Etiquetas de privacidad del App Store: audita primero tus SDK de analítica (checklist 2026)

Tus etiquetas de privacidad del App Store deben cubrir lo que recopilan tus SDK de analítica y demás SDK de terceros, no solo lo que envía tu propio código. Antes de responder a las preguntas de Privacidad de la app en App Store Connect, enumera todos los SDK de la versión, anota los datos que cada uno envía fuera del dispositivo y decide si alguno se usa para rastreo. Responde a partir de esa lista, no de memoria.

¿Las etiquetas de privacidad del App Store deben incluir los datos de SDK de terceros?

Sí. Apple te exige declarar los datos que recopila el código de socios externos, incluso cuando el SDK recopila esos datos con fines distintos de la analítica o la publicidad.

La página de privacidad de apps de Apple define a los socios externos como "herramientas de analítica, redes publicitarias, SDK de terceros u otros proveedores externos cuyo código hayas añadido a tu app". Así que un sistema de informes de fallos o una biblioteca de inicio de sesión también entran en tu lista. La prueba de recopilación se basa en la transmisión: "recopilar" significa "transmitir datos fuera del dispositivo de forma que tú o tus socios externos podáis acceder a ellos durante un periodo superior al necesario para atender la solicitud transmitida en tiempo real". Los datos que solo se procesan en el dispositivo no se consideran recopilados.

¿Cómo se crea un inventario de SDK para las etiquetas de privacidad?

Crea el inventario a partir de las dependencias resueltas del build de producción, incluidas las transitivas, y anota el nombre y la versión de cada SDK.

1. Exporta la lista de dependencias resueltas de cada plataforma: Podfile.lock, Package.resolved, pubspec.lock o tu árbol de dependencias de Gradle.
2. Conserva las dependencias transitivas. Los requisitos de SDK de terceros de Apple dicen que eres "responsable de todo el código que el SDK incluye en tu app", así que un módulo compartido que arrastra un SDK también cuenta.
3. Anota el nombre y la versión de cada entrada. Los proveedores cambian cómo tratan los datos entre versiones, así que la versión debe figurar en tus notas de auditoría.
4. Marca los SDK que aparecen en la lista de Apple de SDK de terceros de uso común. Para ellos, Apple exige manifiestos de privacidad cuando envías una app nueva o una actualización que los añade, y firmas cuando son dependencias binarias. "Se incluye cualquier versión de un SDK de la lista, así como cualquier SDK que reempaquete los de la lista".

Añade este paso a tu checklist de envío al App Store para que se ejecute en cada versión, no solo en la primera.

¿A qué tipos de datos de privacidad del App Store corresponde cada SDK?

Cada SDK corresponde a uno o varios de los tipos de datos fijos de Apple, como Datos de fallos, Datos de rendimiento, Interacción con el producto, ID del dispositivo y Datos publicitarios. Lee la documentación de datos del proveedor y rellena una fila por SDK:

Apple indica que los datos recopilados "suelen estar vinculados a la identidad del usuario, salvo que se apliquen protecciones de privacidad específicas antes de la recopilación para desidentificarlos o anonimizarlos", como eliminar identificadores directos como el ID de usuario o el nombre. Después de la recopilación, tampoco debes volver a vincular los datos al usuario ni asociarlos a otros conjuntos de datos que lo identifiquen. Si no puedes confirmar que un SDK desidentifica los datos, márcalos como vinculados.

¿Cuándo cuenta un SDK de analítica como rastreo?

Un SDK de analítica cuenta como rastreo cuando vincula datos sobre tus usuarios o dispositivos con datos de apps o sitios web de otras empresas para publicidad dirigida o medición publicitaria, o cuando comparte esos datos con un intermediario de datos (data broker).

La definición de Apple es "vincular datos recopilados desde tu app sobre un usuario final o dispositivo concreto, como un ID de usuario, un ID de dispositivo o un perfil, con datos de terceros con fines de publicidad dirigida o de medición publicitaria, o compartir datos recopilados desde tu app sobre un usuario final o dispositivo concreto con un intermediario de datos". La analítica que se queda dentro de los datos de tu propia app no es rastreo. La medición publicitaria que comparte un identificador entre apps sí lo es.

La trampa es un socio que no es un SDK publicitario. El ejemplo de Apple es "un SDK de inicio de sesión que reutiliza los datos que recopila de tu app para permitir publicidad dirigida en apps de otros desarrolladores", lo cual cuenta como rastreo aunque tú no uses el SDK con ese fin. Si uno de tus SDK hace esto, la solución habitual es un cambio de configuración que detenga el uso entre apps, o cambiar de proveedor.

¿Puedes omitir algún dato de SDK en tus etiquetas de privacidad?

Solo cuando un tipo de dato cumple los cuatro criterios de divulgación opcional de Apple, y los datos de analítica y de fallos casi nunca los cumplen. Los criterios son:

• No se usa para rastreo.
• No se usa para publicidad de terceros, para tu propia publicidad o marketing, ni para otros fines.
• Se recopila solo en casos poco frecuentes, al margen de la funcionalidad principal de la app, y es opcional para el usuario.
• El usuario lo proporciona en la interfaz de la app, le queda claro qué se recopila, su nombre o nombre de cuenta aparece de forma destacada en el formulario de envío y elige expresamente proporcionarlo cada vez.

Apple añade que "los datos recopilados de forma continua tras una solicitud inicial de permiso deben declararse". Los SDK de analítica funcionan de forma continua y el usuario no los elige cada vez, así que no superan las dos últimas pruebas.

¿Cómo es una auditoría de SDK terminada?

Una auditoría terminada da a cada SDK una fila que indica qué declarar, si los datos están vinculados al usuario y si se usan para rastreo. Esta es la plantilla para una app hipotética de seguimiento de hábitos con tres SDK. Las respuestas dependen de la documentación de cada proveedor, así que no son conclusiones sobre productos reales.

La fila de inicio de sesión cambia el trabajo. Convierte la app en una app que rastrea, así que las etiquetas deben indicarlo y tu gestión del consentimiento debe estar a la altura. Cambiar a un proveedor de inicio de sesión que no comparta datos entre apps, o desactivar ese intercambio, sale mucho más barato antes del envío que después de un rechazo. Después, prueba el build de producción con todos los SDK activados, como en el plan de pruebas del build de producción.

¿Qué les salió mal a otros desarrolladores?

Los casos publicados muestran tres puntos de fallo: etiquetas que no coinciden con el binario, datos de SDK que el desarrollador desconocía y SDK de la lista publicados sin manifiesto.

• Un desarrollador en los Apple Developer Forums eliminó el rastreo en un nuevo build, pero no podía quitarlo de la etiqueta. App Store Connect indicaba "Tu app contiene NSUserTrackingUsageDescription, lo que indica que solicitarás permiso para rastrear a los usuarios", y la revisión seguía rechazándola con "La información de privacidad de la app que proporcionaste en App Store Connect indica que recopilas datos para rastrear al usuario… Sin embargo, no usas App Tracking Transparency". El desarrollador contó que la app se aprobó después de presentar una apelación y esperar la respuesta antes de volver a enviarla.
• Otro desarrollador en los Apple Developer Forums usaba Firebase Analytics con la recopilación de IDFA e IDFV desactivada y una etiqueta de "sin rastreo", y aun así recibió un rechazo por la directriz 5.1.2. El mensaje decía: "Recopilar cookies es una forma de rastreo". Apuntaba a las cookies del contenido web que cargaba la app, no a Firebase. Una respuesta señaló la discrepancia y no se publicó ninguna solución.
• Desarrolladores en una incidencia de RxSwift en GitHub recibieron "ITMS-91061: Missing privacy manifest" para RxSwift, RxRelay y RxCocoa. Un usuario apuntó CocoaPods a la rama 6.8.0, que contiene el manifiesto, e informó de que publicó la siguiente actualización "sin ninguna advertencia de Apple".

El denominador común: Apple compara tus respuestas con lo que realmente hacen el binario publicado y su contenido web, así que un inventario creado a partir del build real detecta los tres problemas antes que la revisión.

¿Cómo se publican y actualizan las etiquetas de privacidad en App Store Connect?

Publica las etiquetas de privacidad desde la sección Privacidad de la app de tu app en App Store Connect. Las respuestas solo se publican después de hacer clic en Publicar, y Apple indica que puedes cambiarlas en cualquier momento sin enviar una actualización de la app.

1. En App Store Connect, selecciona la app, haz clic en Privacidad de la app en la barra lateral y luego en Comenzar.
2. Indica si tú o tus socios externos recopiláis datos, selecciona todos los tipos de datos de tu auditoría y haz clic en Guardar.
3. Responde a las preguntas de seguimiento de cada tipo de dato, haz clic en Guardar y revisa la vista previa de la página de producto.
4. Haz clic en Publicar, arriba a la derecha, y confirma el cuadro de diálogo sobre la exactitud de los datos.

Según Gestionar la privacidad de la app, necesitas el rol de Titular de la cuenta, Administrador o Gestor de apps. Si la página de producto todavía no está publicada, tus respuestas se publicarán cuando lo esté. Si la app ya está a la venta, tus respuestas deben reflejar solo los datos que recopila esa versión. Los cambios en las URL de la política de privacidad "se publican con la siguiente versión de tu app". Si la revisión ya ha señalado problemas de privacidad, empieza por la guía para solucionar rechazos del App Store.