App Privacy en App Store Connect: qué declarar de tus SDK

App Privacy es la sección de App Store Connect que genera las etiquetas de privacidad de tu ficha. Ahí declaras cada tipo de dato que recopilan tu app y los SDK que integraste en ella: para qué sirve, si está vinculado al usuario y si se usa para rastreo. Mientras tus respuestas no estén publicadas, App Store Connect no te deja añadir tu versión a un envío.

Las respuestas se pueden corregir en cualquier momento, sin build. Lo más difícil es saber qué declarar para RevenueCat, Sentry, PostHog, Supabase, AppsFlyer, Meta o las notificaciones de Expo. La tabla de más abajo se basa en la documentación de cada SDK y en los manifiestos que incluyen, revisados el 15 de octubre de 2026.

Publico mis propias apps de iOS con Expo y estos SDK. Esta guía explica lo que pide Apple y lo que yo apliqué. No reemplaza una asesoría legal.

App Privacy, política y manifiesto: tres cosas distintas

• La política de privacidad es una página web cuya dirección indicas. El método está en política de privacidad de una app iOS.
• El manifiesto de privacidad es un archivo PrivacyInfo.xcprivacy incluido en el build. Lo explico en detalle en la guía de ITMS-91053.
• App Privacy es el cuestionario de App Store Connect. Aparece en tu ficha en tres bloques: datos usados para rastrearte, datos vinculados a ti y datos no vinculados a ti.

Los tres deben contar la misma historia. La página de Apple App Privacy Details indica que esta información es obligatoria para enviar una app y sus actualizaciones, y que también abarca a tus socios externos: herramientas de analítica, redes publicitarias, SDK y proveedores cuyo código añadiste.

Completar App Privacy paso a paso

La ayuda de App Store Connect detalla los pasos siguientes.

Para completar el cuestionario, tu rol debe ser Account Holder, Admin o App Manager.

1. En Apps, abre tu app y luego App Privacy en la barra lateral.
2. Haz clic en Get Started.
3. Responde la primera pregunta: ¿recopilas datos, tú o tus socios? Si la respuesta es no, elige "No, we do not collect data from this app" y guarda. Listo.
4. Si no, marca todos los tipos de datos recopilados, por tu código o por tus SDK.
5. Para cada tipo, responde las tres preguntas: usos, vínculo con el usuario y rastreo.
6. Revisa la vista previa de la ficha (Product Page Preview), haz clic en Publish y confirma.

Si tu app ya está publicada, Apple pide que las respuestas describan los datos de la versión publicada.

Publica antes de enviar. En septiembre de 2026, con Piaf, añadir la versión al envío falló con este mensaje: "You must have published answers to your app's data usages." No encontré cómo completar este formulario con la API pública de App Store Connect. Así que lo hago en la interfaz web, antes que todo lo demás.

Las tres preguntas para cada dato

Qué significa recopilar

Para Apple, recopilar es enviar un dato fuera del dispositivo y poder acceder a él durante más tiempo del necesario para responder la solicitud. Por lo tanto:

• un dato procesado solo en el iPhone no se considera recopilado;
• un token o una dirección IP enviados y descartados de inmediato tampoco;
• un dato recopilado solo para el funcionamiento de la app sí hay que declararlo, con ese uso.

Los usos

Apple ofrece seis usos: publicidad de terceros, publicidad o marketing del desarrollador, analítica, personalización del producto, funcionalidad de la app y otros usos. Un mismo dato puede marcar varios: un correo que sirve para iniciar sesión y para personalizar la app marca funcionalidad y personalización.

Vinculado al usuario

Un dato está vinculado cuando está asociado a la identidad de la persona, por su cuenta, su dispositivo u otro medio. Apple aclara que a menudo lo está, salvo que lo anonimices antes de recopilarlo y nunca intentes volver a vincularlo después. En cuanto le pasas el identificador de la cuenta a un SDK (identify, setUser, logIn), los datos de ese SDK pasan a estar vinculados.

El rastreo

Rastrear es vincular los datos de tu app con datos procedentes de apps o sitios de otras empresas, para publicidad dirigida o medición publicitaria. Compartir datos con un corredor de datos también cuenta. Un SDK que cruza tus datos con los de otras apps con fines publicitarios cuenta como rastreo, aunque tú no lo uses para eso.

Un "sí" al rastreo tiene dos consecuencias: la solicitud de App Tracking Transparency antes de cualquier rastreo, explicada en la guideline 5.1.2, y un manifiesto que declare el rastreo con sus dominios: sin esos dominios, recibes el error ITMS-91064.

Qué declarar para los SDK de una app Expo

Esta tabla parte de la configuración predeterminada de cada SDK. En cuanto les envías más (correo, identificador de la cuenta o eventos propios), declaras más.

SDK	Datos a declarar	Rastreo	Fuente
RevenueCat	Historial de compras	No	Doc de RevenueCat
Sentry	Fallos, rendimiento	No	Doc y manifiesto
PostHog	Interacciones con la app	No	Manifiesto de PostHog iOS
Supabase Auth	Correo, ID de usuario	No	No encontré documentación
AppsFlyer	ID de dispositivo, interacciones	Sí, ID de dispositivo	Manifiesto de AppsFlyer
Meta SDK	ID de dispositivo, fallos	Sí, ID de dispositivo	Doc y manifiesto de Meta
Expo Notifications	ID de dispositivo (token push)	No	No encontré documentación

RevenueCat

Su documentación de App Privacy pide declarar el historial de compras, con dos usos que todo usuario de RevenueCat debe marcar: analítica y funcionalidad de la app. Vinculado: no si tus identificadores son anónimos, sí si tu identificador de usuario de RevenueCat se puede asociar a un correo. Añade el identificador de usuario si pasas tu propio ID, y la información de contacto si envías un correo como atributo. El manifiesto del SDK solo menciona la funcionalidad: sigue la documentación, que es más completa. La integración está en RevenueCat para suscripciones in-app.

Sentry

Su página sobre privacidad móvil lo dice claro: Sentry es un socio que hay que declarar, sus usos estándar son analítica y funcionalidad de la app, no rastrea y no necesita el identificador publicitario. Su manifiesto declara datos de fallos, de rendimiento y otros diagnósticos, no vinculados. Si asocias el identificador de la cuenta a los reportes con Sentry.setUser, pasan a estar vinculados.

PostHog

No encontré ninguna recomendación de App Privacy publicada por PostHog. El manifiesto de su SDK de iOS declara la interacción con la app y otros datos de uso, no vinculados, sin rastreo, para analítica. Para React Native, su documentación indica que el ciclo de vida de la app se captura de forma predeterminada, también las pantallas vistas con React Navigation 6 o anterior, que identify vincula los eventos pasados al usuario y que se añade una ubicación deducida de la IP salvo con disableGeoip. En mi opinión, si conservas esa ubicación, declara una ubicación aproximada.

Supabase Auth

Que yo sepa, Supabase no publica recomendaciones de App Privacy. Según las definiciones de Apple, un inicio de sesión por correo obliga a declarar la dirección de correo y el identificador de usuario, para la funcionalidad de la app, vinculados. Sus registros de auditoría también guardan la dirección IP de cada inicio de sesión: Apple pide declarar una IP conservada según el uso que le des. Y todo lo que guardas en tus tablas cuenta: contenidos, fotos, historial.

AppsFlyer y Meta

Ambos manifiestos declaran el identificador del dispositivo como usado para rastreo, para publicidad de terceros. El de AppsFlyer añade la interacción con la app, para analítica. El de Meta añade datos de fallos y otros datos. La documentación de iOS de Meta aclara que su manifiesto solo cubre la recopilación predeterminada: los datos adicionales los tienes que declarar tú.

En julio de 2026, al integrar AppsFlyer en TradaZen, añadí el identificador del dispositivo, para publicidad de terceros y analítica, usado para rastreo. El bloque "Data Used to Track You" apareció en la ficha. En cambio, el primer build con AppsFlyer fue rechazado durante el procesamiento: el manifiesto de la app declaraba el rastreo sin sus dominios.

Expo Notifications

No encontré ninguna recomendación publicada por Expo, y el manifiesto de expo-notifications no declara ningún dato recopilado. Pero el token push que guardas en tu servidor identifica el dispositivo para tu app. Mi lectura prudente: identificador del dispositivo, para la funcionalidad de la app, vinculado si lo guardas junto con la cuenta, sin rastreo. No es una regla escrita por Apple.

Mi método: una sola lista para alinearlo todo

Releo la política publicada antes de tocar el cuestionario. La de TradaZen menciona el correo de inicio de sesión, la suscripción, el token de notificaciones, estadísticas de uso, reportes de errores y una atribución publicitaria sujeta a consentimiento.

Cada línea de la política se convierte en un tipo en App Privacy. Cuando añado un SDK o una función que envía un dato, modifico la política, App Privacy y el manifiesto el mismo día.

Para verificar, lista los manifiestos incluidos con el comando de la guía de ITMS-91053 mencionada arriba. Con una Mac y Xcode, el informe de privacidad los reúne: Product, luego Archive, luego Generate Privacy Report en el organizador. Apple lo presenta como una ayuda para completar App Store Connect.

Actualizar App Privacy sin build

Apple lo dice por escrito: puedes cambiar tus respuestas en cualquier momento, sin actualizar la app. La dirección de tu política de privacidad, en cambio, solo cambia con tu próxima versión, según la ayuda de App Store Connect.

Actualiza App Privacy cuando añadas un SDK, cuando le pases el identificador de la cuenta a una herramienta existente o cuando una función envíe un nuevo tipo de dato. Un rechazo que solo afecta a estas declaraciones se corrige en línea, como con la guideline 5.1.1.

Revisar tu expediente antes que Apple

El Review Kit reúne mi checklist antes del envío, mis rechazos corregidos y dos skills de Claude Code que revisan tu proyecto y tu ficha, y luego preparan tu respuesta si Apple te rechaza.

¿Quieres saber qué te sigue bloqueando? El diagnóstico gratuito te envía mi checklist contra rechazos de Apple. Para todo el proceso de publicación, lee publicar una aplicación en el App Store.

Preguntas frecuentes

¿Qué es App Privacy en App Store Connect?

Es el cuestionario que genera las etiquetas de privacidad de tu ficha del App Store: datos recopilados por tu app y sus SDK, usos, vínculo con el usuario y rastreo. Es obligatorio para enviar una app y sus actualizaciones.

¿Hace falta un nuevo build para modificar App Privacy?

No. Apple indica que puedes cambiar tus respuestas en cualquier momento, sin actualizar la app: modificas y haces clic en Publish. Solo la dirección de la política de privacidad espera a la próxima versión.

¿Qué declarar para RevenueCat en App Privacy?

El historial de compras, con los usos analítica y funcionalidad de la app, según la documentación de RevenueCat. Añade el identificador de usuario si pasas tu propio ID, y la información de contacto si envías un correo como atributo.

¿Sentry y PostHog rastrean según Apple?

No, en su configuración predeterminada. Sentry indica que no usa tus datos para rastrear a los usuarios, y el manifiesto de iOS de PostHog no declara ningún rastreo. Eso sí, sus datos pasan a estar vinculados en cuanto les pasas el identificador de la cuenta.

¿Por qué no puedo añadir mi versión al envío?

A menudo porque App Privacy no está publicado. App Store Connect muestra entonces "You must have published answers to your app's data usages". Publica tus respuestas y luego añade la versión.