智能设备应用能依据履行合同收集数据吗？
可以，但数据处理必须是履行与该用户约定服务所必需的。应分别评估每项用途：可选分析不能沿用必要功能的处理依据，应用存储或读取设备信息也要另行核查。可与 Cambridge China Bridge 一起将这些区别写入供应商需求说明。
先列清用途，再看应用权限
开始收集前，应确定合法处理依据，并在隐私说明中告知用户。建立用途清单，将设备控制、账户访问、故障诊断、产品改进和广告分别列出。逐项询问供应商：哪些信息会离开设备，发送到哪里，接收方如何使用。
手机权限页面值得检查，但不能解释后续所有用途。要求提供涵盖设备、应用、云端服务及内置分析组件的数据流向图。结合联网产品指南，同步安排产品安全核查。
核实约定服务是否需要这些数据
履行合同的必要性针对与数据所属个人约定的服务。仅与其雇主或另一购买方签订合同，不能据此处理该个人的信息。处理必须是交付服务不可分割的环节；如果存在合理且侵扰更小的替代方式，就不能采用这一依据。
对于远程控制家电，先问清账户标识和指令传送为何必要，再质疑无关的位置收集或长期保存的使用记录。这些是待核实的问题，不是预先作出的分类。记录承诺的功能、拟开展的数据处理，以及侵扰更小的设计为何无法合理交付该功能。
将可选分析单独处理
把分析写进用户条款，不会使其成为履行合同所必需的处理。为自身业务目的再次使用客户信息，不属于这一依据的适用范围。因此，可选的产品改进分析需要单独评估合法处理依据，即使同一信息也用于必要功能。
要求开发方将设备运行事件与可选分析上传分开。测试关闭分析后，用户是否仍能控制家电。如果选择以同意为依据，应针对不同用途分别提供选择，将同意与条款分开，并允许用户拒绝或便捷撤回，且不因此受到不利影响。
设备信息读取与后续使用都要核查
英国信息专员办公室指出，使用信息存储和访问技术需要取得同意，除非符合相关隐私与电子通信规则的豁免条件。后续个人信息处理即使依据履行合同，也不能省去这项核查。询问哪些应用组件会在手机或设备上存储、读取信息，以及所称豁免的依据。
不要接受所有诊断都必不可少，或所有分析都一定需要同意的笼统保证。要求针对实际用途和实现方式提供评估。涉及健康等特殊类别信息时，还需要另行满足相应处理条件。
正在算自己的订单？把产品通过 WhatsApp 发给我们，工作日当天回复： WhatsApp 联系
让供应商需求能够实际验证
索取用途清单、数据流向图、选择界面截图、组件清单及可测试的应用版本。约定由谁解释各项处理用途，以及谁能修改收集设置。在审批记录中关联应用版本与设备固件；可参考固件审批指南安排核查。
使用测试账户和模拟信息，检查用户作出选择前、拒绝后、撤回同意后及更新后的收集行为。要求提供实际数据传送证据，而非只有截图。如果中国境内人员或服务商能够访问客户信息，应结合供应商数据共享指南另行核查。
常见问题
接受应用条款就能开展数据分析吗？
不能。将分析写入条款，并不能证明其属于履行合同所必需的处理。应单独评估分析用途，并确定适当的合法处理依据。
应用的必要功能需要取得同意吗？
如果个人信息处理是履行与用户约定的服务不可分割的环节，可能适用履行合同这一依据。信息存储或访问技术仍需另行核查 PECR 的同意要求或豁免条件。
与公司签订的合同能涵盖员工数据吗？
不能仅因合同与其雇主签订，就采用履行合同依据。应分别核查处理员工个人信息的依据。
应向中国应用供应商索取什么？
索取用途清单、数据流向、收集设置、组件清单及可测试版本。检查拒绝可选分析及撤回同意后的实际数据传送。