Ứng dụng không thu thập gì thì có cần chính sách quyền riêng tư không?

Đây là hiểu lầm phổ biến nhất trong việc tuân thủ cho ứng dụng di động, và mỗi lần nó khiến người ta mất một tuần.

Có hai câu hỏi riêng biệt. Có bắt buộc phải có chính sách không? Có, trong mọi trường hợp — chính sách User Data của Google Play nêu rằng “all apps must post a privacy policy link in the designated field within Play Console, and a privacy policy link or text within the app itself” (mọi ứng dụng phải đăng liên kết chính sách quyền riêng tư vào trường được chỉ định trong Play Console, và một liên kết hoặc văn bản chính sách quyền riêng tư ngay trong ứng dụng), và Apple liệt kê URL chính sách quyền riêng tư là một trường bắt buộc. Ứng dụng của bạn có thu thập dữ liệu không? Có lẽ là có, và không phải vì đoạn code bạn viết.

Code của bạn không thu thập gì. Các thư viện phụ thuộc thì có thể

Câu hỏi trung thực không phải “tôi thu thập gì” mà là “mọi thứ trong bản build của tôi thu thập gì”. Một danh sách ngắn các nghi phạm quen thuộc, không thứ nào có cảm giác là thu thập dữ liệu khi bạn thêm chúng vào:

Thứ bạn đã thêm	Thứ nó gửi đi
Trình báo lỗi crash	Định danh thiết bị, phiên bản hệ điều hành, stack trace
SDK phân tích	Sự kiện, dữ liệu phiên, thường kèm mã nhận dạng quảng cáo
SDK quảng cáo	Định danh thiết bị và mã nhận dạng quảng cáo, cùng nhiều thứ khác
Thông báo đẩy	Device token, vốn theo định nghĩa gắn với một thiết bị
Thư viện đăng nhập	Địa chỉ email, định danh tài khoản
Gói backend “miễn phí”	Bất cứ thứ gì bạn lưu trong đó

Google Play nói rõ rằng phần này được tính là của bạn: thu thập dữ liệu “includes data collected and handled through any third-party libraries or SDKs used in their apps” (bao gồm dữ liệu được thu thập và xử lý thông qua bất kỳ thư viện hoặc SDK bên thứ ba nào được dùng trong ứng dụng). Apple yêu cầu bạn xác định dữ liệu mà “you or your third-party partners collect” (bạn hoặc các đối tác bên thứ ba của bạn thu thập). Không cửa hàng nào chấp nhận “là do SDK làm” như một câu trả lời.

Kiểm tra trong mười phút

Mở tệp khai báo phụ thuộc và đọc từng dòng:

• Android — build.gradle / build.gradle.kts, libs.versions.toml, và AndroidManifest.xml cho quyền và meta-data.
• iOS — Podfile, Package.swift, tệp .pbxproj, và Info.plist cho các chuỗi mô tả mục đích sử dụng.
• Đa nền tảng — pubspec.yaml, package.json, app.json.

Bất cứ thứ gì giao tiếp với máy chủ đều thu thập thứ gì đó. Hãy kiểm tra cả các quyền bạn khai báo và các chuỗi mô tả mục đích sử dụng bạn đã viết: đó là một danh sách thứ hai, độc lập, về những gì ứng dụng có thể truy cập, và người xét duyệt sẽ đọc chúng.

Danh sách đó là nội dung cốt lõi của chính sách quyền riêng tư, và cũng là thứ mà câu trả lời Data safety của bạn phải khớp. Khi hai bên không khớp, cửa hàng tin SDK: Google Play nêu rằng “when Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action” (khi Google phát hiện sự khác biệt giữa hành vi của ứng dụng và nội dung bạn khai báo, chúng tôi có thể có biện pháp thích hợp, bao gồm cả biện pháp thực thi).

Khi câu trả lời thật sự là không có gì

Chuyện đó có xảy ra: một máy tính cục bộ, một công cụ ngoại tuyến, một trò chơi một người không có quảng cáo, không phân tích và không báo lỗi crash. Bạn vẫn cần chính sách, và nó ngắn. Hãy nói rõ:

• rằng ứng dụng không thu thập, lưu trữ hay truyền đi dữ liệu cá nhân nào;
• rằng ứng dụng không dùng dịch vụ phân tích, quảng cáo hay báo lỗi crash nào;
• rằng mọi thứ ứng dụng lưu đều nằm lại trên thiết bị;
• cách liên hệ với bạn;
• chính sách được cập nhật lần cuối khi nào.

Năm câu là một chính sách quyền riêng tư đầy đủ và trung thực cho ứng dụng như vậy. Điều nó không được làm là liệt kê những việc bạn không làm — một trang được tạo tự động mô tả mã nhận dạng quảng cáo cho một ứng dụng không có quảng cáo, bản thân nó đã mâu thuẫn với biểu mẫu Data safety mà bạn điền trung thực, và nó mời gọi đúng câu hỏi bạn không cần đến.

Điều gì sẽ thay đổi câu trả lời về sau

Chính sách không phải là việc làm một lần lúc ra mắt, nó là thứ sẽ lỗi thời. Cả hai cửa hàng đều yêu cầu nó luôn chính xác: Google Play nói câu trả lời Data safety “must remain accurate and complete at all times” (phải luôn chính xác và đầy đủ vào mọi thời điểm), và Apple nói bạn “responsible for keeping your responses accurate and up to date” (chịu trách nhiệm giữ cho câu trả lời của mình chính xác và cập nhật).

Sự kiện khiến nó mất hiệu lực gần như luôn là một: một thư viện phụ thuộc đã thay đổi. Thêm một SDK phân tích trong một sprint bình thường sẽ lặng lẽ biến câu “chúng tôi không thu thập gì” từ đúng thành sai. Hãy thêm một dòng vào checklist phát hành — có thư viện phụ thuộc nào thay đổi không? nếu có, đọc lại chính sách và biểu mẫu Data safety — và bạn sẽ không bao giờ bị bất ngờ vì nó.

AppFoyer làm gì ở đây

Chúng tôi đọc các tệp build của bạn — bằng một coding agent xem xét repository, hoặc qua một biểu mẫu ngắn — và soạn chính sách dựa trên những gì thực sự có trong đó, kể cả trường hợp “không có gì”, mà chúng tôi sẵn lòng viết thành năm câu trung thực thay vì độn thêm. Checklist sẽ tiếp tục đánh dấu trang đó cho đến khi phần nêu tên các bên thứ ba của bạn là nội dung thật chứ không phải chỗ giữ chỗ.

Các mẫu là điểm khởi đầu, không phải tư vấn pháp lý, và mọi trang được tạo đều ghi rõ điều đó.

Nguồn chính thức

• Chính sách Dữ liệu người dùng — Trung tâm trợ giúp Google Play
• Cung cấp thông tin cho mục An toàn dữ liệu của Google Play — Trung tâm trợ giúp Google Play Console
• Chi tiết quyền riêng tư của ứng dụng trên App Store — Apple