Guias Formulários das lojas e SDKs
Como descobrir o que os seus SDKs coletam
Um método repetível, um exemplo prático com as tabelas publicadas pelo próprio Firebase e onde procurar quando o fornecedor não publica uma.
Abra o seu arquivo de dependências, liste cada SDK de terceiros e depois leia a página de divulgação de dados do próprio fornecedor — o Firebase, por exemplo, publica exatamente quais dados cada um dos seus produtos coleta. Essa lista é a substância da sua política de privacidade e a fonte de onde devem vir suas respostas de Data safety e App Privacy.
Resolva isso em poucos minutos
A AppFoyer hospeda as páginas de que este guia trata — política de privacidade, termos, suporte, exclusão de conta e app-ads.txt — em um subdomínio próprio, sem que você precise de domínio ou servidor. Um app é grátis, e nada que uma loja exige jamais fica atrás de um paywall.
Verificado em 19 de setembro de 2026. As políticas das lojas mudam, às vezes sem aviso. Tudo abaixo tem link para a documentação oficial, e é aquela página — não esta — que tem a palavra final. Se as duas divergirem, vale o que a loja diz. Este guia foi traduzido do inglês; as citações da documentação das lojas são mantidas no inglês original.
Todo requisito das lojas sobre dados se resume a uma lista, e quase ninguém a escreve. Sua política de privacidade, seu formulário de Data safety e suas respostas de App Privacy são três versões da mesma lista — então fazê-la uma vez, direito, é o trabalho inteiro.
As duas lojas deixam explícito que o comportamento dos SDKs conta como seu. O Google Play diz que a coleta de dados “includes data collected and handled through any third-party libraries or SDKs used in their apps” (inclui dados coletados e tratados por quaisquer bibliotecas ou SDKs de terceiros usados nos apps). A Apple pede que você identifique os dados que “you or your third-party partners collect” (você ou seus parceiros terceiros coletam).
Passo 1 — encontre cada SDK
Leia os arquivos, não confie na memória:
| Plataforma | Arquivos |
|---|---|
| Android | build.gradle / build.gradle.kts, libs.versions.toml, AndroidManifest.xml (permissões, meta-data) |
| iOS | Podfile, Package.swift, *.pbxproj, Info.plist (strings de uso), *.entitlements |
| Flutter | pubspec.yaml |
| React Native / Expo | package.json, app.json |
Inclua as dependências transitivas que você não escolheu: um SDK que traz junto uma biblioteca de publicidade coleta o que essa biblioteca coleta.
Passo 2 — leia a divulgação de cada fornecedor
A maioria dos fornecedores sérios publica uma página dizendo exatamente o que o SDK deles envia, porque os clientes precisam disso para esses mesmos formulários. Essa página — não um post de blog, não uma resposta em fórum — é a sua fonte.
O Firebase é o exemplo prático, porque o Google publica um detalhamento por produto mapeado para as categorias de App Privacy da Apple:
| Produto do Firebase | O que coleta, segundo a documentação do Google |
|---|---|
| Analytics | ID da instância do app, propriedades do usuário, eventos, endereço IP |
| Crashlytics | Stack traces e o estado do aplicativo no momento da falha, informações do dispositivo e do sistema operacional, mais quaisquer chaves personalizadas, logs e IDs de usuário que você anexar |
| Cloud Messaging | O token de push associado a um ID de instalação do app; modelo do dispositivo, idioma, fuso horário, versão do sistema operacional, identificador e versão do app |
| Authentication | Identificadores que ele gera, mais endereços de e-mail, números de telefone e nomes de exibição vindos dos provedores de login que você ativar |
| Performance Monitoring | Métricas de desempenho, como tempo de inicialização e latência de rede, informações do dispositivo e do sistema operacional, endereço IP para segmentação geográfica |
| Remote Config | País e código de idioma, fuso horário, versão do sistema operacional, identificadores do app e do bundle |
Leia essa tabela duas vezes se você usa o Crashlytics: a última coluna é em parte obra sua. Chaves personalizadas e IDs de usuário que você anexa aos relatórios de falha são dados que você escolheu enviar, e eles pertencem à sua política, com as suas próprias palavras.
Outros fornecedores com divulgações publicadas que vale consultar diretamente: redes de anúncios (AdMob, AppLovin, Unity, ironSource), ferramentas de atribuição (AppsFlyer, Adjust), relatório de erros (Sentry, Bugsnag), compras (RevenueCat, Adapty) e provedores de autenticação.
Passo 3 — quando o fornecedor não publica nada
Acontece, especialmente com bibliotecas menores. Nesse caso:
- Analise o tráfego de rede. Rode o app através de um proxy e veja o que o SDK envia. É o único método que não pode ser contestado, e resolve a questão em uma tarde.
- Leia o código-fonte, se ele for aberto.
- Pergunte ao fornecedor por escrito e guarde a resposta.
- Considere removê-lo. Uma dependência cujo comportamento em relação aos dados ninguém quer declarar é um risco que você carrega para a conveniência de outra pessoa.
Passo 4 — transforme a lista nos três documentos
Uma lista, três versões, nesta ordem:
- A política de privacidade — categorias, finalidades, terceiros nomeados, retenção, contato.
- O formulário de Data safety no Play Console — os mesmos fatos como caixas de seleção.
- App Privacy no App Store Connect — os mesmos fatos de novo, nas categorias da Apple.
Preencha-os a partir da lista, nunca um a partir do outro. Quando dois divergem, a loja acredita no SDK: o Google Play afirma que “when Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action” (quando o Google toma conhecimento de uma discrepância entre o comportamento do seu app e a sua declaração, podemos tomar as medidas cabíveis, incluindo medidas de aplicação).
Mantendo tudo verdadeiro
O evento que invalida os três é sempre o mesmo: uma dependência mudou. Coloque uma linha no seu checklist de release — alguma dependência mudou nesta versão? se sim, verifique de novo a política e os dois formulários — porque as duas lojas exigem que esses documentos continuem precisos, e não apenas que tenham sido precisos no lançamento.
O que a AppFoyer faz aqui
Esse método é o que o nosso agente automatiza. Aponte um agente de código para o repositório e ele lê esses arquivos de dependências, compara o que encontra com um mapa de SDKs conhecidos e redige a política de privacidade nomeando os terceiros que encontrou — informando o arquivo e a linha de onde veio cada fato, para que você possa verificar em vez de confiar. Sem um agente, um formulário curto faz as mesmas perguntas.
O que ele produz é um rascunho que você revisa. Ele não consegue ver uma biblioteca que não reconhece, e nunca publica nada sem o seu clique.
As fontes oficiais
- Privacidade e segurança no Firebase e Coleta de dados para a App Store — Google. A tabela acima vem dessas páginas; elas são a referência, não esta.
- Fornecer informações para a seção Data safety do Google Play — Ajuda do Google Play Console
- Detalhes de privacidade dos apps na App Store — Apple