如何为移动应用创建隐私政策?

Google Play 要求每个应用都填写 Data Safety 表单,并且单独要求在商店信息页提供一个公开、可访问的隐私政策 URL(Play Console > Policy and programs > App content > Privacy Policy)。如果你在 Data Safety 表单中的声明与政策文本不一致,这种不匹配也可能在审核中引发问题。

在苹果这边有两个独立的要求:App Store Connect 的 App Information 部分中的 'Privacy Policy URL' 字段,以及独立的 App Privacy 标签页(隐私"营养标签"),你需要在其中声明所收集的数据类别。任一处出现缺失或不一致的回答,都可能触发元数据拒绝。

即使你的应用完全不收集任何数据,URL 也是必需的——哪怕只是一份简短声明"本应用不收集任何数据"的政策,也必须发布在可访问的网页上。留空或标注"即将推出"的字段,会在商店审核中直接被拒绝。

核心框架应涵盖:收集了哪些类型的数据(如电子邮件、设备标识符、位置、使用统计等)、收集目的、数据是否与第三方共享、保留时长,以及一个可供用户咨询政策问题的联系地址。

AdMob 会为定向投放收集广告标识符、IP 地址和大致位置;Firebase Analytics 处理使用和互动数据;Crashlytics 会在崩溃发生时收集设备型号、操作系统版本和崩溃日志。应用中使用的每一个第三方 SDK 都应逐一列明。AdMob 自身的发布商政策要求在你的隐私政策中明确披露这些数据收集行为——一份从未提及这些 SDK 的政策,在 Play/App Store 审核以及 AdMob 那边都可能引发问题。

如果你的用户受 GDPR(欧盟)或所在国家类似数据保护法律的约束,你的政策应涵盖数据控制者身份、处理的法律依据以及用户权利(访问、更正、删除、反对)。这不构成法律建议;如果你的应用数据处理涉及特殊情形(例如面向儿童的应用或健康数据),建议咨询律师。

在 Play Console 中:选择你的应用 > Policy and programs > App content > Privacy Policy > 在 URL 字段中输入你的政策地址并保存。这一步与单独的 Data Safety 表单是相互独立的——两者都需要完成。

在 App Store Connect 中:My Apps > 选择你的应用 > App Information > 在 Privacy Policy URL 字段中输入地址。你还需要回答 App Privacy 标签页的问题,声明应用收集哪些数据类别,以及这些数据是否用于用户跟踪。

URL 必须是永久且公开的:请使用可以在浏览器中直接打开的网页,而不是需要登录的页面、临时托管地址,或需要下载的文件。商店审核会自动访问这个地址。

最常见的错误是无法访问的 URL:404 错误、无法解析的地址,或临时被移动的地址。审核期间会测试这个 URL,链接失效会直接导致拒绝。

第二个错误是使用通用模板:从网上复制的文本从未提及应用实际使用的任何服务(如 AdMob、Firebase 等)。这样的政策与你的 Data Safety 声明不一致,可能被标记为矛盾。

第三个错误是政策过时:如果你在应用中添加了新的 SDK 或分析工具却没有更新政策文本,这会在商店审核和 GDPR 合规两方面都带来风险。每次发布新增数据收集行为的版本时,都应重新审视你的政策。

1. 列出应用使用的每一项服务:广告 SDK(AdMob、Meta Audience Network)、分析工具(Firebase Analytics)、崩溃报告(Crashlytics)、登录服务商(如 Google Sign-In),以及你自己后端收集的任何数据。

2. 针对每项服务,记录它收集了哪些数据以及用途;这份清单将同时作为你政策文本和 Data Safety / App Privacy 表单答案的依据。

3. 将政策发布在一个永久、公开的网址上,并分别将该地址填入 Play Console 和 App Store Connect。

4. 每当你为应用添加新服务时,请更新政策,并重新检查商店表单中的声明。

与其手动撰写这一切,不如使用 Vibeloy 的免费隐私政策生成器——只需输入你的应用信息和所使用的服务(AdMob、Firebase Analytics、Crashlytics 等),几分钟内就能生成一份符合 GDPR(及土耳其 KVKK)术语规范的政策。使用免费账户即可复制完整文本并发布到你自己的网站。如果你想要一个永久托管的 URL 提交给商店,这项功能包含在高级方案中。