Czy potrzebuję polityki prywatności, jeśli moja aplikacja nic nie zbiera?

To najczęstsze nieporozumienie w zgodności aplikacji mobilnych i za każdym razem kosztuje ludzi tydzień.

Pytanie dotyczy dwóch odrębnych rzeczy. Czy polityka jest wymagana? Tak, w każdym przypadku — zasady Google Play dotyczące danych użytkownika stwierdzają, że „all apps must post a privacy policy link in the designated field within Play Console, and a privacy policy link or text within the app itself” (wszystkie aplikacje muszą zamieścić link do polityki prywatności w wyznaczonym polu w Play Console oraz link do polityki prywatności lub jej tekst w samej aplikacji), a Apple wymienia adres URL polityki prywatności jako pole wymagane. Czy Twoja aplikacja zbiera dane? Prawdopodobnie tak, i to nie z powodu kodu, który napisałeś.

Twój kod nic nie zbiera. Twoje zależności mogą

Uczciwe pytanie nie brzmi „co ja zbieram”, tylko „co zbiera wszystko, co jest w moim buildzie”. Krótka lista typowych podejrzanych — żaden z nich nie wygląda na zbieranie danych, gdy go dodajesz:

Co dodałeś	Co wysyła
Narzędzie do raportowania awarii	Identyfikatory urządzenia, wersję systemu, stack trace’y
SDK analityczne	Zdarzenia, dane sesji, często identyfikator reklamowy
SDK reklamowe	Identyfikatory urządzenia i reklamowe, a do tego sporo więcej
Powiadomienia push	Token urządzenia, z definicji powiązany z urządzeniem
Biblioteka logowania	Adres e-mail, identyfikator konta
„Darmowy” plan backendu	Wszystko, co w nim przechowujesz

Google Play wprost mówi, że to się liczy jako Twoje: zbieranie danych „includes data collected and handled through any third-party libraries or SDKs used in their apps” (obejmuje dane zbierane i przetwarzane przez biblioteki lub SDK firm zewnętrznych używane w aplikacjach). Apple prosi o wskazanie danych, które „you or your third-party partners collect” (zbierasz Ty lub Twoi partnerzy zewnętrzni). Żaden sklep nie traktuje „to zrobiło SDK” jako odpowiedzi.

Dziesięciominutowe sprawdzenie

Otwórz plik zależności i przeczytaj go linijka po linijce:

• Android — build.gradle / build.gradle.kts, libs.versions.toml oraz AndroidManifest.xml pod kątem uprawnień i metadanych.
• iOS — Podfile, Package.swift, .pbxproj oraz Info.plist pod kątem opisów użycia.
• Wieloplatformowo — pubspec.yaml, package.json, app.json.

Wszystko, co rozmawia z serwerem, coś zbiera. Sprawdź też deklarowane uprawnienia i opisy użycia, które napisałeś: to niezależna, druga lista tego, do czego aplikacja ma dostęp, a weryfikator ją czyta.

Ta lista to treść Twojej polityki prywatności i zarazem to, z czym muszą się zgadzać Twoje odpowiedzi w Data safety. Gdy jedno z drugim się nie zgadza, sklep wierzy SDK: Google Play stwierdza, że „when Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action” (gdy Google dowie się o rozbieżności między działaniem aplikacji a Twoją deklaracją, możemy podjąć odpowiednie działania, w tym działania egzekucyjne).

Gdy odpowiedź naprawdę brzmi „nic”

Zdarza się: lokalny kalkulator, narzędzie offline, gra dla jednego gracza bez reklam, bez analityki i bez raportowania awarii. Polityka nadal jest potrzebna i jest krótka. Napisz wprost:

• że aplikacja nie zbiera, nie przechowuje i nie przesyła żadnych danych osobowych;
• że nie korzysta z usług analitycznych, reklamowych ani do raportowania awarii;
• że wszystko, co aplikacja zapisuje, zostaje na urządzeniu;
• jak się z Tobą skontaktować;
• kiedy polityka była ostatnio aktualizowana.

Pięć zdań to kompletna i uczciwa polityka prywatności dla takiej aplikacji. Czego nie może robić, to wymieniać rzeczy, których nie robisz — wygenerowana strona opisująca identyfikatory reklamowe w aplikacji bez reklam sama w sobie jest niezgodna z formularzem Data safety, który wypełniłeś zgodnie z prawdą, i prowokuje dokładnie to pytanie, którego nie potrzebowałeś.

Co później zmienia odpowiedź

Polityka to nie zadanie na premierę, tylko coś, co się dezaktualizuje. Oba sklepy wymagają, by pozostawała dokładna: Google Play mówi, że odpowiedzi w Data safety „must remain accurate and complete at all times” (muszą być zawsze dokładne i kompletne), a Apple mówi, że jesteś „responsible for keeping your responses accurate and up to date” (odpowiedzialny za to, by Twoje odpowiedzi były dokładne i aktualne).

Zdarzenie, które ją unieważnia, jest prawie zawsze to samo: zmieniła się zależność. Dodanie SDK analitycznego w rutynowym sprincie po cichu zamienia prawdziwe „nic nie zbieramy” w nieprawdziwe. Dopisz jedną linijkę do checklisty wydania — czy zmieniła się jakaś zależność? jeśli tak, przeczytaj ponownie politykę i formularz Data safety — i nigdy Cię to nie zaskoczy.

Co robi tutaj AppFoyer

Czytamy Twoje pliki buildu — przez agenta kodującego, który przegląda repozytorium, albo przez krótki formularz — i przygotowujemy politykę na podstawie tego, co faktycznie w nich jest, łącznie z przypadkiem „nic”, który chętnie zapiszemy jako pięć uczciwych zdań, zamiast go rozdmuchiwać. Checklista oznacza stronę tak długo, aż sekcja wymieniająca Twoje podmioty zewnętrzne będzie prawdziwa, a nie zastępcza.

Szablony są punktem wyjścia, a nie poradą prawną, i każda wygenerowana strona to mówi.

Źródła oficjalne

• Zasady dotyczące danych użytkownika — Centrum pomocy Google Play
• Podawanie informacji do sekcji Data safety w Google Play — Centrum pomocy Konsoli Google Play
• Szczegóły prywatności aplikacji w App Store — Apple