App Privacy i App Store Connect: hva du oppgir for SDK-ene

App Privacy er delen av App Store Connect som lager personvernetikettene på App Store-siden din. Der oppgir du hver datatype som appen din og SDK-ene du har lagt inn i den samler inn: hva den brukes til, om den er knyttet til brukeren og om den brukes til sporing. Så lenge svarene dine ikke er publisert, nekter App Store Connect å legge versjonen din til i en innsending.

Svarene kan rettes når som helst, uten nytt build. Det vanskeligste er å vite hva du skal oppgi for RevenueCat, Sentry, PostHog, Supabase, AppsFlyer, Meta eller Expo-varslinger. Tabellen lenger ned bygger på dokumentasjonen til hver SDK og på manifestene de har med seg, gjennomgått 15. oktober 2026.

Jeg publiserer mine egne iOS-apper med Expo og disse SDK-ene. Denne guiden forklarer hva Apple krever og hva jeg selv har gjort. Den erstatter ikke juridisk rådgivning.

App Privacy, personvernerklæring og manifest: tre forskjellige ting

• Personvernerklæringen er en nettside du oppgir adressen til. Metoden finner du i personvernerklæring for en iOS-app.
• Personvernmanifestet er en PrivacyInfo.xcprivacy-fil som ligger i buildet. Den er forklart i detalj i guiden om ITMS-91053.
• App Privacy er spørreskjemaet i App Store Connect. Det vises på App Store-siden din i tre blokker: data som brukes til å spore deg, data knyttet til deg og data som ikke er knyttet til deg.

Alle tre må fortelle den samme historien. Apples side App Privacy Details presiserer at denne informasjonen kreves for å sende inn en app og oppdateringene dens, og at den også dekker tredjepartspartnerne dine: analyseverktøy, annonsenettverk, SDK-er og leverandører hvis kode du har lagt til.

Fyll ut App Privacy steg for steg

Hjelpesidene til App Store Connect beskriver stegene nedenfor.

For å fylle ut spørreskjemaet må du ha rollen Account Holder, Admin eller App Manager.

1. Under Apps åpner du appen din, og så App Privacy i sidemenyen.
2. Klikk på Get Started.
3. Svar på det første spørsmålet: samler du eller partnerne dine inn data? Hvis svaret er nei, velger du «No, we do not collect data from this app» og lagrer. Da er du ferdig.
4. Ellers huker du av alle datatypene som samles inn, enten av koden din eller av SDK-ene dine.
5. For hver type svarer du på tre spørsmål: bruk, kobling til brukeren og sporing.
6. Gå gjennom forhåndsvisningen av siden (Product Page Preview), klikk på Publish og bekreft.

Hvis appen din allerede er ute, ber Apple om at svarene beskriver dataene i versjonen som er ute.

Publiser før du sender inn. I september 2026, på Piaf, feilet det å legge versjonen til i innsendingen med denne meldingen: «You must have published answers to your app's data usages.» Jeg har ikke funnet en måte å fylle ut dette skjemaet på via det offentlige API-et til App Store Connect. Så jeg gjør det i webgrensesnittet, før alt annet.

De tre spørsmålene for hver datatype

Hva det vil si å samle inn

For Apple betyr innsamling å sende data ut av enheten og ha tilgang til dem lenger enn det som trengs for å svare på forespørselen. Altså:

• data som bare behandles på iPhonen, regnes ikke som innsamlet;
• et token eller en IP-adresse som sendes og kastes med en gang, regnes heller ikke som innsamlet;
• data som samles inn bare for at appen skal fungere, må likevel oppgis, med den bruken.

Bruk

Apple tilbyr seks typer bruk: tredjepartsannonsering, utviklerens annonsering eller markedsføring, analyse, produkttilpasning, appfunksjonalitet og annen bruk. Samme data kan krysse av for flere: en e-post som brukes til innlogging og til å tilpasse appen, krysser av for funksjonalitet og tilpasning.

Knyttet til brukeren

Data er knyttet til brukeren når de kobles til personens identitet, via kontoen, enheten eller på en annen måte. Apple presiserer at de ofte er det, med mindre du anonymiserer dem før innsamling og aldri prøver å koble dem sammen igjen etterpå. Så snart du sender kontoens ID til en SDK (identify, setUser, logIn), blir dataene fra den SDK-en knyttet til brukeren.

Sporing

Sporing betyr å koble dataene fra appen din med data fra apper eller nettsteder som tilhører andre selskaper, for målrettet annonsering eller annonsemåling. Å dele data med en datamegler teller også. En SDK som kobler dataene dine med data fra andre apper for annonsering, regnes som sporing, selv om du ikke bruker den til det.

Et «ja» til sporing har to konsekvenser: forespørselen om App Tracking Transparency før all sporing, forklart i guideline 5.1.2, og et manifest som oppgir sporingen med domenene sine. Uten disse domenene får du feilen ITMS-91064.

Hva du oppgir for SDK-ene i en Expo-app

Denne tabellen tar utgangspunkt i standardoppsettet til hver SDK. Så snart du sender dem mer, som e-post, kontoens ID eller egne hendelser, må du oppgi mer.

SDK	Data som må oppgis	Sporing	Kilde
RevenueCat	Kjøpshistorikk	Nei	RevenueCat-dokumentasjon
Sentry	Krasj, ytelse	Nei	Dokumentasjon og manifest
PostHog	Interaksjon med appen	Nei	PostHog iOS-manifest
Supabase Auth	E-post, bruker-ID	Nei	Fant ingen dokumentasjon
AppsFlyer	Enhets-ID, interaksjon	Ja, enhets-ID	AppsFlyer-manifest
Meta SDK	Enhets-ID, krasj	Ja, enhets-ID	Meta-dokumentasjon og manifest
Expo Notifications	Enhets-ID (push-token)	Nei	Fant ingen dokumentasjon

RevenueCat

App Privacy-dokumentasjonen deres ber deg oppgi kjøpshistorikk, med to typer bruk som alle RevenueCat-brukere må krysse av: analyse og appfunksjonalitet. Knyttet: nei hvis ID-ene dine er anonyme, ja hvis RevenueCat-bruker-ID-en din kan kobles til en e-post. Legg til bruker-ID hvis du sender din egen ID, og kontaktinformasjon hvis du sender en e-post som attributt. SDK-ens manifest nevner bare funksjonalitet: følg dokumentasjonen, den er mer komplett. Oppsettet finner du i RevenueCat for abonnementer i appen.

Sentry

Siden deres om mobilt personvern sier det rett ut: Sentry er en partner du må oppgi, standardbruken er analyse og appfunksjonalitet, den sporer ikke og trenger ikke annonse-ID-en. Manifestet deres oppgir krasjdata, ytelsesdata og andre diagnosedata, ikke knyttet til brukeren. Hvis du legger kontoens ID på rapportene med Sentry.setUser, blir de knyttet.

PostHog

Jeg har ikke funnet noen App Privacy-anbefaling publisert av PostHog. Manifestet til iOS-SDK-en deres oppgir interaksjon med appen og andre bruksdata, ikke knyttet, uten sporing, til analyse. For React Native sier dokumentasjonen deres at appens livssyklus fanges opp som standard, viste skjermer også med React Navigation 6 eller eldre, at identify kobler tidligere hendelser til brukeren, og at en posisjon utledet fra IP-adressen legges til med mindre du bruker disableGeoip. Slik jeg ser det, bør du oppgi omtrentlig posisjon hvis du beholder denne posisjonen.

Supabase Auth

Så vidt jeg vet publiserer ikke Supabase noen App Privacy-anbefaling. Etter Apples definisjoner må du ved innlogging med e-post oppgi e-postadresse og bruker-ID, til appfunksjonalitet, knyttet til brukeren. Revisjonsloggene deres lagrer også IP-adressen ved hver innlogging: Apple ber deg oppgi en lagret IP-adresse etter hva du bruker den til. Og alt du lagrer i tabellene dine teller: innhold, bilder, historikk.

AppsFlyer og Meta

Begge manifestene oppgir enhets-ID-en som brukt til sporing, for tredjepartsannonsering. Manifestet til AppsFlyer legger til interaksjon med appen, til analyse. Manifestet til Meta legger til krasjdata og andre data. Metas iOS-dokumentasjon presiserer at manifestet bare dekker standardinnsamlingen: ekstra data må du oppgi selv.

I juli 2026, da jeg koblet AppsFlyer til TradaZen, la jeg til enhets-ID, for tredjepartsannonsering og analyse, brukt til sporing. Blokken «Data Used to Track You» dukket opp på App Store-siden. Det første buildet med AppsFlyer ble derimot avvist under behandlingen: appens manifest oppga sporing uten domenene.

Expo Notifications

Jeg har ikke funnet noen anbefaling publisert av Expo, og manifestet til expo-notifications oppgir ingen innsamlede data. Men push-tokenet du lagrer på serveren din identifiserer enheten for appen din. Min forsiktige tolkning: enhets-ID, til appfunksjonalitet, knyttet hvis du lagrer det sammen med kontoen, uten sporing. Dette er ikke en regel skrevet av Apple.

Min metode: én liste som holder alt i takt

Jeg leser gjennom den publiserte personvernerklæringen før jeg rører spørreskjemaet. Erklæringen til TradaZen nevner innloggings-e-post, abonnement, varslingstoken, bruksstatistikk, feilrapporter og annonseattribusjon som krever samtykke.

Hver linje i erklæringen blir en type i App Privacy. Når jeg legger til en SDK eller en funksjon som sender data, endrer jeg erklæringen, App Privacy og manifestet samme dag.

For å kontrollere, list opp de medfølgende manifestene med kommandoen fra ITMS-91053-guiden nevnt over. Med en Mac og Xcode samler personvernrapporten dem: Product, så Archive, så Generate Privacy Report i Organizer. Apple presenterer den som et hjelpemiddel for å fylle ut App Store Connect.

Oppdater App Privacy uten nytt build

Apple skriver det selv: du kan endre svarene dine når som helst, uten å oppdatere appen. Adressen til personvernerklæringen din endres derimot bare med neste versjon, ifølge hjelpesidene til App Store Connect.

Oppdater App Privacy når du legger til en SDK, når du sender kontoens ID til et eksisterende verktøy, eller når en funksjon sender en ny datatype. En avvisning som bare gjelder disse opplysningene, rettes på nett, som med guideline 5.1.1.

Sjekk alt før Apple gjør det

Review Kit samler sjekklisten min før innsending, avvisningene jeg har rettet og to Claude Code-skills som går gjennom prosjektet og App Store-siden din, og så forbereder svaret ditt hvis Apple avviser.

Vil du vite hva som fortsatt stopper deg? Den gratis diagnosen sender deg sjekklisten min mot avvisninger fra Apple. For hele veien til publisering, les publisere en app på App Store.

Ofte stilte spørsmål

Hva er App Privacy i App Store Connect?

Det er spørreskjemaet som lager personvernetikettene på App Store-siden din: data som samles inn av appen og SDK-ene, bruk, kobling til brukeren og sporing. Det er obligatorisk for å sende inn en app og oppdateringene dens.

Trenger jeg et nytt build for å endre App Privacy?

Nei. Apple sier at du kan endre svarene når som helst, uten å oppdatere appen: du endrer, og så klikker du på Publish. Bare adressen til personvernerklæringen venter til neste versjon.

Hva skal jeg oppgi for RevenueCat i App Privacy?

Kjøpshistorikk, med bruken analyse og appfunksjonalitet, ifølge dokumentasjonen til RevenueCat. Legg til bruker-ID hvis du sender din egen ID, og kontaktinformasjon hvis du sender en e-post som attributt.

Driver Sentry og PostHog med sporing slik Apple definerer det?

Nei, ikke i standardoppsettet. Sentry skriver at de ikke bruker dataene dine til å spore brukere, og iOS-manifestet til PostHog oppgir ingen sporing. Dataene deres blir derimot knyttet til brukeren så snart du sender dem kontoens ID.

Hvorfor får jeg ikke lagt versjonen min til i innsendingen?

Ofte fordi App Privacy ikke er publisert. App Store Connect viser da «You must have published answers to your app's data usages». Publiser svarene dine, og legg så til versjonen.