本案的争议焦点为：爱某公司、雅某公司是否侵害了左某的个人信息权益。具体又涉及两方面的问题：一是左某对案涉《章程》的点击勾选动作是否取得告知同意的法律效力；二是爱某公司、雅某公司处理个人信息是否履行合同必需。

 一、左某对案涉《章程》的点击勾选动作是否取得告知同意的法律效力本案中，雅某公司是外国法人，本案属于涉外案件。由于各方当事人均同意本案适用中国法律处理，故本案适用《中华人民共和国个人信息保护法》。 根据个人信息保护法规定，处理个人信息的合法性以个人同意为基础，征得个人同意的前提是个人信息处理者应向个人告知其处理行为。

本案中，雅某公司在APP客户端呈现的案涉《章程》勾选界面是一揽子的笼统告知，属于一般告知 ，用户的点击勾选动作不必然发生“个人同意”的法律效力。基于此，对于雅某公司是否取得处理左某个人信息的合法性基础，还应审查雅某公司的告知行为是否符合个人信息保护法有关告知的规定。

根据个人信息保护法第七条规定，处理个人信息应当遵循公开、透明原则，公开个人信息处理规则，明示处理的目的、方式和范围；根据第十七条规定，个人信息处理者应以显著方式、清晰易懂的语言真实、准确、完整地向个人告知有关事项。经审查，案涉《章程》就个人信息出境共享的接收主体范围指示不清，表述为多个国家的集团内部人员和部门，商业合作伙伴以及营销部门人员等，即使左某阅读该章程，也不能清晰获知自己的个人信息将被传输到何地做何种处理。因此，案涉《章程》的上述内容未能体现公开透明原则，未能使用户或者消费者通过清晰易懂的语言真实、准确、完整的获取告知内容，不符合个人信息保护法第七条和第十七条的规定。故而，雅某公司未取得处理左某个人信息的合法性基础。

二、爱某公司、雅某公司处理个人信息是否为履行合同所必需

雅某公司辩称，其个人信息处理的合法性基础是个人信息保护法第十三条第一款第二项规定的“履行合同所必需”，不需取得个人的同意。

其一，就雅某公司收集处理的个人信息范围而言，依照个人信息保护法第六条规定，处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。本案中，爱某公司、雅某公司收集处理左某的姓名、电话号码、地址等基本信息，为预定酒店所必需的个人信息，可以认定为酒店服务业所需的最少类型、最少数量。根据国家互联网信息办公室、工业和信息化部、公安部、国家市场监督管理总局发布的《常见类型移动互联网应用程序必要个人信息范围规定》（国信办秘字〔2021〕14号），对于酒店类移动应用（APP）必要个人信息包括注册用户移动电话号码；住宿人姓名和联系方式、入住和退房时间、入住酒店名称。其中，邮箱、地址属于上述规定的联系方式。此外，银行卡号作为支付手段，对此进行收集也有其必要性。因此，爱某公司、雅某公司收集处理的个人信息范围符合个人信息保护法的规定。

其二，就爱某公司、雅某公司出境共享个人信息的接收方人员范围而言，案涉《章程》对此列举了包括商业合作伙伴及营销部门人员等七类人员。根据个人信息保护法第十三条第一款第二项规定，“履行合同的必需”是客观上的必需，即个人信息处理者委托共享处理的主体范围对履行合同来说应当是正当且必要的。该必要性应基于合同目的来判断，即处理个人信息的范围及处理主体的范围均应当符合最小必要原则。本案中，从雅某公司出境共享个人信息的接收方的人员范围和地域范围看，不能认定酒店集团的所有商业合作伙伴及营销部门人员均为履行合同所必需，应当取得个人同意。根据雅某公司提供的境外接收方及信息传输列表，事实上已向位于美国和爱尔兰的某公司基于“营销传播目的”实施了信息传输及信息处理行为，该处理目的明显超出履行合必要，且未取得个人同意，因而不具备个人信息处理的合法性基础。 

综上，爱某公司、雅某公司的个人信息处理行为侵害了左某的个人信息权益。