• 或引导用户点允许

苹果明确禁止

5 第三方 SDK 不合规

• 广告

• 分析

• 推送

你要为它们负责。

五、隐私弹窗（Consent）的正确做法

一个合规的 Consent 流程必须包含：

• 数据用途说明

• 可选择（非强制）

• 可随时修改

推荐结构（简化但安全）

我们使用数据来：
☑ 提供核心功能
☐ 个性化推荐
☐ 广告分析[接受所选] [拒绝非必要]

六、ATT 授权的“现实最优解”

事实先说清楚：

• ATT 同意率全球平均：20%–40%

• 你不可能说服所有人

正确策略：

1. 先展示价值

2. 在用户成功体验后再弹

3. 文案解释“为什么”

合规文案示例（安全版）

We use your data to improve ads relevance and keep the app free.

不夸大、不恐吓、不诱导。

七、广告与数据合规的现实影响

不合规的真实后果：

• 广告无法优化

• ROAS 急剧下降

• 无法放量

• 被平台风控

不是“能不能投”，而是“投了也白投”。

八、一个可直接照做的合规清单（实操）

上线前必须完成

• 隐私政策页面（真实、对应 SDK）

• 数据收集说明

• Consent 管理

• ATT 弹窗合规

上线后每季度检查

• 新 SDK 是否引入新数据

• 隐私政策是否更新

• 国家法规是否变化

九、合规 ≠ 慢，而是“稳”

很多人觉得合规会：

• 降低转化

• 增加成本

但现实是：

合规让你活得更久，跑得更远。

真正的大盘增长，必须建立在合规之上。

十、最后一句话（非常重要）

在海外市场，不懂合规不是无知，是风险敞口。

你可以小，但不能野。