iOSアプリのプライバシーポリシー：書き方とAppleの要件

Appleがプライバシーポリシーを求める理由

App Store Connectでアプリのページを作成した時点で、AppleはプライバシーポリシーのURLと、実際に応答するサポートURLを求めてきます。これは飾りの手続きではありません。App Reviewガイドラインでは、ユーザーアカウントの有無にかかわらず、すべてのアプリにプライバシーポリシーが必要と定められています。このページにアクセスできなければ、審査担当者が見る前に申請がブロックされます。

プライバシーポリシーがない、あるいはアプリの実際の動作と一致していないというのは、最も避けやすいリジェクト理由のひとつです。Appleに提出する前に申請内容を見直すとき、僕が真っ先にチェックするポイントでもあります。

プライバシーポリシーに本当に書くべき内容

ほかから コピーした汎用的なリストではなく、アプリが実際に収集しているものを書く必要があります。ほとんどの場合、次の4つの要素が入ります。

収集するデータ。 アカウント、メールアドレス、アプリ内で作成されたコンテンツ、広告識別子を使っているならそういった技術的なデータです。特に何も収集していない場合は、それもはっきり書きましょう。

それぞれのデータを収集する理由。 アプリを動かすためになぜそのデータが必要なのかを書きます。曖昧な説明ではダメです。

関係する第三者。 認証プロバイダ、決済、アナリティクス、AIなどのサービスを使っているなら、その名前を明記します。たとえば外部のAIサービスに写真を送るアプリは、それを明示し、多くの場合は送信前に許可を求める必要があります。

データの削除方法。 ユーザーアカウントがあるアプリには、メールだけでなくアプリ内からアカウントを削除できる手段が求められます。その導線はわかりやすい場所に置く必要があり、ありえないようなサブメニューの奥に隠すのはNGです。

プライバシーポリシーとプライバシー申告の違い

初心者の頭の中では、2つの別物がよく混ざってしまいます。プライバシーポリシーはWebページに掲載され、リンクからアクセスできる文章です。一方プライバシー申告は、App Store Connectの「App Privacy」セクションで直接入力するフォームで、収集するデータとその用途をカテゴリ別に一覧にしたものです。これは公開されるアプリのページに表示されます。

この2つは同じ内容を語っていなければなりません。識別子を収集するアナリティクスSDKを使っているのに「データの収集なし」と申告している、というようなズレは、審査担当者や後からの監査で見つかる可能性があります。このフォームは、一番楽そうな項目にチェックを入れるのではなく、コードが実際に何をしているか、そしてprivacy manifestに何が申告されているかを確認しながら入力しましょう。

GDPRはどうなる？

アプリがヨーロッパのユーザーを対象にしているなら、Appleの要件に加えてGDPR（EU一般データ保護規則、フランス語ではRGPD）が適用されます。フランスのデータ保護機関であるCNILがモバイルアプリ開発者向けのガイドを公開していて、必要なものだけを収集する、わかりやすく説明する、データへのアクセスと削除を可能にする、といった原則が詳しく書かれています。Appleの要件とGDPRは大部分が重なりますが、アプリが広い意味での個人データを扱う場合、Appleの要件を満たしただけで自動的にGDPRも満たせるわけではありません。

アカウントがなく、iOSが標準で扱う範囲以上の個人データを収集しないシンプルなアプリなら、ポリシーは短くて大丈夫です。長くて的外れな文章をコピーするより、そのことをはっきり書きましょう。

具体例：ガイドライン5.1.1に関するリジェクト

僕自身の公開経験では、オンラインのプライバシーポリシーが最新でなかったことと、本来必要なカメラ許可のリクエストより前に機能ボタンが表示されていたことで、Appleからリジェクトされました。どちらもデータの収集と保存に関するガイドライン5.1.1に該当します。Appleのリジェクト、ガイドライン2.1のガイドでは、テスターがアプリ内で実際に何ができるかに関する、別のよくあるリジェクト理由を詳しく解説しています。

2つのケースに共通する教訓はこうです。審査担当者は、ポリシーが約束していること、アプリが実際にしていること、フォームで申告した内容を照らし合わせます。この3つの間にズレがあれば、ほかの部分がしっかりしていても申請はブロックされます。

でっちあげずに自分のポリシーを書く方法

初めてのアプリなら、認証、データベース、決済、アナリティクス、AIなど、実際に使っているサービスのリストから始めましょう。それぞれについて、アプリから何を受け取っていて、なぜなのかをメモします。このリストがポリシーの骨組みになります。シンプルなアカウントとサブスクリプションがあるだけのアプリに、10ページもの法的文書は必要ありません。

アプリをExpoで作っているなら、ExpoアプリのAPIキーのガイドで、第三者サービスの呼び出しをどこに置くべきかを解説しています。これは、ポリシーを書くときにどのデータがどのサービスを通るのかを正確に把握するのにも役立ちます。

この文章とプライバシー申告の準備ができたら、アプリのページ、スクリーンショット、テスター向けのメモといった残りの申請内容と合わせてAppleに提出します。App Storeでアプリを公開するページでは、これらのステップをApp Store Connectで求められる順番に沿って詳しく解説しています。

次のステップ：提出前に申請内容を見直す

Appleが一発でアプリを承認してくれると保証することはできません。正直に言って、それは誰にもできません。僕が手伝えるのは、プライバシーポリシーも含めて、避けられるリジェクトを避けることです。提出前に申請内容をチェックしたいなら、Apple Review Kitに僕のチェックリストと、プロジェクト、ペイウォール、アプリのページを見直すClaude Codeのスキルをまとめています。

まずは無料のリストがほしいですか？無料診断では、毎回の提出前に僕が確認しているプライバシー関連の項目を含む、Appleのリジェクト対策チェックリストをお送りします。

よくある質問

iOSアプリのプライバシーポリシーとは何ですか？

Webページに掲載され、リンクからアクセスできる文章で、アプリが実際に収集しているものを説明します。そのURLは、アプリのページを作成する時点でApp Store ConnectでAppleに伝えます。ほかからコピーした汎用的なリストではなく、アプリの実際の動作と一致している必要があります。

iOSアプリを公開するのにプライバシーポリシーは必須ですか？

はい。Appleのガイドラインでは、ユーザーアカウントの有無にかかわらず、すべてのアプリにプライバシーポリシーが必要とされています。このページにアクセスできなければ、審査担当者が見る前に申請がブロックされます。シンプルなアプリなら、ポリシーは短くて大丈夫です。長くて的外れな文章をコピーするより、何を収集しているのか、あるいは特に何も収集していないことをはっきり書きましょう。

アプリのプライバシーポリシーには何を書けばいいですか？

ほとんどの場合、収集するデータ、それぞれを収集する理由、関係する第三者、データの削除方法の4つの要素が入ります。収集するデータとしては、アカウント、メールアドレス、作成されたコンテンツ、そして使っているなら広告識別子を考えましょう。外部のAIサービスに写真を送るアプリは、それを明示する必要があります。

プライバシーポリシーとプライバシー申告（App Privacy）の違いは何ですか？

ポリシーはWebページに掲載され、リンクからアクセスできる文章です。申告はApp Store ConnectのApp Privacyセクションで入力するフォームで、収集するデータとその用途をカテゴリ別に一覧にし、公開されるアプリのページに表示されます。2つは同じ内容を語っていなければなりません。フォームは、コードが実際に何をしているかを確認しながら入力しましょう。

Appleのルールに加えてGDPRも守る必要がありますか？

はい、アプリがヨーロッパのユーザーを対象にしているなら、Appleの要件に加えてGDPRが適用されます。両者は大部分が重なりますが、アプリが広い意味での個人データを扱う場合、Appleの要件を満たしただけで自動的にGDPRも満たせるわけではありません。CNILがモバイルアプリ開発者向けのガイドを公開していて、必要なものだけを収集する、わかりやすく説明する、アクセスと削除を可能にする、といった原則が示されています。

Appleはプライバシーポリシーが原因でアプリをリジェクトすることがありますか？

はい。ポリシーがない、あるいはアプリの実際の動作と一致していないのは、避けられるリジェクト理由です。審査担当者は、ポリシーが約束していること、アプリがしていること、フォームで申告した内容を照らし合わせます。この3つの間にズレがあれば、申請はブロックされます。僕自身、オンラインのポリシーが最新でなかったことでリジェクトされたことがあります。