애플 가이드라인 5.1.2 리젝: 서드파티 AI, ATT, 데이터 공유

가이드라인 5.1.2는 개인 데이터의 사용과 공유에 관한 애플의 규칙이에요. 그중 (i)항의 요구는 세 가지예요. 어떤 데이터가 나가는지 밝히고, 그 데이터를 받는 제3자의 이름을 AI까지 포함해 밝히고, 보내기 전에 명시적인 동의를 받는 것. 광고 추적이라면 이 동의는 반드시 App Tracking Transparency(ATT) 요청으로 받아야 해요.

저는 이 리젝을 Clic에서 받았어요. 제품을 AI로 슬라이드로 만들어 주는 앱이에요. 이 가이드는 서드파티 AI, ATT, 개인정보 라벨을 다뤄요. 개인정보 처리방침과 권한 요청은 가이드라인 5.1.1에서 다뤄요.

가이드라인 5.1.2는 무슨 내용인가요?

5.1.2 "Data Use and Sharing"은 App Review Guidelines의 "Privacy" 파트에서 5.1.1 다음에 나와요. 리젝은 대부분 (i)항에서 나와요. 2026년 6월 8일에 업데이트된 현행 문구에는 이런 내용이 있어요.

• "You must clearly disclose where personal data will be shared with third parties, including with third-party AI, and obtain explicit permission before doing so."
• "You must receive explicit permission from users via the App Tracking Transparency APIs to track their activity."
• 앱은 기능, 콘텐츠, 보상을 제공하는 조건으로 알림, 위치, 추적 같은 시스템 기능을 켜라고 요구할 수 없어요.

쉽게 말하면 미리 알리지 않고 동의도 받지 않았다면 아무것도 공유하면 안 돼요. 규칙에는 동의 없이 데이터를 공유하는 앱은 판매가 중단될 수 있고, 개발자는 프로그램에서 퇴출될 수 있다고 적혀 있어요.

나머지 항목은 더 구체적인 경우를 다뤄요.

항목	금지하는 것
5.1.2(ii)	새 동의 없이 데이터를 다른 목적으로 재사용하기
5.1.2(iii)	몰래 프로필을 만들거나 익명화를 해제하기
5.1.2(iv)	연락처 데이터베이스를 구축하거나 설치된 앱 목록을 수집하기
5.1.2(v)	사용자의 요청 없이 연락처에 있는 사람들에게 연락하기
5.1.2(vi)	건강, 홈 자동화, 얼굴 매핑 데이터를 마케팅에 쓰기
5.1.2(vii)	서비스 제공 목적 외에 Apple Pay 데이터를 공유하기

서드파티 AI와 관련해 달라진 점

2025년 11월 13일, 애플은 가이드라인 업데이트에서 5.1.2(i)를 구체화했어요. 개인 데이터를 제3자와 공유하는 경우 "including with third-party AI" 그 사실을 분명히 밝히고, 그 전에 명시적인 허락을 받아야 한다는 내용이에요. 2026년 6월 8일 버전에도 이 문장은 그대로 있어요.

2026년 2월 애플 포럼에 올라온 리젝 메시지를 보면 애플이 무엇을 기대하는지 자세히 나와요. 앱이 "does not clearly explain what data is sent, identify who the data is sent to, and ask the user's permission before sharing the data"라는 거예요. 같은 메시지는 개인정보 처리방침에도 서드파티 AI와의 공유를 적으라고 요구해요.

서버를 거친다고 달라지는 건 없어요. 서버가 사진을 OpenAI로 넘기면 그 사진은 OpenAI로 가는 거예요. Expo 앱의 API 키 가이드의 구조는 내 키를 보호해 줄 뿐, 사용자를 보호해 주지는 않아요. 동의는 여전히 필요해요.

제 Clic 리젝: 화면은 있었는데 처리방침이 없었어요

2026년 9월 16일, 애플은 5.1.1(i)과 5.1.2(i)를 근거로 Clic을 리젝했어요. 그런데 AI 동의 화면은 앱에 이미 있었고, 심사자도 그 화면을 통과했어요. 리젝 전에 심사자의 익명 계정과 생성 기록이 데이터베이스에 남아 있었거든요. 빠진 건 온라인 쪽이었어요. 공개된 처리방침이 예전 버전이라 OpenAI를 딱 한 번만 언급하고 있었어요.

수정은 새 빌드 없이 했어요. 처리방침에 OpenAI(미국 소재)를 명시하고, 모드별로 무엇을 보내는지 나열했어요. 여기에 사용자가 자기 API 키를 연결할 때 쓰일 수 있는 제공업체, 각 업체가 최소한 처리방침만큼 데이터를 보호한다는 약속, 심사자를 위한 영어 요약을 추가했어요. 같은 제출 건을 리뷰 노트만 고쳐서 2026년 9월 21일에 다시 보냈어요.

Clic 동의 화면 문구 그대로

첫 생성 전에 표시되는 화면이에요. 템플릿으로 쓰세요. 제공업체와 목록만 내 것으로 바꾸면 돼요.

• 대문자 상단 문구: "첫 생성 전에".
• 제목: "Clic은 OpenAI의 AI로 슬라이드를 만들어요".
• 본문: "제품을 분석하고 이미지를 생성하기 위해 Clic은 AI 제공업체인 OpenAI에 다음 항목을 보내요:".
• 목록: "브리프 답변과 추가한 링크", "가져온 사진(아바타와 참고 이미지 포함)", "생성된 이미지(내 폴더를 위해 Clic 서버에 보관)".
• 안내 문구: "내 API 키를 쓰면 이 항목들은 연결한 제공업체로 전송돼요."
• 개인정보 처리방침 링크.
• 버튼 두 개: "동의하고 계속하기", "거부".

사용자가 거부하면 앱은 "아무것도 전송되지 않았어요"라고 보여 주고, 다음 시도 때 화면이 다시 나와요. 동의를 철회하려면 5.1.1(ii)이 요구하는 대로 설정에서 데이터를 삭제하면 돼요. 그러면 새로 전송하기 전에 화면이 다시 나와요.

이 화면을 시스템 권한 요청 앞의 화면과 헷갈리면 안 돼요. 카메라 접근 요청 전에는 애플 디자인 가이드에 따라 iOS 요청을 여는 "계속" 버튼 하나만 있어야 해요. AI 동의는 뒤에 시스템 요청이 없어요. 동의를 받는 건 내 화면이에요. 그래서 동의와 거부라는 진짜 선택지가 필요해요.

마지막 함정은 심사자가 화면을 봐야 한다는 거예요. 어떤 개발자는 동의 화면이 잘못 설정된 플래그에 묶여 있어서 여러 번 리젝됐다고 포럼 스레드에 썼어요. "We were not presented with the consent prompt on launch or anywhere else in the app." 새로 설치한 상태에서 테스트하고, 리뷰 노트에 화면이 언제 나오는지 적어 두세요.

ATT: 추적 요청이 필수인 경우

애플에서 말하는 추적은 내 앱의 데이터를 다른 회사의 앱, 웹사이트, 장소에서 온 데이터와 연결해 맞춤 광고나 광고 측정에 쓰는 거예요. 데이터 브로커와 데이터를 공유하는 것도 포함돼요. 정의는 User Privacy and Data Use 페이지에 있어요.

내 앱이나 앱에 넣은 SDK가 이런 일을 한다면:

• 추적에 쓰이는 수집을 하기 전에 App Tracking Transparency 프레임워크 요청을 먼저 띄워야 해요.
• NSUserTrackingUsageDescription 키에 이유를 적어야 하고, 이 키가 없으면 빌드가 거부될 수 있어요. ITMS-90683 가이드에서 설명했어요.
• 동의가 없으면 광고 식별자는 0이고, 다른 방법으로 사용자를 추적해서도 안 돼요. 애플은 기기 데이터로 사용자를 식별하는 걸 금지해요.
• 앱에 넣은 SDK도 내 책임이에요. "Developers are responsible for all code included in their apps."

기능이나 보상을 여는 조건으로 추적을 요구하면 안 돼요. 5.1.2(i)가 금지해요. 애플의 ATT FAQ도 이 질문에 같은 규칙을 근거로 "No"라고 답해요. 대신 투명하게만 한다면, 요청을 띄우기 전에 왜 추적을 요청하는지 설명하는 건 괜찮아요.

전형적인 리젝 사례는 ATT 요청을 한 번도 띄우지 않고 추적 데이터를 수집하는 경우예요. 공개된 리젝 메시지에서 애플은 두 가지 해결책을 제시해요. App Store Connect에서 추적을 신고하고 수집 전에 ATT 요청을 넣은 뒤, 리뷰 노트에 요청이 어디서 나오는지 적는 것. 아니면 추적을 없애는 것.

유럽연합에서는 iOS 27.2부터 다른 버전의 요청을 도입한다고 애플이 발표했어요. 프랑스, 독일, 이탈리아, 폴란드, 루마니아에서는 이 버전만 쓸 수 있게 돼요. 동의가 필수인 경우는 달라지지 않아요.

App Store Connect의 개인정보 라벨

App Privacy 섹션은 내 스토어 페이지의 라벨을 채워요. 수집하는 데이터, 사용자와 연결된 데이터, 추적에 쓰이는 데이터예요. 규칙은 App Privacy Details 페이지에 있어요. AI를 쓰는 앱이라면 중요한 건 세 가지예요.

• 파트너가 수집하는 것도 신고해야 해요. 분석 SDK, 광고 네트워크, 앱에 코드가 들어간 외부 제공업체가 여기에 해당해요.
• 수집에는 정확한 뜻이 있어요. 데이터를 기기 밖으로 보내고, 요청에 응답하는 데 필요한 시간보다 오래 보관하는 거예요. 서버에 보관하는 이미지는 수집된 거예요. AI 제공업체가 무엇을 보관하는지 확실하지 않다면 신고하세요.
• 언제든 수정할 수 있어요. "you do not need to submit an app update in order to change your answers". 그래서 라벨만 문제인 리젝은 빌드 없이 해결돼요.

어떤 제3자에게 어떤 동의가 필요한가

제가 제 앱에 적용하는 표예요. 애플의 원문이나 GDPR을 대신하지는 않아요.

데이터를 받는 제3자	받아야 할 동의	신고할 곳
서드파티 AI: OpenAI, Gemini, Claude	첫 전송 전에 내 동의 화면	처리방침, 라벨, 리뷰 노트
광고 없는 분석 및 진단	수집 동의(5.1.1(ii))와 GDPR	처리방침과 라벨
다른 앱과 연결되는 광고 네트워크나 어트리뷰션	추적 데이터 수집 전에 ATT 요청	"Used to Track You" 라벨, ATT 문구, 처리방침
데이터 브로커	ATT 요청	"Used to Track You" 라벨과 처리방침

이 표를 채울 때는 기억이 아니라 코드에서 시작하세요. 앱과 서버의 네트워크 호출을 하나씩 나열하고, 보내는 데이터, 받는 곳, 목적을 적으세요. 처리방침 작성 방법은 앱 개인정보 처리방침에 있어요.

5.1.2 리젝 후 애플에 뭐라고 답할까

경우는 두 가지예요. 원인이 온라인에 있다면(처리방침이나 라벨) 고치고 답장하면 같은 제출 건이 빌드 없이 다시 심사로 가요. 제가 Clic에서 한 방법이에요. 원인이 앱 안에 있다면(화면이 없거나 동의 전에 전송) 새 빌드가 필요해요.

앱이 서드파티 AI에 아무것도 보내지 않는다면, 애플 메시지에 그 경우에 대한 안내가 있어요. 답장으로 그 사실을 확인해 주고, App Store Connect의 App Review Information 섹션에도 적어 두세요.

그 외의 경우에는 App Review 메시지에 답장해서 영어로 답하세요. Clic 같은 앱을 기준으로 한 템플릿이니 상황에 맞게 고쳐 쓰세요.

Hello,

Thank you for your review.

The app sends the user's brief, imported photos and
generated images to OpenAI, a third-party AI service,
to create slides.

- Before the first AI request, a dedicated screen names
  OpenAI, lists the data sent and asks for explicit
  consent. Nothing is sent if the user declines.
- The privacy policy describes this sharing, with an
  English summary: [URL]
- The App Privacy information in App Store Connect matches.

How to verify: install the app and start a first
generation. The consent screen appears before any data
is sent.

Best regards,

제출 전 5.1.2 체크리스트

• 개인 데이터를 받는 모든 제3자를 AI까지 포함해 명시했어요.
• 동의 화면이 첫 전송 전에 나오고, 제공업체 이름과 데이터 목록을 보여 줘요.
• 거부하면 아무것도 전송되지 않고, 앱이 그 사실을 알려 줘요.
• 앱 안에서 동의를 철회할 수 있어요.
• 새로 설치한 상태에서도 화면이 나오고, 리뷰 노트에 위치를 적었어요.
• 온라인 처리방침과 라벨이 파트너를 포함해 같은 전송 내용을 설명해요.
• 앱이나 SDK가 사용자를 추적한다면, 추적 데이터 수집 전에 ATT 요청이 나와요.
• 어떤 기능이나 보상도 추적이나 알림에 묶여 있지 않아요.

애플보다 먼저 점검하기

Apple Review Kit에는 제출 전 체크리스트, 제가 고친 리젝 사례, 그리고 프로젝트와 스토어 페이지를 검토하고 애플이 리젝하면 답장을 준비해 주는 Claude Code 스킬 두 개가 들어 있어요. 사람이 직접 봐 주길 원한다면 저와 1시간을 예약하세요. 앱, 처리방침, 라벨을 함께 비교해 봐요. 전체 과정은 애플에 리젝된 앱 페이지에, 다른 흔한 리젝 사유는 애플이 앱을 리젝하는 이유에 있어요.

첫 출시를 준비 중이라면 무료 진단을 받아 보세요. 단계를 순서대로 정리해 주고, 제 애플 리젝 방지 체크리스트도 보내 드려요. 홈에서는 리뷰가 확인하는 부분까지 챙기면서 AI로 모바일 앱을 만드는 방법을 보여 줘요.

애플이 앱을 승인할 거라고 장담할 수 있는 사람은 없어요. 제가 할 수 있는 건, 제가 이미 심사 한 번으로 대가를 치른 5.1.2 리젝을 여러분이 피하도록 돕는 거예요.

자주 묻는 질문

"Guideline 5.1.2(i) - Legal - Privacy - Data Use and Sharing"은 무슨 뜻인가요?

애플 메시지에 나오는 규칙의 전체 이름이에요. 서드파티 AI, 광고 SDK, 다른 서비스 등으로 개인 데이터를 공유하면서 분명히 알리지 않았거나 동의를 받지 않았다는 뜻이에요. 개인정보 처리방침에 관한 5.1.1(i)과 함께 나오는 경우가 많아요.

앱에서 OpenAI API를 쓰려면 동의가 필요한가요?

네, 사용자가 쓴 글, 사진, 음성, 문서처럼 개인 데이터가 OpenAI로 간다면 필요해요. 2025년 11월부터 규칙에 서드파티 AI가 명시돼 있어요. 호출이 내 서버를 거치더라도 제공업체 이름을 밝히고, 무엇이 나가는지 알리고, 첫 전송 전에 명시적인 동의를 받으세요.

아이폰에서 돌아가는 AI도 신고해야 하나요?

기기 밖으로 아무것도 나가지 않는다면 제3자와 공유하는 게 아니니, 제 생각에는 5.1.2(i)에 따른 동의가 필요 없어요. 다만 애플이 이걸 명시적으로 적어 두지는 않았어요. 처리 과정의 일부라도 제공업체로 넘어간다면 서드파티 AI 규칙을 적용하세요.

기능을 여는 조건으로 사용자에게 추적 동의를 강요할 수 있나요?

아니요. 5.1.2(i)는 기능, 콘텐츠, 보상에 접근하는 조건으로 추적, 알림, 위치를 켜라고 요구하는 걸 금지해요. ATT 요청은 진짜 선택이어야 하고, 앱은 거부를 존중해야 해요.

5.1.2 리젝 후에 새 빌드가 필요한가요?

항상은 아니에요. 불완전한 처리방침이나 잘못된 라벨은 온라인에서 고치고 같은 제출 건을 다시 보내면 돼요. 동의 화면이 없거나 전송 뒤에 나온다면 새 빌드가 필요해요.

5.1.1과 5.1.2는 뭐가 다른가요?

5.1.1은 수집과 저장에 관한 규칙이에요. 개인정보 처리방침, 권한, 계정이 해당돼요. 5.1.2는 그 데이터를 이후에 어떻게 쓰는지에 관한 규칙이에요. AI를 포함한 제3자 공유, 광고 추적, 재사용이 해당돼요. 한 번의 리젝에서 둘을 같이 인용하는 경우가 많아요.