Checklist privacy per app mobile: cosa preparare prima dell’invio agli store

Immagina l’app di un personal trainer con account per i membri, localizzazione facoltativa, un modulo e-mail e strumenti di analisi. Esistono già quattro flussi di dati distinti. Basta cambiare una funzionalità per modificare anche il quadro della privacy.

La parte più difficile non è creare una pagina legale. È fare in modo che tre elementi descrivano la stessa app:

Se uno di questi elementi indica “nessun dato sulla posizione” mentre l’app inviata richiede l’accesso alla localizzazione, c’è un’incoerenza.

Gran parte della preparazione della privacy consiste nel verificare la coerenza: l’app, l’informativa e la scheda dello store devono raccontare la stessa storia. La coerenza è necessaria, ma non sostituisce il rispetto delle norme sostanziali degli store in materia di privacy e dati degli utenti.

Questo articolo ti aiuta a preparare quella storia. Non è una consulenza legale: i requisiti applicabili variano in base al Paese, al pubblico e al tipo di dati.

Parti dall’app che stai per inviare, non da quella descritta nel progetto iniziale. Apri ogni funzionalità e segui tutte le azioni che un utente può effettivamente compiere.

Per ogni flusso di dati, annota:

• il tipo di dati coinvolti, come un indirizzo e-mail, una posizione, una foto, un identificativo del dispositivo o l’attività nell’app;
• se il conferimento è obbligatorio o facoltativo;
• perché vengono raccolti o utilizzati;
• se possono essere collegati a una persona o a un account;
• se una terza parte li riceve o li tratta;
• per quanto tempo vengono conservati e come possono essere eliminati.

Controlla poi i flussi meno evidenti: analytics, pubblicità, social login, siti web incorporati, moduli, codice personalizzato e servizi esterni. Non considerare autorizzazioni e raccolta dei dati come sinonimi. Un’autorizzazione controlla l’accesso a una funzione del dispositivo; i moduli degli store chiedono cosa accade ai dati.

Per un’app GoodBarber, il Privacy Center offre un punto di partenza concreto perché elenca le autorizzazioni richieste dalle funzionalità attivate. L’uso di moduli, pagine web esterne, plugin e integrazioni personalizzate richiede comunque un controllo manuale: solo tu sai quali informazioni chiedi agli utenti e come le utilizzi.

Un’informativa generica pensata per un sito web raramente è sufficiente. La tua app può utilizzare autorizzazioni del dispositivo, account, caricamenti o servizi che non esistono sul sito.

Le App Review Guidelines di Apple richiedono un link all’informativa sulla privacy in App Store Connect e all’interno dell’app. L’informativa deve spiegare quali dati vengono raccolti, come sono utilizzati, quali terze parti possono accedervi, per quanto tempo sono conservati e come gli utenti possono revocare il consenso o chiederne l’eliminazione. Anche le norme sui dati degli utenti di Google Play richiedono un’informativa sulla privacy in Play Console e nell’app.

Prima dell’invio, verifica che l’informativa:

• indichi il nome dell’app o della persona giuridica riportata nella scheda dello store;
• identifichi i dati a cui l’app accede e quelli che raccoglie, utilizza e condivide;
• spieghi con un linguaggio chiaro lo scopo di ogni utilizzo;
• identifichi i servizi di terze parti rilevanti o le categorie di destinatari;
• descriva procedure sicure per il trattamento dei dati personali e sensibili degli utenti;
• spieghi la conservazione e l’eliminazione dei dati;
• fornisca un contatto privacy funzionante;
• per Google Play, sia ospitata a un URL attivo, pubblico e senza restrizioni geografiche, non sia modificabile, non sia un PDF e sia facile da trovare nell’app.

Un modello è solo un punto di partenza. Elimina le clausole che non si applicano e aggiungi i flussi di dati mancanti. GoodBarber fornisce un modello di informativa basato sulla configurazione dell’app; il proprietario dell’app resta responsabile del testo finale.

L’etichetta sulla privacy di Apple è un riepilogo strutturato visualizzato nella pagina prodotto dell’App Store. Non è l’informativa sulla privacy copiata in un altro campo.

In App Store Connect devi prima dichiarare se l’app o i suoi partner terzi raccolgono dati. Per ogni tipo di dati applicabile, Apple chiede quindi perché viene raccolto, se è collegato all’utente e se viene usato per il tracciamento. Apple richiede espressamente di includere le pratiche dei partner terzi il cui codice è integrato nell’app e di mantenere aggiornate le risposte quando tali pratiche cambiano.

Lavora a partire dal tuo inventario. Localizzazione, account, caricamenti, pubblicità e analytics possono modificare le risposte. Non copiare la dichiarazione di un’altra app.

Gli utenti GoodBarber possono seguire la guida aggiornata, campo per campo, per compilare il modulo App Privacy in App Store Connect. La guida distingue le dichiarazioni applicabili per impostazione predefinita da quelle che dipendono dalle autorizzazioni e dalle estensioni attivate.

Non confondere l’etichetta App Privacy con i privacy manifest di Apple. Un privacy manifest registra le categorie di dati raccolti da un’app o da un SDK di terze parti e i motivi approvati per utilizzare le API soggette a giustificazione. Apple richiede inoltre che alcuni SDK di terze parti di uso comune includano privacy manifest e firme validi. In GoodBarber, il livello di compilazione nativa gestisce il codice e le librerie del file binario; il tuo compito è fare in modo che le risposte fornite agli store riflettano la configurazione scelta.

La sezione Sicurezza dei dati di Google Play spiega anch’essa cosa raccoglie o condivide l’app e per quale motivo. Tuttavia, utilizza definizioni e un questionario propri di Google: la dichiarazione Apple è una preparazione utile, ma non può essere copiata senza modifiche.

Per una pubblicazione standard su Google Play, devi compilare il modulo Sicurezza dei dati anche se l’app non raccoglie dati degli utenti. Devi inoltre fornire un’informativa sulla privacy. La dichiarazione deve includere i dati gestiti tramite librerie e SDK di terze parti.

Per ogni tipo di dati, verifica se viene raccolto, condiviso o entrambe le cose, se il trattamento è temporaneo, se gli utenti possono scegliere e qual è lo scopo. Confronta quindi il modulo compilato con l’informativa sulla privacy. Google precisa che eventuali discrepanze tra il comportamento dell’app e la dichiarazione possono comportare provvedimenti.

La guida GoodBarber sulla Sicurezza dei dati di Google Play mette in relazione il modulo con il comportamento predefinito della piattaforma e con funzionalità come localizzazione, account e contenuti caricati dagli utenti. Evidenzia anche un limite importante: GoodBarber non può sapere come utilizzi le informazioni aggiuntive raccolte attraverso un modulo, un sito esterno, un plugin o un altro percorso personalizzato. Devi aggiungere personalmente questi utilizzi.

Le informazioni sulla privacy non sono complete se gli utenti non possono esercitare le scelte descritte.

Se l’app supporta la creazione di un account, Apple richiede che gli utenti possano avviarne l’eliminazione dall’interno dell’app. Per Google Play, le app che consentono di creare un account al loro interno devono offrire sia un percorso di eliminazione facilmente individuabile nell’app sia una risorsa web esterna da cui richiedere l’eliminazione dell’account e dei dati associati. Prova entrambi i percorsi con un account reale prima dell’invio e assicurati che l’informativa spieghi gli eventuali dati che devi conservare.

Il consenso e le autorizzazioni del dispositivo richiedono lo stesso test pratico. Chiedi solo gli accessi necessari alla funzionalità attivata. Spiega chiaramente lo scopo quando richiedi l’autorizzazione e mostra, prima della richiesta di sistema, qualsiasi informativa ben visibile all’interno dell’app richiesta dallo store. Se un servizio richiede il consenso nel mercato di destinazione, verifica che rifiutarlo o revocarlo produca il comportamento descritto nell’informativa. Ogni richiesta deve essere prevedibile, necessaria e comprensibile.

Fallo dopo aver definito la configurazione dell’app e prima di inviare la build.

Apri ogni URL relativo all’informativa e all’eliminazione in una finestra di navigazione privata. Controlla la build finale, non soltanto il back office. Se i revisori hanno bisogno di un account per accedere a contenuti riservati, fornisci credenziali funzionanti nelle note per la revisione.

Il Privacy Center di GoodBarber riunisce in un unico luogo tutti gli elementi che possono cambiare: inventario delle autorizzazioni, impostazioni del consenso, contatti privacy e contenuti dei termini e dell’informativa.

La configurazione dell’app e il file binario restano collegati. Le librerie di terze parti vengono integrate su richiesta quando si attiva la funzionalità corrispondente; disattivando la funzionalità, la libreria associata viene rimossa alla ricompilazione. L’impostazione predefinita consiste nel richiedere soltanto le autorizzazioni necessarie all’app.

In questo modo, la prima parte della checklist diventa visibile. Puoi vedere se sono attivi l’accesso alla localizzazione, alla fotocamera o legato alla pubblicità e poi usare le guide alla pubblicazione di GoodBarber per riportare queste scelte nelle console di entrambi gli store.

Nessuna piattaforma può dedurre lo scopo di un modulo personalizzato, i dati raccolti da una pagina esterna o la regola di conservazione applicata al di fuori dell’app. Il Privacy Center organizza la parte relativa alla piattaforma. Tu completi quella legata alla tua attività. Scopri l’intera architettura dedicata alla privacy per capire come si integrano autorizzazioni, librerie e preparazione agli store.

Se invece preferisci delegare il processo di pubblicazione, il servizio GoodBarber Takes Care (GBTC) può compilare per te i questionari sull’utilizzo dei dati di App Store e Google Play, usando la configurazione della tua app e le informazioni aggiuntive che fornisci.

L’obiettivo non è automatizzare la responsabilità, ma rendere possibile un lavoro accurato sulla privacy senza dover analizzare il funzionamento interno della tua app.

Le dichiarazioni non sono concluse quando viene approvata la prima versione. Rivedile ogni volta che aggiungi o rimuovi account, localizzazione, caricamenti, analytics, pubblicità, pagamenti, codice personalizzato o un servizio esterno. Fai lo stesso se modifichi lo scopo di un utilizzo, chi riceve i dati, per quanto tempo li conservi o come gli utenti possono eliminarli.

Inizia con un’azione concreta: apri il Privacy Center dell’app e inventaria ogni autorizzazione e servizio esterno attivo. Confronta quindi l’elenco con l’informativa, il modulo App Privacy di Apple e la sezione Sicurezza dei dati di Google Play. Tre elementi. Un’unica storia accurata.

Ogni app inviata all’App Store o a Google Play deve avere un’informativa sulla privacy?

Sì. Apple richiede un URL dell’informativa per tutte le app e un link al suo interno. Google Play richiede un’informativa in Play Console e nell’app, anche quando non vengono raccolti dati degli utenti.

Posso usare la stessa informativa sulla privacy per Apple e Google Play?

Sì, se descrive accuratamente l’app e soddisfa i requisiti di entrambi gli store. I questionari restano separati: App Privacy di Apple e Sicurezza dei dati di Google Play utilizzano strutture e definizioni diverse.

GoodBarber può compilare per me i questionari sulla privacy degli store?

Sì. Con il servizio GoodBarber Takes Care (GBTC), il nostro team può compilare i questionari sull’utilizzo dei dati di App Store e Google Play in base alla configurazione della tua app e alle informazioni aggiuntive che fornisci. Rimani responsabile di fornire un’informativa sulla privacy accurata e di dichiarare qualsiasi ulteriore utilizzo dei dati relativo a moduli, pagine esterne, plugin o integrazioni personalizzate.