アプリが何も収集しなくてもプライバシーポリシーは必要か
ほぼ確実に必要です。しかもたいていは、アプリが開発者の思う以上に収集しているからです。10 分で確かめる方法と、本当に何もないときにポリシーに書くこと。
必要です。Google Play はすべてのアプリにプライバシーポリシーのリンクを求めており、Apple もプライバシーポリシーの URL を必須項目としています。それに加えて、「何も収集しない」アプリの多くは、クラッシュレポーター、分析ライブラリ、広告 SDK といった SDK を通じて実際には何かを収集しています。自分で書いたコードかどうかに関係なく、それも収集に数えられます。
数分で済ませる方法もあります
AppFoyer は、このガイドで扱っているページ（プライバシーポリシー、利用規約、サポート、アカウント削除、そして app-ads.txt）を、専用のサブドメインでホストします。自分のドメインもサーバーも要りません。アプリ 1 つまでは無料で、ストアが求めるものが有料プランの壁の向こうに置かれることは決してありません。
2026年9月19日 に確認。 ストアのポリシーは、予告なく変わることもあります。以下の内容はすべて公式ドキュメントにリンクしており、拠り所となるのはこのページではなくそちらです。両者が食い違う場合は、ストアが正しいものとしてください。 このガイドは英語からの翻訳です。ストアのドキュメントからの引用は原文の英語のまま掲載しています。
これはモバイルのコンプライアンスでいちばんよくある誤解で、そのたびに 1 週間を失う原因になります。
問われているのは別々の 2 つのことです。ポリシーは必要か? 必要です。状況にかかわらずです。Google Play の User Data ポリシーには “all apps must post a privacy policy link in the designated field within Play Console, and a privacy policy link or text within the app itself”（訳：すべてのアプリは、Play Console 内の指定欄にプライバシーポリシーのリンクを掲載し、アプリ内にもプライバシーポリシーのリンクまたは本文を掲載しなければなりません）とあり、Apple もプライバシーポリシーの URL を必須項目として挙げています。アプリはデータを収集しているか? おそらくしています。それも、あなたが書いたコードのせいではありません。
あなたのコードは何も収集しない。依存関係は収集しているかもしれない
正直に問うべきは「自分は何を収集しているか」ではなく、「ビルドに含まれるすべてのものが何を収集しているか」です。よくある容疑者を短く挙げます。どれも、追加するときにはデータ収集だとは感じないものです。
| 追加したもの | 送信するもの |
|---|---|
| クラッシュレポーター | デバイス識別子、OS バージョン、スタックトレース |
| 分析 SDK | イベント、セッションデータ、多くの場合は広告 ID |
| 広告 SDK | デバイス識別子と広告識別子、そしてさらに多くのもの |
| プッシュ通知 | デバイストークン(定義上、デバイスに紐づく) |
| サインインライブラリ | メールアドレス、アカウント識別子 |
| 「無料」のバックエンド枠 | そこに保存するものすべて |
Google Play は、これがあなたのものとして扱われることを明言しています。データ収集は “includes data collected and handled through any third-party libraries or SDKs used in their apps”（訳：アプリで使用しているサードパーティのライブラリや SDK を通じて収集・処理されるデータを含みます）。Apple は、“you or your third-party partners collect”（訳：あなたまたはあなたのサードパーティパートナーが収集する）データを特定するよう求めています。どちらのストアも「SDK がやったことです」を答えとしては扱いません。
10 分でできる確認
依存関係のファイルを開いて、1 行ずつ読んでください:
- Android —
build.gradle/build.gradle.kts、libs.versions.toml、そしてパーミッションとメタデータについてはAndroidManifest.xml。 - iOS —
Podfile、Package.swift、.pbxproj、そして利用目的の文字列についてはInfo.plist。 - クロスプラットフォーム —
pubspec.yaml、package.json、app.json。
サーバーと通信するものは、何かを収集しています。宣言しているパーミッションと、自分で書いた利用目的の説明文字列も確認してください。これらはアプリが何にアクセスできるかを示す独立した 2 つ目のリストであり、審査担当者も読みます。
そのリストがプライバシーポリシーの中身であり、Data safety の回答が一致しなければならない対象でもあります。両者が食い違うとき、ストアは SDK のほうを信じます。Google Play は “when Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action”（訳：アプリの動作と申告内容の食い違いを Google が把握した場合、執行措置を含む適切な措置を講じることがあります）と述べています。
本当に何もない場合
そういうこともあります。ローカルの電卓、オフラインのツール、広告も分析もクラッシュレポートもないシングルプレイヤーのゲームなどです。それでもポリシーは必要で、短いもので済みます。次のことをはっきり書いてください:
- アプリは個人データを収集、保存、送信しないこと
- 分析、広告、クラッシュレポートのサービスを使用していないこと
- アプリが保存するものはすべて端末内にとどまること
- 連絡方法
- ポリシーの最終更新日
そのようなアプリなら、5 つの文で完全かつ正直なプライバシーポリシーになります。してはいけないのは、実際にはしていないことを列挙することです。広告のないアプリについて広告識別子を説明する自動生成ページは、それ自体が、あなたが正直に記入した Data safety フォームとの食い違いになり、まさに不要だった質問を招きます。
あとから答えを変えるもの
ポリシーはリリース時の作業ではなく、古くなっていくものです。どちらのストアも正確であり続けることを求めています。Google Play は Data safety の回答が “must remain accurate and complete at all times”（訳：常に正確かつ完全でなければなりません）と述べ、Apple は “responsible for keeping your responses accurate and up to date”（訳：回答を正確かつ最新に保つ責任がある）と述べています。
ポリシーを無効にする出来事は、ほとんどいつも同じです。依存関係が変わったことです。いつものスプリントで分析 SDK を追加すると、正しかった「何も収集しません」が、知らないうちに誤りになります。リリースのチェックリストに 1 行、依存関係は変わったか? 変わったなら、ポリシーと Data safety フォームを読み直す と入れておけば、これに足をすくわれることはありません。
AppFoyer がここでしていること
リポジトリを読むコーディングエージェント、または短いフォームを通じてビルドファイルを読み、実際にそこにあるものからポリシーの草稿を作ります。「何もない」場合も含みます。その場合は水増しせず、正直な 5 つの文として喜んで書きます。チェックリストは、サードパーティを列挙するセクションがプレースホルダーではなく実際の内容になるまで、そのページを指摘し続けます。
テンプレートは出発点であって法的助言ではありません。生成されるすべてのページにそう明記されています。
公式の情報源
- User Data policy — Google Play ヘルプ
- Provide information for Google Play’s Data safety section — Google Play Console ヘルプ
- App privacy details on the App Store — Apple