小程序隐私这块，最近两年是审核被打回的高发区。很多团队功能写完了才想起小程序隐私协议，结果审核意见一来就是好几条，上线又往后拖了几天。
我们接手的项目里，问题大多不是“没写隐私协议”，而是写了但和代码对不上：代码里调了定位，指引里没声明；指引里写了收集手机号，页面上却根本没有这个功能。平台核对的就是这种一致性。
小程序隐私保护指引到底是什么
可以把它理解成小程序后台里的一张“信息收集清单”。你在小程序后台的设置里找到用户隐私保护指引，按平台给的条目逐项勾选：收集哪类信息、用来做什么、存多久、出了问题找谁。平台会根据你填的内容生成一份标准格式的指引，用户在授权弹窗里点开就能看到。
它和你自己写在页面里的《用户协议》《隐私政策》不是一回事。自己写的可以更详细，但后台这份必须填，审核也以它为准。入口和条目名称调整过几次，以后台当前页面为准。
小程序隐私指引里要声明哪些信息
判断标准很简单：只要代码里调用了涉及用户信息的接口，就要在指引里声明。常见的有这些：
- 位置信息：附近门店、配送范围、签到打卡；
- 手机号：一键登录、绑定会员；
- 相册、摄像头：上传头像、拍照识别、扫码以外的拍照功能；
- 昵称头像：个人中心展示；
- 麦克风：语音留言、语音搜索；
- 剪切板、通讯录、蓝牙、微信运动等，用到就要写。
小程序隐私声明最容易漏的是第三方插件和 SDK。比如接了一个地图组件或客服插件，它内部调用了定位，你自己的代码没写，但审核时一样算在你头上。用了哪些插件，要逐个查它们调了什么接口，这一步通常要开发同事配合拉一份清单。
用途怎么写才不会被驳回
在小程序隐私配置里，用途描述是被驳回最多的地方。“为了提供更好的服务”“用于完善产品功能”这种写法，基本都会被要求修改。
平台希望看到的是具体场景。拿位置信息举例，写成“用于展示离你最近的门店和计算配送范围”就清楚多了；手机号写成“用于登录和接收订单通知”。一句话说清楚用在哪个功能上，比堆一段套话强。
还有一点：一项信息有多个用途，就都写上。只写了“展示门店”，实际还拿定位做了配送距离计算，严格来说也算不一致。
小程序隐私授权弹窗怎么做
指引填好只是一半，另一半在代码里。现在的机制是：用户第一次触发涉及隐私的接口时，小程序需要先让用户同意隐私保护指引，同意之后接口才能正常调用。
实际开发中有两种常见做法。一种是用平台提供的隐私授权事件，在用户点到相关功能时弹出你自己设计的提示框，里面放查看指引的入口和同意按钮。另一种是在首次进入时统一弹一次。我们更推荐前一种，用到什么再问什么，用户不会一打开就被一堆弹窗劝退。
几个细节要注意。第一，同意按钮要用平台规定的按钮类型，自己画一个普通按钮是不生效的。第二，用户点了拒绝，不能直接关掉小程序或者反复弹窗逼他同意，应该让他继续浏览不需要这项信息的页面。第三，测试时记得清除授权记录再试，否则你看到的永远是已同意状态。如果登录用的是短信验证码，可以把短信接口和手机号授权放在同一步设计。具体的接口名称和参数，以平台开发文档的最新版本为准。
最小必要原则：能不收就不收
审核员越来越关注一个问题：你收的信息是不是业务真需要的。
做一个展示型的企业小程序，一进来就要手机号和位置，大概率会被问“为什么需要”。我们处理小程序隐私的做法是倒过来想：先列出每个功能，再看它最少需要什么信息。浏览产品不需要登录，那就别在首页强制授权；只有提交询价表单时才需要手机号，那就在提交那一步再要。
这样做除了好过审，用户的接受度也会高很多。
小程序隐私审核常见驳回原因
把我们这几年遇到的情况归一下，大致是这几类：
- 代码调用了某项信息，指引没声明；
- 指引声明了，但小程序里找不到对应功能；
- 用途写得太笼统；
- 拒绝授权后功能直接不可用，或强制退出；
- 插件、SDK 调用的接口没算进去。
改的时候按这个顺序对一遍，通常一轮就能过。
结论
小程序隐私配置的核心就一件事：后台指引、授权弹窗和实际代码三者对得上。先盘点代码和插件调用了哪些接口，再逐项写清用途，按场景触发授权，拒绝后给用户留出路，最后按驳回清单自查一遍。平台规则会更新，提交前看一眼最新文档比较稳妥。蔚岚科技做小程序开发时会把小程序隐私配置一起做好，也能帮你检查已有项目，需要的话打 18720919319，或者在联系我们留言。
常见问题
小程序没有收集任何信息，还需要填隐私保护指引吗？
一般也建议填。很多小程序表面没收集信息，但组件或插件可能调用了相关接口，填之前先让开发查一遍更稳。
小程序隐私指引改了以后要重新提交审核吗？
通常修改后台指引需要平台审核，代码里如果新增了接口调用，也要随新版本一起提交。改动较大时两者一起提交，避免前后不一致。
用户拒绝授权后，下次还能再问吗？
可以在用户再次使用相关功能时重新提示，但不要在同一页面反复弹窗。频繁打扰用户，审核和体验都会出问题。
自己写的隐私政策页面还有必要放吗？
有必要。后台指引是平台统一格式，自己的隐私政策可以写得更完整，比如数据保存方式和联系方式。两份内容不要互相矛盾。
外包开发的小程序，隐私协议谁负责？
法律责任一般在小程序主体，也就是你的企业。合同里可以约定由开发方配合整理接口清单和填写指引，但上线前企业自己要过目确认。