Cách tìm hiểu các SDK của bạn thu thập gì

Mọi yêu cầu của cửa hàng về dữ liệu đều quy về một danh sách, và gần như không ai viết nó ra. Chính sách quyền riêng tư, biểu mẫu Data safety và câu trả lời App Privacy của bạn là ba cách thể hiện của cùng một danh sách — nên lập nó một lần, cho đúng, là toàn bộ công việc.

Cả hai cửa hàng đều nói rõ rằng hành vi của SDK được tính là của bạn. Google Play nói thu thập dữ liệu “includes data collected and handled through any third-party libraries or SDKs used in their apps” (bao gồm dữ liệu được thu thập và xử lý thông qua bất kỳ thư viện hoặc SDK bên thứ ba nào được dùng trong ứng dụng). Apple yêu cầu bạn xác định dữ liệu mà “you or your third-party partners collect” (bạn hoặc các đối tác bên thứ ba của bạn thu thập).

Bước 1 — tìm mọi SDK

Đọc các tệp, đừng dựa vào trí nhớ:

Nền tảng	Tệp
Android	build.gradle / build.gradle.kts, libs.versions.toml, AndroidManifest.xml (quyền, meta-data)
iOS	Podfile, Package.swift, *.pbxproj, Info.plist (chuỗi mô tả mục đích sử dụng), *.entitlements
Flutter	pubspec.yaml
React Native / Expo	package.json, app.json

Tính cả các phụ thuộc bắc cầu mà bạn không tự chọn: một SDK kéo theo một thư viện quảng cáo sẽ thu thập những gì thư viện đó thu thập.

Bước 2 — đọc trang công bố của chính từng nhà cung cấp

Phần lớn các nhà cung cấp nghiêm túc đều công bố một trang nói chính xác SDK của họ gửi đi những gì, vì khách hàng của họ cần nó cho chính những biểu mẫu này. Trang đó — không phải bài blog, không phải câu trả lời trên diễn đàn — là nguồn của bạn.

Firebase là ví dụ minh họa, vì Google công bố bảng phân tích theo từng sản phẩm, đối chiếu với các danh mục App Privacy của Apple:

Sản phẩm Firebase	Thu thập gì, theo tài liệu của Google
Analytics	App instance ID, thuộc tính người dùng, sự kiện, địa chỉ IP
Crashlytics	Stack trace và trạng thái ứng dụng lúc crash, thông tin thiết bị và hệ điều hành, cùng mọi custom key, log và user ID mà bạn đính kèm
Cloud Messaging	Push token gắn với một app installation ID; mẫu thiết bị, ngôn ngữ, múi giờ, phiên bản hệ điều hành, định danh và phiên bản ứng dụng
Authentication	Các định danh nó tạo ra, cùng địa chỉ email, số điện thoại và tên hiển thị từ các nhà cung cấp đăng nhập bạn bật
Performance Monitoring	Các chỉ số hiệu năng như thời gian khởi động và độ trễ mạng, thông tin thiết bị và hệ điều hành, địa chỉ IP để phân đoạn theo vị trí địa lý
Remote Config	Mã quốc gia và ngôn ngữ, múi giờ, phiên bản hệ điều hành, định danh ứng dụng và bundle

Hãy đọc bảng đó hai lần nếu bạn dùng Crashlytics: cột cuối một phần là do bạn. Custom key và user ID bạn đính kèm vào báo cáo crash là dữ liệu bạn chọn gửi đi, và chúng thuộc về chính sách của bạn, bằng lời của chính bạn.

Những nhà cung cấp khác có trang công bố đáng tìm đến trực tiếp: mạng quảng cáo (AdMob, AppLovin, Unity, ironSource), công cụ attribution (AppsFlyer, Adjust), báo lỗi (Sentry, Bugsnag), mua hàng (RevenueCat, Adapty) và các nhà cung cấp xác thực.

Bước 3 — khi nhà cung cấp không công bố gì

Chuyện đó có xảy ra, đặc biệt với các thư viện nhỏ. Khi đó:

• Đọc lưu lượng mạng. Chạy ứng dụng qua một proxy và xem SDK gửi đi những gì. Đây là phương pháp duy nhất không thể cãi lại, và nó giải quyết câu hỏi trong một buổi chiều.
• Đọc mã nguồn, nếu nó là mã nguồn mở.
• Hỏi nhà cung cấp bằng văn bản và giữ lại câu trả lời.
• Cân nhắc gỡ bỏ nó. Một phụ thuộc mà không ai chịu nói rõ hành vi dữ liệu của nó là một rủi ro bạn đang gánh vì sự tiện lợi của người khác.

Bước 4 — biến danh sách thành ba tài liệu

Một danh sách, ba cách thể hiện, theo thứ tự này:

1. Chính sách quyền riêng tư — danh mục, mục đích, các bên thứ ba được nêu tên, thời hạn lưu giữ, liên hệ.
2. Biểu mẫu Data safety trong Play Console — cùng những dữ kiện đó dưới dạng ô đánh dấu.
3. App Privacy trong App Store Connect — lại cùng những dữ kiện đó, theo danh mục của Apple.

Điền chúng từ danh sách, đừng bao giờ điền cái này từ cái kia. Khi hai bên không khớp, cửa hàng tin SDK: Google Play nêu rằng “when Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action” (khi Google phát hiện sự khác biệt giữa hành vi của ứng dụng và nội dung bạn khai báo, chúng tôi có thể có biện pháp thích hợp, bao gồm cả biện pháp thực thi).

Giữ cho nó đúng

Sự kiện khiến cả ba mất hiệu lực luôn là một: một phụ thuộc đã thay đổi. Hãy thêm một dòng vào checklist phát hành — có phụ thuộc nào thay đổi trong bản phát hành này không? nếu có, kiểm tra lại chính sách và cả hai biểu mẫu — vì cả hai cửa hàng đều yêu cầu những thứ này luôn chính xác, chứ không chỉ là đã từng chính xác lúc ra mắt.

AppFoyer làm gì ở đây

Phương pháp này là thứ agent của chúng tôi tự động hóa. Trỏ một coding agent vào repository và nó sẽ đọc các tệp phụ thuộc đó, đối chiếu những gì tìm thấy với một bản đồ các SDK đã biết, và soạn chính sách quyền riêng tư nêu tên các bên thứ ba nó tìm thấy — kèm báo cáo tệp và dòng nguồn gốc của từng dữ kiện, để bạn kiểm tra thay vì phải tin. Không có agent, một biểu mẫu ngắn sẽ hỏi cùng những câu hỏi đó.

Thứ nó tạo ra là bản nháp để bạn xem lại. Nó không nhìn thấy thư viện mà nó không nhận ra, và nó không bao giờ xuất bản gì nếu không có cú nhấp của bạn.

Nguồn chính thức

• Quyền riêng tư và bảo mật trong Firebase và Thu thập dữ liệu cho App Store — Google. Bảng ở trên lấy từ các trang này; chúng là nguồn có thẩm quyền, không phải trang này.
• Cung cấp thông tin cho mục An toàn dữ liệu của Google Play — Trung tâm trợ giúp Google Play Console
• Chi tiết quyền riêng tư của ứng dụng trên App Store — Apple