앱 개인정보 처리방침 작성법: iOS 앱 출시 가이드

Apple이 개인정보 처리방침을 요구하는 이유

App Store Connect에서 앱 정보를 만들면 Apple은 바로 개인정보 처리방침 URL을 요구해요. 실제로 응답하는 지원 URL도 필요하고요. 장식용 형식 절차가 아니에요. App Review 가이드라인은 사용자 계정이 있든 없든 모든 앱에 개인정보 처리방침을 요구해요. 접근 가능한 페이지가 없으면 리뷰어가 보기도 전에 제출이 막혀요.

개인정보 처리방침이 없거나 앱의 실제 동작과 맞지 않는 건 가장 피하기 쉬운 리젝 사유 중 하나예요. Apple에 보내기 전에 제출 자료를 검토할 때 제가 가장 먼저 확인하는 부분이기도 해요.

개인정보 처리방침에 꼭 들어가야 하는 내용

다른 데서 복사한 일반적인 목록이 아니라, 앱이 실제로 수집하는 걸 설명해야 해요. 대부분 다음 네 가지가 들어가요.

수집하는 데이터. 계정, 이메일, 앱에서 만든 콘텐츠, 그리고 광고 식별자를 쓴다면 같은 기술 데이터예요. 특별히 수집하는 게 없다면 그것도 분명히 적어 주세요.

각 데이터를 수집하는 이유. 앱이 동작하려면 왜 그 데이터가 필요한지 적어야 해요. 막연한 핑계는 안 돼요.

관련된 제3자. 인증 제공자, 결제, 분석, AI 서비스를 쓴다면 이름을 밝혀 주세요. 예를 들어 사진을 외부 AI 서비스로 보내는 앱이라면 그 사실을 명시해야 하고, 대부분의 경우 보내기 전에 허락을 받아야 해요.

데이터를 삭제하는 방법. Apple은 사용자 계정이 있는 앱이라면 이메일만이 아니라 앱 안에서 직접 계정을 삭제할 수 있게 해야 한다고 요구해요. 이 경로는 찾기 쉬워야 하고, 엉뚱한 하위 메뉴에 숨겨 두면 안 돼요.

개인정보 처리방침과 개인정보 신고의 차이

초보자들이 자주 헷갈리는 두 가지가 있어요. 개인정보 처리방침은 웹 페이지에 올려 두고 링크로 접근하는 글이에요. 개인정보 신고는 App Store Connect의 "App Privacy" 섹션에서 직접 작성하는 양식이에요. 수집하는 데이터와 용도를 카테고리별로 적고, 이 내용이 공개 앱 페이지에 표시돼요.

둘은 같은 이야기를 해야 해요. 앱이 식별자를 수집하는 분석 SDK를 쓰는데 신고에는 "수집하는 데이터 없음"이라고 적었다면, 리뷰어나 나중의 감사에서 걸릴 수 있는 불일치예요. 가장 쉬워 보이는 항목에 체크하지 말고, 코드가 실제로 하는 일과 privacy manifest에 선언된 내용을 직접 확인하면서 양식을 채우세요.

그럼 GDPR은요?

앱이 유럽 사용자를 대상으로 한다면 Apple 요구사항에 더해 GDPR(프랑스어로 RGPD)도 적용돼요. 프랑스 개인정보 보호 기관인 CNIL은 모바일 앱 개발자를 위한 가이드를 공개하고 있어요. 필요한 것만 수집하고, 명확하게 알리고, 데이터 열람과 삭제를 허용하라는 원칙을 자세히 다뤄요. Apple 요구사항과 GDPR은 많이 겹치지만, 앱이 넓은 의미의 개인정보를 처리한다면 Apple 기준을 맞췄다고 GDPR까지 자동으로 충족되는 건 아니에요.

앱이 단순해서 계정도 없고 iOS가 기본으로 처리하는 것 외에 개인정보를 수집하지 않는다면 처리방침은 짧아도 돼요. 길고 상관없는 글을 복사하지 말고 그 사실을 분명히 적으세요.

실제 사례: 5.1.1 가이드라인 관련 리젝

제 앱을 출시하면서 Apple에서 리젝을 받은 적이 있어요. 온라인에 올린 개인정보 처리방침이 최신이 아니었던 경우, 그리고 기대되는 카메라 권한 요청보다 먼저 기능 버튼을 보여 준 경우였어요. 둘 다 데이터 수집과 저장에 관한 5.1.1 가이드라인에 해당해요. Apple 리젝, 2.1 가이드라인 가이드에서는 테스터가 앱에서 실제로 무엇을 할 수 있는지와 관련된 또 다른 흔한 사유를 자세히 다뤄요.

두 사례의 공통된 교훈은 이거예요. 리뷰어는 처리방침이 약속하는 내용, 앱이 실제로 하는 일, 양식에 신고한 내용을 비교해요. 나머지 자료가 탄탄해도 이 셋 사이에 차이가 있으면 제출이 막혀요.

지어내지 않고 내 처리방침 쓰는 법

첫 앱이라면 실제로 쓰는 서비스 목록부터 시작하세요. 인증, 데이터베이스, 결제, 분석, AI 같은 것들이요. 각 서비스가 앱에서 무엇을 받고 왜 받는지 적어 두세요. 이 목록이 처리방침의 뼈대가 돼요. 계정 하나와 구독 하나가 있는 앱에 열 페이지짜리 법률 문서는 필요 없어요.

Expo로 만든 앱이라면 Expo 앱의 API 키 가이드에서 제3자 서비스 호출을 어디에 둬야 하는지 설명해요. 처리방침을 쓸 때 어떤 데이터가 어떤 서비스를 거치는지 정확히 파악하는 데도 도움이 돼요.

이 글과 개인정보 신고가 준비되면 Apple에 보내기 전에 나머지 자료와 합쳐져요. 앱 정보, 스크린샷, 테스터용 메모 같은 것들이요. App Store에 앱 출시하기 페이지에서 이 모든 단계를 App Store Connect가 요구하는 순서대로 자세히 다뤄요.

다음 단계: 보내기 전에 검토한 제출 자료

Apple이 앱을 한 번에 승인할 거라고 장담할 수는 없어요. 솔직히 아무도 그럴 수 없어요. 제가 도와줄 수 있는 건 개인정보 처리방침을 포함해 피할 수 있는 리젝을 피하는 거예요. 보내기 전에 제출 자료를 확인하고 싶다면 Apple Review Kit에 제 체크리스트와 프로젝트, 페이월, 앱 정보를 검토하는 Claude Code 스킬을 담아 뒀어요.

먼저 무료 목록부터 보고 싶나요? 무료 진단을 신청하면 매번 제출 전에 제가 확인하는 개인정보 항목이 포함된 Apple 리젝 방지 체크리스트를 보내 드려요.

자주 묻는 질문

iOS 앱의 개인정보 처리방침이란 뭔가요?

웹 페이지에 올려 두고 링크로 접근하는 글로, 앱이 실제로 수집하는 걸 설명해요. 앱 정보를 만들 때 App Store Connect에서 그 URL을 Apple에 제공해요. 다른 데서 복사한 일반적인 목록이 아니라 앱의 실제 동작과 일치해야 해요.

iOS 앱을 출시하려면 개인정보 처리방침이 꼭 있어야 하나요?

네, Apple 가이드라인은 사용자 계정이 있든 없든 모든 앱에 개인정보 처리방침을 요구해요. 접근 가능한 페이지가 없으면 리뷰어가 보기도 전에 제출이 막혀요. 앱이 단순하다면 처리방침도 짧아도 돼요. 길고 상관없는 글을 복사하지 말고, 무엇을 수집하는지 또는 특별히 수집하는 게 없다는 걸 분명히 적으세요.

앱 개인정보 처리방침에는 무엇을 넣어야 하나요?

대부분 네 가지가 들어가요. 수집하는 데이터, 각 수집 이유, 관련된 제3자, 데이터 삭제 방법이에요. 수집 데이터로는 계정, 이메일, 만든 콘텐츠, 그리고 쓴다면 광고 식별자를 생각해 보세요. 사진을 외부 AI 서비스로 보내는 앱은 그 사실을 명시해야 해요.

개인정보 처리방침과 개인정보 신고(App Privacy)는 어떻게 다른가요?

처리방침은 웹 페이지에 올려 두고 링크로 접근하는 글이에요. 신고는 App Store Connect의 App Privacy 섹션에서 작성하는 양식으로, 수집 데이터와 용도를 카테고리별로 적고 공개 앱 페이지에 표시돼요. 둘은 같은 이야기를 해야 해요. 코드가 실제로 하는 일을 확인하면서 양식을 채우세요.

Apple 규정 외에 GDPR도 지켜야 하나요?

네, 앱이 유럽 사용자를 대상으로 한다면 Apple 요구사항에 더해 GDPR도 적용돼요. 둘은 많이 겹치지만, 앱이 넓은 의미의 개인정보를 처리한다면 Apple 기준만으로 자동 충족되지는 않아요. CNIL이 모바일 앱 개발자용 가이드를 공개하고 있어요. 필요한 것만 수집하고, 명확히 알리고, 열람과 삭제를 허용하라는 내용이에요.

개인정보 처리방침 때문에 Apple이 앱을 리젝할 수 있나요?

네, 처리방침이 없거나 앱의 실제 동작과 맞지 않으면 피할 수 있는 리젝 사유가 돼요. 리뷰어는 처리방침의 약속, 앱의 실제 동작, 양식에 신고한 내용을 비교해요. 셋 사이에 차이가 있으면 제출이 막혀요. 저도 온라인 처리방침이 최신이 아니어서 리젝을 받은 적이 있어요.