Mi serve un'informativa sulla privacy se la mia app non raccoglie nulla?

È il malinteso più comune nella conformità mobile, e ogni volta costa una settimana.

Le domande sono due, distinte. Serve un’informativa? Sì, in ogni caso: la policy User Data di Google Play afferma che “all apps must post a privacy policy link in the designated field within Play Console, and a privacy policy link or text within the app itself” («tutte le app devono pubblicare un link all’informativa sulla privacy nel campo apposito di Play Console, e un link o il testo dell’informativa sulla privacy all’interno dell’app stessa»), e Apple indica l’URL dell’informativa sulla privacy come campo obbligatorio. La tua app raccoglie dati? Probabilmente sì, e non per codice che hai scritto tu.

Il tuo codice non raccoglie nulla. Le tue dipendenze forse sì

La domanda onesta non è “cosa raccolgo io” ma “cosa raccoglie tutto ciò che c’è nella mia build”. Un breve elenco dei soliti sospetti, nessuno dei quali sembra raccolta di dati quando lo aggiungi:

Cosa hai aggiunto	Cosa invia
Un sistema di crash reporting	Identificatori del dispositivo, versione del sistema operativo, stack trace
Un SDK di analisi	Eventi, dati di sessione, spesso un ID pubblicitario
Un SDK pubblicitario	Identificatori del dispositivo e pubblicitari, e parecchio altro
Notifiche push	Un token del dispositivo, che per definizione è legato a un dispositivo
Una libreria di accesso	Indirizzo email, identificatore dell’account
Un piano backend “gratuito”	Qualunque cosa ci memorizzi

Google Play è esplicito sul fatto che questo conta come tuo: la raccolta di dati “includes data collected and handled through any third-party libraries or SDKs used in their apps” («include i dati raccolti e gestiti tramite librerie o SDK di terze parti usati nelle loro app»). Apple ti chiede di identificare i dati che “you or your third-party partners collect” («tu o i tuoi partner di terze parti raccogliete»). Nessuno dei due store accetta “è stato l’SDK” come risposta.

Il controllo in dieci minuti

Apri il file delle dipendenze e leggilo riga per riga:

• Android — build.gradle / build.gradle.kts, libs.versions.toml, e AndroidManifest.xml per permessi e meta-data.
• iOS — Podfile, Package.swift, il .pbxproj, e Info.plist per le stringhe di utilizzo.
• Multipiattaforma — pubspec.yaml, package.json, app.json.

Tutto ciò che comunica con un server raccoglie qualcosa. Controlla anche i permessi che dichiari e le stringhe di descrizione d’uso che hai scritto: sono un secondo elenco indipendente di ciò che l’app può raggiungere, e un revisore le legge.

Quell’elenco è la sostanza della tua informativa sulla privacy, ed è anche ciò con cui devono coincidere le tue risposte Data safety. Dove i due non coincidono, lo store crede all’SDK: Google Play afferma che “when Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action” («quando Google rileva una discrepanza tra il comportamento della tua app e la tua dichiarazione, potremmo intraprendere le azioni appropriate, comprese misure di applicazione delle norme»).

Quando la risposta è davvero nulla

Capita: una calcolatrice locale, uno strumento offline, un gioco single-player senza annunci, senza analisi e senza crash reporting. L’informativa ti serve comunque, ed è breve. Di’ chiaramente:

• che l’app non raccoglie, non memorizza e non trasmette dati personali;
• che non usa servizi di analisi, pubblicità o crash reporting;
• che tutto ciò che l’app salva resta sul dispositivo;
• come contattarti;
• quando l’informativa è stata aggiornata l’ultima volta.

Cinque frasi sono un’informativa sulla privacy completa e onesta per un’app del genere. Ciò che non deve fare è elencare cose che non fai: una pagina generata che descrive identificatori pubblicitari per un’app senza annunci è essa stessa in contrasto con il modulo Data safety che hai compilato in modo veritiero, e invita proprio la domanda di cui non avevi bisogno.

Cosa cambia la risposta in seguito

L’informativa non è un compito da lancio, è una cosa che invecchia. Entrambi gli store richiedono che resti accurata: Google Play dice che le risposte Data safety “must remain accurate and complete at all times” («devono rimanere accurate e complete in ogni momento»), e Apple dice che sei “responsible for keeping your responses accurate and up to date” («responsabile di mantenere le tue risposte accurate e aggiornate»).

L’evento che la invalida è quasi sempre lo stesso: è cambiata una dipendenza. Aggiungere un SDK di analisi in uno sprint di routine trasforma silenziosamente un vero “non raccogliamo nulla” in uno falso. Metti una riga nella checklist di rilascio (è cambiata qualche dipendenza? se sì, rileggi l’informativa e il modulo Data safety) e non ti coglierà mai di sorpresa.

Cosa fa AppFoyer

Leggiamo i tuoi file di build (con un agente di programmazione che esamina il repository, oppure tramite un breve modulo) e redigiamo l’informativa da ciò che contengono davvero, compreso il caso “nulla”, che scriviamo volentieri in cinque frasi oneste invece di gonfiarlo. La checklist continua a segnalare la pagina finché la sezione che nomina le tue terze parti non è reale invece di un segnaposto.

I modelli sono un punto di partenza, non una consulenza legale, e ogni pagina generata lo dice.

Le fonti ufficiali

• User Data policy — Guida di Google Play
• Provide information for Google Play’s Data safety section — Guida di Google Play Console
• App privacy details on the App Store — Apple