本文へスキップ
AppFoyer
無料で開始

ガイド ストアのフォームと SDK

SDK が何を収集しているかを調べる方法

繰り返し使える手順、Firebase が公開している表を使った実例、そして表を公開していないベンダーについてどこを見るか。

依存関係のファイルを開いてサードパーティの SDK をすべて書き出し、各ベンダー自身のデータ開示ページを読んでください。たとえば Firebase は、各プロダクトがどのデータを収集するかを正確に公開しています。そのリストがプライバシーポリシーの中身であり、Data safety と App Privacy の回答の出どころでなければなりません。

1:25
1:25 の動画 · YouTube で開きます

数分で済ませる方法もあります

AppFoyer は、このガイドで扱っているページ（プライバシーポリシー、利用規約、サポート、アカウント削除、そして app-ads.txt）を、専用のサブドメインでホストします。自分のドメインもサーバーも要りません。アプリ 1 つまでは無料で、ストアが求めるものが有料プランの壁の向こうに置かれることは決してありません。

無料で始める 公開中のサンプルを見る

2026年9月19日 に確認。 ストアのポリシーは、予告なく変わることもあります。以下の内容はすべて公式ドキュメントにリンクしており、拠り所となるのはこのページではなくそちらです。両者が食い違う場合は、ストアが正しいものとしてください。 このガイドは英語からの翻訳です。ストアのドキュメントからの引用は原文の英語のまま掲載しています。

データに関するストアの要件は、すべて 1 つのリストに行き着きます。そして、それを書き出す人はほとんどいません。プライバシーポリシー、Data safety フォーム、App Privacy の回答は、同じリストを 3 通りに表現したものです。ですから、それを一度きちんと作ることが仕事のすべてです。

どちらのストアも、SDK のふるまいはあなたのものとして扱われると明言しています。Google Play は、データ収集が “includes data collected and handled through any third-party libraries or SDKs used in their apps”（訳：アプリで使用しているサードパーティのライブラリや SDK を通じて収集・処理されるデータを含みます）と述べています。Apple は、“you or your third-party partners collect”（訳：あなたまたはあなたのサードパーティパートナーが収集する）データを特定するよう求めています。

ステップ 1 — すべての SDK を見つける

記憶に頼らず、ファイルを読んでください:

プラットフォームファイル
Androidbuild.gradle / build.gradle.kts、libs.versions.toml、AndroidManifest.xml(パーミッション、メタデータ)
iOSPodfile、Package.swift、*.pbxproj、Info.plist(利用目的の文字列)、*.entitlements
Flutterpubspec.yaml
React Native / Expopackage.json、app.json

自分で選んでいない推移的な依存関係も含めてください。広告ライブラリを取り込む SDK は、そのライブラリが収集するものを収集します。

ステップ 2 — 各ベンダー自身の開示を読む

まともなベンダーのほとんどは、自社の SDK が何を送信するかを正確に記したページを公開しています。顧客がまさにこうしたフォームのためにそれを必要としているからです。ブログ記事でもフォーラムの回答でもなく、そのページがあなたの情報源です。

Firebase を実例にします。 Google は、Apple の App Privacy のカテゴリに対応づけたプロダクトごとの内訳を公開しているからです:

Firebase のプロダクトGoogle のドキュメントによる収集内容
Analyticsアプリインスタンス ID、ユーザープロパティ、イベント、IP アドレス
Crashlyticsクラッシュ時のスタックトレースとアプリケーションの状態、デバイスと OS の情報、そしてあなたが付加するカスタムキー、ログ、ユーザー ID
Cloud Messagingアプリのインストール ID に関連づけられたプッシュトークン、デバイスのモデル、言語、タイムゾーン、OS バージョン、アプリの識別子とバージョン
Authentication生成する識別子、および有効にしたサインインプロバイダから得るメールアドレス、電話番号、表示名
Performance Monitoring起動時間やネットワークのレイテンシなどのパフォーマンス指標、デバイスと OS の情報、地域別の区分けのための IP アドレス
Remote Config国と言語のコード、タイムゾーン、OS バージョン、アプリとバンドルの識別子

Crashlytics を使っているなら、この表を 2 回読んでください。最後の列の一部はあなたの行為によるものです。 クラッシュレポートに付加するカスタムキーやユーザー ID は、あなたが送ると決めたデータであり、あなた自身の言葉でポリシーに書くべきものです。

開示を公開していて、直接見に行く価値のある他のベンダー: 広告ネットワーク(AdMob、AppLovin、Unity、ironSource)、アトリビューションツール(AppsFlyer、Adjust)、エラーレポート(Sentry、Bugsnag)、課金(RevenueCat、Adapty)、認証プロバイダ。

ステップ 3 — ベンダーが何も公開していないとき

特に小さなライブラリではよくあることです。その場合は:

  • ネットワーク通信を読む。 プロキシを通してアプリを動かし、SDK が何を送っているかを見ます。反論の余地がない唯一の方法で、午後ひとつ分で答えが出ます。
  • ソースコードを読む(公開されている場合)。
  • ベンダーに書面で問い合わせ、返答を保管しておく。
  • 削除を検討する。 データの扱いを誰も明言しない依存関係は、他人の都合のためにあなたが抱えている負債です。

ステップ 4 — リストを 3 つの文書にする

1 つのリストを 3 通りに、この順番で:

  1. プライバシーポリシー — カテゴリ、目的、名前を挙げたサードパーティ、保存期間、連絡先。
  2. Play Console の Data safety フォーム — 同じ事実をチェックボックスで。
  3. App Store Connect の App Privacy — 同じ事実をもう一度、Apple のカテゴリで。

互いから写すのではなく、必ずリストから記入してください。2 つが食い違うとき、ストアは SDK のほうを信じます。Google Play は “when Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action”（訳：アプリの動作と申告内容の食い違いを Google が把握した場合、執行措置を含む適切な措置を講じることがあります）と述べています。

正確に保つ

3 つすべてを無効にする出来事はいつも同じです。依存関係が変わったことです。リリースのチェックリストに 1 行、今回のリリースで依存関係は変わったか? 変わったなら、ポリシーと両方のフォームを確認し直す と入れてください。どちらのストアも、リリース時に正確だったことではなく、正確であり続けることを求めているからです。

AppFoyer がここでしていること

この手順を自動化しているのが私たちのエージェントです。コーディングエージェントにリポジトリを読ませると、これらの依存関係ファイルを読み、見つけたものを既知の SDK のマップと照合し、見つけたサードパーティの名前を挙げたプライバシーポリシーの草稿を作ります。それぞれの事実の出どころのファイルと行番号を示すので、信じるのではなく確認できます。エージェントがない場合は、短いフォームが同じ質問をします。

作られるのは、あなたが確認する草稿です。認識できないライブラリは見えませんし、あなたのクリックなしに何かを公開することは決してありません。

公式の情報源