# iOS App 隐私政策怎么写：苹果上架要求

> 苹果要求每个 App 都提供隐私政策 URL 和支持 URL，并与 App Privacy 声明一致。

原始页面：[iOS App 隐私政策怎么写：苹果上架要求](https://devoria.fr/zh-hans/blog/ios-app-privacy-policy-guide)
作者：[Mehdi Azizi](https://devoria.fr/zh-hans/mehdi-azizi)
发布：2026-10-01
内容最后修订：2026-10-09


## 为什么苹果要求隐私政策

你在 App Store Connect 里创建 App 页面时，苹果就会要求你填一个隐私政策 URL，还有一个真正能打开的支持 URL。这不是走过场：[App Review 指南](https://developer.apple.com/app-store/review/guidelines/)规定所有 App 都必须有隐私政策，不管你的 App 有没有用户账号。这个页面打不开的话，你的提交在审核员看之前就会被卡住。

隐私政策缺失，或者内容和 App 的实际行为对不上，是最容易避免的被拒原因之一。这也是我在把材料提交给苹果之前，最先检查的几项之一。

## 隐私政策到底要写什么

内容要描述你的 App 实际收集了什么，而不是从别处抄来的通用清单。大多数情况下有四项内容：

**收集的数据。**账号、邮箱、用户在 App 里创建的内容，还有技术数据，比如广告标识符（如果你用了的话）。如果你没收集什么特别的数据，也要明确写出来。

**每项收集的理由。**为什么 App 运行需要这项数据，不要写含糊的理由。

**涉及的第三方。**如果你用了身份验证服务、支付、分析或 AI 服务，要写出名字。比如一个把照片发给外部 AI 服务的 App，必须明确说明，而且大多数情况下要[在发送前请求授权](https://devoria.fr/zh-hans/blog/guideline-5-1-2-third-party-ai-att-data-sharing)。

**如何删除数据。**苹果要求有用户账号的 App 提供在 App 内删除账号的方式，不能只靠发邮件。这个流程要容易找到，不能藏在一个谁都想不到的子菜单里。

## 隐私政策和隐私声明的区别

新手经常把这两样东西搞混。隐私政策是放在网页上的一段文字，通过链接访问。隐私声明则是直接在 App Store Connect 的“App Privacy”部分填写的表单，按类别列出收集的数据及其用途，之后会显示在你的公开 App 页面上。

两者说的必须是同一件事。如果声明里写“不收集任何数据”，而你的 App 却用了一个会收集标识符的分析 SDK，这种差异审核员或事后审计都可能发现。填这个表单时，要真正核对你的代码在做什么、你的 [privacy manifest](https://devoria.fr/zh-hans/blog/itms-91053-missing-api-declaration-expo) 里声明了什么，而不是勾选看起来最省事的选项。

## 那 GDPR 呢？

如果你的 App 面向欧洲用户，除了苹果的要求，GDPR 也同样适用。法国数据保护机构 [CNIL 发布了一份面向移动应用开发者的指南](https://www.cnil.fr/fr/applications-mobiles-les-bonnes-pratiques)，详细说明了原则：只收集必要的数据，清楚告知用户，允许访问和删除数据。苹果的要求和 GDPR 大部分重合，但如果你的 App 处理广义上的个人数据，满足了苹果并不自动等于满足了 GDPR。

如果你的 App 很简单，没有账号，除了 iOS 原生处理的部分之外也不收集个人数据，隐私政策可以很短：把这一点写清楚，别去抄一大段不相干的文字。

## 一个实际案例：与 5.1.1 条相关的被拒

在我发布 App 的经历中，我被苹果拒过：一次是线上的隐私政策没有及时更新，一次是某个功能按钮在预期的相机授权请求之前就显示了。这两种情况都属于关于数据收集与存储的 [5.1.1 条](https://developer.apple.com/app-store/review/guidelines/#data-collection-and-storage)。[苹果拒审 2.1 条](https://devoria.fr/zh-hans/blog/app-store-guideline-2-1-rejection-fix)这篇指南讲了另一个常见原因，这次涉及测试人员在 App 里实际能做什么。

两个案例的共同教训：审核员会对比你的隐私政策承诺了什么、你的 App 实际做了什么、你在表单里声明了什么。三者之间只要有一处不一致，就足以卡住提交，哪怕其他材料都没问题。

## 怎么写你自己的隐私政策，不用凭空编

对于第一个 App，从你实际使用的服务清单开始：身份验证、数据库、支付、分析、AI。逐个写下它从你的 App 收到了什么、为什么。这份清单就是你隐私政策的骨架：一个只有简单账号和一个订阅的 App，不需要十页的法律文本。

如果你的 App 是用 Expo 构建的，[Expo App 中的 API 密钥](https://devoria.fr/zh-hans/blog/expo-api-secret-key-security)这篇指南讲了第三方服务调用该放在哪里，这也能帮你在写隐私政策时准确知道哪些数据经过了哪些服务。

隐私政策和隐私声明准备好之后，就和其他材料一起提交给苹果：App 页面、截图、给测试人员的备注。[在 App Store 发布应用](https://devoria.fr/zh-hans/expertise/publish-an-app-on-the-app-store)这个页面按 App Store Connect 要求的顺序详细介绍了所有这些步骤。

## 下一步：提交前检查一遍材料

我没法保证苹果第一次就通过你的 App，老实说谁都保证不了。我能帮你做的，是避开那些本可以避免的被拒，包括隐私政策。想在提交前检查材料，[Apple Review Kit](https://devoria.fr/zh-hans/kits/review-apple) 收录了我的检查清单，还有一些 Claude Code skills，可以帮你检查项目、付费墙和 App 页面。

想先要一份免费清单？[免费诊断](https://devoria.fr/zh-hans/diagnostic)会把我的防苹果拒审检查清单发给你，里面包括我每次提交前都会核对的隐私要点。

## 常见问题

### iOS App 的隐私政策是什么？

它是放在网页上、通过链接访问的一段文字，描述你的 App 实际收集了什么。你在 App Store Connect 创建 App 页面时就要把它的 URL 提供给苹果。它不是从别处抄来的通用清单：必须和 App 的实际行为一致。

### 发布 iOS App 必须有隐私政策吗？

是的，苹果的指南要求所有 App 都提供隐私政策，不管有没有用户账号。这个页面打不开的话，你的提交在审核员看之前就会被卡住。如果 App 很简单，隐私政策可以很短。清楚写明你收集了什么，或者没收集什么特别的数据，而不是抄一大段不相干的文字。

### App 的隐私政策里要写什么？

大多数情况下有四项：收集的数据、每项收集的理由、涉及的第三方，以及删除数据的方式。收集的数据方面，想想账号、邮箱、用户创建的内容，以及广告标识符（如果用了的话）。把照片发给外部 AI 服务的 App 必须明确说明。

### 隐私政策和隐私声明（App Privacy）有什么区别？

隐私政策是放在网页上、通过链接访问的一段文字。隐私声明是在 App Store Connect 的 App Privacy 部分填写的表单，按类别列出收集的数据及其用途，然后显示在你的公开 App 页面上。两者说的必须是同一件事：填表时要核对你的代码实际在做什么。

### 除了苹果的规则，还要遵守 GDPR 吗？

要，如果你的 App 面向欧洲用户：GDPR 在苹果的要求之外同样适用。两者大部分重合，但如果你的 App 处理广义上的个人数据，满足苹果并不自动等于满足 GDPR。法国 CNIL 发布了一份面向移动应用开发者的指南：只收集必要的数据，清楚告知，允许访问和删除。

### 苹果会因为隐私政策拒绝 App 吗？

会，隐私政策缺失，或者和 App 的实际行为不符，都是可以避免的被拒原因。审核员会对比你的隐私政策承诺了什么、App 做了什么、你在表单里声明了什么。三者之间有一处不一致就足以卡住提交。我就因为线上隐私政策没有及时更新被拒过。


## 你的项目

[Apple Review Kit](https://devoria.fr/zh-hans/kits/review-apple)：我在用的 App Store 审核检查清单、我被 Apple 拒绝后的修改、给审核员的备注，以及两个审查你 App 的 Claude Code skills。29 €。

[iOS Kit](https://devoria.fr/zh-hans/kits/ios)：用 Claude Code 做你的 iPhone App：我自己 App 的起步代码、检查其工作的 skills，以及 Apple Review Kit、App Store Screenshots Kit 和 ASO Kit。129,99 €。