Cuando tu formulario de Data safety y tu política de privacidad no coinciden

Tu formulario de Data safety y tu política de privacidad son dos descripciones de la misma app, y las tiendas las leen juntas. Cuando no coinciden, el problema es el desacuerdo, no cuál de las dos resulta ser la incorrecta. Google Play lo dice claramente: “When Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action.” (Traducción: «Cuando Google detecta una discrepancia entre el comportamiento de tu app y tu declaración, podemos tomar las medidas adecuadas, incluidas medidas de cumplimiento».)

Apple tiene la misma estructura con otros nombres: los detalles de App Privacy en la página de tu producto, más la URL obligatoria de la política de privacidad.

Esta página trata de mantener ambas alineadas, y de la tercera cosa con la que se comparan las dos: lo que tu app hace realmente.

Los dos documentos, en resumen

El formulario de Data safety (Play Console → App content) y los detalles de App Privacy (App Store Connect) son declaraciones estructuradas: casillas y categorías que se muestran en tu ficha de la tienda como un resumen que el usuario lee antes de instalar. Son respuestas a un cuestionario fijo.

La política de privacidad es texto en prosa en una URL que tú alojas. Dice lo mismo en frases, más lo que un cuestionario no puede recoger: tu base legal, la conservación de datos, a quién contactar, cómo pedir la eliminación.

Ninguno sustituye al otro. Una política no rellena el formulario, y un formulario completo no significa que tu política sea exacta.

Dónde se separan

Se escriben con meses de diferencia. La política se escribe la semana del lanzamiento. El formulario se rellena el día del envío, por alguien que lee una lista de dependencias, y nadie vuelve a la política.

Llega un SDK nuevo. Añades un reportador de fallos en un sprint. Nada sobre la política ni sobre el formulario aparece en el pull request, así que ninguno cambia. Google Play es explícito en que esto cuenta: la recopilación de datos “includes data collected and handled through any third-party libraries or SDKs used in their apps… You must reflect data collection or sharing carried out by such third-party code in the Data safety form for your app.” (Traducción: «incluye los datos recopilados y tratados mediante cualquier biblioteca o SDK de terceros que se use en sus apps… Debes reflejar en el formulario de Data safety de tu app la recopilación o el uso compartido de datos que realice ese código de terceros».) Apple pide lo mismo: “You need to identify all of the data you or your third-party partners collect.” (Traducción: «Debes identificar todos los datos que recopilas tú o tus socios externos».)

Se publica una función sin su declaración. La ubicación para una función de “buscar cerca”, un sistema de referidos que comparte un id de usuario con un socio. El trabajo de ingeniería se ve; el trabajo de declaración no está en el tablero de nadie.

Se usó una plantilla para uno de los dos. Una política generada que menciona identificadores publicitarios en una app sin anuncios es tan incoherente como una omisión, y es la más fácil de detectar, porque contradice un formulario que rellenaste con honestidad.

Conciliarlos, en el único orden que funciona

Empieza por la app, no por ninguno de los dos documentos. Ambos deben describirla, así que corregir uno usando el otro solo mueve el error de sitio.

1. Abre tus archivos de dependencias: build.gradle/libs.versions.toml, Podfile/Package.swift, pubspec.yaml, package.json. Enumera cada SDK de terceros.
2. Para cada uno, anota qué envía. Un reportador de fallos envía identificadores del dispositivo y trazas de pila. Un SDK de analítica envía eventos y a menudo un id de publicidad. Un SDK de anuncios envía bastante más. Una biblioteca de notificaciones push registra un token del dispositivo. La fuente aquí es la documentación de privacidad del propio proveedor.
3. Añade tu propia recopilación: cuentas, archivos subidos, todo lo que guarda tu backend.
4. Revisa los permisos y los textos de uso que declaras, que son una segunda lista independiente de lo que la app puede alcanzar: ACCESS_FINE_LOCATION, NSLocationWhenInUseUsageDescription, cámara, contactos, fotos.
5. Ahora rellena el formulario a partir de esa lista y reescribe la política a partir de la misma lista. Quedan coherentes porque salen de una sola fuente, no porque los hayas comparado.

Esa lista, y no el formulario, es lo que hay que mantener al día. Las dos declaraciones dependen de ella.

Mantenerlos alineados después

Las declaraciones se quedan desactualizadas sin avisar, así que la comprobación tiene que ir unida a algo que no lo haga. Google Play lo exige: “Your Data safety form responses must remain accurate and complete at all times.” (Traducción: «Las respuestas de tu formulario de Data safety deben ser exactas y completas en todo momento».) Apple, igual: “You’re responsible for keeping your responses accurate and up to date.” (Traducción: «Eres responsable de mantener tus respuestas exactas y actualizadas».)

La versión más barata que funciona es una línea en tu checklist de lanzamiento —¿cambió alguna dependencia en esta versión? Si es así, vuelve a revisar la política y el formulario—, porque un cambio de dependencia es exactamente el evento que invalida a ambos.

Lo que esta página no puede decirte

Qué régimen concreto se te aplica. El RGPD, el UK GDPR, la CCPA/CPRA, la LGPD y las normas de privacidad infantil esperan cosas concretas en la política, y cuáles se aplican depende de dónde estén tus usuarios y de lo que haga tu app. Si hay algo inusual en tu app —datos de salud, menores, cualquier cosa que dudarías en explicar en una frase—, vale la pena una hora de un abogado. Las plantillas, incluidas las nuestras, son un punto de partida, no asesoramiento.

Qué hace AppFoyer aquí

Redactamos la política de privacidad a partir de los SDK que encontramos en tus archivos de build —con un agente de programación que lee el repositorio, o con un formulario breve—, de modo que la política y las respuestas que das a las tiendas salen de la misma lista de dependencias y no de la memoria. La checklist sigue marcando la página hasta que se reemplaza el marcador que nombra a tus terceros, porque esa sección es la que un revisor compara con tu formulario.

No rellenamos el formulario de Data safety por ti, y ningún servicio puede hacerlo: es una declaración que firmas en tu propia consola, y Google Play dice “you alone are responsible for making complete and accurate declarations.” (Traducción: «solo tú eres responsable de hacer declaraciones completas y exactas».)

Las fuentes oficiales

• Provide information for Google Play’s Data safety section — Ayuda de Google Play Console
• App privacy details on the App Store — Apple
• Privacy policy requirements — Ayuda de Google Play