Privacy Nutrition Label в iOS: суть, метки приватности и данные в App Store

Что такое Privacy Nutrition Label?

Privacy Nutrition Label — это визуальный блок на странице приложения в App Store, отображающий сводку о сборе данных. Apple представила метки в декабре 2020 года как аналог пищевой ценности на продуктах: вместо калорий и жиров пользователь видит, какие данные собирает приложение и как они используются.

Метки состоят из двух разделов: «Данные, используемые для отслеживания» и «Данные, связанные с пользователем». В первом указываются данные, передаваемые третьим сторонам для трекинга. Во втором — все данные, которые приложение собирает и связывает с учётной записью или устройством пользователя.

Каждый элемент данных маркируется цветом: жёлтый (данные связаны с пользователем) или зелёный (данные не связаны с пользователем). Чем больше жёлтых меток, тем более пристальное внимание уделяет пользователь тому, какие данные собираются. По данным Adjust (2024), приложения с 8+ жёлтыми метками имеют на 22% меньше конверсий установок.

Заполнение меток происходит в App Store Connect через веб-интерфейс. Разработчик отвечает на вопросы: собирает ли приложение определённый тип данных, связан ли он с пользователем и для каких целей используется. Apple не проверяет правдивость меток программно, но несоответствие декларации реальному поведению может привести к отклонению.

История появления Privacy Nutrition Label

Apple анонсировала метки на WWDC 2020 вместе с iOS 14. Первоначально они были частью более широкой инициативы по приватности, включающей также ATT и Privacy Manife. Заполнение меток стало обязательным для всех приложений и обновлений с 8 декабря 2020 года.

Метки стали ответом Apple на растущее внимание регуляторов и пользователей к сбору данных. В отличие от GDPR и CCPA, которые требуют формального согласия, Apple сделала акцент на прозрачности: пользователь сразу видит, какие данные собираются, ещё до установки приложения.

В 2022 году Apple добавила меткам интерактивность: пользователь может нажать на каждую категорию и увидеть, для каких целей используются данные. В 2024 году Apple начала требовать, чтобы метки соответствовали данным, декларированным в Privacy Manife внутри бинарника.

Чем отличается от Android Data Safety

Google ввела аналогичный раздел «Безопасность данных» (Data Safety) в Google Play в апреле 2022 года. Основное отличие: Google проверяет метки с помощью автоматического сканирования кода и может запросить подтверждение у разработчика, в то время как Apple полагается на декларацию разработчика с проверкой при ревью.

Кроме того, Google Play требует указания мер безопасности (шифрование данных в покое и при передаче, соответствие программам безопасности). Apple не запрашивает эту информацию, но проверяет выполнение требований через обязательные функции вроде ATS (App Transport Security).

Как Apple собирает данные для меток

Apple не анализирует код приложения для заполнения меток — разработчик самостоятельно декларирует собираемые данные. Однако в 2024 году Apple начала сверять метки с Privacy Manife внутри бинарника, что делает процесс более формализованным.

Процесс заполнения в App Store Connect

Разработчик заходит в App Store Connect → выбирает приложение → раздел «Конфиденциальность приложения» → «Метки конфиденциальности». Открывается анкета с вопросами по каждой из 14 категорий данных. Для каждой категории нужно указать: собираете ли вы этот тип данных, связан ли он с пользователем (linked), и для каких целей.

Цели сбора включают: реклама третьих сторон, аналитика разработчика, разработка продукта (Product Personalization), персонализация контента, выполнение функций приложения (App Functionality). Одна категория данных может использоваться для нескольких целей. Важно: если данные передаются третьим сторонам, это должно быть отмечено как трекинг.

После сохранения изменений Apple генерирует новую версию меток, которая отображается в App Store в течение 24 часов. При отправке новой сборки метки проверяются автоматически: если они не заполнены, кнопка отправки блокируется. Apple Developer (2024) рекомендует обновлять метки при каждом изменении логики сбора данных.

Разница между self-reporting и автоматической проверкой

До 2024 года метки были полностью self-reported — Apple доверяла ответам разработчика. С появлением Privacy Manife и интеграцией меток с манифестом Apple начала автоматическую сверку. Например, если манифест декларирует сбор идентификаторов (IDFA) для рекламы, а метки не отмечают эту категорию, App Store Connect выдаёт предупреждение.

Однако полной автоматической проверки пока нет. Разработчик обязан поддерживать оба источника данных (метки + манифест) в актуальном состоянии. Несоответствие может быть выявлено при ручной проверке ревьюером, особенно для крупных обновлений или приложений с большим количеством данных.

Типы данных в Privacy Nutrition Label

Apple делит данные на 14 категорий, которые сгруппированы в 3 раздела: данные, используемые для отслеживания; данные, связанные с пользователем; данные, не связанные с пользователем. Рассмотрим основные категории.

Контактная информация и идентификаторы

Категория «Контактная информация» включает имя, email, телефон, физический адрес. Категория «Идентификаторы» — IDFA, User ID, имя пользователя. Если приложение использует вход через соцсети и получает email пользователя, необходимо указать эту категорию с целью «Выполнение функций».

Категория «Платёжные данные» включает информацию о покупках: номер карты (если не используется Apple Pay), историю покупок. Apple Pay не требует указания этой категории, так как Apple обрабатывает платежи на своей стороне и не передаёт данные разработчику.

Данные об использовании и диагностика

Категория «Данные об использовании» включает логи взаимодействия, рекламные клики, просмотры страниц, время сессии. Большинство приложений собирают эти данные для аналитики. Важно: если данные передаются третьим сторонам (Google Analytics, Firebase), необходимо отметить цель «Аналитика».

Категория «Диагностика» включает crash-логи, данные о производительности, отчёты о запуске. Эти данные обычно не связаны с пользователем (not linked) и собираются в агрегированном виде. Несмотря на это, они должны быть отражены в метках, если приложение использует Crashlytics или Sentry.

Контент пользователя и покупки

Категория «Контент пользователя» включает фото, видео, аудио, файлы, контент, созданный пользователем (сообщения, комментарии). Если приложение запрашивает доступ к фото или файлам, эта категория обязательна. Даже если приложение только читает фото, это считается сбором данных.

Категория «История покупок» — агрегированные данные о покупках внутри приложения, подписках, платежах. Не путать с «Финансовой информацией». История покупок — это метаданные транзакций, а не платёжные реквизиты.

Как заполнить метки в App Store Connect

Пошаговая инструкция по заполнению Privacy Nutrition Label в App Store Connect для нового или обновляемого приложения.

Подготовка к заполнению

Перед заполнением меток составьте полный список всех SDK и сервисов, которые собирают данные: Firebase, AppsFlyer, Google Ads, Facebook SDK, Sentry, Amplitude. Для каждого SDK проверьте, какие данные он собирает и передаёт ли их третьим сторонам. Adjust (2024) рекомендует вести таблицу с типами данных, целями и связыванием для каждого SDK.

Определите, какие данные собирает непосредственно ваш код. Например, если приложение сохраняет историю поиска и связывает её с аккаунтом пользователя — это «Данные об использовании» linked для цели «Разработка продукта». Всегда проверяйте, не передаются ли данные третьим сторонам (рекламные сети, аналитика).

Заполнение анкеты

В App Store Connect выберите приложение → раздел «Конфиденциальность приложения». Нажмите «Начать» и выберите, собирает ли ваше приложение данные для отслеживания. Если нет, переходите к опроснику. Отвечайте на каждый вопрос последовательно для всех 14 категорий данных.

Пример: если приложение использует Firebase Analytics, ответьте «Да» для категории «Данные об использовании», укажите linked (Firebase привязывает данные к Instance ID) и цель «Аналитика». Если вы также используете Firebase Crashlytics, добавьте категорию «Диагностика» с целью «Разработка продукта».

После заполнения сохраните метки. Если у вас несколько приложений, метки уникальны для каждого — копирование не предусмотрено. Обновляйте метки при каждом изменении в логике сбора данных, иначе старые метки могут не соответствовать новому функционалу.

// Пример: проверка отправки данных для аналитики
import FirebaseAnalytics

final class AnalyticsService {
    static func logEvent(_ name: String, params: [String: Any]) {
        Analytics.logEvent(name, parameters: params)
    }

    static func logPurchase(amount: Double, currency: String) {
        Analytics.logEvent(AnalyticsEventPurchase, parameters: [
            AnalyticsParameterValue: amount,
            AnalyticsParameterCurrency: currency
        ])
    }
}

Обновление существующих меток

Чтобы обновить метки для опубликованного приложения, откройте версию приложения в App Store Connect и внесите изменения в разделе «Конфиденциальность приложения». Изменения вступают в силу после прохождения ревью. Новые метки отображаются пользователям в течение 24 часов после публикации обновления.

Важно: удаление данных из меток (например, вы перестали передавать данные третьим сторонам) не требует новой сборки — достаточно изменить метки в App Store Connect. Добавление новых данных требует как изменения меток, так и соответствующего обновления Privacy Manife в коде.

Частые проблемы с метками приватности

Разработчики часто допускают ошибки при заполнении меток, что приводит к отклонению обновлений или жалобам пользователей.

Неполное декларирование SDK

Самая частая ошибка — разработчик заполняет метки только на основе своего кода, забывая про сторонние SDK. Firebase, AppsFlyer, Facebook SDK и другие собирают данные автоматически без дополнительного кода разработчика. Например, Firebase Analytics собирает данные об использовании (события, экраны) и идентификаторы (Instance ID, IDFV).

Рекомендация: для каждого интегрированного SDK прочитайте раздел «Data Collected» в документации и добавьте соответствующие категории в метки. AppsFlyer (2024) публикует список собираемых данных для каждой версии SDK, что помогает разработчикам сверять метки.

Путаница между linked и not linked

Многие разработчики отмечают данные как not linked, хотя они связаны с учётной записью. Если у пользователя есть аккаунт и вы сохраняете его имя или email — это linked. Если вы собираете crash-логи без привязки к аккаунту — это not linked. Ошибка в связывании может быть расценена как введение пользователя в заблуждение.

Linked данные показываются жёлтым цветом и привлекают больше внимания пользователя. Если вы не уверены, является ли конкретный тип данных linked, лучше указать linked и предоставить объяснение при ревью. Apple не штрафует за избыточное декларирование, но может отклонить за недостаточное.

Отслеживание не отмечено как трекинг

Если данные передаются третьим сторонам и используются для таргетированной рекламы, это должно быть отмечено как «Данные, используемые для отслеживания». Некоторые разработчики скрывают трекинг, передавая данные под видом аналитики — это нарушает правила Apple и может привести к бану.

Правило Apple: если данные передаются третьему лицу и используются для персонализации рекламы или атрибуции — это трекинг. Даже если приложение само не показывает рекламу, но использует Google Ads для атрибуции установок, данные о просмотрах считаются трекингом.

Метки не обновляются после изменения кода

Старые метки, не соответствующие текущей логике сбора данных — распространённая проблема при длительном сопровождении приложения. Разработчики меняют SDK, добавляют новые функции, но забывают обновить метки. В результате пользователь видит неактуальную информацию, что снижает доверие.

Лучшая практика: при каждом изменении кода, связанного с данными, проверяйте метки и манифест. Рекомендуется настроить CI-проверку, которая предупреждает о необходимости обновления меток при изменении файлов PrivacyInfo.xcprivacy или списка SDK.