Privacy Nutrition Label w iOS: istota, etykiety prywatności i dane w App Store

Czym jest Privacy Nutrition Label?

Privacy Nutrition Label to wizualny blok na stronie aplikacji w App Store, wyświetlający podsumowanie zbierania danych. Apple wprowadziło etykiety w grudniu 2020 roku jako odpowiednik wartości odżywczej na produktach: zamiast kalorii i tłuszczów użytkownik widzi, jakie dane zbiera aplikacja i jak są wykorzystywane.

Etykiety składają się z dwóch sekcji: „Dane wykorzystywane do śledzenia” oraz „Dane powiązane z użytkownikiem”. W pierwszej wskazywane są dane przekazywane stronom trzecim do śledzenia. W drugiej — wszystkie dane, które aplikacja zbiera i powiązuje z kontem lub urządzeniem użytkownika.

Każdy element danych jest oznaczony kolorem: żółty (dane powiązane z użytkownikiem) lub zielony (dane niepowiązane z użytkownikiem). Im więcej żółtych etykiet, tym większą uwagę użytkownik zwraca na to, jakie dane są zbierane. Według danych Adjust (2024), aplikacje z 8+ żółtymi etykietami mają o 22% mniej konwersji instalacji.

Wypełnianie etykiet odbywa się w App Store Connect poprzez interfejs webowy. Deweloper odpowiada na pytania: czy aplikacja zbiera określony typ danych, czy jest on powiązany z użytkownikiem i do jakich celów jest wykorzystywany. Apple nie sprawdza prawdziwości etykiet programowo, ale niezgodność deklaracji z rzeczywistym zachowaniem może prowadzić do odrzucenia.

Historia pojawienia się Privacy Nutrition Label

Apple ogłosiło etykiety na WWDC 2020 wraz z iOS 14. Początkowo były one częścią szerszej inicjatywy dotyczącej prywatności, obejmującej również ATT i Privacy Manife. Wypełnianie etykiet stało się obowiązkowe dla wszystkich aplikacji i aktualizacji od 8 grudnia 2020 roku.

Etykiety były odpowiedzią Apple na rosnącą uwagę regulatorów i użytkowników wobec zbierania danych. W przeciwieństwie do GDPR i CCPA, które wymagają formalnej zgody, Apple postawiło na przejrzystość: użytkownik od razu widzi, jakie dane są zbierane, jeszcze przed instalacją aplikacji.

W 2022 roku Apple dodało etykietom interaktywność: użytkownik może kliknąć każdą kategorię i zobaczyć, do jakich celów są wykorzystywane dane. W 2024 roku Apple zaczęło wymagać, aby etykiety odpowiadały danym deklarowanym w Privacy Manife wewnątrz pliku binarnego.

Czym różni się od Android Data Safety

Google wprowadziło analogiczną sekcję „Bezpieczeństwo danych” (Data Safety) w Google Play w kwietniu 2022 roku. Główna różnica: Google sprawdza etykiety za pomocą automatycznego skanowania kodu i może poprosić dewelopera o potwierdzenie, podczas gdy Apple polega na deklaracji dewelopera z weryfikacją podczas recenzji.

Ponadto Google Play wymaga podania środków bezpieczeństwa (szyfrowanie danych w spoczynku i podczas transmisji, zgodność z programami bezpieczeństwa). Apple nie wymaga tych informacji, ale sprawdza spełnienie wymagań poprzez obowiązkowe funkcje, takie jak ATS (App Transport Security).

Jak Apple zbiera dane dla etykiet

Apple nie analizuje kodu aplikacji w celu wypełnienia etykiet — deweloper samodzielnie deklaruje zbierane dane. Jednak w 2024 roku Apple zaczęło porównywać etykiety z Privacy Manife wewnątrz pliku binarnego, co czyni proces bardziej sformalizowanym.

Proces wypełniania w App Store Connect

Deweloper loguje się do App Store Connect → wybiera aplikację → sekcja „Prywatność aplikacji” → „Etykiety prywatności”. Otwiera się ankieta z pytaniami dotyczącymi każdej z 14 kategorii danych. Dla każdej kategorii należy wskazać: czy zbierasz ten typ danych, czy jest powiązany z użytkownikiem (linked) i do jakich celów.

Cele zbierania obejmują: reklamę stron trzecich, analitykę dewelopera, rozwój produktu (Product Personalization), personalizację treści, wykonywanie funkcji aplikacji (App Functionality). Jedna kategoria danych może być wykorzystywana do wielu celów. Ważne: jeśli dane są przekazywane stronom trzecim, należy to oznaczyć jako śledzenie.

Po zapisaniu zmian Apple generuje nową wersję etykiet, która wyświetla się w App Store w ciągu 24 godzin. Przy wysyłaniu nowej kompilacji etykiety są sprawdzane automatycznie: jeśli nie są wypełnione, przycisk wysyłania jest blokowany. Apple Developer (2024) zaleca aktualizowanie etykiet przy każdej zmianie logiki zbierania danych.

Różnica między self-reporting a automatyczną weryfikacją

Do 2024 roku etykiety były w pełni self-reported — Apple ufało odpowiedziom dewelopera. Wraz z pojawieniem się Privacy Manife i integracją etykiet z manifestem Apple zaczęło automatyczne porównywanie. Na przykład, jeśli manifest deklaruje zbieranie identyfikatorów (IDFA) do reklamy, a etykiety nie oznaczają tej kategorii, App Store Connect wyświetla ostrzeżenie.

Jednak pełnej automatycznej weryfikacji jeszcze nie ma. Deweloper jest zobowiązany do utrzymywania obu źródeł danych (etykiety + manifest) w aktualnym stanie. Niezgodność może zostać wykryta podczas ręcznej kontroli przez recenzenta, szczególnie w przypadku dużych aktualizacji lub aplikacji z dużą ilością danych.

Typy danych w Privacy Nutrition Label

Apple dzieli dane na 14 kategorii, które są pogrupowane w 3 sekcje: dane wykorzystywane do śledzenia; dane powiązane z użytkownikiem; dane niepowiązane z użytkownikiem. Omówmy główne kategorie.

Dane kontaktowe i identyfikatory

Kategoria „Dane kontaktowe” obejmuje imię, email, telefon, adres fizyczny. Kategoria „Identyfikatory” — IDFA, User ID, nazwę użytkownika. Jeśli aplikacja korzysta z logowania przez media społecznościowe i otrzymuje email użytkownika, należy wskazać tę kategorię z celem „Wykonywanie funkcji”.

Kategoria „Dane płatnicze” obejmuje informacje o zakupach: numer karty (jeśli nie jest używane Apple Pay), historię zakupów. Apple Pay nie wymaga wskazywania tej kategorii, ponieważ Apple przetwarza płatności po swojej stronie i nie przekazuje danych deweloperowi.

Dane dotyczące użytkowania i diagnostyka

Kategoria „Dane dotyczące użytkowania” obejmuje logi interakcji, kliknięcia reklam, wyświetlenia stron, czas sesji. Większość aplikacji zbiera te dane do analityki. Ważne: jeśli dane są przekazywane stronom trzecim (Google Analytics, Firebase), należy zaznaczyć cel „Analityka”.

Kategoria „Diagnostyka” obejmuje logi crash, dane o wydajności, raporty uruchomień. Te dane zazwyczaj nie są powiązane z użytkownikiem (not linked) i są zbierane w formie zagregowanej. Mimo to powinny być odzwierciedlone w etykietach, jeśli aplikacja używa Crashlytics lub Sentry.

Treści użytkownika i zakupy

Kategoria „Treści użytkownika” obejmuje zdjęcia, wideo, audio, pliki, treści tworzone przez użytkownika (wiadomości, komentarze). Jeśli aplikacja prosi o dostęp do zdjęć lub plików, ta kategoria jest obowiązkowa. Nawet jeśli aplikacja tylko odczytuje zdjęcia, jest to uważane za zbieranie danych.

Kategoria „Historia zakupów” — zagregowane dane o zakupach w aplikacji, subskrypcjach, płatnościach. Nie mylić z „Informacjami finansowymi”. Historia zakupów to metadane transakcji, a nie dane płatnicze.

Jak wypełnić etykiety w App Store Connect

Instrukcja krok po kroku wypełniania Privacy Nutrition Label w App Store Connect dla nowej lub aktualizowanej aplikacji.

Przygotowanie do wypełnienia

Przed wypełnieniem etykiet sporządź pełną listę wszystkich SDK i usług, które zbierają dane: Firebase, AppsFlyer, Google Ads, Facebook SDK, Sentry, Amplitude. Dla każdego SDK sprawdź, jakie dane zbiera i czy przekazuje je stronom trzecim. Adjust (2024) zaleca prowadzenie tabeli z typami danych, celami i powiązaniem dla każdego SDK.

Określ, jakie dane zbiera bezpośrednio Twój kod. Na przykład, jeśli aplikacja zapisuje historię wyszukiwania i powiązuje ją z kontem użytkownika — są to „Dane dotyczące użytkowania” linked dla celu „Rozwój produktu”. Zawsze sprawdzaj, czy dane nie są przekazywane stronom trzecim (sieci reklamowe, analityka).

Wypełnianie ankiety

W App Store Connect wybierz aplikację → sekcja „Prywatność aplikacji”. Kliknij „Rozpocznij” i wybierz, czy Twoja aplikacja zbiera dane do śledzenia. Jeśli nie, przejdź do kwestionariusza. Odpowiadaj na każde pytanie kolejno dla wszystkich 14 kategorii danych.

Przykład: jeśli aplikacja używa Firebase Analytics, odpowiedz „Tak” dla kategorii „Dane dotyczące użytkowania”, wskaż linked (Firebase powiązuje dane z Instance ID) i cel „Analityka”. Jeśli używasz również Firebase Crashlytics, dodaj kategorię „Diagnostyka” z celem „Rozwój produktu”.

Po wypełnieniu zapisz etykiety. Jeśli masz kilka aplikacji, etykiety są unikalne dla każdej — kopiowanie nie jest przewidziane. Aktualizuj etykiety przy każdej zmianie w logice zbierania danych, w przeciwnym razie stare etykiety mogą nie odpowiadać nowej funkcjonalności.

// Przykład: sprawdzenie wysyłania danych do analityki
import FirebaseAnalytics

final class AnalyticsService {
    static func logEvent(_ name: String, params: [String: Any]) {
        Analytics.logEvent(name, parameters: params)
    }

    static func logPurchase(amount: Double, currency: String) {
        Analytics.logEvent(AnalyticsEventPurchase, parameters: [
            AnalyticsParameterValue: amount,
            AnalyticsParameterCurrency: currency
        ])
    }
}

Aktualizacja istniejących etykiet

Aby zaktualizować etykiety dla opublikowanej aplikacji, otwórz wersję aplikacji w App Store Connect i wprowadź zmiany w sekcji „Prywatność aplikacji”. Zmiany wchodzą w życie po przejściu recenzji. Nowe etykiety wyświetlają się użytkownikom w ciągu 24 godzin po publikacji aktualizacji.

Ważne: usunięcie danych z etykiet (np. przestałeś przekazywać dane stronom trzecim) nie wymaga nowej kompilacji — wystarczy zmienić etykiety w App Store Connect. Dodanie nowych danych wymaga zarówno zmiany etykiet, jak i odpowiedniej aktualizacji Privacy Manife w kodzie.

Częste problemy z etykietami prywatności

Deweloperzy często popełniają błędy przy wypełnianiu etykiet, co prowadzi do odrzucenia aktualizacji lub skarg użytkowników.

Niepełne deklarowanie SDK

Najczęstszy błąd — deweloper wypełnia etykiety tylko na podstawie swojego kodu, zapominając o zewnętrznych SDK. Firebase, AppsFlyer, Facebook SDK i inne zbierają dane automatycznie bez dodatkowego kodu dewelopera. Na przykład Firebase Analytics zbiera dane dotyczące użytkowania (zdarzenia, ekrany) i identyfikatory (Instance ID, IDFV).

Zalecenie: dla każdego zintegrowanego SDK przeczytaj sekcję „Data Collected” w dokumentacji i dodaj odpowiednie kategorie do etykiet. AppsFlyer (2024) publikuje listę zbieranych danych dla każdej wersji SDK, co pomaga deweloperom weryfikować etykiety.

Pomylenie linked i not linked

Wielu deweloperów oznacza dane jako not linked, mimo że są powiązane z kontem. Jeśli użytkownik ma konto i zapisujesz jego imię lub email — to linked. Jeśli zbierasz logi crash bez powiązania z kontem — to not linked. Błąd w powiązaniu może zostać uznany za wprowadzanie użytkownika w błąd.

Dane linked są wyświetlane na żółto i przyciągają większą uwagę użytkownika. Jeśli nie jesteś pewien, czy konkretny typ danych jest linked, lepiej wskazać linked i przedstawić wyjaśnienie podczas recenzji. Apple nie karze za nadmierne deklarowanie, ale może odrzucić za niewystarczające.

Śledzenie nieoznaczone jako tracking

Jeśli dane są przekazywane stronom trzecim i wykorzystywane do reklamy targetowanej, należy to oznaczyć jako „Dane wykorzystywane do śledzenia”. Niektórzy deweloperzy ukrywają śledzenie, przekazując dane pod pozorem analityki — narusza to zasady Apple i może prowadzić do bana.

Zasada Apple: jeśli dane są przekazywane stronie trzeciej i wykorzystywane do personalizacji reklamy lub atrybucji — to śledzenie. Nawet jeśli aplikacja sama nie wyświetla reklam, ale używa Google Ads do atrybucji instalacji, dane o wyświetleniach są uważane za śledzenie.

Etykiety nieaktualizowane po zmianie kodu

Stare etykiety nieodpowiadające bieżącej logice zbierania danych — częsty problem przy długotrwałym utrzymaniu aplikacji. Deweloperzy zmieniają SDK, dodają nowe funkcje, ale zapominają zaktualizować etykiety. W rezultacie użytkownik widzi nieaktualne informacje, co obniża zaufanie.

Najlepsza praktyka: przy każdej zmianie kodu związanego z danymi sprawdzaj etykiety i manifest. Zaleca się skonfigurowanie kontroli CI, która ostrzega o konieczności aktualizacji etykiet przy zmianie plików PrivacyInfo.xcprivacy lub listy SDK.