Personvernerklæring for app: guide for iOS

Hvorfor Apple krever en personvernerklæring

Så snart du oppretter en side i App Store Connect, ber Apple om en URL til personvernerklæringen din, og en support-URL som faktisk svarer. Dette er ikke pynt. App Review-retningslinjene krever at alle apper har en, uansett om appen din har brukerkontoer eller ikke. Uten en tilgjengelig side blir innsendingen stoppet før reviewer i det hele tatt ser på den.

En personvernerklæring som mangler, eller som ikke stemmer med hvordan appen faktisk oppfører seg, er en av de lettest unngåelige grunnene til avslag. Det er også noe av det første jeg sjekker når jeg går gjennom en innsending før den sendes til Apple.

Hva personvernerklæringen faktisk må inneholde

Teksten må beskrive hva appen din faktisk samler inn, ikke en generisk liste kopiert fra et annet sted. Fire punkter går igjen i de fleste tilfeller:

Dataene som samles inn. Konto, e-post, innhold laget i appen, tekniske data som annonse-ID hvis du bruker det. Hvis du ikke samler inn noe spesielt, si det like tydelig.

Grunnen til hver innsamling. Hvorfor du trenger disse dataene for at appen skal fungere, ikke en vag begrunnelse.

Tredjepartene som er involvert. Hvis du bruker en leverandør for innlogging, betaling, analyse eller AI, nevn den ved navn. En app som sender et bilde til en ekstern AI-tjeneste, for eksempel, må si det eksplisitt og som regel be om tillatelse før bildet sendes.

Hvordan man sletter dataene sine. Apple krever at en app med brukerkontoer gir en mulighet til å slette kontoen fra selve appen, ikke bare via e-post. Veien dit må være lett å finne, ikke gjemt i en usannsynlig undermeny.

Forskjellen på personvernerklæringen og personvernopplysningene

To forskjellige ting blandes ofte sammen hos nybegynnere. Personvernerklæringen er en tekst som ligger på en nettside, tilgjengelig via en lenke. Personvernopplysningene er et skjema du fyller ut direkte i App Store Connect, under "App Privacy". Der lister du opp dataene som samles inn og hva de brukes til, sortert etter kategori, og dette vises så på den offentlige appsiden din.

Begge må fortelle den samme historien. En erklæring som sier "ingen data samles inn" mens appen bruker en analyse-SDK som samler inn en identifikator, er akkurat den typen avvik en reviewer, eller en revisjon i etterkant, kan oppdage. Fyll ut skjemaet ved å faktisk sjekke hva koden din gjør og hva privacy manifest-filen din oppgir, ikke ved å krysse av for det som virker enklest.

Og hva med GDPR?

Hvis appen din retter seg mot brukere i Europa, gjelder GDPR i tillegg til Apples krav. CNIL publiserer en guide for utviklere av mobilapper som går gjennom prinsippene: samle bare inn det som er nødvendig, informer tydelig, gi tilgang til og mulighet for sletting av data. Apples krav og GDPR overlapper i stor grad, men å oppfylle Apples krav betyr ikke automatisk at du oppfyller GDPR hvis appen behandler personopplysninger i vid forstand.

Hvis appen din er enkel, uten konto og uten innsamling av personopplysninger utover det iOS håndterer selv, kan personvernerklæringen være kort. Si det tydelig i stedet for å kopiere en lang tekst som ikke er relevant.

Et konkret eksempel: avslag knyttet til regel 5.1.1

I min erfaring med publisering har jeg fått avslag fra Apple fordi personvernerklæringen på nett ikke lenger var oppdatert, og fordi en funksjonsknapp ble vist før den forventede forespørselen om kameratilgang. Begge tilfellene faller inn under regel 5.1.1 om innsamling og lagring av data. Guiden om Apple-avslag etter regel 2.1 tar for seg en annen vanlig grunn, denne gangen knyttet til hva testeren faktisk kan gjøre i appen.

Lærdommen fra begge tilfellene: reviewer sammenligner det personvernerklæringen lover, det appen faktisk gjør og det du har oppgitt i skjemaet. Et avvik mellom disse tre er nok til å stoppe innsendingen, selv om resten er solid.

Slik skriver du din egen uten å finne på ting

For en første app, start med den faktiske listen over tjenester du bruker: innlogging, database, betaling, analyse, AI. For hver av dem, noter hva den mottar fra appen din og hvorfor. Den listen blir skjelettet i personvernerklæringen. Du trenger ikke en juridisk tekst på ti sider for en app med en enkel konto og et abonnement.

Hvis appen din er bygget med Expo, forklarer guiden om API-nøkler i en Expo-app hvor kallene til tredjepartstjenester bør ligge. Det hjelper deg også å vite nøyaktig hvilke data som går gjennom hvilke tjenester når du skriver personvernerklæringen.

Når teksten og personvernopplysningene er klare, går de inn i resten av innsendingen før den sendes til Apple: appside, skjermbilder, notater til testeren. Siden om å publisere en app på App Store går gjennom alle disse stegene, i den rekkefølgen App Store Connect ber om dem.

Neste steg: en innsending som er gjennomgått før den sendes

Jeg kan ikke garantere at Apple godkjenner appen din på første forsøk. Ingen kan ærlig love det. Det jeg kan hjelpe deg med, er å unngå avslag som kan unngås, inkludert de som gjelder personvernerklæringen. For å sjekke innsendingen før du sender den, samler Apple Review Kit sjekklisten min og Claude Code-skills som går gjennom prosjektet, paywallen og appsiden din.

Vil du ha en gratis liste først? Den gratis diagnosen sender deg sjekklisten min mot Apple-avslag, med personvernpunktene jeg sjekker før hver innsending.

Ofte stilte spørsmål

Hva er en personvernerklæring for en iOS-app?

Det er en tekst som ligger på en nettside, tilgjengelig via en lenke, og som beskriver hva appen din faktisk samler inn. Du oppgir URL-en til Apple i App Store Connect allerede når du oppretter appsiden. Det er ikke en generisk liste kopiert fra et annet sted: den må stemme med hvordan appen faktisk oppfører seg.

Er en personvernerklæring påkrevd for å publisere en iOS-app?

Ja, Apples retningslinjer krever en personvernerklæring for alle apper, uansett om appen har brukerkontoer eller ikke. Uten en tilgjengelig side blir innsendingen stoppet før reviewer i det hele tatt ser på den. Hvis appen er enkel, kan erklæringen være kort. Si tydelig hva du samler inn, eller at du ikke samler inn noe spesielt, i stedet for å kopiere en lang tekst som ikke er relevant.

Hva skal stå i personvernerklæringen til en app?

Fire punkter går igjen i de fleste tilfeller: dataene som samles inn, grunnen til hver innsamling, tredjepartene som er involvert og hvordan man sletter dataene sine. For dataene som samles inn, tenk på konto, e-post, innhold som lages og annonse-ID hvis du bruker det. En app som sender et bilde til en ekstern AI-tjeneste, må si det eksplisitt.

Hva er forskjellen på personvernerklæringen og personvernopplysningene (App Privacy)?

Erklæringen er en tekst som ligger på en nettside, tilgjengelig via en lenke. Opplysningene er et skjema du fyller ut i App Store Connect, under App Privacy, som lister opp dataene som samles inn og hva de brukes til, sortert etter kategori, og som så vises på den offentlige appsiden din. Begge må fortelle den samme historien: fyll ut skjemaet ved å sjekke hva koden din faktisk gjør.

Må jeg følge GDPR i tillegg til Apples regler?

Ja, hvis appen din retter seg mot brukere i Europa: GDPR gjelder i tillegg til Apples krav. De to overlapper i stor grad, men å oppfylle Apples krav er ikke automatisk nok hvis appen behandler personopplysninger i vid forstand. CNIL publiserer en guide for utviklere av mobilapper: samle bare inn det som er nødvendig, informer tydelig, gi tilgang og mulighet for sletting.

Kan Apple avslå en app på grunn av personvernerklæringen?

Ja, en erklæring som mangler, eller som ikke stemmer med hvordan appen faktisk oppfører seg, er en avslagsgrunn som kan unngås. Reviewer sammenligner det erklæringen lover, det appen gjør og det du har oppgitt i skjemaet. Et avvik mellom de tre er nok til å stoppe innsendingen. Jeg har selv fått avslag fordi personvernerklæringen på nett ikke lenger var oppdatert.