SDK'larınızın ne topladığını nasıl öğrenirsiniz

Verilerle ilgili her mağaza gerekliliği tek bir listeye dayanır ve neredeyse hiç kimse onu yazıya dökmez. Gizlilik politikanız, Data safety formunuz ve App Privacy cevaplarınız aynı listenin üç farklı sunumudur — yani onu bir kez, düzgünce hazırlamak işin tamamıdır.

İki mağaza da SDK davranışının sizin sayıldığını açıkça söyler. Google Play, veri toplamanın “includes data collected and handled through any third-party libraries or SDKs used in their apps” olduğunu söyler (uygulamalarında kullanılan üçüncü taraf kütüphaneler veya SDK’lar aracılığıyla toplanan ve işlenen verileri de kapsar). Apple sizden “you or your third-party partners collect” (sizin veya üçüncü taraf ortaklarınızın topladığı) verileri belirtmenizi ister.

Adım 1 — her SDK’yı bulun

Dosyaları okuyun, hafızaya güvenmeyin:

Platform	Dosyalar
Android	build.gradle / build.gradle.kts, libs.versions.toml, AndroidManifest.xml (izinler, meta veriler)
iOS	Podfile, Package.swift, *.pbxproj, Info.plist (kullanım açıklamaları), *.entitlements
Flutter	pubspec.yaml
React Native / Expo	package.json, app.json

Sizin seçmediğiniz geçişli bağımlılıkları da dahil edin: bir reklam kütüphanesini beraberinde getiren bir SDK, o kütüphanenin topladığını toplar.

Adım 2 — her sağlayıcının kendi açıklamasını okuyun

Ciddi sağlayıcıların çoğu, SDK’larının tam olarak ne gönderdiğini söyleyen bir sayfa yayımlar, çünkü müşterilerinin bu aynı formlar için buna ihtiyacı vardır. Kaynağınız o sayfadır — bir blog yazısı ya da bir forum cevabı değil.

Çalışılmış örnek Firebase’dir, çünkü Google, Apple’ın App Privacy kategorilerine eşlenmiş ürün bazında bir döküm yayımlar:

Firebase ürünü	Google’ın belgelerine göre topladıkları
Analytics	Uygulama örneği kimliği (App instance ID), kullanıcı özellikleri, olaylar, IP adresi
Crashlytics	Çökme anındaki yığın izleri ve uygulama durumu, cihaz ve işletim sistemi bilgileri, artı sizin eklediğiniz özel anahtarlar, günlükler ve kullanıcı kimlikleri
Cloud Messaging	Bir uygulama kurulum kimliğiyle ilişkili anlık bildirim belirteci; cihaz modeli, dil, saat dilimi, işletim sistemi sürümü, uygulama tanımlayıcısı ve sürümü
Authentication	Ürettiği tanımlayıcılar, artı etkinleştirdiğiniz oturum açma sağlayıcılarından gelen e-posta adresleri, telefon numaraları ve görünen adlar
Performance Monitoring	Açılış süresi ve ağ gecikmesi gibi performans ölçümleri, cihaz ve işletim sistemi bilgileri, coğrafi segmentasyon için IP adresi
Remote Config	Ülke ve dil kodu, saat dilimi, işletim sistemi sürümü, uygulama ve bundle tanımlayıcıları

Crashlytics kullanıyorsanız bu tabloyu iki kez okuyun: son sütunun bir kısmı sizin eseriniz. Çökme raporlarına eklediğiniz özel anahtarlar ve kullanıcı kimlikleri, göndermeyi sizin seçtiğiniz verilerdir ve politikanızda kendi kelimelerinizle yer almalıdır.

Açıklama yayımlayan ve doğrudan bakmaya değer diğer sağlayıcılar: reklam ağları (AdMob, AppLovin, Unity, ironSource), atıf araçları (AppsFlyer, Adjust), hata raporlama (Sentry, Bugsnag), satın almalar (RevenueCat, Adapty) ve kimlik doğrulama sağlayıcıları.

Adım 3 — sağlayıcı hiçbir şey yayımlamıyorsa

Olur, özellikle daha küçük kütüphanelerde. O zaman:

• Ağ trafiğini okuyun. Uygulamayı bir proxy üzerinden çalıştırın ve SDK’nın ne gönderdiğine bakın. Bu, itiraz edilemeyecek tek yöntemdir ve soruyu bir öğleden sonrada çözer.
• Açık kaynaksa kaynak kodu okuyun.
• Sağlayıcıya yazılı olarak sorun ve cevabı saklayın.
• Onu kaldırmayı düşünün. Veri davranışını kimsenin belirtmeyeceği bir bağımlılık, başkasının rahatı için taşıdığınız bir yüktür.

Adım 4 — listeyi üç belgeye dönüştürün

Tek liste, üç sunum, bu sırayla:

1. Gizlilik politikası — kategoriler, amaçlar, adı verilen üçüncü taraflar, saklama, iletişim.
2. Play Console’daki Data safety formu — aynı olgular, onay kutuları olarak.
3. App Store Connect’teki App Privacy — yine aynı olgular, Apple’ın kategorileriyle.

Onları birbirlerinden değil, listeden doldurun. İkisi çeliştiğinde mağaza SDK’ya inanır: Google Play “when Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action” der (Google, uygulamanızın davranışı ile beyanınız arasında bir tutarsızlık fark ettiğinde, yaptırım işlemi dahil uygun işlemi yapabilir).

Doğru tutmak

Üçünü birden geçersiz kılan olay her zaman aynıdır: bir bağımlılık değişti. Sürüm kontrol listenize bir satır ekleyin — bu sürümde herhangi bir bağımlılık değişti mi? değiştiyse politikayı ve iki formu yeniden kontrol edin — çünkü iki mağaza da bunların yalnızca lansmanda doğru olmuş olmasını değil, doğru kalmasını şart koşar.

AppFoyer’in burada yaptığı

Ajanımızın otomatikleştirdiği şey bu yöntemdir. Bir kodlama ajanını depoya yönlendirin; o bağımlılık dosyalarını okur, bulduklarını bilinen SDK’ların bir haritasıyla eşleştirir ve bulduğu üçüncü tarafları adlandıran gizlilik politikasının taslağını hazırlar — her olgunun geldiği dosya ve satırı bildirerek, böylece ona güvenmek yerine onu kontrol edebilirsiniz. Ajan olmadan, kısa bir form aynı soruları sorar.

Ürettiği şey sizin incelediğiniz bir taslaktır. Tanımadığı bir kütüphaneyi göremez ve sizin tıklamanız olmadan hiçbir şeyi asla yayımlamaz.

Yetkili kaynaklar

• Privacy and security in Firebase ve App Store data collection — Google. Yukarıdaki tablo bu sayfalardan alınmıştır; yetkili kaynak bu sayfa değil, onlardır.
• Provide information for Google Play’s Data safety section — Google Play Console Yardım
• App privacy details on the App Store — Apple