如果我的应用什么都不收集，还需要隐私政策吗？
几乎肯定需要——而原因通常是应用收集的比开发者以为的更多。如何在十分钟内弄清楚，以及当答案真的是“什么都不收集”时，政策该怎么写。
需要。Google Play 要求所有应用提供隐私政策链接，Apple 也将隐私政策 URL 列为必填项。不仅如此，大多数“什么都不收集”的应用其实都会通过某个 SDK 收集数据——崩溃报告工具、分析库或广告 SDK——不管代码是不是你写的，这都算作收集。
几分钟就能搞定
AppFoyer 托管本指南所讲的页面——隐私政策、服务条款、支持、账号删除和 app-ads.txt——放在它们自己的子域名上，你无需自己的域名或服务器。一个应用免费，而且商店要求的任何内容都绝不放在付费墙后面。
核查于 2026年9月19日。 商店政策会变，有时不会事先通知。下文所有内容都链接到官方文档，以那个页面为准，而不是本页。如果两者不一致，以商店为准。 本指南译自英文；引用的商店文档保留英文原文。
这是移动应用合规中最常见的误解，每次都要让人白白耗掉一周。
这里其实是两个不同的问题。是否必须有政策？无论如何都必须——Google Play 的 User Data 政策写明 “all apps must post a privacy policy link in the designated field within Play Console, and a privacy policy link or text within the app itself”（译：所有应用都必须在 Play Console 的指定字段中发布隐私政策链接，并在应用内提供隐私政策链接或文本），Apple 也把隐私政策 URL 列为必填字段。你的应用是否收集数据？很可能会，而且并不是因为你写的代码。
你的代码什么都不收集，但你的依赖可能会
真正该问的不是“我收集了什么”，而是“我构建产物里的所有东西收集了什么”。下面是一份常见嫌疑名单，添加它们的时候，没有一个让人觉得是在收集数据：
| 你添加了什么 | 它会发送什么 |
|---|---|
| 崩溃报告工具 | 设备标识符、系统版本、堆栈跟踪 |
| 分析 SDK | 事件、会话数据，通常还有广告 ID |
| 广告 SDK | 设备标识符和广告标识符，以及更多 |
| 推送通知 | 设备令牌，而它从定义上就与某台设备绑定 |
| 登录库 | 邮箱地址、账号标识符 |
| “免费”的后端套餐 | 你在里面存储的任何内容 |
Google Play 明确表示这些都算你的：数据收集 “includes data collected and handled through any third-party libraries or SDKs used in their apps”（译：包括通过其应用中使用的任何第三方库或 SDK 收集和处理的数据）。Apple 要求你说明 “you or your third-party partners collect”（译：你或你的第三方合作伙伴收集）的数据。两家商店都不接受“那是 SDK 干的”这种回答。
十分钟检查
打开你的依赖文件，逐行阅读：
- Android ——
build.gradle/build.gradle.kts、libs.versions.toml，以及AndroidManifest.xml中的权限和 meta-data。 - iOS ——
Podfile、Package.swift、.pbxproj，以及Info.plist中的用途说明字符串。 - 跨平台 ——
pubspec.yaml、package.json、app.json。
任何会与服务器通信的东西都会收集一些数据。还要检查你声明的权限和你写的用途说明字符串：它们是另一份独立的清单，列出了应用能访问的内容，而审核人员会读它们。
这份清单就是你隐私政策的实质内容，也是你的 Data safety 回答必须与之一致的内容。两者不一致时，商店相信的是 SDK：Google Play 表示 “when Google becomes aware of a discrepancy between your app behavior and your declaration, we may take appropriate action, including enforcement action”（译：当 Google 发现你的应用行为与你的声明不一致时，我们可能会采取适当措施，包括执法措施）。
当答案真的是“什么都不收集”
确实有这种情况：本地计算器、离线工具、没有广告、没有分析、也没有崩溃报告的单机游戏。你仍然需要政策，而且它很短。直接写明：
- 应用不收集、不存储、不传输任何个人数据；
- 不使用任何分析、广告或崩溃报告服务；
- 应用保存的任何内容都留在设备上；
- 如何联系你；
- 政策的最后更新日期。
对于这样的应用，五句话就是一份完整而诚实的隐私政策。它绝对不能做的，是列出你并不做的事情——一个为没有广告的应用描述广告标识符的生成页面，本身就与你如实填写的 Data safety 表单不一致，而这恰恰会招来你本不需要面对的质询。
以后什么会改变答案
隐私政策不是上线时做完就结束的任务，它会过时。两家商店都要求它保持准确：Google Play 表示 Data safety 的回答 “must remain accurate and complete at all times”（译：必须始终保持准确和完整），Apple 表示你 “responsible for keeping your responses accurate and up to date”（译：有责任使你的回答保持准确和最新）。
让它失效的事件几乎总是同一个：某个依赖变了。在一次普通的迭代中加入一个分析 SDK，就会悄无声息地把一句真实的“我们什么都不收集”变成假话。在你的发版检查清单里加一行——有依赖变化吗？如果有，重新阅读政策和 Data safety 表单——你就永远不会在这件事上栽跟头。
AppFoyer 在这里做什么
我们读取你的构建文件——通过一个查看代码仓库的编码代理，或者通过一个简短的表单——并根据其中实际存在的内容起草政策，包括“什么都不收集”的情况，我们很乐意把它写成五句诚实的话，而不是凑篇幅。在列出你第三方服务的那一节从占位符变成真实内容之前，检查清单会一直标记这个页面。
这些模板只是起点，不是法律建议，每个生成的页面都会这样注明。
权威来源
- User Data policy — Google Play 帮助中心
- Provide information for Google Play’s Data safety section — Google Play 管理中心帮助
- App privacy details on the App Store — Apple