Privacy Nutrition Label у iOS-у: суштина, ознаке приватности и подаци у App Store

Шта је Privacy Nutrition Label?

Privacy Nutrition Label је визуелни блок на страници апликације у App Store који приказује резиме прикупљања података. Apple је представио ознаке у децембру 2020. године као аналог нутритивне вредности на производима: уместо калорија и масти, корисник види које податке апликација прикупља и како се користе.

Ознаке се састоје из два одељка: „Подаци који се користе за праћење" и „Подаци повезани са корисником". У првом се наводе подаци који се преносе трећим странама за праћење. У другом — сви подаци које апликација прикупља и повезује са налогом или уређајем корисника.

Сваки елемент података је означен бојом: жута (подаци повезани са корисником) или зелена (подаци нису повезани са корисником). Што више жутих ознака, то корисник више пажње посвећује томе који се подаци прикупљају. Према подацима Adjust (2024), апликације са 8+ жутих ознака имају 22% мање конверзија инсталација.

Попуњавање ознака се врши у App Store Connect преко веб интерфејса. Програмер одговара на питања: да ли апликација прикупља одређену врсту података, да ли је повезана са корисником и у које сврхе се користи. Apple не проверава истинитост ознака програмски, али неслагање декларације са стварним понашањем може довести до одбијања.

Историја појаве Privacy Nutrition Label

Apple је најавио ознаке на WWDC 2020 заједно са iOS 14. Првобитно су оне биле део шире иницијативе за приватност, укључујући ATT и Privacy Manife. Попуњавање ознака је постало обавезно за све апликације и ажурирања од 8. децембра 2020. године.

Ознаке су биле одговор Apple-а на растућу пажњу регулатора и корисника ка прикупљању података. За разлику од GDPR и CCPA, који захтевају формалну сагласност, Apple је ставио акценат на транспарентност: корисник одмах види који се подаци прикупљају, чак и пре инсталације апликације.

Године 2022. Apple је додао ознакама интерактивност: корисник може кликнути на сваку категорију и видети у које сврхе се подаци користе. Године 2024. Apple је почео да захтева да ознаке одговарају подацима декларисаним у Privacy Manife унутар бинарног фајла.

Чиме се разликује од Android Data Safety

Google је увео сличан одељак „Безбедност података" (Data Safety) у Google Play-у у априлу 2022. Главна разлика: Google проверава ознаке путем аутоматског скенирања кода и може затражити потврду од програмера, док се Apple ослања на декларацију програмера са провером при рецензији.

Поред тога, Google Play захтева навођење мера безбедности (шифровање података у мировању и у преносу, усаглашеност са безбедносним програмима). Apple не захтева ове информације, али проверава испуњеност захтева кроз обавезне функције попут ATS (App Transport Security).

Како Apple прикупља податке за ознаке

Apple не анализира код апликације за попуњавање ознака — програмер самостално декларише прикупљене податке. Међутим, 2024. Apple је почео да упоређује ознаке са Privacy Manife унутар бинарног фајла, што процес чини формализованијим.

Процес попуњавања у App Store Connect

Програмер улази у App Store Connect → бира апликацију → одељак „Приватност апликације" → „Ознаке приватности". Отвара се упитник са питањима за сваку од 14 категорија података. За сваку категорију потребно је навести: да ли прикупљате ову врсту података, да ли је повезана са корисником (linked) и у које сврхе.

Циљеви прикупљања укључују: оглашавање трећих страна, аналитику програмера, развој производа (Product Personalization), персонализацију садржаја, извршавање функција апликације (App Functionality). Једна категорија података може се користити за више циљева. Важно: ако се подаци преносе трећим странама, то треба означити као праћење.

Након чувања измена, Apple генерише нову верзију ознака која се приказује у App Store у року од 24 сата. При слању нове верзије, ознаке се аутоматски проверавају: ако нису попуњене, дугме за слање је блокирано. Apple Developer (2024) препоручује ажурирање ознака при свакој промени логике прикупљања података.

Разлика између self-reporting и аутоматске провере

До 2024. ознаке су биле потпуно self-reported — Apple је веровао одговорима програмера. Са појавом Privacy Manife и интеграцијом ознака са манифестом, Apple је започео аутоматско поређење. На пример, ако манифест декларише прикупљање идентификатора (IDFA) за оглашавање, а ознаке не бележе ову категорију, App Store Connect приказује упозорење.

Међутим, потпуна аутоматска провера још не постоји. Програмер је дужан да одржава оба извора података (ознаке + манифест) у ажурном стању. Неусаглашеност се може открити при ручној провери од стране рецензента, посебно за велика ажурирања или апликације са великом количином података.

Врсте података у Privacy Nutrition Label

Apple дели податке на 14 категорија груписаних у 3 одељка: подаци који се користе за праћење; подаци повезани са корисником; подаци неповезани са корисником. Размотримо главне категорије.

Контакт информације и идентификатори

Категорија „Контакт информације" укључује име, емаил, телефон, физичку адресу. Категорија „Идентификатори" — IDFA, User ID, корисничко име. Ако апликација користи пријаву преко друштвених мрежа и добија емаил корисника, потребно је навести ову категорију са циљем „Извршавање функција".

Категорија „Подаци о плаћању" укључује информације о куповинама: број картице (ако се не користи Apple Pay), историју куповина. Apple Pay не захтева навођење ове категорије, јер Apple обрађује плаћања на својој страни и не преноси податке програмеру.

Подаци о коришћењу и дијагностика

Категорија „Подаци о коришћењу" укључује дневнике интеракције, кликове на огласе, прегледе страница, време сесије. Већина апликација прикупља ове податке за аналитику. Важно: ако се подаци преносе трећим странама (Google Analytics, Firebase), потребно је означити циљ „Аналитика".

Категорија „Дијагностика" укључује crash дневнике, податке о перформансама, извештаје о покретању. Ови подаци обично нису повезани са корисником (not linked) и прикупљају се у агрегираном облику. Упркос томе, они треба да буду одражени у ознакама ако апликација користи Crashlytics или Sentry.

Садржај корисника и куповине

Категорија „Садржај корисника" укључује фотографије, видео, аудио, датотеке, садржај који креира корисник (поруке, коментари). Ако апликација захтева приступ фотографијама или датотекама, ова категорија је обавезна. Чак и ако апликација само чита фотографије, то се сматра прикупљањем података.

Категорија „Историја куповина" — агрегирани подаци о куповинама у апликацији, претплатама, плаћањима. Не мешати са „Финансијским информацијама". Историја куповина су метаподаци трансакција, а не детаљи плаћања.

Како попунити ознаке у App Store Connect

Водич корак по корак за попуњавање Privacy Nutrition Label у App Store Connect за нову или ажурирану апликацију.

Припрема за попуњавање

Пре попуњавања ознака саставите комплетну листу свих SDK-а и услуга које прикупљају податке: Firebase, AppsFlyer, Google Ads, Facebook SDK, Sentry, Amplitude. За сваки SDK проверите које податке прикупља и да ли их преноси трећим странама. Adjust (2024) препоручује вођење табеле са врстама података, циљевима и повезивањем за сваки SDK.

Утврдите које податке директно прикупља ваш код. На пример, ако апликација чува историју претраге и повезује је са налогом корисника — то су „Подаци о коришћењу" linked за циљ „Развој производа". Увек проверавајте да ли се подаци преносе трећим странама (мреже за оглашавање, аналитика).

Попуњавање упитника

У App Store Connect изаберите апликацију → одељак „Приватност апликације". Кликните „Започни" и изаберите да ли ваша апликација прикупља податке за праћење. Ако не, пређите на упитник. Одговорите на свако питање редом за свих 14 категорија података.

Пример: ако апликација користи Firebase Analytics, одговорите „Да" за категорију „Подаци о коришћењу", наведите linked (Firebase повезује податке са Instance ID) и циљ „Аналитика". Ако такође користите Firebase Crashlytics, додајте категорију „Дијагностика" са циљем „Развој производа".

Након попуњавања сачувајте ознаке. Ако имате више апликација, ознаке су јединствене за сваку — копирање није предвиђено. Ажурирајте ознаке при свакој промени логике прикупљања података, иначе старе ознаке можда неће одговарати новој функционалности.

// Пример: провера слања података за аналитику
import FirebaseAnalytics

final class AnalyticsService {
    static func logEvent(_ name: String, params: [String: Any]) {
        Analytics.logEvent(name, parameters: params)
    }

    static func logPurchase(amount: Double, currency: String) {
        Analytics.logEvent(AnalyticsEventPurchase, parameters: [
            AnalyticsParameterValue: amount,
            AnalyticsParameterCurrency: currency
        ])
    }
}

Ажурирање постојећих ознака

Да бисте ажурирали ознаке за објављену апликацију, отворите верзију апликације у App Store Connect и унесите измене у одељку „Приватност апликације". Измене ступају на снагу након проласка рецензије. Нове ознаке се приказују корисницима у року од 24 сата након објављивања ажурирања.

Важно: уклањање података из ознака (нпр. престали сте да преносите податке трећим странама) не захтева нову верзију — довољно је изменити ознаке у App Store Connect. Додавање нових података захтева како измену ознака, тако и одговарајуће ажурирање Privacy Manife у коду.

Чести проблеми са ознакама приватности

Програмери често праве грешке при попуњавању ознака, што доводи до одбијања ажурирања или жалби корисника.

Непотпуно декларисање SDK-а

Најчешћа грешка — програмер попуњава ознаке само на основу свог кода, заборављајући на SDK-ове трећих страна. Firebase, AppsFlyer, Facebook SDK и други прикупљају податке аутоматски без додатног кода програмера. На пример, Firebase Analytics прикупља податке о коришћењу (догађаји, екрани) и идентификаторе (Instance ID, IDFV).

Препорука: за сваки интегрисани SDK прочитајте одељак „Data Collected" у документацији и додајте одговарајуће категорије у ознаке. AppsFlyer (2024) објављује листу прикупљених података за сваку верзију SDK-а, што помаже програмерима да провере ознаке.

Забуна између linked и not linked

Многи програмери означавају податке као not linked, иако су повезани са налогом. Ако корисник има налог и ви чувате његово име или емаил — то је linked. Ако прикупљате crash дневнике без повезивања са налогом — то је not linked. Грешка у повезивању може се сматрати обмањивањем корисника.

Linked подаци се приказују жутом бојом и привлаче више пажње корисника. Ако нисте сигурни да ли је одређена врста података linked, боље је навести linked и дати објашњење при рецензији. Apple не кажњава за прекомерно декларисање, али може одбити због недовољног.

Праћење није означено као tracking

Ако се подаци преносе трећим странама и користе за циљано оглашавање, то треба означити као „Подаци који се користе за праћење". Неки програмери скривају праћење, преносећи податке под видом аналитике — ово крши Apple правилима и може довести до забране.

Apple правило: ако се подаци преносе трећој страни и користе за персонализацију огласа или атрибуцију — то је праћење. Чак и ако апликација сама не приказује огласе, али користи Google Ads за атрибуцију инсталација, подаци о прегледима сматрају се праћењем.

Ознаке се не ажурирају након промене кода

Старе ознаке које не одговарају тренутној логици прикупљања података — чест проблем при дуготрајном одржавању апликације. Програмери мењају SDK-ове, додају нове функције, али заборављају да ажурирају ознаке. Као резултат, корисник види неажурне информације, што смањује поверење.

Најбоља пракса: при свакој промени кода везаној за податке, проверите ознаке и манифест. Препоручује се подешавање CI провере која упозорава на потребу ажурирања ознака при промени датотека PrivacyInfo.xcprivacy или листе SDK-ова.