Privacy Nutrition Label no iOS: essência, rótulos de privacidade e dados na App Store

O que é Privacy Nutrition Label?

Privacy Nutrition Label é um bloco visual na página de um aplicativo na App Store que exibe um resumo da coleta de dados. A Apple introduziu os rótulos em dezembro de 2020 como um análogo da tabela nutricional em produtos alimentícios: em vez de calorias e gorduras, o usuário vê quais dados o aplicativo coleta e como são usados.

Os rótulos consistem em duas seções: “Dados usados para rastreamento” e “Dados vinculados ao usuário”. A primeira indica dados transmitidos a terceiros para rastreamento. A segunda inclui todos os dados que o aplicativo coleta e vincula à conta ou dispositivo do usuário.

Cada item de dados é marcado com uma cor: amarelo (dados vinculados ao usuário) ou verde (dados não vinculados ao usuário). Quanto mais rótulos amarelos, mais atenção o usuário presta aos dados que estão sendo coletados. De acordo com Adjust (2024), aplicativos com 8+ rótulos amarelos têm 22% menos conversões de instalação.

O preenchimento dos rótulos ocorre no App Store Connect por meio de uma interface web. O desenvolvedor responde a perguntas: se o aplicativo coleta um determinado tipo de dados, se está vinculado ao usuário e para quais finalidades é usado. A Apple não verifica a veracidade dos rótulos programaticamente, mas uma discrepância entre a declaração e o comportamento real pode levar à rejeição.

História do Privacy Nutrition Label

A Apple anunciou os rótulos na WWDC 2020 junto com o iOS 14. Inicialmente, eles faziam parte de uma iniciativa de privacidade mais ampla que também incluía ATT e Privacy Manifest. O preenchimento dos rótulos tornou-se obrigatório para todos os aplicativos e atualizações a partir de 8 de dezembro de 2020.

Os rótulos foram a resposta da Apple à crescente atenção de reguladores e usuários à coleta de dados. Ao contrário do GDPR e CCPA, que exigem consentimento formal, a Apple focou na transparência: o usuário vê imediatamente quais dados são coletados, antes mesmo de instalar o aplicativo.

Em 2022, a Apple adicionou interatividade aos rótulos: o usuário pode tocar em cada categoria e ver para quais finalidades os dados são usados. Em 2024, a Apple começou a exigir que os rótulos correspondam aos dados declarados no Privacy Manifest dentro do binário.

Diferenças do Android Data Safety

O Google introduziu uma seção semelhante “Segurança de dados” (Data Safety) no Google Play em abril de 2022. A principal diferença: o Google verifica os rótulos usando varredura automática de código e pode solicitar confirmação do desenvolvedor, enquanto a Apple confia na declaração do desenvolvedor com verificação durante a revisão.

Além disso, o Google Play exige a especificação de medidas de segurança (criptografia de dados em repouso e em trânsito, conformidade com programas de segurança). A Apple não solicita essas informações, mas verifica a conformidade por meio de recursos obrigatórios como ATS (App Transport Security).

Como a Apple coleta dados para os rótulos

A Apple não analisa o código do aplicativo para preencher os rótulos — o desenvolvedor declara independentemente os dados coletados. No entanto, em 2024, a Apple começou a cruzar os rótulos com o Privacy Manifest dentro do binário, tornando o processo mais formalizado.

Processo de preenchimento no App Store Connect

O desenvolvedor entra no App Store Connect → seleciona o aplicativo → seção “Privacidade do aplicativo” → “Rótulos de privacidade”. Um questionário é aberto com perguntas sobre cada uma das 14 categorias de dados. Para cada categoria, é necessário especificar: se você coleta esse tipo de dados, se está vinculado ao usuário e para quais finalidades.

As finalidades de coleta incluem: publicidade de terceiros, análises do desenvolvedor, desenvolvimento de produto, personalização de conteúdo e funcionalidade do aplicativo. Uma categoria de dados pode ser usada para várias finalidades. Importante: se os dados são compartilhados com terceiros, isso deve ser marcado como rastreamento.

Após salvar as alterações, a Apple gera uma nova versão dos rótulos, que aparece na App Store em até 24 horas. Ao enviar uma nova compilação, os rótulos são verificados automaticamente: se não estiverem preenchidos, o botão de envio é bloqueado. Apple Developer (2024) recomenda atualizar os rótulos a cada alteração na lógica de coleta de dados.

Diferença entre autodeclaração e verificação automática

Até 2024, os rótulos eram totalmente autodeclarados — a Apple confiava nas respostas do desenvolvedor. Com a introdução do Privacy Manifest e a integração dos rótulos com o manifesto, a Apple iniciou a verificação automática cruzada. Por exemplo, se o manifesto declara a coleta de identificadores (IDFA) para publicidade, mas os rótulos não marcam essa categoria, o App Store Connect emite um aviso.

No entanto, a verificação automática completa ainda não existe. O desenvolvedor deve manter ambas as fontes de dados (rótulos + manifesto) atualizadas. Discrepâncias podem ser detectadas durante a revisão manual, especialmente para grandes atualizações ou aplicativos com grandes quantidades de dados.

Tipos de dados no Privacy Nutrition Label

A Apple divide os dados em 14 categorias agrupadas em 3 seções: dados usados para rastreamento, dados vinculados ao usuário e dados não vinculados ao usuário. Vamos revisar as principais categorias.

Informações de contato e identificadores

A categoria “Informações de contato” inclui nome, e-mail, telefone e endereço físico. A categoria “Identificadores” inclui IDFA, ID do usuário e nome de usuário. Se o aplicativo usa login social e recebe o e-mail do usuário, essa categoria deve ser especificada com a finalidade “Funcionalidade do aplicativo”.

A categoria “Dados de pagamento” inclui informações de compra: número do cartão (se o Apple Pay não for usado) e histórico de compras. O Apple Pay não exige a especificação dessa categoria porque a Apple processa os pagamentos em seu lado e não transmite dados ao desenvolvedor.

Dados de uso e diagnóstico

A categoria “Dados de uso” inclui registros de interação, cliques em anúncios, visualizações de página e tempo de sessão. A maioria dos aplicativos coleta esses dados para análises. Importante: se os dados são compartilhados com terceiros (Google Analytics, Firebase), a finalidade “Análises” deve ser marcada.

A categoria “Diagnóstico” inclui registros de falhas, dados de desempenho e relatórios de inicialização. Esses dados geralmente não estão vinculados ao usuário (not linked) e são coletados de forma agregada. Apesar disso, devem ser refletidos nos rótulos se o aplicativo usar Crashlytics ou Sentry.

Conteúdo do usuário e compras

A categoria “Conteúdo do usuário” inclui fotos, vídeos, áudio, arquivos e conteúdo gerado pelo usuário (mensagens, comentários). Se o aplicativo solicitar acesso a fotos ou arquivos, essa categoria é obrigatória. Mesmo que o aplicativo apenas leia fotos, isso é considerado coleta de dados.

A categoria “Histórico de compras” inclui dados agregados sobre compras no aplicativo, assinaturas e pagamentos. Não confunda com “Informações financeiras”. O histórico de compras são metadados de transações, não detalhes de pagamento.

Como preencher rótulos no App Store Connect

Guia passo a passo para preencher o Privacy Nutrition Label no App Store Connect para um aplicativo novo ou atualizado.

Preparação

Antes de preencher os rótulos, compile uma lista completa de todos os SDKs e serviços que coletam dados: Firebase, AppsFlyer, Google Ads, Facebook SDK, Sentry, Amplitude. Para cada SDK, verifique quais dados ele coleta e se compartilha dados com terceiros. Adjust (2024) recomenda manter uma tabela com tipos de dados, finalidades e vinculação para cada SDK.

Determine quais dados seu próprio código coleta. Por exemplo, se o aplicativo salva o histórico de pesquisa e o vincula à conta do usuário, isso é “Dados de uso” vinculados para a finalidade “Desenvolvimento de produto”. Sempre verifique se os dados são compartilhados com terceiros (redes de anúncios, análises).

Preenchimento do questionário

No App Store Connect, selecione o aplicativo → seção “Privacidade do aplicativo”. Clique em “Começar” e escolha se seu aplicativo coleta dados para rastreamento. Se não, prossiga para o questionário. Responda a cada pergunta sequencialmente para todas as 14 categorias de dados.

Exemplo: se o aplicativo usa Firebase Analytics, responda “Sim” para a categoria “Dados de uso”, especifique vinculado (o Firebase vincula dados ao Instance ID) e a finalidade “Análises”. Se você também usa Firebase Crashlytics, adicione a categoria “Diagnóstico” com a finalidade “Desenvolvimento de produto”.

Após o preenchimento, salve os rótulos. Se você tiver vários aplicativos, os rótulos são exclusivos para cada um — a cópia não é suportada. Atualize os rótulos a cada alteração na lógica de coleta de dados, caso contrário, os rótulos antigos podem não corresponder à nova funcionalidade.

// Exemplo: verificação de envio de dados para análises
import FirebaseAnalytics

final class AnalyticsService {
    static func logEvent(_ name: String, params: [String: Any]) {
        Analytics.logEvent(name, parameters: params)
    }

    static func logPurchase(amount: Double, currency: String) {
        Analytics.logEvent(AnalyticsEventPurchase, parameters: [
            AnalyticsParameterValue: amount,
            AnalyticsParameterCurrency: currency
        ])
    }
}

Atualização de rótulos existentes

Para atualizar os rótulos de um aplicativo publicado, abra a versão do aplicativo no App Store Connect e faça alterações na seção “Privacidade do aplicativo”. As alterações entram em vigor após a aprovação na revisão. Novos rótulos são exibidos aos usuários dentro de 24 horas após a publicação da atualização.

Importante: a remoção de dados dos rótulos (por exemplo, você parou de compartilhar dados com terceiros) não requer uma nova compilação — basta alterar os rótulos no App Store Connect. A adição de novos dados requer tanto alterações nos rótulos quanto uma atualização correspondente do Privacy Manifest no código.

Problemas comuns com rótulos de privacidade

Os desenvolvedores frequentemente cometem erros ao preencher os rótulos, levando à rejeição de atualizações ou reclamações de usuários.

Declaração incompleta de SDK

O erro mais comum é os desenvolvedores preencherem os rótulos apenas com base em seu próprio código, esquecendo-se de SDKs de terceiros. Firebase, AppsFlyer, Facebook SDK e outros coletam dados automaticamente sem código adicional do desenvolvedor. Por exemplo, o Firebase Analytics coleta dados de uso (eventos, telas) e identificadores (Instance ID, IDFV).

Recomendação: para cada SDK integrado, leia a seção “Dados coletados” na documentação e adicione as categorias correspondentes aos rótulos. AppsFlyer (2024) publica uma lista de dados coletados para cada versão do SDK, ajudando os desenvolvedores a verificar os rótulos.

Confusão entre linked e not linked

Muitos desenvolvedores marcam dados como not linked quando na verdade estão vinculados a uma conta. Se o usuário tem uma conta e você salva seu nome ou e-mail, é linked. Se você coleta logs de falhas sem vincular a uma conta, é not linked. Um erro na vinculação pode ser considerado enganoso para o usuário.

Os dados linked são mostrados em amarelo e atraem mais atenção do usuário. Se você não tem certeza se um tipo específico de dados é linked, é melhor marcá-lo como linked e fornecer uma explicação durante a revisão. A Apple não penaliza a declaração excessiva, mas pode rejeitar por declaração insuficiente.

Rastreamento não marcado como tracking

Se os dados são compartilhados com terceiros e usados para publicidade direcionada, devem ser marcados como “Dados usados para rastreamento”. Alguns desenvolvedores ocultam o rastreamento passando dados como análises — isso viola as regras da Apple e pode levar a uma proibição.

Regra da Apple: se os dados são compartilhados com um terceiro e usados para personalização de anúncios ou atribuição, é rastreamento. Mesmo que o aplicativo não exiba anúncios, mas use o Google Ads para atribuição de instalações, os dados de visualização são considerados rastreamento.

Rótulos não atualizados após alterações de código

Rótulos antigos que não correspondem à lógica atual de coleta de dados são um problema comum na manutenção de aplicativos de longo prazo. Os desenvolvedores mudam SDKs, adicionam novos recursos, mas esquecem de atualizar os rótulos. Como resultado, o usuário vê informações desatualizadas, o que reduz a confiança.

Melhor prática: a cada alteração de código relacionada a dados, verifique os rótulos e o manifesto. Recomenda-se configurar uma verificação de CI que alerte sobre a necessidade de atualizar os rótulos ao alterar arquivos PrivacyInfo.xcprivacy ou a lista de SDKs.