Нужна ли политика конфиденциальности, если приложение ничего не собирает?

Это самое распространённое заблуждение в вопросах соответствия требованиям для мобильных приложений, и каждый раз оно стоит людям недели.

Здесь звучат два разных вопроса. Нужна ли политика? Да, в любом случае — политика Google Play User Data гласит: “all apps must post a privacy policy link in the designated field within Play Console, and a privacy policy link or text within the app itself” («все приложения должны разместить ссылку на политику конфиденциальности в специальном поле в Play Console, а также ссылку на политику конфиденциальности или её текст в самом приложении»), а Apple указывает URL политики конфиденциальности как обязательное поле. Собирает ли ваше приложение данные? Скорее всего, да, и не из-за кода, который написали вы.

Ваш код ничего не собирает. Ваши зависимости — возможно

Честный вопрос звучит не «что собираю я», а «что собирает всё, что есть в моей сборке». Короткий список обычных подозреваемых — ни один из них не ощущается как сбор данных, когда вы его добавляете:

Что вы добавили	Что оно отправляет
Сборщик отчётов о сбоях	Идентификаторы устройства, версию ОС, трассировки стека
Аналитический SDK	События, данные сессий, часто рекламный идентификатор
Рекламный SDK	Идентификаторы устройства и рекламные идентификаторы, и ещё немало всего
Push-уведомления	Токен устройства, который по определению привязан к устройству
Библиотека входа	Адрес электронной почты, идентификатор аккаунта
«Бесплатный» тариф бэкенда	Всё, что вы в нём храните

Google Play прямо говорит, что это считается вашим: сбор данных “includes data collected and handled through any third-party libraries or SDKs used in their apps” («включает данные, собираемые и обрабатываемые через любые сторонние библиотеки или SDK, используемые в приложениях»). Apple просит указать данные, которые “you or your third-party partners collect” («собираете вы или ваши сторонние партнёры»). Ни один из магазинов не принимает «это сделал SDK» в качестве ответа.

Проверка за десять минут

Откройте файл зависимостей и прочитайте его строка за строкой:

• Android — build.gradle / build.gradle.kts, libs.versions.toml и AndroidManifest.xml (разрешения и meta-data).
• iOS — Podfile, Package.swift, .pbxproj и Info.plist (строки описания использования).
• Кроссплатформенные проекты — pubspec.yaml, package.json, app.json.

Всё, что обращается к серверу, что-то собирает. Проверьте также объявленные разрешения и написанные вами строки описания использования (usage description): это независимый второй список того, к чему приложение имеет доступ, и проверяющий их читает.

Этот список — суть вашей политики конфиденциальности, и именно ему должны соответствовать ваши ответы в Data safety. Если они расходятся, магазин верит SDK: Google Play заявляет, что “when Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action” («когда Google узнаёт о расхождении между поведением вашего приложения и вашей декларацией, мы можем принять соответствующие меры, включая принудительные»).

Когда ответ действительно «ничего»

Такое бывает: локальный калькулятор, офлайн-утилита, однопользовательская игра без рекламы, без аналитики и без отчётов о сбоях. Политика вам всё равно нужна, и она короткая. Напишите прямо:

• что приложение не собирает, не хранит и не передаёт никаких персональных данных;
• что оно не использует сервисы аналитики, рекламы или отчётов о сбоях;
• что всё, что приложение сохраняет, остаётся на устройстве;
• как с вами связаться;
• когда политика последний раз обновлялась.

Пять предложений — это полная и честная политика конфиденциальности для такого приложения. Чего она делать не должна — так это перечислять то, чего вы не делаете: сгенерированная страница, описывающая рекламные идентификаторы для приложения без рекламы, сама по себе расходится с формой Data safety, которую вы заполнили честно, и вызывает ровно тот вопрос, который вам был не нужен.

Что меняет ответ со временем

Политика — это не задача на запуск, а вещь, которая устаревает. Оба магазина требуют, чтобы она оставалась точной: Google Play говорит, что ответы в Data safety “must remain accurate and complete at all times” («должны всегда оставаться точными и полными»), а Apple — что вы “responsible for keeping your responses accurate and up to date” («несёте ответственность за то, чтобы ваши ответы оставались точными и актуальными»).

Событие, которое делает её недействительной, почти всегда одно и то же: изменилась зависимость. Добавление аналитического SDK в рядовом спринте незаметно превращает правдивое «мы ничего не собираем» в ложное. Добавьте одну строку в чек-лист релиза — изменилась ли какая-нибудь зависимость? если да, перечитайте политику и форму Data safety, — и это никогда вас не подловит.

Что здесь делает AppFoyer

Мы читаем ваши файлы сборки — с помощью ИИ-агента для программирования, который смотрит в репозиторий, или через короткую форму — и составляем черновик политики по тому, что в них действительно есть, включая случай «ничего», который мы охотно напишем пятью честными предложениями, а не станем раздувать. Чек-лист продолжает отмечать страницу, пока раздел с перечнем ваших третьих сторон не станет настоящим, а не заглушкой.

Шаблоны — это отправная точка, а не юридическая консультация, и каждая сгенерированная страница так и говорит.

Официальные источники

• Политика User Data — Google Play Help
• Предоставление информации для раздела Data safety в Google Play — Google Play Console Help
• Сведения о конфиденциальности приложения в App Store — Apple