ملصقات الخصوصية في App Store: دقّق حزم SDK للتحليلات أولًا (قائمة تحقق 2026)

يجب أن تغطي ملصقات الخصوصية في App Store ما تجمعه حزم SDK للتحليلات وغيرها من حزم الطرف الثالث، لا ما يرسله كودك الخاص فقط. قبل أن تجيب عن أسئلة خصوصية التطبيق (App Privacy) في App Store Connect، اجرد كل حزمة SDK في الإصدار، وسجّل البيانات التي ترسلها كل منها خارج الجهاز، وحدّد ما إذا كان أي منها يُستخدم للتتبع. أجب انطلاقًا من هذه القائمة، لا من الذاكرة.

هل يجب أن تتضمن ملصقات الخصوصية في App Store بيانات حزم SDK الخارجية؟

نعم. تشترط Apple أن تفصح عن البيانات التي يجمعها كود الشركاء من الأطراف الثالثة، حتى عندما تجمع حزمة SDK تلك البيانات لأغراض غير التحليلات أو الإعلانات.

تعرّف صفحة خصوصية التطبيق لدى Apple الشركاء من الأطراف الثالثة بأنهم "أدوات التحليلات، أو شبكات الإعلانات، أو حزم SDK من أطراف ثالثة، أو غيرهم من الموردين الخارجيين الذين أضفت كودهم إلى تطبيقك." لذا فإن أداة الإبلاغ عن الأعطال أو مكتبة تسجيل الدخول تنتمي إلى قائمتك. ومعيار الجمع يتعلق بالنقل: "الجمع" يعني "نقل البيانات خارج الجهاز بطريقة تتيح لك و/أو لشركائك من الأطراف الثالثة الوصول إليها لمدة أطول مما يلزم لخدمة الطلب المُرسل في الوقت الفعلي." والبيانات التي تُعالج على الجهاز فقط لا تُعد مجمّعة.

كيف تبني جردًا لحزم SDK من أجل ملصقات الخصوصية؟

ابنِ الجرد من الاعتماديات المحسومة (resolved dependencies) لنسخة الإصدار، بما فيها الاعتماديات غير المباشرة، وسجّل اسم كل حزمة SDK وإصدارها.

1. صدّر قائمة الاعتماديات المحسومة لكل منصة: Podfile.lock أو Package.resolved أو pubspec.lock أو شجرة اعتماديات Gradle.
2. احتفظ بالاعتماديات غير المباشرة. تنص متطلبات حزم SDK من الأطراف الثالثة لدى Apple على أنك "مسؤول عن كل الكود الذي تضمّنه حزمة SDK في تطبيقك"، لذا فإن أي وحدة مشتركة تجلبها حزمة SDK تُحتسب أيضًا.
3. سجّل اسم كل عنصر وإصداره. يغيّر الموردون طريقة تعاملهم مع البيانات بين الإصدارات، لذا يجب أن يكون الإصدار جزءًا من ملاحظات التدقيق.
4. ميّز حزم SDK التي تظهر في قائمة Apple لحزم الطرف الثالث الشائعة الاستخدام. لهذه الحزم، تشترط Apple ملفات بيان الخصوصية عند إرسال تطبيق جديد أو تحديث يضيفها، وتوقيعات عندما تكون اعتماديات ثنائية (binary). "يشمل ذلك أي إصدار من حزمة SDK مدرجة، وكذلك أي حزم SDK تعيد تغليف الحزم المدرجة في القائمة."

أضف هذه الخطوة إلى قائمة التحقق لإرسال التطبيق إلى App Store لتُنفَّذ مع كل إصدار، لا مع الإصدار الأول فقط.

ما أنواع بيانات الخصوصية في App Store التي ترتبط بها كل حزمة SDK؟

ترتبط كل حزمة SDK بنوع أو أكثر من أنواع البيانات الثابتة لدى Apple، مثل بيانات الأعطال (Crash Data) وبيانات الأداء (Performance Data) وتفاعل المنتج (Product Interaction) ومعرّف الجهاز (Device ID) وبيانات الإعلانات (Advertising Data). اقرأ وثائق البيانات الخاصة بالمورد واملأ صفًا لكل حزمة SDK:

تقول Apple إن البيانات المجمّعة "غالبًا ما تكون مرتبطة بهوية المستخدم، ما لم تُطبَّق إجراءات حماية خصوصية محددة قبل الجمع لإزالة الهوية منها أو إخفائها"، مثل حذف المعرّفات المباشرة كمعرّف المستخدم أو الاسم. وبعد الجمع، يجب ألا تعيد ربط البيانات بالمستخدم أو تربطها بمجموعات بيانات أخرى تحدد هويته. إذا لم تستطع التأكد من أن حزمة SDK تزيل الهوية من البيانات، فصنّفها على أنها مرتبطة بالمستخدم.

متى تُعد حزمة SDK للتحليلات تتبعًا؟

تُعد حزمة SDK للتحليلات تتبعًا عندما تربط بيانات عن مستخدميك أو أجهزتهم ببيانات من تطبيقات أو مواقع شركات أخرى لأغراض الإعلانات الموجّهة أو قياس الإعلانات، أو تشارك تلك البيانات مع وسيط بيانات (data broker).

تعريف Apple هو "ربط البيانات المجمّعة من تطبيقك عن مستخدم نهائي أو جهاز معيّن، مثل معرّف المستخدم أو معرّف الجهاز أو الملف الشخصي، ببيانات أطراف ثالثة لأغراض الإعلانات الموجّهة أو قياس الإعلانات، أو مشاركة البيانات المجمّعة من تطبيقك عن مستخدم نهائي أو جهاز معيّن مع وسيط بيانات." التحليلات التي تبقى داخل بيانات تطبيقك وحده ليست تتبعًا. أما قياس الإعلانات الذي يشارك معرّفًا بين التطبيقات فهو تتبع.

الفخ هو شريك ليس حزمة SDK إعلانية. مثال Apple هو "حزمة SDK لتسجيل الدخول تعيد توظيف البيانات التي تجمعها من تطبيقك لتمكين الإعلانات الموجّهة في تطبيقات مطورين آخرين"، وهذا يُعد تتبعًا حتى لو لم تستخدم الحزمة لهذا الغرض. إذا كانت إحدى حزم SDK لديك تفعل ذلك، فالحل المعتاد هو تغيير في الإعدادات يوقف الاستخدام عبر التطبيقات، أو التحول إلى مورد آخر.

هل يمكنك استبعاد أي بيانات لحزم SDK من ملصقات الخصوصية؟

فقط عندما يستوفي نوع البيانات جميع معايير Apple الأربعة للإفصاح الاختياري، ونادرًا جدًا ما تستوفيها بيانات التحليلات والأعطال. المعايير هي:

• ألا تُستخدم للتتبع.
• ألا تُستخدم لإعلانات الأطراف الثالثة، أو لإعلاناتك أو تسويقك الخاص، أو لأي أغراض أخرى.
• أن تُجمع فقط في حالات نادرة خارج الوظيفة الأساسية للتطبيق، وأن تكون اختيارية للمستخدم.
• أن يقدّمها المستخدم عبر واجهة التطبيق، وأن يكون واضحًا له ما الذي يُجمع، وأن يُعرض اسمه أو اسم حسابه بوضوح في نموذج الإرسال، وأن يختار تقديمها بشكل صريح في كل مرة.

وتضيف Apple أن "البيانات التي تُجمع بشكل مستمر بعد طلب أولي للإذن يجب الإفصاح عنها." تعمل حزم SDK للتحليلات باستمرار ولا يختارها المستخدم في كل مرة، لذا فهي تفشل في الاختبارين الأخيرين.

كيف يبدو تدقيق حزم SDK المكتمل؟

يمنح التدقيق المكتمل كل حزمة SDK صفًا واحدًا يحدد ما يجب الإفصاح عنه، وما إذا كانت البيانات مرتبطة بالمستخدم، وما إذا كانت تُستخدم للتتبع. إليك القالب لتطبيق افتراضي لتتبع العادات يحتوي على ثلاث حزم SDK. تعتمد الإجابات على وثائق كل مورد، لذا فهذه ليست نتائج عن منتجات حقيقية.

صف تسجيل الدخول هو ما يغيّر حجم العمل. فهو يجعل التطبيق تطبيق تتبع، لذا يجب أن تذكر الملصقات ذلك، ويجب أن تتوافق آلية طلب الموافقة لديك معه. الانتقال إلى مورد تسجيل دخول لا يشارك البيانات بين التطبيقات، أو إيقاف هذه المشاركة، أقل تكلفة بكثير قبل الإرسال منه بعد الرفض. بعد ذلك اختبر نسخة الإصدار مع تفعيل كل حزم SDK، كما في خطة اختبار نسخة الإصدار.

ما الذي حدث بشكل خاطئ لدى مطورين آخرين؟

تُظهر الحالات المُبلغ عنها علنًا ثلاث نقاط فشل: ملصقات لا تطابق الملف الثنائي، وبيانات حزم SDK لم يكن المطور على علم بها، وحزم SDK مدرجة شُحنت دون ملفات بيان.

• أزال مطور في منتديات Apple Developer التتبع من نسخة جديدة لكنه لم يتمكن من إزالته من الملصق. ظهرت في App Store Connect رسالة "يحتوي تطبيقك على NSUserTrackingUsageDescription، ما يشير إلى أنك ستطلب إذنًا لتتبع المستخدمين"، واستمرت المراجعة في الرفض برسالة "تشير معلومات خصوصية التطبيق التي قدمتها في App Store Connect إلى أنك تجمع البيانات من أجل تتبع المستخدم… ومع ذلك، لا تستخدم App Tracking Transparency." وقال المطور إن التطبيق قُبل بعد أن قدّم استئنافًا وانتظر الرد قبل إعادة الإرسال.
• استخدم مطور آخر في منتديات Apple Developer خدمة Firebase Analytics مع تعطيل جمع IDFA وIDFV وملصق "لا تتبع"، ومع ذلك تلقى رفضًا وفق الإرشاد 5.1.2. قالت الرسالة: "جمع ملفات تعريف الارتباط (cookies) هو شكل من أشكال التتبع." وأشارت إلى ملفات تعريف الارتباط في محتوى الويب الذي يحمّله التطبيق، لا إلى Firebase. ولفت أحد الردود إلى هذا التعارض، ولم يُنشر أي حل.
• تلقى مطورون في بلاغ على GitHub لمشروع RxSwift الخطأ "ITMS-91061: Missing privacy manifest" لكل من RxSwift وRxRelay وRxCocoa. وجّه أحد المستخدمين CocoaPods إلى الفرع 6.8.0 الذي يحتوي على ملف البيان، وذكر أنه شحن التحديث التالي "دون أي تحذيرات من Apple."

القاسم المشترك: تقارن Apple إجاباتك بما يفعله الملف الثنائي المشحون ومحتوى الويب فيه فعليًا، لذا فإن جردًا مبنيًا من النسخة الحقيقية يكشف المشكلات الثلاث قبل أن تكشفها المراجعة.

كيف تنشر ملصقات الخصوصية وتحدّثها في App Store Connect؟

انشر ملصقات الخصوصية من قسم App Privacy الخاص بتطبيقك في App Store Connect. لا تصبح الإجابات فعّالة إلا بعد النقر على Publish، وتقول Apple إنه يمكنك تغييرها في أي وقت دون إرسال تحديث للتطبيق.

1. في App Store Connect، اختر التطبيق، وانقر على App Privacy في الشريط الجانبي، ثم انقر على Get Started.
2. حدّد ما إذا كنت أنت أو شركاؤك من الأطراف الثالثة تجمعون البيانات، واختر كل أنواع البيانات الواردة في تدقيقك، ثم انقر على Save.
3. أجب عن أسئلة المتابعة لكل نوع بيانات، وانقر على Save، وراجع معاينة صفحة المنتج (Product Page Preview).
4. انقر على Publish في أعلى اليمين وأكّد نافذة الإقرار بدقة المعلومات.

وفقًا لصفحة إدارة خصوصية التطبيق، تحتاج إلى دور صاحب الحساب (Account Holder) أو المسؤول (Admin) أو مدير التطبيق (App Manager). إذا لم تكن صفحة المنتج متاحة بعد، فستُنشر إجاباتك عند إتاحتها. وإذا كان التطبيق معروضًا للبيع بالفعل، فيجب أن تعكس إجاباتك البيانات التي يجمعها ذلك الإصدار فقط. أما التغييرات على روابط سياسة الخصوصية فـ"تصدر مع الإصدار التالي من تطبيقك." إذا كانت المراجعة قد أشارت بالفعل إلى مشكلات في الخصوصية، فابدأ بـدليل إصلاح حالات الرفض في App Store.