App Store Connect App Privacy: SDK'lar için ne beyan edilir

App Privacy, App Store Connect'te uygulama sayfandaki gizlilik etiketlerini oluşturan bölümdür. Burada uygulamanın ve içine eklediğin SDK'ların topladığı her veri türünü beyan edersin: ne için kullanıldığını, kullanıcıya bağlı olup olmadığını, takip için kullanılıp kullanılmadığını. Yanıtların yayınlanmadığı sürece App Store Connect sürümünü bir gönderime eklemeyi reddeder.

Yanıtlar istediğin zaman, build gerekmeden düzeltilebilir. İşin en zor kısmı RevenueCat, Sentry, PostHog, Supabase, AppsFlyer, Meta ya da Expo bildirimleri için ne beyan edeceğini bilmek. Aşağıdaki tablo her SDK'nın dokümantasyonuna ve içinde gelen manifest dosyalarına dayanıyor, hepsini 15 Ekim 2026'da yeniden okudum.

Kendi iOS uygulamalarımı Expo ve bu SDK'larla yayınlıyorum. Bu rehber Apple'ın ne istediğini ve benim ne uyguladığımı anlatıyor. Hukuki danışmanlığın yerini tutmaz.

App Privacy, politika ve manifest: üç farklı şey

• Gizlilik politikası, adresini verdiğin bir web sayfasıdır. Yöntem iOS uygulaması için gizlilik politikası yazısında.
• Gizlilik manifesti, build'in içine gömülen bir PrivacyInfo.xcprivacy dosyasıdır. Ayrıntıları ITMS-91053 rehberinde.
• App Privacy, App Store Connect'teki ankettir. Uygulama sayfanda üç blok halinde görünür: seni takip etmek için kullanılan veriler, sana bağlı veriler, sana bağlı olmayan veriler.

Üçü de aynı hikâyeyi anlatmalı. Apple'ın App Privacy Details sayfası, bu bilgilerin bir uygulamayı ve güncellemelerini göndermek için zorunlu olduğunu ve üçüncü taraf iş ortaklarını da kapsadığını belirtiyor: analiz araçları, reklam ağları, SDK'lar ve kodunu eklediğin sağlayıcılar.

App Privacy'yi adım adım doldurmak

App Store Connect yardım sayfası aşağıdaki adımları ayrıntılı anlatıyor.

Anketi doldurmak için rolünün Account Holder, Admin ya da App Manager olması gerekir.

1. Apps bölümünde uygulamanı aç, sonra kenar çubuğunda App Privacy'ye gir.
2. Get Started'a tıkla.
3. İlk soruyu yanıtla: sen ya da iş ortakların veri topluyor musunuz? Yanıt hayırsa "No, we do not collect data from this app" seçeneğini seç ve kaydet. Bu kadar.
4. Değilse, kodunun ya da SDK'larının topladığı tüm veri türlerini işaretle.
5. Her tür için üç soruyu yanıtla: kullanım amaçları, kullanıcıya bağlılık, takip.
6. Sayfa önizlemesini (Product Page Preview) kontrol et, Publish'e tıkla ve onayla.

Uygulaman zaten yayındaysa Apple, yanıtların yayındaki sürümün verilerini anlatmasını istiyor.

Göndermeden önce yayınla. Eylül 2026'da Piaf'ta sürümü gönderime ekleme işlemi şu mesajla başarısız oldu: "You must have published answers to your app's data usages." Bu formu App Store Connect'in herkese açık API'siyle doldurmanın bir yolunu bulamadım. O yüzden her şeyden önce web arayüzünden dolduruyorum.

Her veri için sorulan üç soru

Toplamak ne demek

Apple için toplamak, bir veriyi cihazın dışına göndermek ve ona isteği yanıtlamak için gereken süreden daha uzun süre erişebilmek demek. Yani:

• yalnızca iPhone üzerinde işlenen bir veri toplanmış sayılmaz;
• gönderilip hemen atılan bir token ya da IP adresi de sayılmaz;
• yalnızca uygulamanın çalışması için toplanan bir veri yine de bu kullanım amacıyla beyan edilmelidir.

Kullanım amaçları

Apple altı kullanım amacı sunuyor: üçüncü taraf reklamcılık, geliştiricinin kendi reklamı ya da pazarlaması, analiz, ürün kişiselleştirme, uygulama işlevselliği ve diğer amaçlar. Aynı veri birden fazlasını işaretleyebilir: hem giriş için hem de uygulamayı kişiselleştirmek için kullanılan bir e-posta, işlevsellik ve kişiselleştirmeyi işaretler.

Kullanıcıya bağlı

Bir veri, kişinin kimliğine hesabı, cihazı ya da başka bir yolla bağlandığında bağlıdır. Apple çoğu zaman bağlı olduğunu belirtiyor, meğer ki veriyi toplamadan önce anonimleştirmiş ve sonradan hiçbir zaman ilişkilendirmeye çalışmıyor ol. Hesap kimliğini bir SDK'ya verdiğin anda (identify, setUser, logIn) o SDK'nın verileri bağlı hale gelir.

Takip

Takip, uygulamanın verilerini başka şirketlerin uygulama ya da sitelerinden gelen verilerle hedefli reklamcılık veya reklam ölçümü için ilişkilendirmektir. Verileri bir veri simsarıyla paylaşmak da takip sayılır. Verilerini reklam için başka uygulamaların verileriyle birleştiren bir SDK, sen bunu o amaçla kullanmasan bile takip sayılır.

Takibe "evet" demenin iki sonucu var: 5.1.2 yönergesinde anlatılan, her türlü takipten önce App Tracking Transparency izni istemek ve takibi alan adlarıyla birlikte beyan eden bir manifest: bu alan adları olmadan ITMS-91064 hatasını alırsın.

Bir Expo uygulamasında SDK'lar için ne beyan edilir

Bu tablo her SDK'nın varsayılan yapılandırmasına dayanıyor. Onlara daha fazlasını gönderdiğin anda, e-posta, hesap kimliği ya da kendi olaylarını, daha fazlasını beyan edersin.

SDK	Beyan edilecek veriler	Takip	Kaynak
RevenueCat	Satın alma geçmişi	Hayır	RevenueCat dokümanı
Sentry	Çökmeler, performans	Hayır	Doküman ve manifest
PostHog	Uygulamayla etkileşimler	Hayır	PostHog iOS manifesti
Supabase Auth	E-posta, kullanıcı kimliği	Hayır	Doküman bulunamadı
AppsFlyer	Cihaz kimliği, etkileşimler	Evet, cihaz kimliği	AppsFlyer manifesti
Meta SDK	Cihaz kimliği, çökmeler	Evet, cihaz kimliği	Meta dokümanı ve manifesti
Expo Notifications	Cihaz kimliği (push token)	Hayır	Doküman bulunamadı

RevenueCat

App Privacy dokümanı satın alma geçmişini, her RevenueCat kullanıcısının işaretlemesi gereken iki kullanım amacıyla beyan etmeni istiyor: analiz ve uygulama işlevselliği. Bağlı mı: kimliklerin anonimse hayır, RevenueCat kullanıcı kimliğin bir e-postayla ilişkilendirilebiliyorsa evet. Kendi kimliğini veriyorsan kullanıcı kimliğini, e-postayı öznitelik olarak gönderiyorsan iletişim bilgilerini de ekle. SDK'nın manifesti yalnızca işlevselliği anıyor: daha eksiksiz olan dokümanı takip et. Entegrasyon uygulama içi abonelikler için RevenueCat yazısında.

Sentry

Mobil gizlilik sayfası açıkça söylüyor: Sentry beyan edilmesi gereken bir iş ortağıdır, standart kullanım amaçları analiz ve uygulama işlevselliğidir, takip yapmaz ve reklam kimliğine ihtiyaç duymaz. Manifesti çökme verilerini, performans verilerini ve diğer tanılama verilerini bağlı olmayan olarak beyan ediyor. Raporlara Sentry.setUser ile hesap kimliğini eklersen bağlı hale gelirler.

PostHog

PostHog'un yayınladığı bir App Privacy önerisi bulamadım. iOS SDK'sının manifesti uygulamayla etkileşimi ve diğer kullanım verilerini analiz amacıyla, bağlı olmayan ve takipsiz olarak beyan ediyor. React Native için dokümanı, uygulama yaşam döngüsünün varsayılan olarak yakalandığını, React Navigation 6 veya daha eski sürümlerde görüntülenen ekranların da yakalandığını, identify'ın geçmiş olayları kullanıcıya bağladığını ve disableGeoip kullanılmadıkça IP'den çıkarılan bir konumun eklendiğini belirtiyor. Bence bu konumu tutuyorsan yaklaşık konum beyan et.

Supabase Auth

Bildiğim kadarıyla Supabase bir App Privacy önerisi yayınlamıyor. Apple'ın tanımlarına göre e-postayla giriş, e-posta adresini ve kullanıcı kimliğini uygulama işlevselliği amacıyla, bağlı olarak beyan etmeni gerektirir. Denetim günlükleri her girişin IP adresini de kaydediyor: Apple saklanan bir IP'yi onu ne için kullandığına göre beyan etmeni istiyor. Tablolarına koyduğun her şey de sayılır: içerikler, fotoğraflar, geçmiş.

AppsFlyer ve Meta

İki manifest de cihaz kimliğini takip için, üçüncü taraf reklamcılık amacıyla kullanılan veri olarak beyan ediyor. AppsFlyer manifesti buna analiz amacıyla uygulamayla etkileşimi ekliyor. Meta manifesti çökme verilerini ve diğer verileri ekliyor. Meta'nın iOS dokümanı, manifestinin yalnızca varsayılan toplamayı kapsadığını belirtiyor: fazladan veriler senin beyan etmen gereken veriler olarak kalıyor.

Temmuz 2026'da TradaZen'e AppsFlyer'ı bağlarken cihaz kimliğini üçüncü taraf reklamcılık ve analiz amacıyla, takip için kullanılan veri olarak ekledim. Uygulama sayfasında "Seni takip etmek için kullanılan veriler" bloğu belirdi. AppsFlyer'lı ilk build ise işleme sırasında reddedildi: uygulamanın manifesti takibi alan adları olmadan beyan ediyordu.

Expo Notifications

Expo'nun yayınladığı bir öneri bulamadım ve expo-notifications manifesti toplanan hiçbir veri beyan etmiyor. Ama sunucunda sakladığın push token, uygulaman için cihazı tanımlıyor. Benim temkinli yorumum: cihaz kimliği, uygulama işlevselliği amacıyla, hesapla birlikte saklıyorsan bağlı, takipsiz. Bu Apple'ın yazılı bir kuralı değil.

Yöntemim: her şeyi hizalamak için tek bir liste

Ankete dokunmadan önce yayındaki politikayı yeniden okuyorum. TradaZen'inki giriş e-postasını, aboneliği, bildirim token'ını, kullanım istatistiklerini, hata raporlarını ve onaya bağlı reklam atıflandırmasını anıyor.

Politikadaki her satır App Privacy'de bir türe dönüşüyor. Veri gönderen bir SDK ya da özellik eklediğimde politikayı, App Privacy'yi ve manifesti aynı gün güncelliyorum.

Kontrol etmek için yukarıda andığım ITMS-91053 rehberindeki komutla gömülü manifestleri listele. Bir Mac ve Xcode ile gizlilik raporu hepsini bir araya getiriyor: Product, sonra Archive, sonra organizer'da Generate Privacy Report. Apple bunu App Store Connect'i doldurmaya yardımcı bir araç olarak sunuyor.

App Privacy'yi build olmadan güncellemek

Apple açıkça yazıyor: yanıtlarını istediğin zaman, uygulamayı güncellemeden değiştirebilirsin. Gizlilik politikanın adresi ise ancak bir sonraki sürümünle değişir, App Store Connect yardım sayfasına göre.

Bir SDK eklediğinde, mevcut bir araca hesap kimliğini verdiğinde ya da bir özellik yeni bir veri türü gönderdiğinde App Privacy'yi güncelle. Yalnızca bu beyanlarla ilgili bir ret, 5.1.1 yönergesinde olduğu gibi çevrimiçi düzeltilir.

Dosyanı Apple'dan önce kontrol et

Review Kit, gönderim öncesi kontrol listemi, düzelttiğim retleri ve projeni ve uygulama sayfanı inceleyip Apple reddederse yanıtını hazırlayan iki Claude Code skill'ini bir araya getiriyor.

Hâlâ neyin engel olduğunu öğrenmek mi istiyorsun? Ücretsiz teşhis sana Apple reddine karşı kontrol listemi gönderir. Yayına alma sürecinin tamamı için App Store'da uygulama yayınlamak yazısını oku.

Sık sorulan sorular

App Store Connect'te App Privacy nedir?

Uygulamanın App Store sayfasındaki gizlilik etiketlerini oluşturan ankettir: uygulamanın ve SDK'larının topladığı veriler, kullanım amaçları, kullanıcıya bağlılık ve takip. Bir uygulamayı ve güncellemelerini göndermek için zorunludur.

App Privacy'yi değiştirmek için yeni bir build gerekir mi?

Hayır. Apple, yanıtlarını istediğin zaman, uygulamayı güncellemeden değiştirebileceğini belirtiyor: düzenlersin, sonra Publish'e tıklarsın. Yalnızca gizlilik politikasının adresi bir sonraki sürümü bekler.

App Privacy'de RevenueCat için ne beyan edilir?

RevenueCat dokümanına göre satın alma geçmişi, analiz ve uygulama işlevselliği kullanım amaçlarıyla. Kendi kimliğini veriyorsan kullanıcı kimliğini, e-postayı öznitelik olarak gönderiyorsan iletişim bilgilerini de ekle.

Sentry ve PostHog, Apple'ın tanımına göre takip yapıyor mu?

Hayır, varsayılan yapılandırmalarında yapmıyor. Sentry, verilerini kullanıcıları takip etmek için kullanmadığını yazıyor, PostHog'un iOS manifesti de hiçbir takip beyan etmiyor. Ancak onlara hesap kimliğini verdiğin anda verileri bağlı hale gelir.

Sürümümü neden gönderime ekleyemiyorum?

Çoğu zaman App Privacy yayınlanmadığı için. App Store Connect bu durumda "You must have published answers to your app's data usages" mesajını gösterir. Yanıtlarını yayınla, sonra sürümü ekle.