Khi biểu mẫu Data safety và chính sách quyền riêng tư của bạn không khớp nhau

Biểu mẫu Data safety và chính sách quyền riêng tư của bạn là hai bản mô tả cùng một ứng dụng, và các cửa hàng đọc chúng cùng nhau. Khi chúng không khớp, vấn đề chính là sự không khớp đó — chứ không phải bản nào trong hai bản tình cờ sai. Google Play nói rõ: “When Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action.” (Bản dịch: “Khi Google phát hiện có sự khác biệt giữa hành vi của ứng dụng và bản khai của bạn, chúng tôi có thể thực hiện biện pháp phù hợp, bao gồm cả biện pháp thực thi.”)

Apple có cấu trúc tương tự dưới tên gọi khác: phần App Privacy details trên trang sản phẩm của bạn, cộng với URL chính sách quyền riêng tư bắt buộc.

Trang này nói về việc giữ cho hai bản luôn đồng bộ, và về thứ thứ ba mà cả hai đều được đối chiếu: những gì ứng dụng của bạn thực sự làm.

Tóm tắt về hai tài liệu

Biểu mẫu Data safety (Play Console → App content) và App Privacy details (App Store Connect) là các bản khai có cấu trúc: ô đánh dấu và danh mục, được hiển thị trên trang thông tin ứng dụng (store listing) dưới dạng bản tóm tắt người dùng đọc trước khi cài đặt. Đó là câu trả lời cho một bảng câu hỏi cố định.

Chính sách quyền riêng tư là văn bản đặt tại một URL bạn lưu trữ. Nó nói cùng những điều đó bằng câu chữ, cộng thêm những điều mà bảng câu hỏi không có ô nào — cơ sở pháp lý, thời gian lưu giữ, người cần liên hệ, cách yêu cầu xóa dữ liệu.

Không bản nào thay thế được bản kia. Chính sách không điền biểu mẫu thay bạn, và một biểu mẫu đã điền xong không có nghĩa là chính sách của bạn chính xác.

Chúng lệch nhau ở đâu

Chúng được viết cách nhau nhiều tháng. Chính sách được viết vào tuần ra mắt. Biểu mẫu được điền vào ngày gửi duyệt, bởi một người đọc danh sách phụ thuộc, và không ai quay lại xem chính sách.

Một SDK mới được thêm vào. Bạn thêm một công cụ báo lỗi sự cố trong một sprint. Pull request không đụng gì đến chính sách hay biểu mẫu, nên cả hai đều không thay đổi. Google Play nói rõ rằng trường hợp này cũng tính: việc thu thập dữ liệu “includes data collected and handled through any third-party libraries or SDKs used in their apps… You must reflect data collection or sharing carried out by such third-party code in the Data safety form for your app.” (Bản dịch: “bao gồm dữ liệu được thu thập và xử lý qua bất kỳ thư viện hay SDK bên thứ ba nào dùng trong ứng dụng… Bạn phải phản ánh việc thu thập hoặc chia sẻ dữ liệu do mã bên thứ ba đó thực hiện trong biểu mẫu Data safety của ứng dụng.”) Apple cũng yêu cầu như vậy: “You need to identify all of the data you or your third-party partners collect.” (Bản dịch: “Bạn cần xác định toàn bộ dữ liệu mà bạn hoặc các đối tác bên thứ ba của bạn thu thập.”)

Một tính năng ra mắt mà không có phần công bố tương ứng. Vị trí cho tính năng “tìm quanh đây”, một hệ thống giới thiệu chia sẻ user id với đối tác. Phần việc kỹ thuật thì ai cũng thấy; phần việc khai báo thì không nằm trên bảng công việc của ai cả.

Một trong hai bản được làm từ mẫu. Một chính sách được tạo tự động liệt kê mã định danh quảng cáo cho một ứng dụng không có quảng cáo cũng là sự không khớp chẳng kém gì việc bỏ sót — và còn dễ phát hiện hơn, vì nó mâu thuẫn với một biểu mẫu bạn đã điền trung thực.

Đối chiếu chúng, theo thứ tự duy nhất có tác dụng

Hãy bắt đầu từ ứng dụng, không phải từ tài liệu nào trong hai. Cả hai đều phải mô tả ứng dụng, nên sửa bản này theo bản kia chỉ làm lỗi dịch chỗ.

1. Mở các tệp khai báo phụ thuộc — build.gradle/libs.versions.toml, Podfile/Package.swift, pubspec.yaml, package.json. Liệt kê mọi SDK bên thứ ba.
2. Với mỗi SDK, ghi lại những gì nó gửi đi. Công cụ báo lỗi sự cố gửi mã định danh thiết bị và stack trace. SDK phân tích gửi sự kiện và thường cả advertising id. SDK quảng cáo gửi nhiều hơn thế đáng kể. Thư viện push đăng ký một device token. Nguồn tham chiếu ở đây là tài liệu quyền riêng tư của chính nhà cung cấp.
3. Thêm phần thu thập của riêng bạn — tài khoản, tệp tải lên, bất cứ thứ gì backend của bạn lưu trữ.
4. Kiểm tra các quyền và chuỗi mô tả mục đích sử dụng mà bạn khai báo, đây là một danh sách thứ hai, độc lập, về những gì ứng dụng có thể truy cập: ACCESS_FINE_LOCATION, NSLocationWhenInUseUsageDescription, máy ảnh, danh bạ, ảnh.
5. Bây giờ hãy điền biểu mẫu từ danh sách đó, và viết lại chính sách từ cùng danh sách ấy. Chúng trở nên nhất quán vì đến từ một nguồn, chứ không phải vì bạn đã so sánh chúng.

Thứ cần giữ cho luôn cập nhật là danh sách đó, không phải biểu mẫu. Cả hai bản khai đều bắt nguồn từ nó.

Giữ chúng đồng bộ về sau

Các bản khai trở nên lỗi thời một cách lặng lẽ, nên việc kiểm tra phải được gắn vào một thứ không lặng lẽ như vậy. Google Play yêu cầu điều này: “Your Data safety form responses must remain accurate and complete at all times.” (Bản dịch: “Các câu trả lời trong biểu mẫu Data safety của bạn phải luôn chính xác và đầy đủ.”) Apple cũng vậy: “You’re responsible for keeping your responses accurate and up to date.” (Bản dịch: “Bạn chịu trách nhiệm giữ cho câu trả lời của mình chính xác và cập nhật.”)

Cách rẻ nhất mà vẫn hiệu quả là một dòng trong danh sách kiểm tra phát hành — bản phát hành này có phụ thuộc nào thay đổi không? nếu có, hãy kiểm tra lại chính sách và biểu mẫu — vì thay đổi phụ thuộc chính là sự kiện làm cả hai mất hiệu lực.

Những gì trang này không thể cho bạn biết

Quy định cụ thể nào áp dụng cho bạn. GDPR, UK GDPR, CCPA/CPRA, LGPD và các quy định về quyền riêng tư của trẻ em đều đòi hỏi những nội dung riêng trong chính sách, và quy định nào áp dụng tùy thuộc vào nơi người dùng của bạn ở và ứng dụng của bạn làm gì. Nếu có điều gì bất thường về ứng dụng của bạn — dữ liệu sức khỏe, trẻ em, bất cứ điều gì bạn ngần ngại giải thích trong một câu — thì đáng bỏ ra một giờ tư vấn với luật sư. Các mẫu, kể cả của chúng tôi, là điểm khởi đầu, không phải lời khuyên.

AppFoyer làm gì ở đây

Chúng tôi soạn thảo chính sách quyền riêng tư từ các SDK tìm thấy trong tệp build của bạn — với một coding agent đọc repository, hoặc từ một biểu mẫu ngắn — để chính sách và câu trả lời bạn đưa cho các cửa hàng đến từ cùng một danh sách phụ thuộc chứ không phải từ trí nhớ. Danh sách kiểm tra tiếp tục gắn cờ trang cho đến khi phần giữ chỗ nêu tên các bên thứ ba của bạn được thay thế, vì phần đó là thứ người duyệt đối chiếu với biểu mẫu của bạn.

Chúng tôi không điền biểu mẫu Data safety thay bạn, và không dịch vụ nào làm được: đó là bản khai bạn ký trong console của chính mình, và Google Play nói “you alone are responsible for making complete and accurate declarations.” (Bản dịch: “chỉ riêng bạn chịu trách nhiệm đưa ra các bản khai đầy đủ và chính xác.”)

Nguồn chính thức

• Provide information for Google Play’s Data safety section — Google Play Console Help
• App privacy details on the App Store — Apple
• Privacy policy requirements — Google Play Help