Apakah saya perlu kebijakan privasi jika aplikasi saya tidak mengumpulkan apa pun?

Inilah kesalahpahaman paling umum dalam kepatuhan aplikasi seluler, dan setiap kali terjadi, biayanya satu minggu.

Ada dua hal terpisah yang ditanyakan. Apakah kebijakan diwajibkan? Ya, apa pun keadaannya — kebijakan User Data Google Play menyatakan bahwa “all apps must post a privacy policy link in the designated field within Play Console, and a privacy policy link or text within the app itself” (semua aplikasi wajib memasang tautan kebijakan privasi di kolom yang ditentukan di Play Console, serta tautan atau teks kebijakan privasi di dalam aplikasi itu sendiri), dan Apple mencantumkan URL kebijakan privasi sebagai kolom wajib. Apakah aplikasi Anda mengumpulkan data? Kemungkinan besar ya, dan bukan karena kode yang Anda tulis.

Kode Anda tidak mengumpulkan apa pun. Dependensi Anda mungkin mengumpulkan

Pertanyaan yang jujur bukan “apa yang saya kumpulkan”, melainkan “apa yang dikumpulkan oleh semua yang ada di build saya”. Berikut daftar singkat tersangka yang biasa, yang tidak satu pun terasa seperti pengumpulan data saat Anda menambahkannya:

Yang Anda tambahkan	Yang dikirimkannya
Pelapor crash	Pengenal perangkat, versi OS, stack trace
SDK analitik	Peristiwa, data sesi, sering kali ID iklan
SDK iklan	Pengenal perangkat dan pengenal iklan, serta jauh lebih banyak lagi
Notifikasi push	Token perangkat, yang menurut definisinya terikat pada perangkat
Library login	Alamat email, pengenal akun
Tingkat backend “gratis”	Apa pun yang Anda simpan di dalamnya

Google Play secara tegas menyatakan bahwa ini dihitung sebagai milik Anda: pengumpulan data “includes data collected and handled through any third-party libraries or SDKs used in their apps” (mencakup data yang dikumpulkan dan ditangani melalui library atau SDK pihak ketiga apa pun yang digunakan dalam aplikasi mereka). Apple meminta Anda mengidentifikasi data yang “you or your third-party partners collect” (dikumpulkan oleh Anda atau mitra pihak ketiga Anda). Tidak ada toko yang menerima “SDK-nya yang melakukan” sebagai jawaban.

Pemeriksaan sepuluh menit

Buka file dependensi Anda dan baca baris demi baris:

• Android — build.gradle / build.gradle.kts, libs.versions.toml, dan AndroidManifest.xml untuk izin dan meta-data.
• iOS — Podfile, Package.swift, .pbxproj, dan Info.plist untuk string penggunaan.
• Lintas platform — pubspec.yaml, package.json, app.json.

Apa pun yang berkomunikasi dengan server mengumpulkan sesuatu. Periksa juga izin yang Anda deklarasikan dan string deskripsi penggunaan yang Anda tulis: keduanya adalah daftar kedua yang independen tentang apa yang dapat dijangkau aplikasi, dan peninjau membacanya.

Daftar itulah inti kebijakan privasi Anda, dan juga yang harus dicocokkan oleh jawaban Data safety Anda. Jika keduanya tidak cocok, toko memercayai SDK: Google Play menyatakan bahwa “when Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action” (ketika Google mengetahui adanya ketidaksesuaian antara perilaku aplikasi Anda dan deklarasi Anda, kami dapat mengambil tindakan yang sesuai, termasuk tindakan penegakan).

Saat jawabannya memang tidak ada

Hal ini memang terjadi: kalkulator lokal, alat offline, game pemain tunggal tanpa iklan, tanpa analitik, dan tanpa pelaporan crash. Anda tetap memerlukan kebijakan, dan kebijakannya singkat. Nyatakan dengan jelas:

• bahwa aplikasi tidak mengumpulkan, menyimpan, maupun mengirimkan data pribadi;
• bahwa aplikasi tidak menggunakan layanan analitik, iklan, atau pelaporan crash;
• bahwa apa pun yang disimpan aplikasi tetap berada di perangkat;
• cara menghubungi Anda;
• kapan kebijakan terakhir diperbarui.

Lima kalimat sudah menjadi kebijakan privasi yang lengkap dan jujur untuk aplikasi seperti itu. Yang tidak boleh dilakukannya adalah mencantumkan hal-hal yang tidak Anda lakukan — halaman hasil generator yang menjelaskan pengenal iklan untuk aplikasi tanpa iklan justru merupakan ketidaksesuaian dengan formulir Data safety yang Anda isi dengan jujur, dan mengundang tepat pertanyaan yang tidak Anda butuhkan.

Apa yang mengubah jawabannya nanti

Kebijakan ini bukan tugas peluncuran, melainkan sesuatu yang bisa menjadi usang. Kedua toko mewajibkannya tetap akurat: Google Play menyatakan bahwa jawaban Data safety “must remain accurate and complete at all times” (harus tetap akurat dan lengkap setiap saat), dan Apple menyatakan bahwa Anda “responsible for keeping your responses accurate and up to date” (bertanggung jawab menjaga jawaban Anda tetap akurat dan terbaru).

Peristiwa yang membuatnya tidak berlaku hampir selalu sama: ada dependensi yang berubah. Menambahkan SDK analitik dalam sprint rutin diam-diam mengubah “kami tidak mengumpulkan apa pun” yang benar menjadi salah. Tambahkan satu baris ke checklist rilis Anda — apakah ada dependensi yang berubah? jika ya, baca ulang kebijakan dan formulir Data safety — dan Anda tidak akan pernah terjebak olehnya.

Apa yang dilakukan AppFoyer di sini

Kami membaca file build Anda — dengan agen coding yang melihat repositori, atau melalui formulir singkat — dan menyusun draf kebijakan dari apa yang benar-benar ada di dalamnya, termasuk kasus “tidak ada”, yang dengan senang hati kami tulis sebagai lima kalimat jujur alih-alih menggembungkannya. Checklist terus menandai halaman tersebut sampai bagian yang menyebutkan pihak ketiga Anda berisi hal yang nyata, bukan placeholder.

Template adalah titik awal, bukan nasihat hukum, dan setiap halaman yang dihasilkan menyatakan hal itu.

Sumber resmi

• Kebijakan User Data — Bantuan Google Play
• Memberikan informasi untuk bagian Data safety Google Play — Bantuan Google Play Console
• Detail privasi aplikasi di App Store — Apple