Adatvédelmi irányelvek iOS apphoz: mit kér az Apple?

Miért kér az Apple adatvédelmi irányelveket

Amint létrehozol egy adatlapot az App Store Connectben, az Apple kér tőled egy adatvédelmi irányelveket tartalmazó URL-t, és egy támogatási URL-t, amelyik tényleg válaszol. Ez nem díszítő formaság: az App Review irányelvek előírják, hogy minden alkalmazásnak legyen ilyen, akár van felhasználói fiók az appodban, akár nincs. Ha ez az oldal nem érhető el, a beküldésed elakad, még mielőtt a reviewer egyáltalán ránézne.

A hiányzó, vagy az app tényleges működésének nem megfelelő adatvédelmi irányelvek a legkönnyebben elkerülhető elutasítási okok közé tartoznak. Ez az egyik első pont, amit átnézek, amikor egy anyagot ellenőrzök, mielőtt az Apple-höz kerül.

Mit kell valójában tartalmaznia az adatvédelmi irányelveidnek

A szövegnek azt kell leírnia, amit az appod ténylegesen gyűjt, nem egy máshonnan bemásolt általános listát. A legtöbb esetben négy elem jön elő:

A gyűjtött adatok. Fiók, e-mail, az appban létrehozott tartalom, technikai adatok, például a hirdetési azonosító, ha használsz ilyet. Ha semmi különöset nem gyűjtesz, azt is mondd ki világosan.

Az egyes adatgyűjtések oka. Miért van szükséged erre az adatra az app működéséhez, nem pedig egy homályos indoklás.

Az érintett harmadik felek. Ha hitelesítési szolgáltatót, fizetési, analitikai vagy AI-szolgáltatót használsz, nevezd meg. Egy app, amely például egy fotót küld egy külső AI-szolgáltatásnak, ezt kifejezetten le kell írja, és legtöbbször engedélyt kell kérnie a küldés előtt.

Hogyan törölhetők az adatok. Az Apple megköveteli, hogy egy felhasználói fiókkal rendelkező app magában az appban kínáljon lehetőséget a fiók törlésére, nem csak e-mailben. A folyamatnak elérhetőnek kell lennie, nem elrejtve valami valószínűtlen almenüben.

A különbség az irányelvek és az adatvédelmi nyilatkozatok között

Két különálló dolog gyakran összemosódik a kezdők fejében. Az adatvédelmi irányelvek egy weboldalon tárolt szöveg, amely egy linken keresztül érhető el. Az adatvédelmi nyilatkozatok viszont egy űrlap, amelyet közvetlenül az App Store Connectben töltesz ki, az "App Privacy" részben. Ez kategóriánként felsorolja a gyűjtött adatokat és azok felhasználását, majd megjelenik a nyilvános adatlapodon.

A kettőnek ugyanazt a történetet kell elmesélnie. Egy nyilatkozat, amely szerint "nincs adatgyűjtés", miközben az appod egy azonosítót gyűjtő analitikai SDK-t használ, pont az az eltérés, amit egy reviewer, vagy egy utólagos audit, kiszúrhat. Úgy töltsd ki ezt az űrlapot, hogy tényleg ellenőrzöd, mit csinál a kódod és mit deklarál a privacy manifested, ne úgy, hogy a legegyszerűbbnek tűnő négyzetet pipálod be.

És mi a helyzet a GDPR-ral?

Ha az appod európai felhasználókat céloz, a GDPR az Apple követelményein felül is érvényes. A CNIL (a francia adatvédelmi hatóság) útmutatót tesz közzé mobilalkalmazás-fejlesztőknek, amely részletezi az alapelveket: csak a szükséges adatot gyűjtsd, tájékoztass világosan, tedd lehetővé az adatokhoz való hozzáférést és azok törlését. Az Apple követelményei és a GDPR nagyrészt átfedik egymást, de az Apple-nek való megfelelés nem jelent automatikusan GDPR-megfelelést, ha az appod tág értelemben vett személyes adatokat kezel.

Ha az appod egyszerű marad, fiók nélkül és az iOS által natívan kezelt adatokon túl semmilyen személyes adat gyűjtése nélkül, az irányelveid lehetnek rövidek: inkább mondd ki ezt világosan, mint hogy egy hosszú, a témához nem illő szöveget másolj be.

Egy konkrét eset: az 5.1.1-es szabályhoz kötött elutasítások

A publikálási tapasztalataim során kaptam Apple-elutasítást egy már nem naprakész online adatvédelmi irányelvek miatt, és egy olyan funkciógomb miatt, amely a várt kamera-engedélykérés előtt jelent meg. Mindkét eset az adatgyűjtésről és -tárolásról szóló 5.1.1-es szabály alá tartozik. Az Apple-elutasítás, 2.1-es szabály útmutató egy másik gyakori okot részletez, ezúttal azzal kapcsolatban, amit a tesztelő ténylegesen meg tud csinálni az appban.

A két eset közös tanulsága: a reviewer összeveti, amit az irányelveid ígérnek, amit az appod ténylegesen csinál, és amit az űrlapon deklaráltál. Ha e három között eltérés van, az elég a beküldés megakasztásához, még akkor is, ha az anyag többi része rendben van.

Hogyan írd meg a sajátodat úgy, hogy ne kelljen mindent kitalálnod

Egy első appnál indulj ki a ténylegesen használt szolgáltatások listájából: hitelesítés, adatbázis, fizetés, analitika, AI. Mindegyiknél jegyezd fel, mit kap az appodtól és miért. Ez a lista lesz az irányelveid váza: egy egyszerű fiókkal és egy előfizetéssel működő apphoz nincs szükséged tízoldalas jogi szövegre.

Ha az appod Expóval készül, az API-kulcsok egy Expo appban útmutató elmagyarázza, hova tedd a harmadik féltől származó szolgáltatások hívásait. Ez abban is segít, hogy az irányelveid megírásakor pontosan tudd, milyen adat melyik szolgáltatáson megy keresztül.

Ha ez a szöveg és az adatvédelmi nyilatkozatok elkészültek, csatlakoznak az anyag többi részéhez az Apple-höz küldés előtt: adatlap, képernyőképek, megjegyzések a tesztelőnek. Az alkalmazás közzététele az App Store-ban oldal részletesen leírja ezeket a lépéseket, abban a sorrendben, ahogy az App Store Connect kéri őket.

A folytatás: átnézett anyag a beküldés előtt

Nem tudom garantálni, hogy az Apple elsőre elfogadja az appodat, ezt őszintén senki sem tudja. Abban viszont segíthetek, hogy elkerüld az elkerülhető elutasításokat, az adatvédelmi irányelveket is beleértve. Hogy ellenőrizd az anyagodat beküldés előtt, az Apple Review Kit tartalmazza a checklistemet és Claude Code skilleket, amelyek átnézik a projektedet, a paywalladat és az adatlapodat.

Először egy ingyenes listát szeretnél? Az ingyenes diagnózis elküldi neked az Apple-elutasítások elleni checklistemet, benne azokkal az adatvédelmi pontokkal, amelyeket minden beküldés előtt ellenőrzök.

Gyakori kérdések

Mik az adatvédelmi irányelvek egy iOS alkalmazásnál?

Egy weboldalon tárolt, linken keresztül elérhető szöveg, amely leírja, mit gyűjt ténylegesen az appod. Az URL-jét az App Store Connectben adod meg az Apple-nek, már az adatlap létrehozásakor. Nem egy máshonnan bemásolt általános lista: meg kell felelnie az app tényleges működésének.

Kötelezőek az adatvédelmi irányelvek egy iOS app közzétételéhez?

Igen, az Apple irányelvei minden alkalmazásnál előírják, akár van felhasználói fiók az appodban, akár nincs. Ha ez az oldal nem érhető el, a beküldésed elakad, még mielőtt a reviewer ránézne. Ha az appod egyszerű, az irányelvek lehetnek rövidek. Mondd ki világosan, mit gyűjtesz, vagy hogy semmi különöset nem gyűjtesz, ahelyett hogy egy hosszú, a témához nem illő szöveget másolnál be.

Mit írjak egy app adatvédelmi irányelveibe?

A legtöbb esetben négy elem jön elő: a gyűjtött adatok, az egyes adatgyűjtések oka, az érintett harmadik felek, és az adatok törlésének módja. A gyűjtött adatoknál gondolj a fiókra, az e-mailre, a létrehozott tartalomra és a hirdetési azonosítóra, ha használsz ilyet. Egy app, amely egy fotót küld egy külső AI-szolgáltatásnak, ezt kifejezetten le kell írja.

Mi a különbség az adatvédelmi irányelvek és az adatvédelmi nyilatkozatok (App Privacy) között?

Az irányelvek egy weboldalon tárolt, linken keresztül elérhető szöveg. A nyilatkozatok egy űrlap az App Store Connect App Privacy részében, amely kategóriánként felsorolja a gyűjtött adatokat és azok felhasználását, majd megjelenik a nyilvános adatlapodon. A kettőnek ugyanazt a történetet kell elmesélnie: úgy töltsd ki az űrlapot, hogy ellenőrzöd, mit csinál ténylegesen a kódod.

Az Apple szabályain felül a GDPR-t is be kell tartani?

Igen, ha az appod európai felhasználókat céloz: a GDPR az Apple követelményein felül is érvényes. A kettő nagyrészt átfedi egymást, de az Apple-nek való megfelelés nem elég automatikusan, ha az appod tág értelemben vett személyes adatokat kezel. A CNIL útmutatót tesz közzé mobilalkalmazás-fejlesztőknek: csak a szükséges adatot gyűjtsd, tájékoztass világosan, tedd lehetővé a hozzáférést és a törlést.

Elutasíthatja az Apple az appot az adatvédelmi irányelvei miatt?

Igen, a hiányzó, vagy az app tényleges működésének nem megfelelő irányelvek elkerülhető elutasítási okot jelentenek. A reviewer összeveti, amit az irányelveid ígérnek, amit az appod csinál, és amit az űrlapon deklaráltál. Ha e három között eltérés van, az elég a beküldés megakasztásához. Én is kaptam elutasítást egy már nem naprakész online irányelvek miatt.