Integritetsetiketter i App Store: granska dina analys-SDK:er först (checklista 2026)

Dina integritetsetiketter i App Store måste täcka det som dina analys-SDK:er och andra tredjeparts-SDK:er samlar in, inte bara det som din egen kod skickar. Innan du besvarar App Privacy-frågorna i App Store Connect bör du lista alla SDK:er i releasen, notera vilken data var och en skickar från enheten och avgöra om något av det används för spårning. Svara utifrån den listan, inte ur minnet.

Måste integritetsetiketterna i App Store inkludera data från tredjeparts-SDK:er?

Ja. Apple kräver att du deklarerar data som samlas in av tredjepartspartners kod, även när SDK:n samlar in datan av andra skäl än analys eller annonsering.

Apples sida om App Privacy definierar tredjepartspartner som "analysverktyg, annonsnätverk, tredjeparts-SDK:er eller andra externa leverantörer vars kod du har lagt till i din app." En kraschrapportör eller ett inloggningsbibliotek hör alltså hemma på din lista. Testet för insamling handlar om överföring: "Samla in" betyder "att överföra data från enheten på ett sätt som gör att du och/eller dina tredjepartspartner kan komma åt den under en längre tid än vad som krävs för att hantera den överförda förfrågan i realtid." Data som bara behandlas på enheten räknas inte som insamlad.

Hur bygger du en SDK-inventering för integritetsetiketter?

Bygg inventeringen utifrån release-byggets upplösta beroenden, inklusive transitiva beroenden, och notera varje SDK:s namn och version.

1. Exportera den upplösta beroendelistan för varje plattform: Podfile.lock, Package.resolved, pubspec.lock eller ditt Gradle-beroendeträd.
2. Behåll transitiva beroenden. Apples krav för tredjeparts-SDK:er säger att du är "ansvarig för all kod som SDK:n inkluderar i din app", så en delad modul som en SDK drar in räknas också.
3. Notera namn och version för varje post. Leverantörer ändrar hur de hanterar data mellan versioner, så versionen hör hemma i dina granskningsanteckningar.
4. Markera SDK:er som finns på Apples lista över vanligt förekommande tredjeparts-SDK:er. För dessa kräver Apple integritetsmanifest när du skickar in en ny app eller en uppdatering som lägger till dem, och signaturer när de är binära beroenden. "Alla versioner av en listad SDK, liksom alla SDK:er som paketerar om de som finns på listan, omfattas."

Lägg till det här steget i din checklista för App Store-inlämning så att det körs vid varje release, inte bara den första.

Vilka av App Stores datatyper motsvarar varje SDK?

Varje SDK motsvarar en eller flera av Apples fasta datatyper, till exempel kraschdata (Crash Data), prestandadata (Performance Data), produktinteraktion (Product Interaction), enhets-ID (Device ID) och annonseringsdata (Advertising Data). Läs leverantörens datadokumentation och fyll i en rad för varje SDK:

Apple säger att insamlad data "ofta är kopplad till användarens identitet, om inte specifika integritetsskydd införs före insamlingen för att avidentifiera eller anonymisera den", till exempel genom att ta bort direkta identifierare som användar-ID eller namn. Efter insamlingen får du inte heller koppla datan tillbaka till användaren eller knyta den till andra datamängder som identifierar hen. Om du inte kan bekräfta att en SDK avidentifierar data, markera den som kopplad.

När räknas en analys-SDK som spårning?

En analys-SDK räknas som spårning när den kopplar data om dina användare eller enheter till data från andra företags appar eller webbplatser för riktad annonsering eller annonsmätning, eller delar datan med en datamäklare.

Apples definition är "att koppla data som samlats in från din app om en viss slutanvändare eller enhet, till exempel ett användar-ID, enhets-ID eller en profil, till tredjepartsdata för riktad annonsering eller annonsmätning, eller att dela data som samlats in från din app om en viss slutanvändare eller enhet med en datamäklare." Analys som stannar inom din egen apps data är inte spårning. Annonsmätning som delar en identifierare mellan appar är det.

Fällan är en partner som inte är en annons-SDK. Apples exempel är "en inloggnings-SDK som återanvänder den data den samlar in från din app för att möjliggöra riktad annonsering i andra utvecklares appar", vilket räknas som spårning även om du inte använder SDK:n för det syftet. Om någon av dina SDK:er gör så är den vanliga lösningen en konfigurationsändring som stoppar användningen mellan appar, eller en annan leverantör.

Kan du utelämna någon SDK-data från dina integritetsetiketter?

Bara när en datatyp uppfyller alla fyra av Apples kriterier för valfri redovisning, och analys- och kraschdata gör nästan aldrig det. Kriterierna är:

• Den används inte för spårning.
• Den används inte för tredjepartsannonsering, din egen annonsering eller marknadsföring eller andra ändamål.
• Den samlas bara in i sällsynta fall utanför appens primära funktionalitet, och den är valfri för användaren.
• Användaren tillhandahåller den i appens gränssnitt, det är tydligt för användaren vad som samlas in, användarens namn eller kontonamn visas tydligt i inlämningsformuläret, och användaren väljer aktivt att tillhandahålla den varje gång.

Apple tillägger att "data som samlas in löpande efter en första begäran om tillstånd måste redovisas." Analys-SDK:er körs kontinuerligt och användaren väljer dem inte varje gång, så de faller på de två sista kriterierna.

Hur ser en färdig SDK-granskning ut?

En färdig granskning ger varje SDK en rad som anger vad som ska deklareras, om datan är kopplad till användaren och om den används för spårning. Här är mallen för en hypotetisk vanespårningsapp med tre SDK:er. Svaren beror på varje leverantörs dokumentation, så detta är inte slutsatser om verkliga produkter.

Inloggningsraden ändrar arbetet. Den gör appen till en spårande app, så etiketterna måste säga det och din samtyckeshantering måste stämma överens. Att byta till en inloggningsleverantör som inte delar data mellan appar, eller att stänga av den delningen, är mycket billigare före inlämningen än efter ett avslag. Testa sedan release-bygget med alla SDK:er aktiverade, som i testplanen för release-bygget.

Vad gick fel för andra utvecklare?

Offentligt rapporterade fall visar tre felpunkter: etiketter som inte stämmer med binären, SDK-data som utvecklaren inte kände till och listade SDK:er som levererades utan manifest.

• En utvecklare på Apple Developer Forums tog bort spårning i ett nytt bygge men kunde inte ta bort den från etiketten. App Store Connect angav "Din app innehåller NSUserTrackingUsageDescription, vilket indikerar att du kommer att be om tillstånd att spåra användare", och granskningen fortsatte att avslå med "Den integritetsinformation du angav i App Store Connect anger att du samlar in data för att spåra användaren… Du använder dock inte App Tracking Transparency." Utvecklaren berättade att appen godkändes efter att hen överklagat och väntat på svaret innan hen skickade in igen.
• En annan utvecklare på Apple Developer Forums använde Firebase Analytics med insamling av IDFA och IDFV avstängd och en etikett med "ingen spårning", och fick ändå ett avslag enligt riktlinje 5.1.2. Meddelandet sa: "Att samla in cookies är en form av spårning." Det pekade på cookies i webbinnehåll som appen laddade, inte på Firebase. Ett svar påpekade avvikelsen, och ingen lösning publicerades.
• Utvecklare i ett GitHub-ärende för RxSwift fick "ITMS-91061: Missing privacy manifest" för RxSwift, RxRelay och RxCocoa. En användare pekade CocoaPods mot grenen 6.8.0, som innehåller manifestet, och rapporterade att nästa uppdatering levererades "utan några varningar från Apple."

Den gemensamma nämnaren: Apple jämför dina svar med vad den levererade binären och dess webbinnehåll faktiskt gör, så en inventering som bygger på det verkliga bygget fångar alla tre problemen innan granskningen gör det.

Hur publicerar och uppdaterar du integritetsetiketter i App Store Connect?

Publicera integritetsetiketter från avsnittet App Privacy för din app i App Store Connect. Svaren publiceras först när du klickar på Publish, och Apple säger att du kan ändra dem när som helst utan att skicka in en appuppdatering.

1. Välj appen i App Store Connect, klicka på App Privacy i sidofältet och klicka sedan på Get Started.
2. Ange om du eller dina tredjepartspartner samlar in data, välj alla datatyper från din granskning och klicka på Save.
3. Besvara följdfrågorna för varje datatyp, klicka på Save och granska Product Page Preview.
4. Klicka på Publish uppe till höger och bekräfta dialogrutan om att uppgifterna är korrekta.

Enligt Manage app privacy behöver du rollen Account Holder, Admin eller App Manager. Om produktsidan inte är live än publiceras dina svar när den blir det. Om appen redan säljs ska dina svar bara återspegla den data som samlas in av den versionen. Ändringar av webbadresser till integritetspolicyn "släpps med din nästa appversion." Om granskningen redan har flaggat integritetsproblem, börja med guiden för att åtgärda App Store-avslag.