Preciso de uma política de privacidade se meu app não coleta nada?

Esse é o mal-entendido mais comum na conformidade de apps móveis, e custa uma semana a cada vez.

Há duas perguntas separadas. Uma política é obrigatória? Sim, em qualquer caso — a política de Dados do usuário do Google Play afirma que “all apps must post a privacy policy link in the designated field within Play Console, and a privacy policy link or text within the app itself” (todos os apps devem publicar um link de política de privacidade no campo designado do Play Console e um link ou texto da política de privacidade dentro do próprio app), e a Apple lista a URL da política de privacidade como campo obrigatório. O seu app coleta dados? Provavelmente, e não por causa do código que você escreveu.

O seu código não coleta nada. Suas dependências talvez coletem

A pergunta honesta não é “o que eu coleto”, e sim “o que tudo no meu build coleta”. Uma lista curta dos suspeitos de sempre, nenhum dos quais parece coleta de dados quando você o adiciona:

O que você adicionou	O que ele envia
Um relator de falhas	Identificadores do dispositivo, versão do sistema operacional, stack traces
Um SDK de analytics	Eventos, dados de sessão, muitas vezes um ID de publicidade
Um SDK de anúncios	Identificadores do dispositivo e de publicidade, e bem mais
Notificações push	Um token de dispositivo, que por definição está ligado a um dispositivo
Uma biblioteca de login	Endereço de e-mail, identificador da conta
Um plano “gratuito” de backend	Tudo o que você armazena nele

O Google Play deixa explícito que isso conta como seu: a coleta de dados “includes data collected and handled through any third-party libraries or SDKs used in their apps” (inclui dados coletados e tratados por quaisquer bibliotecas ou SDKs de terceiros usados nos apps). A Apple pede que você identifique os dados que “you or your third-party partners collect” (você ou seus parceiros terceiros coletam). Nenhuma das lojas aceita “foi o SDK” como resposta.

A verificação de dez minutos

Abra o seu arquivo de dependências e leia linha por linha:

• Android — build.gradle / build.gradle.kts, libs.versions.toml e o AndroidManifest.xml para permissões e meta-data.
• iOS — Podfile, Package.swift, o .pbxproj e o Info.plist para as strings de uso.
• Multiplataforma — pubspec.yaml, package.json, app.json.

Tudo o que se comunica com um servidor coleta alguma coisa. Verifique também as permissões que você declara e as strings de descrição de uso que você escreveu: elas são uma segunda lista independente do que o app consegue acessar, e o revisor as lê.

Essa lista é a substância da sua política de privacidade, e também é com ela que suas respostas de Data safety precisam bater. Quando as duas divergem, a loja acredita no SDK: o Google Play afirma que “when Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action” (quando o Google toma conhecimento de uma discrepância entre o comportamento do seu app e a sua declaração, podemos tomar as medidas cabíveis, incluindo medidas de aplicação).

Quando a resposta é mesmo nada

Acontece: uma calculadora local, uma ferramenta offline, um jogo para um jogador sem anúncios, sem analytics e sem relatório de falhas. Você ainda precisa da política, e ela é curta. Diga com clareza:

• que o app não coleta, armazena nem transmite dados pessoais;
• que ele não usa serviços de analytics, publicidade ou relatório de falhas;
• que tudo o que o app salva fica no dispositivo;
• como entrar em contato com você;
• quando a política foi atualizada pela última vez.

Cinco frases são uma política de privacidade completa e honesta para um app assim. O que ela não pode fazer é listar coisas que você não faz — uma página gerada que descreve identificadores de publicidade para um app sem anúncios é, em si, uma divergência em relação ao formulário de Data safety que você preencheu com sinceridade, e convida exatamente a pergunta de que você não precisava.

O que muda a resposta depois

A política não é uma tarefa de lançamento, é algo que fica desatualizado. As duas lojas exigem que ela continue precisa: o Google Play diz que as respostas de Data safety “must remain accurate and complete at all times” (devem permanecer precisas e completas o tempo todo), e a Apple diz que você é “responsible for keeping your responses accurate and up to date” (responsável por manter suas respostas precisas e atualizadas).

O evento que a invalida é quase sempre o mesmo: uma dependência mudou. Adicionar um SDK de analytics em um sprint de rotina transforma silenciosamente um “não coletamos nada” verdadeiro em um falso. Coloque uma linha no seu checklist de release — alguma dependência mudou? se sim, releia a política e o formulário de Data safety — e isso nunca vai pegar você de surpresa.

O que a AppFoyer faz aqui

Lemos os seus arquivos de build — com um agente de código que olha o repositório, ou por meio de um formulário curto — e redigimos a política a partir do que realmente está neles, incluindo o caso “nada”, que escreveremos com prazer em cinco frases honestas em vez de enchê-lo de texto. O checklist continua sinalizando a página até que a seção que nomeia seus terceiros seja real, e não um placeholder.

Os modelos são um ponto de partida, não aconselhamento jurídico, e toda página gerada diz isso.

As fontes oficiais

• Política de Dados do usuário — Ajuda do Google Play
• Fornecer informações para a seção Data safety do Google Play — Ajuda do Google Play Console
• Detalhes de privacidade dos apps na App Store — Apple