Utiliser un agent de code pour rédiger vos pages de conformité

Rédiger une politique de confidentialité, c’est surtout de la transcription. La partie difficile — déterminer ce que votre app collecte réellement — trouve sa réponse dans des fichiers qui sont déjà dans votre dépôt, ce qui est exactement le genre de travail pour lequel un agent ayant accès au système de fichiers est bon.

Ce qu’un agent peut réellement déduire

À partir des seuls fichiers de build, sans rien vous demander :

Information	D’où elle vient
Nom de l’app	strings.xml app_name, CFBundleDisplayName, pubspec.yaml, app.json
Application id / bundle id	applicationId dans Gradle, PRODUCT_BUNDLE_IDENTIFIER dans le projet Xcode
Plateforme	Lesquels de ces fichiers existent
Collecte de données	Chaque SDK tiers dans build.gradle, Podfile, Package.swift, pubspec.yaml, package.json
Permissions et chaînes d’usage	AndroidManifest.xml, Info.plist
Identifiant d’éditeur publicitaire	L’application id AdMob dans le manifest ou le plist
Une URL Play proposée	Construite à partir de l’application id — une proposition, pas un fait, car l’app n’est peut-être pas publiée

Ce tableau est la substance d’une politique de confidentialité. C’est aussi la réponse à « que collecte mon app », la question à laquelle la plupart des développeurs répondent mal de mémoire et bien en lisant les fichiers.

Ce qu’il ne peut pas savoir et doit demander

Un agent qui invente ces éléments est pire que pas d’agent du tout :

• Le nom de votre entité juridique et la juridiction que mentionnent vos conditions.
• L’adresse de support que vous lisez vraiment. Il ne doit jamais la deviner à partir d’une config git ou d’un identifiant de développeur Apple trouvé dans un fichier fastlane.
• Votre véritable identifiant App Store, sauf s’il figure dans une config fastlane — l’identifiant numérique ne se déduit pas.
• Si l’app est en ligne, et sous quelle fiche.
• Les faits relevant de votre activité : si vous vendez des abonnements, si les enfants font partie du public visé, si vous partagez des données avec un partenaire qui ne laisse aucune trace dans la liste des dépendances.
• Quoi que ce soit concernant votre backend. Rien dans le dépôt ne dit combien de temps vous conservez les données.

Un bon résultat ressemble à ceci : tout ce qui est déductible est déduit, avec le fichier et la ligne d’où cela provient, et ce qui reste est une courte liste de questions auxquelles vous seul pouvez répondre.

Les limites à exiger

Avant de laisser un agent s’en approcher, tranchez ces points — ils font la différence entre un outil utile et un risque :

1. Rien n’est publié sans un clic humain. Une page juridique générée mise en ligne sans relecture, c’est tout le risque résumé en une phrase.
2. Chaque fait déduit est traçable. « J’ai trouvé firebase-crashlytics à app/build.gradle:47 » est vérifiable ; « votre app collecte des diagnostics » ne l’est pas.
3. Il ne fait ni commit ni push. Proposer un diff est une aide ; réécrire votre dépôt n’en est pas une.
4. Il envoie le minimum hors de votre machine. Déduire les faits localement et envoyer les conclusions est très différent de téléverser votre code source.
5. Il dit ce qu’il ne sait pas. Un agent qui remplit un texte provisoire par une phrase plausible a produit un document de conformité qui contient une supposition.

Posez ces cinq questions à n’importe quel outil de cette catégorie, y compris le nôtre.

Où l’humain garde la main

L’agent rédige ; vous décidez. Concrètement, c’est vous qui :

• confirmez les réponses qu’il n’a pas pu déduire ;
• lisez la section sur les tiers, la partie qu’un reviewer compare à votre formulaire Data safety ;
• décidez des durées de conservation, car vous seul connaissez votre backend ;
• cliquez sur publier ;
• remplissez les champs de la console du store — aucun agent ne devrait se trouver dans votre Play Console.

Si votre app touche à l’argent, aux données de santé ou aux enfants, une heure d’avocat a toujours sa place dans cette liste. Un modèle rédigé à partir de preuves est un meilleur point de départ qu’une page blanche ; ce n’est pas un conseil.

Ce que fait AppFoyer

Il existe un plugin Claude Code. Vous l’installez, vous dites « make this app store-ready », et la skill lit vos fichiers de build, déduit le tableau ci-dessus avec le fichier et la ligne pour chaque fait, ne demande que ce qu’elle n’a pas trouvé, et rédige les cinq pages ainsi que app-ads.txt. Elle vous remet ensuite une URL de relecture dans le tableau de bord.

Les limites ci-dessus sont appliquées, pas seulement promises. L’identifiant de l’agent donne accès à un ensemble fixe d’outils — lister et lire les apps, les créer (une par flavor), mettre à jour les paramètres, rédiger des pages, app-ads.txt, la checklist, l’icône de l’app et une adresse personnalisée — et la publication n’en fait pas partie : request_publish vous donne un lien, pas une page en ligne. L’icône et l’adresse sont les deux éléments sans étape de brouillon ; l’agent vous signale donc quand il les a définis, et il ne remplacera pas une adresse que vous utilisez déjà sans vous le demander. L’agent ne peut pas publier, dépublier, supprimer une app, modifier les canaux de notification ni toucher à votre boîte de réception des demandes de suppression ; ce sont des actions réservées à la session, que vous effectuez vous-même. La liste complète des outils et des exemples détaillés se trouvent sur la page de documentation de l’agent. La skill ne fait jamais de commit ni de push, et ne propose un diff que si vous lui demandez de raccorder les URL finales dans l’app.

Si votre agent n’est pas Claude Code — Cursor, Codex ou un assistant conversationnel — la page de confidentialité propose une voie par copier-coller : l’éditeur vous donne un prompt déjà rempli avec les informations de votre app, vous l’exécutez où vous voulez et vous collez la réponse. Le prompt, et la raison de sa formulation, sont dans Rédiger votre politique de confidentialité avec un assistant IA.

Si vous n’avez pas d’agent, la même chose existe sous forme de court formulaire. La voie de l’agent est plus rapide parce que les réponses sont déjà dans votre dépôt — ce n’est pas un produit différent.

Les sources de référence

• Provide information for Google Play’s Data safety section — Aide Google Play Console, sur le fait que les données des SDK sont à déclarer par vous
• App privacy details on the App Store — Apple
• Privacy and security in Firebase — un exemple de la divulgation par SDK qu’un agent lit