TikTok 权限用途说明

本文档说明「环球出海」社媒客户服务平台（以下简称「本应用」）如何使用 TikTok for Business Developers 的「账号持有人授权」所授予的权限。本应用申请授权的目的是获取并维护客户个人 TikTok 账号的合法会话（授权码 / access token），用于识别已连接账号并开展客户服务协作；不用于通过本应用直接发布或上传视频内容。

产品与授权流程概览

客户或其授权运营人员在 CRM「TikTok 授权」菜单（/tiktok-auth）中选择客户，通过 TikTok 账号持有人 OAuth（www.tiktok.com/v2/auth/authorize）用个人 TikTok 账号完成授权。授权完成后回调 /api/tiktok/oauth/callback，本应用用授权码向 Business API（tt_user/oauth2/token）换取并安全保存会话凭证，并展示账号昵称与头像以便身份核对。

本应用不会申请 Content Posting 相关权限（例如 video.upload、video.publish）。本应用对私信（Business Messaging）仅做只读拉取与展示，用于客户服务跟进，不用于群发营销或骚扰。

所申请权限及用途

读取基本资料（用于会话与身份核对）

user.info.basic / user.info.username / user.info.profile

本应用如何使用

在用户完成 OAuth 授权、本应用获得会话凭证后，读取 open_id、头像与显示名称，用于确认「当前会话对应哪一个 TikTok 账号」，并在客户档案/绑定界面展示已连接身份，避免绑错账号。

数据用途边界

仅用于身份展示、会话关联与客户服务协作。不用于视频发布、内容搬运，也不用于无关推荐或广告售卖。

读取私信会话（客户服务跟进）

message.list.read / message.list.manage

本应用如何使用

在已签约客户的 TikTok 商业号授权后，通过 Business Messaging Webhook 接收 DIRECT_MESSAGE 事件，将私信会话与消息文本同步到 CRM「TikTok 授权」页只读展示，便于运营跟进咨询。第一期不在 CRM 内发送或回复私信。

数据用途边界

仅存储与展示服务履约所需的消息内容；不出售给第三方；不用于垃圾营销。自 Webhook 接入之日起增量同步，默认不回溯更早历史私信。

用户控制

用户须在 TikTok 授权页同意私信相关 scope；可随时在 TikTok 撤销授权，亦可在本应用解除绑定。解绑后停止接收该账号 Webhook 消息。

English summary for TikTok App Review

Purpose — Maintain OAuth sessions for contracted client TikTok Business accounts and, with messaging scopes, sync inbound/outbound DMs for customer-service follow-up. We do not publish or upload videos via this app. Phase 1 does not send replies from CRM.
user.info.basic (+ username/profile) — Label and verify which TikTok account the session belongs to.
message.list.read / manage — Receive DIRECT_MESSAGE webhooks and display conversation history in CRM for support staff (read-only).
Not requested for posting — video.upload / video.publish are out of scope.

Huanqiu Outbound (环球出海) is a multi-client social media customer-service platform. TikTok OAuth establishes authorized sessions; Business Messaging powers read-only DM sync for Business Accounts.