【2026 广州游戏合规】IAA 广告变现休闲游戏：广告 SDK 外包、隐私收集、广告分成入账规范

2026/8/11 23:06:35

💡广州游戏工作室合规系列（第 8 篇）本文由广东慕名科技整理输出
很多休闲游戏不走 IAP 内购，依靠 IAA 广告流量完成商业变现。不少团队会选择外包定制广告聚合 SDK、广告效果统计模块。 SDK 外包会带来源码确权、接口对接风险；广告 SDK 天然涉及设备标识符、用户行为数据采集，隐私违规是 IAA 游戏被应用商店下架、通报的高频诱因。与此同时广告分成结算、入账开票也容易出现管理混乱。本文从外包合同、数据合规、隐私政策、财税结算四个维度完整拆解。

核心结论前置

IAA 广告变现游戏，即便没有充值内购，只要属于企业商业化运营，自有 APP/H5 站点仍需要 ICP 备案与 ICP 经营许可证；平台托管小游戏遵循平台自身进件规则。
广告 SDK 外包，需要在合同明确知识产权归属、数据处理责任边界，外包方不能绕过游戏运营主体私自采集、转发用户数据。
坚持最小必要原则：广告相关设备标识，必须取得用户明示同意之后再触发采集；禁止 App 启动阶段静默拉取 OAID/IDFA 等广告标识符。
广告分成做到合同主体、收款主体、开票主体统一，全部广告收益入账，杜绝资金体外循环。

一、IAA 游戏 SDK 定制外包，合同必须写清的关键条款

很多团队只关注功能、工期、报价，忽略知识产权与数据责任。上线后出现源码无法迭代修改、外包代码违规采集用户数据，全部合规责任由游戏运营主体承担。

1. 知识产权与源码归属

明确本次定制开发产出的全部代码、接口文档、配置文件，全部知识产权完整归属委托方（游戏运营公司）；仅允许外包方保留非商用技术演示权限，禁止外包方将同一套 SDK 复用于其他竞品项目。

重点提示：单纯支付开发费用不等于自动获得著作权，必须书面约定著作权转让，否则外包方持有著作权，后续迭代维护会被限制。

约定交付完整可编译源码、接口文档、部署配置说明；约定交付后 3‑6 个月技术维保周期。
要求外包方完整提供项目所使用开源组件清单，规避 GPL 等传染性开源协议风险，避免业务代码被迫开源。

2. 个人信息与数据责任划分（IAA 外包核心条款）

明确：游戏运营主体承担个人信息处理的最终合规责任；外包开发方仅负责代码实现，必须严格按照委托方提供的隐私策略、权限时序开发，不得私自新增采集字段、静默调用权限、通过热更新新增数据上报逻辑。
硬性约束：在用户未同意隐私政策之前，不得初始化广告模块、获取 OAID/IDFA、读取设备信息。
约定违约后果：若外包交付代码存在违规采集逻辑，外包方需要配合完成整改，承担对应的调试修复成本。

3. 验收、付款节点

拆分交付节点：原型确认→联调版本交付→隐私合规自测通过→完整源码交付，分阶段付款，不建议一次性全款预付。验收清单必须加入隐私合规自测项，权限时序、数据采集逻辑纳入验收标准。

4. 结算开票

外包属于软件开发服务，外包服务商开具软件开发 / 技术服务费增值税发票；全部对公转账，留存合同、发票、银行回单完整凭证；研发相关支出计入研发费用或者无形资产，按企业会计制度要求摊销。

区分两种业务场景

场景 A：委托外包定制广告聚合 SDK，属于软件开发外包，上面合同条款全部适用；
场景 B：直接接入市面成熟第三方广告 SDK（穿山甲、优量汇等），不属于开发外包，但隐私披露义务依旧由游戏运营方承担。

二、IAA 游戏高频数据采集违规点（外包开发极易踩坑）

IAA 游戏为实现广告归因、定向投放会获取设备广告标识符，绝大多数违规问题集中在采集时机与采集范围上。

❌App 刚启动，隐私弹窗未弹出、用户未完成同意，SDK 就初始化，提前获取 OAID / IDFA、收集设备型号、IP 等信息。

合规要求：用户明示同意隐私政策之后，再初始化广告 SDK。

❌过度申请无关权限：普通休闲 IAA 游戏，无语音、社交功能，却申请麦克风、通讯录、短信、高精度位置权限。

最小必要原则：广告变现本身不需要通讯录、短信权限；非必要权限一律不申请；权限做到 “使用时再申请”，不要启动阶段一次性申请全部权限。

❌用户拒绝广告跟踪权限之后，游戏核心功能无法使用，反复弹窗骚扰用户。

规则：用户拒绝广告标识符授权，游戏仍可正常游玩，仅关闭个性化广告，切换展示非个性化广告。

❌多层嵌套第三方 SDK，隐私政策没有完整披露下游 SDK 清单。

定制广告聚合 SDK 内部往往嵌套多家广告厂商 SDK；隐私政策需要完整披露全部第三方 SDK 名称、收集信息类型、用途、官方隐私政策链接，不能只写自家聚合 SDK，刻意隐藏下游厂商信息。

❌SDK 具备无管控热更新能力，可以动态下发代码，静默新增采集逻辑。

合同层面约束外包方，禁止无管控热更新；上线之前完成隐私检测。

三、隐私政策落地避坑清单

隐私政策为独立文档，不能嵌套在用户协议内部；首次打开以弹窗形式提示，提供清晰的同意 / 拒绝按钮，禁止默认勾选同意。
清晰写明广告相关设备标识（OAID、IDFA）采集目的：用于广告投放、归因统计；同时说明用户关闭个性化广告的操作路径。
完整披露全部第三方广告 SDK 清单，说明各 SDK 收集信息类型与用途，附上对应官方隐私政策链接。
用户可以便捷撤回个性化广告授权；撤回授权之后立刻停止对应数据上报。
隐私政策访问路径控制在 4 次点击以内，字体清晰可读，不使用灰色小字刻意隐藏。

四、IAA 广告变现游戏的资质与结算入账

资质自查清单（企业主体、自有 APP/H5）

✅ICP 域名备案 ✅ICP 经营许可证 ✅软件著作权

补充：只要属于网络游戏出版物，商业化上线就需要版号；仅广告变现不等于可以无版号上线运营。补充说明：微信、抖音等平台托管小游戏，以平台开发者规则为准。

广告分成结算实操

广告平台结算资金，直接对公结算进入游戏运营主体对公账户，禁止个人私户收款。
会计处理：广告流量收入计入营业收入；前期 SDK 外包开发支出，可以计入研发费用或者无形资产按期摊销。
开票：广告平台向游戏公司结算，一般开具服务费 / 广告服务费发票；游戏方按照实际收到广告收益确认营业收入。
证据留存：广告平台后台对账单、结算单、银行流水、发票完整留存至少 5 年备查。

风险提醒：部分团队误以为没有充值就不需要对公报税。监管判断业务是否经营性，看业务模式而非是否存在内购；依靠广告获取收益属于经营性互联网服务，收入需要完整入账申报纳税。

五、典型踩坑案例

某休闲游戏工作室，外包定制广告聚合 SDK。外包交付功能正常，但代码逻辑写死 App 启动即拉取广告标识符，不做用户隐私同意状态判断。版本上架应用商店，被自动化检测通报，产品直接下架。问题根源：外包合同只约定业务功能，没有将隐私采集时序纳入验收条款；上线前没有开展隐私合规检测。后期整改需要修改代码、重新打包提审，项目进度大幅延误。

六、工作室高频 FAQ

Q1：纯 IAA 广告小游戏，没有充值，企业做自有 APP 还需要 ICP 许可证吗？A：企业主体运营自有 APP/H5，依靠广告流量获取收益属于经营性互联网信息服务，仅域名 ICP 备案不足，需要 ICP 经营许可证；托管在微信、抖音平台的小游戏以平台规则为准。

Q2：直接采购第三方现成广告 SDK，不是外包开发，还需要做隐私披露吗？A：需要。游戏运营主体对全部集成的第三方 SDK 行为对外承担责任，必须完整披露第三方 SDK 信息，管控 SDK 初始化时机，责任不能转嫁广告 SDK 厂商。

Q3：用户拒绝提供广告 ID，广告还能展示吗？A：可以展示非个性化广告，游戏核心游玩功能不受影响，不得限制用户使用产品。

Q4：广告 SDK 外包，外包方要求留存一部分数据做统计，是否可以？A：不建议。确有需要的情况下，必须在隐私政策向玩家完整披露并取得用户同意；禁止未告知用户，私自将游戏用户设备数据同步给到外包服务商。

Q5：IAA 休闲游戏需要版号吗？A：只要属于网络游戏出版物，开展商业化上线，就需要版号；不要误以为只有 IAP 充值游戏才需要版号。

七、总结

IAA 广告变现游戏，合规风险主要集中两处：一是广告 SDK 的数据采集逻辑；二是团队普遍存在认知误区，认为没有充值就不需要 ICP、版号。选择外包定制广告 SDK，不能只关注业务功能，要把隐私合规写进合同、纳入验收环节。隐私政策不能直接复制网上模板，需要和项目实际集成的全部 SDK 相匹配。广告收益完整对公入账，完成业务、资金、票据闭环。