¿Necesito una política de privacidad si mi app no recopila nada?

Este es el malentendido más común en el cumplimiento de apps móviles, y cada vez le cuesta a la gente una semana.

Se están preguntando dos cosas distintas. ¿Es obligatoria una política? Sí, en cualquier caso: la política de Datos del usuario de Google Play establece que “all apps must post a privacy policy link in the designated field within Play Console, and a privacy policy link or text within the app itself” (todas las apps deben publicar un enlace a la política de privacidad en el campo designado de Play Console, y un enlace o el texto de la política de privacidad dentro de la propia app), y Apple incluye la URL de la política de privacidad como campo obligatorio. ¿Tu app recopila datos? Probablemente, y no por el código que escribiste.

Tu código no recopila nada. Tus dependencias quizá sí

La pregunta honesta no es “qué recopilo yo”, sino “qué recopila todo lo que hay en mi build”. Una lista corta de sospechosos habituales, ninguno de los cuales parece recopilación de datos cuando lo añades:

Lo que añadiste	Lo que envía
Un reportador de fallos	Identificadores del dispositivo, versión del SO, stack traces
Un SDK de analítica	Eventos, datos de sesión, a menudo un identificador de publicidad
Un SDK de anuncios	Identificadores del dispositivo y de publicidad, y bastante más
Notificaciones push	Un token de dispositivo, que por definición está ligado a un dispositivo
Una biblioteca de inicio de sesión	Dirección de correo, identificador de cuenta
Un nivel “gratuito” de backend	Todo lo que guardes en él

Google Play deja claro que esto cuenta como tuyo: la recopilación de datos “includes data collected and handled through any third-party libraries or SDKs used in their apps” (incluye los datos recopilados y gestionados a través de cualquier biblioteca o SDK de terceros que usen sus apps). Apple te pide identificar los datos que “you or your third-party partners collect” (tú o tus socios externos recopilan). Ninguna de las dos tiendas acepta “lo hizo el SDK” como respuesta.

La comprobación de diez minutos

Abre tu archivo de dependencias y léelo línea por línea:

• Android — build.gradle / build.gradle.kts, libs.versions.toml y AndroidManifest.xml para permisos y meta-data.
• iOS — Podfile, Package.swift, el .pbxproj e Info.plist para los textos de uso.
• Multiplataforma — pubspec.yaml, package.json, app.json.

Todo lo que habla con un servidor recopila algo. Revisa también los permisos que declaras y los textos de descripción de uso que escribiste: son una segunda lista independiente de lo que la app puede alcanzar, y un revisor los lee.

Esa lista es la sustancia de tu política de privacidad, y también es lo que deben reflejar tus respuestas de Data safety. Donde las dos no coinciden, la tienda cree al SDK: Google Play indica que “when Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action” (cuando Google detecta una discrepancia entre el comportamiento de tu app y tu declaración, podemos tomar las medidas oportunas, incluidas medidas de cumplimiento).

Cuando de verdad la respuesta es nada

Ocurre: una calculadora local, una herramienta offline, un juego para un solo jugador sin anuncios, sin analítica y sin reportes de fallos. Aun así necesitas la política, y es corta. Di claramente:

• que la app no recopila, almacena ni transmite datos personales;
• que no usa servicios de analítica, publicidad ni reporte de fallos;
• que todo lo que la app guarda se queda en el dispositivo;
• cómo contactarte;
• cuándo se actualizó la política por última vez.

Cinco frases son una política de privacidad completa y honesta para una app así. Lo que no debe hacer es enumerar cosas que no haces: una página generada que describe identificadores de publicidad para una app sin anuncios es en sí misma una discrepancia con el formulario de Data safety que rellenaste con sinceridad, e invita justo a la pregunta que no necesitabas.

Qué cambia la respuesta más adelante

La política no es una tarea del lanzamiento, es algo que se queda obsoleto. Ambas tiendas exigen que siga siendo exacta: Google Play dice que las respuestas de Data safety “must remain accurate and complete at all times” (deben ser exactas y completas en todo momento), y Apple dice que eres “responsible for keeping your responses accurate and up to date” (responsable de mantener tus respuestas exactas y actualizadas).

El hecho que la invalida es casi siempre el mismo: cambió una dependencia. Añadir un SDK de analítica en un sprint rutinario convierte en silencio un “no recopilamos nada” verdadero en uno falso. Pon una línea en tu checklist de publicación —¿cambió alguna dependencia? Si es así, vuelve a leer la política y el formulario de Data safety— y nunca te pillará desprevenido.

Qué hace AppFoyer aquí

Leemos tus archivos de build —con un agente de programación que revisa el repositorio, o mediante un formulario corto— y redactamos la política a partir de lo que realmente contienen, incluido el caso “nada”, que escribiremos con gusto en cinco frases honestas en lugar de rellenarlo. El checklist sigue marcando la página hasta que la sección que nombra a tus terceros sea real y no un marcador de posición.

Las plantillas son un punto de partida, no asesoramiento legal, y cada página generada lo indica.

Las fuentes oficiales

• Política de Datos del usuario — Ayuda de Google Play
• Proporcionar información para la sección Data safety de Google Play — Ayuda de Google Play Console
• Detalles de privacidad de las apps en el App Store — Apple