App Store প্রাইভেসি লেবেল: আগে আপনার অ্যানালিটিক্স SDK অডিট করুন (2026 চেকলিস্ট)

আপনার App Store প্রাইভেসি লেবেলে শুধু আপনার নিজের কোড কী পাঠায় তা নয়, আপনার অ্যানালিটিক্স ও অন্যান্য থার্ড-পার্টি SDK কী সংগ্রহ করে তাও থাকতে হবে। App Store Connect-এ App Privacy প্রশ্নের উত্তর দেওয়ার আগে রিলিজের প্রতিটি SDK তালিকাভুক্ত করুন, প্রতিটি ডিভাইস থেকে যে ডেটা পাঠায় তা লিখে রাখুন, এবং এর কোনোটি ট্র্যাকিংয়ে ব্যবহৃত হয় কি না তা ঠিক করুন। স্মৃতি থেকে নয়, সেই তালিকা দেখে উত্তর দিন।

App Store প্রাইভেসি লেবেলে কি থার্ড-পার্টি SDK-র ডেটা অন্তর্ভুক্ত করতে হয়?

হ্যাঁ। থার্ড-পার্টি পার্টনারদের কোড যে ডেটা সংগ্রহ করে, তা ঘোষণা করা Apple বাধ্যতামূলক করেছে, এমনকি SDK যদি অ্যানালিটিক্স বা বিজ্ঞাপন ছাড়া অন্য কারণেও সেই ডেটা সংগ্রহ করে।

Apple-এর App Privacy পেজ থার্ড-পার্টি পার্টনারদের সংজ্ঞা দেয় এভাবে: "অ্যানালিটিক্স টুল, বিজ্ঞাপন নেটওয়ার্ক, থার্ড-পার্টি SDK, বা অন্যান্য বাহ্যিক ভেন্ডর, যাদের কোড আপনি আপনার অ্যাপে যোগ করেছেন।" তাই ক্র্যাশ রিপোর্টার বা সাইন-ইন লাইব্রেরিও আপনার তালিকায় থাকবে। সংগ্রহের মাপকাঠি হলো ট্রান্সমিশন: "সংগ্রহ" মানে "ডিভাইস থেকে ডেটা এমনভাবে পাঠানো, যাতে আপনি এবং/অথবা আপনার থার্ড-পার্টি পার্টনাররা রিয়েল টাইমে পাঠানো অনুরোধ পূরণের জন্য প্রয়োজনীয় সময়ের চেয়ে বেশি সময় ধরে তা অ্যাক্সেস করতে পারেন।" শুধু ডিভাইসে প্রসেস হওয়া ডেটা সংগৃহীত নয়।

প্রাইভেসি লেবেলের জন্য SDK ইনভেন্টরি কীভাবে তৈরি করবেন?

রিলিজ বিল্ডের রিজলভড ডিপেনডেন্সি থেকে, ট্রানজিটিভগুলোসহ, ইনভেন্টরি তৈরি করুন এবং প্রতিটি SDK-র নাম ও ভার্সন লিখে রাখুন।

1. প্রতিটি প্ল্যাটফর্মের রিজলভড ডিপেনডেন্সি তালিকা এক্সপোর্ট করুন: Podfile.lock, Package.resolved, pubspec.lock, অথবা আপনার Gradle ডিপেনডেন্সি ট্রি।
2. ট্রানজিটিভ ডিপেনডেন্সিগুলো রাখুন। Apple-এর থার্ড-পার্টি SDK শর্তাবলি বলে, "SDK আপনার অ্যাপে যে সব কোড অন্তর্ভুক্ত করে, তার দায় আপনার," তাই কোনো SDK যে শেয়ার্ড মডিউল টেনে আনে সেটিও গণ্য হয়।
3. প্রতিটি এন্ট্রির নাম ও ভার্সন লিখে রাখুন। ভেন্ডররা ভার্সনভেদে ডেটা হ্যান্ডলিং বদলায়, তাই ভার্সনটি আপনার অডিট নোটে থাকা উচিত।
4. Apple-এর বহুল ব্যবহৃত থার্ড-পার্টি SDK তালিকায় থাকা SDK-গুলো চিহ্নিত করুন। এগুলোর জন্য নতুন অ্যাপ বা সেগুলো যোগ করা আপডেট সাবমিট করলে Apple প্রাইভেসি ম্যানিফেস্ট চায়, আর বাইনারি ডিপেনডেন্সি হলে সিগনেচারও চায়। "তালিকাভুক্ত SDK-র যেকোনো ভার্সন, এবং তালিকার SDK-গুলোকে রিপ্যাকেজ করা যেকোনো SDK অন্তর্ভুক্ত।"

এই ধাপটি আপনার App Store সাবমিশন চেকলিস্টে যোগ করুন, যাতে এটি শুধু প্রথমবার নয়, প্রতিটি রিলিজে চলে।

প্রতিটি SDK কোন App Store প্রাইভেসি ডেটা টাইপের সঙ্গে মেলে?

প্রতিটি SDK Apple-এর নির্দিষ্ট এক বা একাধিক ডেটা টাইপের সঙ্গে মেলে, যেমন Crash Data, Performance Data, Product Interaction, Device ID এবং Advertising Data। ভেন্ডরের ডেটা ডকুমেন্টেশন পড়ুন এবং প্রতিটি SDK-র জন্য একটি সারি পূরণ করুন:

Apple বলে, সংগৃহীত ডেটা "প্রায়ই ব্যবহারকারীর পরিচয়ের সঙ্গে যুক্ত থাকে, যদি না সংগ্রহের আগেই একে ডি-আইডেন্টিফাই বা অ্যানোনিমাইজ করার জন্য নির্দিষ্ট প্রাইভেসি সুরক্ষা ব্যবস্থা নেওয়া হয়," যেমন ইউজার ID বা নামের মতো সরাসরি শনাক্তকারী সরিয়ে ফেলা। সংগ্রহের পরেও ডেটাকে আবার ব্যবহারকারীর সঙ্গে যুক্ত করা বা তাদের শনাক্ত করে এমন অন্য ডেটাসেটের সঙ্গে জোড়া যাবে না। কোনো SDK ডেটা ডি-আইডেন্টিফাই করে কি না নিশ্চিত হতে না পারলে, সেটিকে linked হিসেবে চিহ্নিত করুন।

কখন একটি অ্যানালিটিক্স SDK ট্র্যাকিং হিসেবে গণ্য হয়?

একটি অ্যানালিটিক্স SDK তখন ট্র্যাকিং হিসেবে গণ্য হয়, যখন এটি টার্গেটেড বিজ্ঞাপন বা বিজ্ঞাপন পরিমাপের জন্য আপনার ব্যবহারকারী বা ডিভাইসের ডেটাকে অন্য কোম্পানির অ্যাপ বা সাইটের ডেটার সঙ্গে যুক্ত করে, অথবা সেই ডেটা কোনো ডেটা ব্রোকারের সঙ্গে শেয়ার করে।

Apple-এর সংজ্ঞা হলো "টার্গেটেড বিজ্ঞাপন বা বিজ্ঞাপন পরিমাপের উদ্দেশ্যে আপনার অ্যাপ থেকে কোনো নির্দিষ্ট এন্ড-ইউজার বা ডিভাইস সম্পর্কে সংগৃহীত ডেটা, যেমন ইউজার ID, ডিভাইস ID বা প্রোফাইল, থার্ড-পার্টি ডেটার সঙ্গে যুক্ত করা, অথবা আপনার অ্যাপ থেকে কোনো নির্দিষ্ট এন্ড-ইউজার বা ডিভাইস সম্পর্কে সংগৃহীত ডেটা কোনো ডেটা ব্রোকারের সঙ্গে শেয়ার করা।" যে অ্যানালিটিক্স আপনার নিজের অ্যাপের ডেটার মধ্যেই থাকে, তা ট্র্যাকিং নয়। যে বিজ্ঞাপন পরিমাপ বিভিন্ন অ্যাপের মধ্যে একটি শনাক্তকারী শেয়ার করে, তা ট্র্যাকিং।

ফাঁদটি হলো এমন পার্টনার যা বিজ্ঞাপন SDK নয়। Apple-এর উদাহরণ হলো "এমন একটি লগইন SDK, যা আপনার অ্যাপ থেকে সংগৃহীত ডেটা অন্য ডেভেলপারদের অ্যাপে টার্গেটেড বিজ্ঞাপন চালানোর জন্য পুনর্ব্যবহার করে," যা ট্র্যাকিং হিসেবে গণ্য হয়, এমনকি আপনি সেই উদ্দেশ্যে SDK-টি ব্যবহার না করলেও। আপনার কোনো SDK এমন করলে, সাধারণ সমাধান হলো এমন কনফিগারেশন পরিবর্তন যা ক্রস-অ্যাপ ব্যবহার বন্ধ করে, অথবা অন্য ভেন্ডর।

কোনো SDK-র ডেটা কি প্রাইভেসি লেবেল থেকে বাদ দেওয়া যায়?

কেবল তখনই, যখন একটি ডেটা টাইপ Apple-এর ঐচ্ছিক প্রকাশের চারটি শর্তই পূরণ করে, আর অ্যানালিটিক্স ও ক্র্যাশ ডেটা প্রায় কখনোই তা করে না। শর্তগুলো হলো:

• এটি ট্র্যাকিংয়ের জন্য ব্যবহৃত হয় না।
• এটি থার্ড-পার্টি বিজ্ঞাপন, আপনার নিজের বিজ্ঞাপন বা মার্কেটিং, অথবা অন্য কোনো উদ্দেশ্যে ব্যবহৃত হয় না।
• এটি কেবল অ্যাপের মূল কার্যকারিতার বাইরে মাঝেমধ্যে সংগ্রহ করা হয়, এবং ব্যবহারকারীর জন্য ঐচ্ছিক।
• ব্যবহারকারী অ্যাপের ইন্টারফেসে এটি প্রদান করেন, কী সংগ্রহ করা হচ্ছে তা তাদের কাছে স্পষ্ট, সাবমিশন ফর্মে তাদের নাম বা অ্যাকাউন্ট নাম স্পষ্টভাবে দেখানো থাকে, এবং প্রতিবার তারা সক্রিয়ভাবে তা দেওয়ার সিদ্ধান্ত নেন।

Apple আরও বলে, "প্রাথমিক অনুমতি চাওয়ার পর নিয়মিতভাবে সংগৃহীত ডেটা অবশ্যই প্রকাশ করতে হবে।" অ্যানালিটিক্স SDK অবিরাম চলে এবং ব্যবহারকারী প্রতিবার সেগুলো বেছে নেন না, তাই এগুলো শেষ দুটি শর্তে ব্যর্থ হয়।

একটি সম্পূর্ণ SDK অডিট দেখতে কেমন?

সম্পূর্ণ অডিটে প্রতিটি SDK-র জন্য একটি সারি থাকে, যেখানে লেখা থাকে কী ঘোষণা করতে হবে, ডেটা ব্যবহারকারীর সঙ্গে যুক্ত কি না, এবং তা ট্র্যাকিংয়ে ব্যবহৃত হয় কি না। নিচে তিনটি SDK সহ একটি কাল্পনিক হ্যাবিট-ট্র্যাকিং অ্যাপের টেমপ্লেট দেওয়া হলো। উত্তরগুলো প্রতিটি ভেন্ডরের ডকুমেন্টেশনের ওপর নির্ভর করে, তাই এগুলো বাস্তব কোনো প্রোডাক্ট সম্পর্কে ফলাফল নয়।

সাইন-ইন সারিটিই কাজের ধরন বদলে দেয়। এটি অ্যাপটিকে ট্র্যাকিং অ্যাপে পরিণত করে, তাই লেবেলে তা উল্লেখ করতে হবে এবং আপনার সম্মতি ব্যবস্থাপনাও তার সঙ্গে মিলতে হবে। এমন সাইন-ইন ভেন্ডরে চলে যাওয়া যা বিভিন্ন অ্যাপে ডেটা শেয়ার করে না, অথবা সেই শেয়ারিং বন্ধ করা, রিজেকশনের পরের চেয়ে সাবমিশনের আগে অনেক কম খরচের। তারপর রিলিজ-বিল্ড টেস্ট প্ল্যানের মতো প্রতিটি SDK চালু রেখে রিলিজ বিল্ড টেস্ট করুন।

অন্য ডেভেলপারদের ক্ষেত্রে কী ভুল হয়েছিল?

প্রকাশ্যে জানানো ঘটনাগুলোতে তিনটি ব্যর্থতার জায়গা দেখা যায়: বাইনারির সঙ্গে না মেলা লেবেল, ডেভেলপারের অজানা SDK ডেটা, এবং ম্যানিফেস্ট ছাড়া পাঠানো তালিকাভুক্ত SDK।

• Apple Developer Forums-এ একজন ডেভেলপার নতুন বিল্ড থেকে ট্র্যাকিং সরিয়েছিলেন, কিন্তু লেবেল থেকে তা সরাতে পারছিলেন না। App Store Connect বলছিল "আপনার অ্যাপে NSUserTrackingUsageDescription আছে, যা নির্দেশ করে আপনি ব্যবহারকারীদের ট্র্যাক করার অনুমতি চাইবেন," আর রিভিউ বারবার রিজেক্ট করছিল এই বার্তায়: "App Store Connect-এ আপনার দেওয়া অ্যাপ প্রাইভেসি তথ্য নির্দেশ করে যে আপনি ব্যবহারকারীকে ট্র্যাক করার জন্য ডেটা সংগ্রহ করেন… কিন্তু আপনি App Tracking Transparency ব্যবহার করেন না।" ডেভেলপার জানান, আপিল করে রিসাবমিট করার আগে উত্তরের অপেক্ষা করার পর অ্যাপটি অনুমোদিত হয়।
• Apple Developer Forums-এ আরেকজন ডেভেলপার IDFA ও IDFV সংগ্রহ বন্ধ রেখে Firebase Analytics ব্যবহার করছিলেন এবং লেবেলে "no tracking" দিয়েছিলেন, তবুও Guideline 5.1.2 রিজেকশন পান। বার্তায় বলা হয়: "কুকি সংগ্রহ করা ট্র্যাকিংয়ের একটি রূপ।" এটি Firebase নয়, বরং অ্যাপে লোড হওয়া ওয়েব কনটেন্টের কুকির দিকে ইঙ্গিত করছিল। একটি উত্তরে এই অমিলটি দেখানো হয়, তবে কোনো সমাধান পোস্ট করা হয়নি।
• একটি RxSwift GitHub ইস্যুতে ডেভেলপাররা RxSwift, RxRelay ও RxCocoa-এর জন্য "ITMS-91061: Missing privacy manifest" পান। একজন ব্যবহারকারী CocoaPods-কে 6.8.0 ব্রাঞ্চের দিকে নির্দেশ করেন, যেখানে ম্যানিফেস্ট আছে, এবং জানান যে পরবর্তী আপডেট "Apple-এর কোনো সতর্কবার্তা ছাড়াই" পাঠানো গেছে।

সাধারণ সূত্রটি হলো: Apple আপনার উত্তরগুলোকে পাঠানো বাইনারি ও তার ওয়েব কনটেন্ট আসলে যা করে তার সঙ্গে তুলনা করে, তাই আসল বিল্ড থেকে তৈরি ইনভেন্টরি রিভিউয়ের আগেই তিনটি সমস্যাই ধরে ফেলে।

App Store Connect-এ প্রাইভেসি লেবেল কীভাবে প্রকাশ ও আপডেট করবেন?

App Store Connect-এ আপনার অ্যাপের App Privacy সেকশন থেকে প্রাইভেসি লেবেল প্রকাশ করুন। Publish-এ ক্লিক করার পরেই উত্তরগুলো লাইভ হয়, এবং Apple বলে অ্যাপ আপডেট সাবমিট না করেই আপনি যেকোনো সময় সেগুলো পরিবর্তন করতে পারেন।

1. App Store Connect-এ অ্যাপটি সিলেক্ট করুন, সাইডবারে App Privacy-তে ক্লিক করুন, তারপর Get Started-এ ক্লিক করুন।
2. আপনি বা আপনার থার্ড-পার্টি পার্টনাররা ডেটা সংগ্রহ করেন কি না জানান, অডিট থেকে প্রতিটি ডেটা টাইপ সিলেক্ট করুন, এবং Save-এ ক্লিক করুন।
3. প্রতিটি ডেটা টাইপের ফলো-আপ প্রশ্নের উত্তর দিন, Save-এ ক্লিক করুন, এবং Product Page Preview দেখে নিন।
4. ওপরে ডানদিকে Publish-এ ক্লিক করুন এবং নির্ভুলতা নিশ্চিতকরণের ডায়ালগটি কনফার্ম করুন।

Manage app privacy অনুযায়ী, আপনার Account Holder, Admin অথবা App Manager রোল লাগবে। প্রোডাক্ট পেজ এখনো লাইভ না হলে, সেটি লাইভ হওয়ার সময় আপনার উত্তরগুলো প্রকাশিত হবে। অ্যাপ ইতিমধ্যে বিক্রয়ে থাকলে, আপনার উত্তরে কেবল সেই ভার্সনের সংগৃহীত ডেটা প্রতিফলিত হওয়া উচিত। প্রাইভেসি পলিসি URL-এর পরিবর্তন "আপনার পরবর্তী অ্যাপ ভার্সনের সঙ্গে রিলিজ হয়।" রিভিউ যদি ইতিমধ্যে প্রাইভেসি সমস্যা চিহ্নিত করে থাকে, তাহলে App Store রিজেকশন সমাধান গাইড দিয়ে শুরু করুন।