Data safety formunuz ile gizlilik politikanız çeliştiğinde

Data safety formunuz ve gizlilik politikanız aynı uygulamanın iki ayrı tanımıdır ve mağazalar onları birlikte okur. Çeliştiklerinde sorun, hangisi yanlışsa o değil, çelişkinin kendisidir. Google Play bunu açıkça söyler: “When Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action.” (Çeviri: Google, uygulamanızın davranışı ile beyanınız arasında bir tutarsızlık fark ettiğinde, yaptırım işlemi dahil uygun önlemleri alabilir.)

Apple’da aynı yapı farklı adlarla vardır: ürün sayfanızdaki App Privacy ayrıntıları ve zorunlu gizlilik politikası URL’si.

Bu sayfa, ikisini uyum içinde tutmakla ve ikisinin de karşılaştırıldığı üçüncü şeyle ilgilidir: uygulamanızın gerçekte ne yaptığı.

Kısaca iki belge

Data safety formu (Play Console → App content) ve App Privacy ayrıntıları (App Store Connect) yapılandırılmış beyanlardır: onay kutuları ve kategoriler, mağaza sayfanızda kullanıcının yüklemeden önce okuduğu bir özet olarak gösterilir. Sabit bir soru listesine verilen yanıtlardır.

Gizlilik politikası ise sizin barındırdığınız bir URL’deki düz metindir. Aynı şeyleri cümlelerle söyler; ayrıca bir soru listesinde kutusu olmayan şeyleri de içerir: hukuki dayanağınız, saklama süresi, kiminle iletişim kurulacağı, silme talebinin nasıl yapılacağı.

Hiçbiri diğerinin yerini tutmaz. Politika formu doldurmaz, doldurulmuş bir form da politikanızın doğru olduğu anlamına gelmez.

Nerede ayrışırlar

Aylar arayla yazılırlar. Politika, yayın haftasında yazılır. Form ise gönderim günü, bir bağımlılık listesine bakan biri tarafından doldurulur ve kimse politikaya geri dönmez.

Yeni bir SDK eklenir. Bir sprintte çökme raporlayıcı eklersiniz. Pull request’te politika ya da formla ilgili hiçbir şey yoktur, bu yüzden ikisi de değişmez. Google Play bunun da sayıldığını açıkça belirtir: veri toplama “includes data collected and handled through any third-party libraries or SDKs used in their apps… You must reflect data collection or sharing carried out by such third-party code in the Data safety form for your app.” (Çeviri: uygulamalarında kullanılan üçüncü taraf kitaplıklar veya SDK’lar aracılığıyla toplanan ve işlenen verileri de kapsar… Bu tür üçüncü taraf kodların yürüttüğü veri toplama veya paylaşımı uygulamanızın Data safety formunda yansıtmalısınız.) Apple da aynısını ister: “You need to identify all of the data you or your third-party partners collect.” (Çeviri: Sizin veya üçüncü taraf iş ortaklarınızın topladığı tüm verileri belirtmeniz gerekir.)

Bir özellik beyanı olmadan yayınlanır. “Yakındakileri bul” özelliği için konum, bir iş ortağıyla kullanıcı kimliği paylaşan bir davet sistemi. Mühendislik işi görünür; beyan işi ise kimsenin panosunda değildir.

Birinde şablon kullanılmıştır. Reklamsız bir uygulama için reklam tanımlayıcılarını listeleyen, otomatik üretilmiş bir politika, bir eksiklik kadar uyuşmazlıktır; üstelik fark edilmesi daha kolaydır, çünkü dürüstçe doldurduğunuz bir formla çelişir.

İşe yarayan tek sırayla uzlaştırmak

Belgelerden birinden değil, uygulamadan başlayın. İkisi de uygulamayı tanımlamak için var; birini diğerine göre düzeltmek hatayı yalnızca yer değiştirir.

1. Bağımlılık dosyalarınızı açın: build.gradle/libs.versions.toml, Podfile/Package.swift, pubspec.yaml, package.json. Her üçüncü taraf SDK’yı listeleyin.
2. Her biri için ne gönderdiğini yazın. Bir çökme raporlayıcı cihaz tanımlayıcılarını ve yığın izlerini gönderir. Bir analiz SDK’sı olayları ve çoğu zaman bir reklam kimliğini gönderir. Bir reklam SDK’sı çok daha fazlasını gönderir. Bir push kitaplığı bir cihaz token’ı kaydeder. Buradaki kaynak, sağlayıcının kendi gizlilik belgeleridir.
3. Kendi topladıklarınızı ekleyin: hesaplar, yüklemeler, arka ucunuzun sakladığı her şey.
4. Beyan ettiğiniz izinleri ve kullanım metinlerini kontrol edin; bunlar uygulamanın nelere erişebildiğinin ikinci, bağımsız bir listesidir: ACCESS_FINE_LOCATION, NSLocationWhenInUseUsageDescription, kamera, kişiler, fotoğraflar.
5. Şimdi formu bu listeden doldurun ve politikayı aynı listeden yeniden yazın. İkisi karşılaştırdığınız için değil, tek bir kaynaktan geldikleri için tutarlı olur.

Güncel tutulması gereken şey form değil, bu listedir. İki beyan da ondan türetilir.

Sonrasında uyum içinde tutmak

Beyanlar sessizce eskir, bu yüzden kontrolün eskimeyen bir şeye bağlanması gerekir. Google Play bunu şart koşar: “Your Data safety form responses must remain accurate and complete at all times.” (Çeviri: Data safety formu yanıtlarınız her zaman doğru ve eksiksiz kalmalıdır.) Apple da benzer şekilde: “You’re responsible for keeping your responses accurate and up to date.” (Çeviri: Yanıtlarınızı doğru ve güncel tutmaktan siz sorumlusunuz.)

İşe yarayan en ucuz yöntem, sürüm kontrol listenize bir satır eklemektir: bu sürümde herhangi bir bağımlılık değişti mi? değiştiyse politikayı ve formu yeniden kontrol et. Çünkü bağımlılık değişikliği, tam olarak ikisini de geçersiz kılan olaydır.

Bu sayfanın size söyleyemeyecekleri

Size hangi düzenlemenin uygulandığı. GDPR, UK GDPR, CCPA/CPRA, LGPD ve çocukların gizliliğine dair kuralların her biri politikada belirli şeyler bekler; hangilerinin uygulanacağı kullanıcılarınızın nerede olduğuna ve uygulamanızın ne yaptığına bağlıdır. Uygulamanızda olağandışı bir şey varsa (sağlık verisi, çocuklar, tek cümleyle açıklamakta tereddüt edeceğiniz herhangi bir şey) bir avukata bir saat ayırmaya değer. Bizimkiler dahil şablonlar bir başlangıç noktasıdır, tavsiye değildir.

AppFoyer burada ne yapar

Gizlilik politikasını derleme dosyalarınızda bulunan SDK’lardan taslak olarak hazırlarız (depoyu okuyan bir kodlama ajanıyla ya da kısa bir formdan); böylece politika ve mağazalara verdiğiniz yanıtlar hafızadan değil, aynı bağımlılık listesinden gelir. Üçüncü taraflarınızı adlandıran yer tutucu değiştirilene kadar kontrol listesi sayfayı işaretlemeye devam eder, çünkü bir inceleme uzmanının formunuzla karşılaştırdığı bölüm odur.

Data safety formunu sizin yerinize doldurmayız; hiçbir hizmet de dolduramaz: bu, kendi konsolunuzda imzaladığınız bir beyandır ve Google Play şöyle der: “you alone are responsible for making complete and accurate declarations.” (Çeviri: eksiksiz ve doğru beyanlarda bulunmaktan yalnızca siz sorumlusunuz.)

Yetkili kaynaklar

• Google Play’in Data safety bölümü için bilgi sağlama — Google Play Console Yardım
• App Store’da uygulama gizlilik ayrıntıları — Apple
• Gizlilik politikası gereksinimleri — Google Play Yardım