App Privacy App Store Connect: mit adj meg az SDK-khoz

Az App Privacy az App Store Connect azon része, amelyből az App Store-oldalad adatvédelmi címkéi készülnek. Itt adod meg az összes adattípust, amit az appod és a beépített SDK-k gyűjtenek: mire szolgál, kötődik-e a felhasználóhoz, használják-e követésre. Amíg a válaszaid nincsenek publikálva, az App Store Connect nem engedi hozzáadni a verziódat egy beküldéshez.

A válaszok bármikor javíthatók, új build nélkül. A legnehezebb az, hogy mit adj meg a RevenueCat, a Sentry, a PostHog, a Supabase, az AppsFlyer, a Meta vagy az Expo értesítések esetén. A lenti táblázat az egyes SDK-k dokumentációján és a bennük lévő manifesteken alapul, ezeket 2026. október 15-én néztem át újra.

A saját iOS-appjaimat Expóval és ezekkel az SDK-kkal publikálom. Ez az útmutató leírja, mit kér az Apple, és én mit alkalmaztam. Jogi tanácsot nem helyettesít.

App Privacy, adatvédelmi irányelv és manifest: három különböző dolog

• Az adatvédelmi irányelv egy weboldal, aminek a címét megadod. A módszert itt találod: iOS-app adatvédelmi irányelve.
• Az adatvédelmi manifest egy PrivacyInfo.xcprivacy fájl, ami a buildbe kerül. Részletesen az ITMS-91053 útmutatóban írok róla.
• Az App Privacy az App Store Connect kérdőíve. Az oldaladon három blokkban jelenik meg: követésre használt adatok, hozzád kötött adatok, hozzád nem kötött adatok.

A háromnak ugyanazt kell elmondania. Az Apple App Privacy Details oldala szerint ezek az információk kötelezők az app és a frissítései beküldéséhez, és a külső partnereidre is vonatkoznak: analitikai eszközökre, hirdetési hálózatokra, SDK-kra és szolgáltatókra, akiknek a kódját beépítetted.

Az App Privacy kitöltése lépésről lépésre

Az App Store Connect súgója részletezi az alábbi lépéseket.

A kérdőív kitöltéséhez Account Holder, Admin vagy App Manager szerepkör kell.

1. Az Apps alatt nyisd meg az appodat, majd az oldalsávban az App Privacy részt.
2. Kattints a Get Started gombra.
3. Válaszolj az első kérdésre: gyűjtesz-e adatot te vagy a partnereid? Ha nem, válaszd a „No, we do not collect data from this app” lehetőséget, és mentsd. Kész.
4. Ha igen, jelöld be az összes gyűjtött adattípust, akár a saját kódod, akár az SDK-id gyűjtik.
5. Minden típusnál válaszolj a három kérdésre: felhasználás, felhasználóhoz kötés, követés.
6. Nézd át az oldal előnézetét (Product Page Preview), kattints a Publish gombra, és erősítsd meg.

Ha az appod már elérhető, az Apple azt kéri, hogy a válaszok az élő verzió adatait írják le.

Beküldés előtt publikálj. 2026 szeptemberében a Piafnál a verzió hozzáadása a beküldéshez ezzel az üzenettel hiúsult meg: „You must have published answers to your app's data usages.” Nem találtam módot arra, hogy ezt az űrlapot az App Store Connect nyilvános API-ján töltsem ki. Ezért a webes felületen csinálom, minden más előtt.

A három kérdés minden adatnál

Mit jelent a gyűjtés

Az Apple szerint gyűjtés az, ha egy adatot elküldesz az eszközről, és tovább hozzáférsz, mint amennyi a kérés megválaszolásához kell. Tehát:

• a csak az iPhone-on feldolgozott adat nem számít gyűjtésnek;
• az elküldött, majd azonnal eldobott token vagy IP-cím sem;
• a kizárólag az app működéséhez gyűjtött adatot viszont meg kell adni, ezzel a felhasználással.

Felhasználások

Az Apple hat felhasználást kínál: harmadik féltől származó hirdetés, fejlesztői hirdetés vagy marketing, analitika, termék-személyre szabás, app-funkcionalitás és egyéb célok. Egy adatnál több is bejelölhető: a bejelentkezéshez és a személyre szabáshoz is használt e-mail-címnél a funkcionalitást és a személyre szabást is bejelölöd.

Felhasználóhoz kötött

Egy adat akkor kötött, ha a személy identitásához kapcsolódik, a fiókján, az eszközén vagy más módon. Az Apple szerint gyakran az, kivéve ha gyűjtés előtt anonimizálod, és később soha nem próbálod összekapcsolni. Amint átadod a fiókazonosítót egy SDK-nak (identify, setUser, logIn), az SDK adatai kötötté válnak.

Követés

Követés az, ha az appod adatait más cégek appjaiból vagy weboldalairól származó adatokkal kapcsolod össze célzott hirdetéshez vagy hirdetésméréshez. Az adatbrókerrel való megosztás is ide tartozik. Ha egy SDK a hirdetésekhez összeveti az adataidat más appok adataival, az követésnek számít, még ha te nem is erre használod.

Ha a követésre „igen” a válasz, annak két következménye van: minden követés előtt App Tracking Transparency kérés kell, ezt az 5.1.2-es irányelvnél magyarázom el, és a manifestnek deklarálnia kell a követést a domainjeivel együtt: e domainek nélkül az ITMS-91064-es hibát kapod.

Mit adj meg egy Expo-app SDK-ihoz

Ez a táblázat az egyes SDK-k alapbeállításából indul ki. Amint többet küldesz nekik, e-mailt, fiókazonosítót vagy saját eseményeket, többet is kell megadnod.

SDK	Megadandó adatok	Követés	Forrás
RevenueCat	Vásárlási előzmények	Nem	RevenueCat dokumentáció
Sentry	Összeomlások, teljesítmény	Nem	Dokumentáció és manifest
PostHog	Interakciók az appal	Nem	PostHog iOS manifest
Supabase Auth	E-mail, felhasználói azonosító	Nem	Nem találtam dokumentációt
AppsFlyer	Eszközazonosító, interakciók	Igen, eszközazonosító	AppsFlyer manifest
Meta SDK	Eszközazonosító, összeomlások	Igen, eszközazonosító	Meta dokumentáció és manifest
Expo Notifications	Eszközazonosító (push token)	Nem	Nem találtam dokumentációt

RevenueCat

Az App Privacy dokumentációja szerint a vásárlási előzményeket kell megadni, két felhasználással, amit minden RevenueCat-felhasználónak be kell jelölnie: analitika és app-funkcionalitás. Kötött: nem, ha az azonosítóid anonimek, igen, ha a RevenueCat felhasználói azonosítód összekapcsolható egy e-mail-címmel. Add hozzá a felhasználói azonosítót, ha saját ID-t adsz át, és az elérhetőségi adatokat, ha e-mailt küldesz attribútumként. Az SDK manifestje csak a funkcionalitást említi: a teljesebb dokumentációt kövesd. A bekötést a RevenueCat in-app előfizetésekhez cikkben írom le.

Sentry

A mobil adatvédelmi oldala kimondja: a Sentry megadandó partner, a szokásos felhasználásai az analitika és az app-funkcionalitás, nem végez követést, és nincs szüksége a hirdetési azonosítóra. A manifestje összeomlási, teljesítmény- és egyéb diagnosztikai adatokat deklarál, nem kötöttként. Ha a Sentry.setUser segítségével a fiókazonosítót a jelentésekhez csatolod, kötötté válnak.

PostHog

Nem találtam a PostHog által publikált App Privacy ajánlást. Az iOS SDK-jának manifestje az appal való interakciót és egyéb használati adatokat deklarál, nem kötöttként, követés nélkül, analitikára. React Native esetén a dokumentációja szerint az app életciklusát alapból rögzíti, React Navigation 6 vagy régebbi verzióval a megtekintett képernyőket is, az identify a korábbi eseményeket a felhasználóhoz köti, és IP alapján becsült helyadatot ad hozzá, kivéve a disableGeoip használatakor. Szerintem ha megtartod ezt a helyadatot, adj meg hozzávetőleges helyet.

Supabase Auth

Tudomásom szerint a Supabase nem publikál App Privacy ajánlást. Az Apple definíciói alapján e-mailes bejelentkezésnél meg kell adni az e-mail-címet és a felhasználói azonosítót, app-funkcionalitásra, kötöttként. Az audit naplói minden bejelentkezés IP-címét is rögzítik: az Apple azt kéri, hogy a megőrzött IP-t aszerint add meg, mire használod. És minden számít, amit a tábláidban tárolsz: tartalmak, fotók, előzmények.

AppsFlyer és Meta

Mindkét manifest követésre használtként deklarálja az eszközazonosítót, harmadik féltől származó hirdetéshez. Az AppsFlyeré ehhez hozzáadja az appal való interakciót, analitikára. A Metáé összeomlási és egyéb adatokat ad hozzá. A Meta iOS dokumentációja szerint a manifestje csak az alapértelmezett gyűjtést fedi le: a további adatokat neked kell megadnod.

2026 júliusában, amikor az AppsFlyert bekötöttem a TradaZenbe, felvettem az eszközazonosítót harmadik féltől származó hirdetéshez és analitikához, követésre használtként. Az oldalon megjelent a „Követésre használt adatok” blokk. Az első AppsFlyeres buildet viszont feldolgozáskor elutasították: az app manifestje deklarálta a követést, de a domainjei nélkül.

Expo Notifications

Nem találtam az Expo által publikált ajánlást, és az expo-notifications manifestje semmilyen gyűjtött adatot nem deklarál. A szervereden tárolt push token viszont azonosítja az eszközt az appod számára. Az én óvatos értelmezésem: eszközazonosító, app-funkcionalitásra, kötött, ha a fiókkal együtt tárolod, követés nélkül. Ez nem az Apple által leírt szabály.

A módszerem: egyetlen lista, hogy minden egyezzen

Mielőtt a kérdőívhez nyúlok, átolvasom a publikált adatvédelmi irányelvet. A TradaZené említi a bejelentkezési e-mailt, az előfizetést, az értesítési tokent, a használati statisztikákat, a hibajelentéseket és a hozzájáruláshoz kötött hirdetési attribúciót.

Az irányelv minden sora egy típus lesz az App Privacy-ben. Ha adatot küldő SDK-t vagy funkciót adok hozzá, ugyanazon a napon módosítom az irányelvet, az App Privacy-t és a manifestet.

Ellenőrzéshez listázd ki a beágyazott manifesteket a fent említett ITMS-91053 útmutató parancsával. Maccel és Xcode-dal az adatvédelmi jelentés összegyűjti őket: Product, majd Archive, majd Generate Privacy Report az Organizerben. Az Apple ezt az App Store Connect kitöltését segítő eszközként mutatja be.

Az App Privacy frissítése build nélkül

Az Apple leírja: a válaszaidat bármikor módosíthatod, app-frissítés nélkül. Az adatvédelmi irányelved címe viszont csak a következő verzióval változik, az App Store Connect súgója szerint.

Frissítsd az App Privacy-t, ha új SDK-t adsz hozzá, ha egy meglévő eszköznek átadod a fiókazonosítót, vagy ha egy funkció új adattípust küld. A csak ezeket a nyilatkozatokat érintő elutasítás online javítható, ahogy az 5.1.1-es irányelvnél is.

Ellenőrizd az anyagodat az Apple előtt

A Review Kit tartalmazza a beküldés előtti checklistemet, a javított elutasításaimat és két Claude Code skillt, amelyek átnézik a projektedet és az App Store-oldaladat, majd elutasítás esetén előkészítik a válaszodat.

Tudni szeretnéd, mi akadályoz még? Az ingyenes diagnózis elküldi neked az Apple-elutasítások elleni checklistemet. A teljes megjelenési folyamathoz olvasd el: alkalmazás publikálása az App Store-ban.

Gyakori kérdések

Mi az App Privacy az App Store Connectben?

Az a kérdőív, amelyből az App Store-oldalad adatvédelmi címkéi készülnek: az appod és az SDK-i által gyűjtött adatok, felhasználásuk, a felhasználóhoz kötésük és a követés. Kötelező az app és a frissítései beküldéséhez.

Kell új build az App Privacy módosításához?

Nem. Az Apple szerint a válaszaidat bármikor módosíthatod, app-frissítés nélkül: módosítasz, majd a Publish gombra kattintasz. Csak az adatvédelmi irányelv címe vár a következő verzióig.

Mit adjak meg a RevenueCathez az App Privacy-ben?

A vásárlási előzményeket, analitika és app-funkcionalitás felhasználással, a RevenueCat dokumentációja szerint. Add hozzá a felhasználói azonosítót, ha saját ID-t adsz át, és az elérhetőségi adatokat, ha e-mailt küldesz attribútumként.

A Sentry és a PostHog követést végez az Apple értelmezésében?

Alapbeállításban nem. A Sentry azt írja, hogy nem használja az adataidat a felhasználók követésére, és a PostHog iOS manifestje sem deklarál követést. Az adataik viszont kötötté válnak, amint átadod nekik a fiókazonosítót.

Miért nem tudom hozzáadni a verziómat a beküldéshez?

Gyakran azért, mert az App Privacy nincs publikálva. Ilyenkor az App Store Connect ezt írja ki: „You must have published answers to your app's data usages”. Publikáld a válaszaidat, majd add hozzá a verziót.