Zásady ochrany osobných údajov pre iOS aplikáciu: návod

Prečo Apple vyžaduje zásady ochrany osobných údajov

Hneď ako vytvoríš záznam aplikácie v App Store Connect, Apple od teba chce URL zásad ochrany osobných údajov (Privacy Policy URL) a URL podpory, ktorá naozaj funguje. Nie je to len ozdobná formalita: App Review guidelines vyžadujú, aby ich mala každá aplikácia, či už má používateľský účet, alebo nie. Bez dostupnej stránky sa tvoje odoslanie zasekne ešte predtým, než sa naň reviewer vôbec pozrie.

Chýbajúce zásady alebo zásady, ktoré nesedia so skutočným správaním aplikácie, patria medzi najľahšie odvrátiteľné dôvody zamietnutia. Je to tiež jedna z prvých vecí, ktoré kontrolujem, keď prechádzam podklady pred odoslaním Applu.

Čo musia tvoje zásady ochrany osobných údajov naozaj obsahovať

Text musí popisovať, čo tvoja aplikácia skutočne zbiera, nie všeobecný zoznam skopírovaný odinakiaľ. Vo väčšine prípadov sa opakujú štyri veci:

Zbierané údaje. Účet, e-mail, obsah vytvorený v aplikácii, technické údaje ako reklamný identifikátor, ak nejaký používaš. Ak nezbieraš nič zvláštne, povedz to tiež jasne.

Dôvod každého zberu. Prečo daný údaj potrebuješ na fungovanie aplikácie, žiadne vágne zdôvodnenie.

Zapojené tretie strany. Ak používaš poskytovateľa prihlasovania, platieb, analytiky alebo AI, uveď ho menom. Napríklad aplikácia, ktorá posiela fotku externej AI službe, to musí výslovne uviesť a väčšinou aj požiadať o súhlas pred odoslaním.

Ako vymazať svoje údaje. Apple vyžaduje, aby aplikácia s používateľským účtom ponúkala spôsob, ako tento účet vymazať priamo v aplikácii, nielen cez e-mail. Postup musí byť ľahko dostupný, nie schovaný v nejakom nepravdepodobnom podmenu.

Rozdiel medzi zásadami a deklaráciami ochrany súkromia

Začiatočníkom sa často pletú dve odlišné veci. Zásady ochrany osobných údajov sú text na webovej stránke, dostupný cez odkaz. Deklarácie ochrany súkromia sú formulár, ktorý vypĺňaš priamo v App Store Connect v sekcii "App Privacy". Podľa kategórií v ňom uvádzaš zbierané údaje a ich využitie a potom sa zobrazí na tvojej verejnej stránke v App Store.

Oboje musí rozprávať ten istý príbeh. Deklarácia "žiadne zbierané údaje", keď tvoja aplikácia používa analytické SDK, ktoré zbiera identifikátor, je presne ten nesúlad, ktorý si reviewer, alebo neskorší audit, môže všimnúť. Formulár vypĺňaj tak, že naozaj overíš, čo robí tvoj kód a čo deklaruje tvoj privacy manifest, nie zaškrtnutím políčka, ktoré sa zdá najjednoduchšie.

A čo GDPR?

Ak tvoja aplikácia cieli na používateľov v Európe, GDPR platí popri požiadavkách Applu. Francúzsky úrad CNIL vydáva príručku pre vývojárov mobilných aplikácií, ktorá rozpisuje princípy: zbierať len to, čo je nutné, jasne informovať, umožniť prístup k údajom a ich vymazanie. Požiadavky Applu a GDPR sa vo veľkom prekrývajú, ale splnenie požiadaviek Applu automaticky neznamená splnenie GDPR, ak tvoja aplikácia spracúva osobné údaje v širšom zmysle.

Ak je tvoja aplikácia jednoduchá, bez účtu a bez zbierania osobných údajov nad rámec toho, čo natívne rieši iOS, tvoje zásady môžu byť krátke: povedz to jasne, namiesto kopírovania dlhého textu, ktorý sa ťa netýka.

Konkrétny prípad: zamietnutia podľa pravidla 5.1.1

Pri publikovaní som dostal zamietnutie od Applu kvôli zásadám ochrany osobných údajov online, ktoré už neboli aktuálne, a kvôli tlačidlu funkcie zobrazenému pred očakávanou žiadosťou o povolenie kamery. Oba prípady spadajú pod pravidlo 5.1.1 o zbere a ukladaní údajov. Návod zamietnutie od Applu, pravidlo 2.1 rozoberá ďalší častý dôvod, tentoraz spojený s tým, čo tester v aplikácii naozaj dokáže urobiť.

Spoločné poučenie z oboch prípadov: reviewer porovnáva, čo sľubujú tvoje zásady, čo tvoja aplikácia naozaj robí a čo si uviedol vo formulári. Nesúlad medzi týmito tromi vecami stačí na zablokovanie odoslania, aj keď sú ostatné podklady v poriadku.

Ako napísať vlastné zásady bez vymýšľania

Pri prvej aplikácii vychádzaj zo skutočného zoznamu služieb, ktoré používaš: prihlasovanie, databáza, platby, analytika, AI. Pri každej si zapíš, čo z tvojej aplikácie dostáva a prečo. Tento zoznam sa stane kostrou tvojich zásad: na aplikáciu s jednoduchým účtom a predplatným nepotrebuješ desaťstranový právnický text.

Ak staviaš aplikáciu v Expo, návod o API kľúčoch v Expo aplikácii vysvetľuje, kam umiestniť volania služieb tretích strán. To ti pri písaní zásad pomôže aj presne vedieť, ktoré údaje idú cez ktoré služby.

Keď máš tento text aj deklarácie ochrany súkromia hotové, pridajú sa k zvyšku podkladov pred odoslaním Applu: stránka v App Store, screenshoty, poznámky pre testera. Stránka publikovanie aplikácie na App Store rozpisuje všetky tieto kroky v poradí, v akom ich App Store Connect vyžaduje.

Ďalší krok: podklady skontrolované pred odoslaním

Nemôžem ti zaručiť, že Apple tvoju aplikáciu schváli na prvý pokus, úprimne to nemôže nikto. S čím ti pomôcť môžem, je vyhnúť sa zamietnutiam, ktorým sa vyhnúť dá, vrátane zásad ochrany osobných údajov. Na kontrolu podkladov pred odoslaním je tu Apple Review Kit: obsahuje môj checklist a Claude Code skills, ktoré prejdú tvoj projekt, paywall aj stránku v App Store.

Chceš najprv zoznam zadarmo? Bezplatná diagnostika ti pošle môj checklist proti zamietnutiu od Applu, vrátane bodov o ochrane súkromia, ktoré kontrolujem pred každým odoslaním.

Často kladené otázky

Čo sú zásady ochrany osobných údajov pre iOS aplikáciu?

Je to text na webovej stránke, dostupný cez odkaz, ktorý popisuje, čo tvoja aplikácia skutočne zbiera. Jeho URL zadáš Applu v App Store Connect hneď pri vytváraní záznamu aplikácie. Nie je to všeobecný zoznam skopírovaný odinakiaľ: musí zodpovedať skutočnému správaniu aplikácie.

Sú zásady ochrany osobných údajov povinné na zverejnenie iOS aplikácie?

Áno, pravidlá Applu vyžadujú zásady ochrany osobných údajov pre každú aplikáciu, či má používateľský účet, alebo nie. Bez dostupnej stránky sa tvoje odoslanie zasekne ešte pred kontrolou reviewerom. Ak je tvoja aplikácia jednoduchá, zásady môžu byť krátke. Jasne povedz, čo zbieraš, alebo že nezbieraš nič zvláštne, namiesto kopírovania dlhého textu, ktorý sa ťa netýka.

Čo dať do zásad ochrany osobných údajov aplikácie?

Vo väčšine prípadov sa opakujú štyri veci: zbierané údaje, dôvod každého zberu, zapojené tretie strany a spôsob, ako vymazať svoje údaje. Pri zbieraných údajoch mysli na účet, e-mail, vytvorený obsah a reklamný identifikátor, ak nejaký používaš. Aplikácia, ktorá posiela fotku externej AI službe, to musí výslovne uviesť.

Aký je rozdiel medzi zásadami ochrany osobných údajov a deklaráciami ochrany súkromia (App Privacy)?

Zásady sú text na webovej stránke, dostupný cez odkaz. Deklarácie sú formulár vyplnený v App Store Connect v sekcii App Privacy, ktorý podľa kategórií uvádza zbierané údaje a ich využitie a potom sa zobrazí na tvojej verejnej stránke v App Store. Oboje musí rozprávať ten istý príbeh: formulár vypĺňaj tak, že overíš, čo tvoj kód naozaj robí.

Treba popri pravidlách Applu dodržiavať aj GDPR?

Áno, ak tvoja aplikácia cieli na používateľov v Európe: GDPR platí popri požiadavkách Applu. Vo veľkom sa prekrývajú, ale splnenie požiadaviek Applu automaticky nestačí, ak tvoja aplikácia spracúva osobné údaje v širšom zmysle. Francúzsky úrad CNIL vydáva príručku pre vývojárov mobilných aplikácií: zbierať len to, čo je nutné, jasne informovať, umožniť prístup a vymazanie.

Môže Apple zamietnuť aplikáciu kvôli zásadám ochrany osobných údajov?

Áno, chýbajúce zásady alebo zásady, ktoré nezodpovedajú skutočnému správaniu aplikácie, sú odvrátiteľným dôvodom zamietnutia. Reviewer porovnáva, čo sľubujú tvoje zásady, čo tvoja aplikácia robí a čo si uviedol vo formulári. Nesúlad medzi týmito tromi vecami stačí na zablokovanie odoslania. Ja som dostal zamietnutie kvôli zásadám online, ktoré už neboli aktuálne.