Faut-il une politique de confidentialité si mon app ne collecte rien ?

C’est le malentendu le plus courant en matière de conformité mobile, et il coûte une semaine à chaque fois.

Deux questions distinctes sont posées. Une politique est-elle obligatoire ? Oui, dans tous les cas — la politique User Data de Google Play indique que « all apps must post a privacy policy link in the designated field within Play Console, and a privacy policy link or text within the app itself » (toutes les apps doivent publier un lien vers une politique de confidentialité dans le champ prévu de la Play Console, ainsi qu’un lien ou un texte de politique de confidentialité dans l’app elle-même), et Apple indique l’URL de la politique de confidentialité comme champ obligatoire. Votre app collecte-t-elle des données ? Probablement, et pas à cause du code que vous avez écrit.

Votre code ne collecte rien. Vos dépendances, peut-être

La vraie question n’est pas « qu’est-ce que je collecte » mais « qu’est-ce que tout ce qui se trouve dans mon build collecte ». Une courte liste des suspects habituels, dont aucun ne donne l’impression de collecter des données quand on l’ajoute :

Ce que vous avez ajouté	Ce qu’il envoie
Un outil de rapports de plantage	Identifiants de l’appareil, version de l’OS, stack traces
Un SDK d’analytics	Événements, données de session, souvent un identifiant publicitaire
Un SDK publicitaire	Identifiants de l’appareil et publicitaires, et bien davantage
Les notifications push	Un token d’appareil, lié par définition à un appareil
Une bibliothèque de connexion	Adresse email, identifiant de compte
Une offre « gratuite » de backend	Tout ce que vous y stockez

Google Play dit explicitement que cela vous est imputable : la collecte de données « includes data collected and handled through any third-party libraries or SDKs used in their apps » (inclut les données collectées et traitées via toute bibliothèque ou tout SDK tiers utilisé dans leurs apps). Apple vous demande d’identifier les données que « you or your third-party partners collect » (vous ou vos partenaires tiers collectez). Aucun des deux stores n’accepte « c’est le SDK » comme réponse.

La vérification en dix minutes

Ouvrez votre fichier de dépendances et lisez-le ligne par ligne :

• Android — build.gradle / build.gradle.kts, libs.versions.toml, et AndroidManifest.xml pour les permissions et les meta-data.
• iOS — Podfile, Package.swift, le .pbxproj, et Info.plist pour les chaînes d’usage.
• Multiplateforme — pubspec.yaml, package.json, app.json.

Tout ce qui communique avec un serveur collecte quelque chose. Vérifiez aussi les permissions que vous déclarez et les chaînes de description d’usage que vous avez écrites : elles forment une seconde liste indépendante de ce à quoi l’app peut accéder, et un reviewer les lit.

Cette liste constitue la substance de votre politique de confidentialité, et c’est aussi ce à quoi vos réponses Data safety doivent correspondre. Quand les deux divergent, le store croit le SDK : Google Play indique que « when Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action » (lorsque Google constate un écart entre le comportement de votre app et votre déclaration, nous pouvons prendre les mesures appropriées, y compris des mesures coercitives).

Quand la réponse est vraiment rien

Ça arrive : une calculatrice locale, un outil hors ligne, un jeu solo sans publicité, sans analytics et sans rapports de plantage. Il vous faut quand même la politique, et elle est courte. Dites clairement :

• que l’app ne collecte, ne stocke et ne transmet aucune donnée personnelle ;
• qu’elle n’utilise aucun service d’analytics, de publicité ou de rapports de plantage ;
• que tout ce que l’app enregistre reste sur l’appareil ;
• comment vous contacter ;
• la date de la dernière mise à jour de la politique.

Cinq phrases font une politique de confidentialité complète et honnête pour une app de ce genre. Ce qu’elle ne doit pas faire, c’est lister des choses que vous ne faites pas — une page générée qui décrit des identifiants publicitaires pour une app sans publicité est elle-même en contradiction avec le formulaire Data safety que vous avez rempli honnêtement, et elle appelle précisément la question dont vous n’aviez pas besoin.

Ce qui change la réponse plus tard

La politique n’est pas une tâche de lancement, c’est quelque chose qui devient obsolète. Les deux stores exigent qu’elle reste exacte : Google Play indique que les réponses Data safety « must remain accurate and complete at all times » (doivent rester exactes et complètes en permanence), et Apple indique que vous êtes « responsible for keeping your responses accurate and up to date » (responsable de maintenir vos réponses exactes et à jour).

L’événement qui l’invalide est presque toujours le même : une dépendance a changé. Ajouter un SDK d’analytics lors d’un sprint ordinaire transforme silencieusement un « nous ne collectons rien » vrai en un faux. Ajoutez une ligne à votre checklist de release — une dépendance a-t-elle changé ? si oui, relisez la politique et le formulaire Data safety — et vous ne vous ferez jamais surprendre.

Ce que fait AppFoyer

Nous lisons vos fichiers de build — avec un agent de code qui examine le dépôt, ou via un court formulaire — et rédigeons la politique à partir de ce qu’ils contiennent réellement, y compris le cas « rien », que nous écrirons volontiers en cinq phrases honnêtes plutôt que de le gonfler. La checklist continue de signaler la page tant que la section qui nomme vos tiers n’est pas réelle mais un texte provisoire.

Les modèles sont un point de départ, pas un conseil juridique, et chaque page générée le dit.

Les sources de référence

• User Data policy — Aide Google Play
• Provide information for Google Play’s Data safety section — Aide Google Play Console
• App privacy details on the App Store — Apple