Integritetspolicy för app: guide för iOS

Varför Apple kräver en integritetspolicy

Så fort du skapar en sida i App Store Connect ber Apple dig om en URL till en integritetspolicy, och en support-URL som faktiskt svarar. Det är ingen dekorativ formalitet: App Review-riktlinjerna kräver att alla appar har en, oavsett om din app har användarkonton eller inte. Utan den sidan tillgänglig blockeras din inskickning redan innan granskaren tittar på den.

En integritetspolicy som saknas eller inte stämmer med hur appen faktiskt beter sig är en av de mest onödiga anledningarna till avslag. Det är också en av de första sakerna jag kollar när jag går igenom ett underlag innan det skickas till Apple.

Vad din integritetspolicy faktiskt måste innehålla

Texten ska beskriva vad din app verkligen samlar in, inte en generisk lista kopierad från någon annanstans. Fyra delar återkommer i de flesta fall:

Vilka data som samlas in. Konto, e-post, innehåll som skapas i appen, tekniska data som reklam-ID om du använder ett. Om du inte samlar in något särskilt, säg det också tydligt.

Anledningen till varje insamling. Varför du behöver just den datan för att appen ska fungera, inte en vag motivering.

Tredje parter som är inblandade. Om du använder en leverantör för inloggning, betalning, analys eller AI, nämn den vid namn. En app som skickar ett foto till en extern AI-tjänst måste till exempel säga det uttryckligen och, i de flesta fall, be om tillåtelse innan den skickar det.

Hur man raderar sina data. Apple kräver att en app med användarkonton erbjuder ett sätt att radera kontot direkt i appen, inte bara via e-post. Flödet ska vara lätt att hitta, inte gömt i en osannolik undermeny.

Skillnaden mellan integritetspolicyn och integritetsuppgifterna

Två olika saker blandas ofta ihop hos nybörjare. Integritetspolicyn är en text på en webbsida som man når via en länk. Integritetsuppgifterna är ett formulär du fyller i direkt i App Store Connect, under "App Privacy", som listar insamlade data per kategori och hur de används, och som sedan visas på din publika sida.

Båda måste berätta samma historia. En uppgift som säger "inga data samlas in" medan din app använder ett analys-SDK som samlar in ett ID är precis den sortens avvikelse som en granskare, eller en granskning i efterhand, kan upptäcka. Fyll i formuläret genom att faktiskt kontrollera vad din kod gör och vad ditt privacy manifest deklarerar, inte genom att kryssa i den ruta som verkar enklast.

Och GDPR då?

Om din app riktar sig till användare i Europa gäller GDPR utöver Apples krav. Franska CNIL publicerar en guide för utvecklare av mobilappar som går igenom principerna: samla bara in det som behövs, informera tydligt, ge möjlighet till åtkomst och radering av data. Apples krav och GDPR överlappar till stor del, men att uppfylla Apples krav räcker inte automatiskt för GDPR om din app behandlar personuppgifter i bred mening.

Om din app är enkel, utan konto och utan insamlade personuppgifter utöver det iOS hanterar självt, kan policyn vara kort: säg det tydligt i stället för att kopiera en lång text som inte är relevant.

Ett konkret exempel: avslag kopplade till regel 5.1.1

När jag har publicerat appar har jag fått avslag från Apple för en integritetspolicy online som inte längre var uppdaterad, och för en funktionsknapp som visades innan den förväntade frågan om kameraåtkomst. Båda fallen hör till regel 5.1.1 om insamling och lagring av data. Guiden avslag från Apple, regel 2.1 går igenom en annan vanlig anledning, som den här gången handlar om vad testaren faktiskt kan göra i appen.

Lärdomen från båda fallen: granskaren jämför vad din policy lovar, vad din app faktiskt gör och vad du har angett i formuläret. En avvikelse mellan de tre räcker för att blockera inskickningen, även om resten av underlaget är stabilt.

Så skriver du din egen utan att hitta på

För en första app, utgå från den faktiska listan över tjänster du använder: inloggning, databas, betalning, analys, AI. För varje tjänst, skriv ner vad den får från din app och varför. Den listan blir stommen i din policy: du behöver ingen juridisk text på tio sidor för en app med ett enkelt konto och en prenumeration.

Om din app är byggd med Expo förklarar guiden om API-nycklar i en Expo-app var du ska lägga anropen till tredjepartstjänster, vilket också hjälper dig att veta exakt vilka data som går genom vilka tjänster när du skriver din policy.

När texten och integritetsuppgifterna är klara hamnar de med resten av underlaget innan det skickas till Apple: sidan, skärmbilder, anteckningar till testaren. Sidan publicera en app på App Store går igenom alla de stegen, i den ordning App Store Connect frågar efter dem.

Nästa steg: ett underlag som granskats innan det skickas

Jag kan inte lova att Apple godkänner din app på första försöket, det kan ingen ärligt lova. Det jag kan hjälpa dig med är att undvika onödiga avslag, integritetspolicyn inräknad. För att kontrollera ditt underlag innan du skickar det samlar Apple Review Kit min checklista och Claude Code-skills som går igenom ditt projekt, din paywall och din sida.

Vill du hellre börja med en gratis lista? Den kostnadsfria diagnosen skickar dig min checklista mot avslag från Apple, med de integritetspunkter jag kollar före varje inskickning.

Vanliga frågor

Vad är en integritetspolicy för en iOS-app?

Det är en text på en webbsida, som man når via en länk, och som beskriver vad din app faktiskt samlar in. Du anger URL:en till Apple i App Store Connect redan när du skapar din sida. Det är ingen generisk lista kopierad från någon annanstans: den måste stämma med hur appen faktiskt beter sig.

Är en integritetspolicy obligatorisk för att publicera en iOS-app?

Ja, Apples riktlinjer kräver en integritetspolicy för alla appar, oavsett om din app har användarkonton eller inte. Utan den sidan tillgänglig blockeras din inskickning redan innan granskaren tittar på den. Om din app är enkel kan policyn vara kort. Säg tydligt vad du samlar in, eller att du inte samlar in något särskilt, i stället för att kopiera en lång text som inte är relevant.

Vad ska stå i en apps integritetspolicy?

Fyra delar återkommer i de flesta fall: vilka data som samlas in, anledningen till varje insamling, tredje parter som är inblandade och hur man raderar sina data. För insamlade data, tänk på konto, e-post, skapat innehåll och reklam-ID om du använder ett. En app som skickar ett foto till en extern AI-tjänst måste säga det uttryckligen.

Vad är skillnaden mellan integritetspolicyn och integritetsuppgifterna (App Privacy)?

Policyn är en text på en webbsida som man når via en länk. Uppgifterna är ett formulär du fyller i i App Store Connect, under App Privacy, som listar insamlade data per kategori och hur de används, och som sedan visas på din publika sida. Båda måste berätta samma historia: fyll i formuläret genom att kontrollera vad din kod faktiskt gör.

Måste man följa GDPR utöver Apples regler?

Ja, om din app riktar sig till användare i Europa: GDPR gäller utöver Apples krav. De överlappar till stor del, men att uppfylla Apples krav räcker inte automatiskt om din app behandlar personuppgifter i bred mening. Franska CNIL publicerar en guide för utvecklare av mobilappar: samla bara in det som behövs, informera tydligt, ge möjlighet till åtkomst och radering.

Kan Apple avslå en app på grund av dess integritetspolicy?

Ja, en policy som saknas, eller som inte stämmer med hur appen faktiskt beter sig, är en onödig anledning till avslag. Granskaren jämför vad din policy lovar, vad din app gör och vad du har angett i formuläret. En avvikelse mellan de tre räcker för att blockera inskickningen. Jag har själv fått avslag för en policy online som inte längre var uppdaterad.