Cara mengetahui apa yang dikumpulkan SDK Anda

Setiap persyaratan toko tentang data bermuara pada satu daftar, dan hampir tidak ada yang menuliskannya. Kebijakan privasi, formulir Data safety, dan jawaban App Privacy Anda adalah tiga bentuk dari daftar yang sama — jadi menyusunnya sekali dengan benar adalah seluruh pekerjaannya.

Kedua toko menyatakan secara tegas bahwa perilaku SDK dihitung sebagai milik Anda. Google Play menyatakan bahwa pengumpulan data “includes data collected and handled through any third-party libraries or SDKs used in their apps” (mencakup data yang dikumpulkan dan ditangani melalui library atau SDK pihak ketiga apa pun yang digunakan dalam aplikasi mereka). Apple meminta Anda mengidentifikasi data yang “you or your third-party partners collect” (dikumpulkan oleh Anda atau mitra pihak ketiga Anda).

Langkah 1 — temukan setiap SDK

Baca file-filenya, jangan mengandalkan ingatan:

Platform	File
Android	build.gradle / build.gradle.kts, libs.versions.toml, AndroidManifest.xml (izin, meta-data)
iOS	Podfile, Package.swift, *.pbxproj, Info.plist (string penggunaan), *.entitlements
Flutter	pubspec.yaml
React Native / Expo	package.json, app.json

Sertakan dependensi transitif yang tidak Anda pilih: SDK yang menarik library iklan ikut mengumpulkan apa yang dikumpulkan library tersebut.

Langkah 2 — baca pengungkapan milik masing-masing vendor

Sebagian besar vendor yang serius memublikasikan halaman yang menyatakan secara persis apa yang dikirim SDK mereka, karena pelanggan mereka membutuhkannya untuk formulir yang sama ini. Halaman itulah — bukan postingan blog, bukan jawaban forum — sumber Anda.

Firebase adalah contohnya, karena Google memublikasikan rincian per produk yang dipetakan ke kategori App Privacy Apple:

Produk Firebase	Apa yang dikumpulkannya, menurut dokumentasi Google
Analytics	App instance ID, properti pengguna, peristiwa, alamat IP
Crashlytics	Stack trace dan status aplikasi saat crash, informasi perangkat dan OS, plus custom key, log, dan ID pengguna apa pun yang Anda lampirkan
Cloud Messaging	Token push yang terkait dengan ID instalasi aplikasi; model perangkat, bahasa, zona waktu, versi OS, pengenal aplikasi, dan versinya
Authentication	Pengenal yang dibuatnya, plus alamat email, nomor telepon, dan nama tampilan dari penyedia login yang Anda aktifkan
Performance Monitoring	Metrik performa seperti waktu peluncuran dan latensi jaringan, informasi perangkat dan OS, alamat IP untuk segmentasi geografis
Remote Config	Kode negara dan bahasa, zona waktu, versi OS, pengenal aplikasi dan bundle

Baca tabel itu dua kali jika Anda menggunakan Crashlytics: kolom terakhir sebagian adalah ulah Anda sendiri. Custom key dan ID pengguna yang Anda lampirkan ke laporan crash adalah data yang Anda pilih untuk dikirim, dan semua itu harus dicantumkan dalam kebijakan Anda dengan kata-kata Anda sendiri.

Vendor lain dengan pengungkapan yang dipublikasikan dan layak didatangi langsung: jaringan iklan (AdMob, AppLovin, Unity, ironSource), alat atribusi (AppsFlyer, Adjust), pelaporan error (Sentry, Bugsnag), pembelian (RevenueCat, Adapty), dan penyedia autentikasi.

Langkah 3 — saat vendor tidak memublikasikan apa pun

Hal ini terjadi, terutama pada library yang lebih kecil. Maka:

• Baca lalu lintas jaringannya. Jalankan aplikasi melalui proxy dan lihat apa yang dikirim SDK. Inilah satu-satunya metode yang tidak dapat dibantah, dan pertanyaannya selesai dalam satu sore.
• Baca kode sumbernya, jika terbuka.
• Tanyakan kepada vendor secara tertulis dan simpan balasannya.
• Pertimbangkan untuk menghapusnya. Dependensi yang perilaku datanya tidak mau dinyatakan siapa pun adalah beban yang Anda tanggung demi kenyamanan orang lain.

Langkah 4 — ubah daftar menjadi tiga dokumen

Satu daftar, tiga bentuk, dengan urutan ini:

1. Kebijakan privasi — kategori, tujuan, pihak ketiga yang disebutkan namanya, retensi, kontak.
2. Formulir Data safety di Play Console — fakta yang sama dalam bentuk kotak centang.
3. App Privacy di App Store Connect — fakta yang sama lagi, dengan kategori Apple.

Isi semuanya dari daftar, jangan pernah dari satu sama lain. Jika dua di antaranya tidak cocok, toko memercayai SDK: Google Play menyatakan bahwa “when Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action” (ketika Google mengetahui adanya ketidaksesuaian antara perilaku aplikasi Anda dan deklarasi Anda, kami dapat mengambil tindakan yang sesuai, termasuk tindakan penegakan).

Menjaganya tetap benar

Peristiwa yang membuat ketiganya tidak berlaku selalu sama: ada dependensi yang berubah. Tambahkan satu baris ke checklist rilis Anda — apakah ada dependensi yang berubah di rilis ini? jika ya, periksa ulang kebijakan dan kedua formulir — karena kedua toko mewajibkan semua ini tetap akurat, bukan sekadar pernah akurat saat peluncuran.

Apa yang dilakukan AppFoyer di sini

Metode inilah yang diotomatiskan oleh agen kami. Arahkan agen coding ke repositori, dan agen akan membaca file-file dependensi tersebut, mencocokkan temuannya dengan peta SDK yang dikenal, lalu menyusun draf kebijakan privasi yang menyebutkan pihak ketiga yang ditemukannya — dengan melaporkan file dan baris asal setiap fakta, sehingga Anda dapat memeriksanya alih-alih sekadar memercayainya. Tanpa agen, formulir singkat mengajukan pertanyaan yang sama.

Hasilnya adalah draf yang Anda tinjau. Agen tidak dapat melihat library yang tidak dikenalinya, dan tidak pernah memublikasikan apa pun tanpa klik Anda.

Sumber resmi

• Privasi dan keamanan di Firebase dan Pengumpulan data App Store — Google. Tabel di atas berasal dari halaman-halaman ini; merekalah otoritasnya, bukan halaman ini.
• Memberikan informasi untuk bagian Data safety Google Play — Bantuan Google Play Console
• Detail privasi aplikasi di App Store — Apple