Privacy Nutrition Label trong iOS: bản chất, nhãn quyền riêng tư và dữ liệu trong App Store

Privacy Nutrition Label là gì?

Privacy Nutrition Label là một khối trực quan trên trang ứng dụng trong App Store hiển thị tóm tắt về việc thu thập dữ liệu. Apple giới thiệu nhãn vào tháng 12 năm 2020 như một hình thức tương tự thông tin dinh dưỡng trên sản phẩm thực phẩm: thay vì calo và chất béo, người dùng thấy ứng dụng thu thập dữ liệu nào và dữ liệu được sử dụng như thế nào.

Nhãn bao gồm hai phần: “Dữ liệu được sử dụng để theo dõi” và “Dữ liệu liên kết với người dùng”. Phần đầu tiên chỉ dữ liệu được truyền cho bên thứ ba để theo dõi. Phần thứ hai bao gồm tất cả dữ liệu mà ứng dụng thu thập và liên kết với tài khoản hoặc thiết bị của người dùng.

Mỗi mục dữ liệu được đánh dấu bằng màu sắc: vàng (dữ liệu liên kết với người dùng) hoặc xanh lá (dữ liệu không liên kết với người dùng). Càng nhiều nhãn màu vàng, người dùng càng chú ý đến dữ liệu đang được thu thập. Theo Adjust (2024), các ứng dụng có 8+ nhãn màu vàng có tỷ lệ chuyển đổi cài đặt thấp hơn 22%.

Việc điền nhãn diễn ra trong App Store Connect thông qua giao diện web. Nhà phát triển trả lời các câu hỏi: ứng dụng có thu thập một loại dữ liệu nhất định không, dữ liệu có liên kết với người dùng không và được sử dụng cho mục đích gì. Apple không xác minh tính trung thực của nhãn theo chương trình, nhưng sự khác biệt giữa khai báo và hành vi thực tế có thể dẫn đến từ chối.

Lịch sử của Privacy Nutrition Label

Apple đã công bố nhãn tại WWDC 2020 cùng với iOS 14. Ban đầu, chúng là một phần của sáng kiến quyền riêng tư rộng lớn hơn bao gồm cả ATT và Privacy Manifest. Việc điền nhãn trở thành bắt buộc đối với tất cả ứng dụng và bản cập nhật từ ngày 8 tháng 12 năm 2020.

Nhãn là phản ứng của Apple trước sự chú ý ngày càng tăng của các cơ quan quản lý và người dùng đối với việc thu thập dữ liệu. Không giống như GDPR và CCPA yêu cầu sự đồng ý chính thức, Apple tập trung vào tính minh bạch: người dùng thấy ngay dữ liệu nào đang được thu thập, ngay cả trước khi cài đặt ứng dụng.

Vào năm 2022, Apple đã thêm tính tương tác vào nhãn: người dùng có thể chạm vào từng danh mục và xem dữ liệu được sử dụng cho mục đích gì. Vào năm 2024, Apple bắt đầu yêu cầu nhãn phải khớp với dữ liệu được khai báo trong Privacy Manifest bên trong tệp nhị phân.

Khác biệt so với Android Data Safety

Google đã giới thiệu phần “An toàn dữ liệu” (Data Safety) tương tự trong Google Play vào tháng 4 năm 2022. Sự khác biệt chính: Google xác minh nhãn bằng cách quét mã tự động và có thể yêu cầu xác nhận từ nhà phát triển, trong khi Apple dựa vào khai báo của nhà phát triển với xác minh trong quá trình xem xét.

Ngoài ra, Google Play yêu cầu chỉ định các biện pháp bảo mật (mã hóa dữ liệu khi lưu trữ và truyền tải, tuân thủ các chương trình bảo mật). Apple không yêu cầu thông tin này, nhưng xác minh việc tuân thủ các yêu cầu thông qua các tính năng bắt buộc như ATS (App Transport Security).

Apple thu thập dữ liệu cho nhãn như thế nào

Apple không phân tích mã của ứng dụng để điền nhãn — nhà phát triển tự khai báo dữ liệu đã thu thập. Tuy nhiên, vào năm 2024, Apple bắt đầu đối chiếu nhãn với Privacy Manifest bên trong tệp nhị phân, làm cho quy trình trở nên chính thức hơn.

Quy trình điền trong App Store Connect

Nhà phát triển vào App Store Connect → chọn ứng dụng → phần “Quyền riêng tư của ứng dụng” → “Nhãn quyền riêng tư”. Một bảng câu hỏi với các câu hỏi về từng danh mục trong số 14 danh mục dữ liệu sẽ mở ra. Cho mỗi danh mục, cần chỉ định: bạn có thu thập loại dữ liệu này không, dữ liệu có liên kết với người dùng không và cho mục đích gì.

Các mục đích thu thập bao gồm: quảng cáo bên thứ ba, phân tích nhà phát triển, phát triển sản phẩm, cá nhân hóa nội dung và chức năng ứng dụng. Một danh mục dữ liệu có thể được sử dụng cho nhiều mục đích. Quan trọng: nếu dữ liệu được chia sẻ với bên thứ ba, nó phải được đánh dấu là theo dõi.

Sau khi lưu thay đổi, Apple tạo phiên bản nhãn mới, xuất hiện trong App Store trong vòng 24 giờ. Khi gửi bản dựng mới, nhãn được kiểm tra tự động: nếu chưa được điền, nút gửi sẽ bị chặn. Apple Developer (2024) khuyến nghị cập nhật nhãn mỗi khi có thay đổi trong logic thu thập dữ liệu.

Sự khác biệt giữa tự khai báo và xác minh tự động

Cho đến năm 2024, nhãn hoàn toàn do tự khai báo — Apple tin tưởng câu trả lời của nhà phát triển. Với sự ra đời của Privacy Manifest và tích hợp nhãn với tệp kê khai, Apple bắt đầu đối chiếu tự động. Ví dụ: nếu tệp kê khai khai báo việc thu thập mã nhận dạng (IDFA) cho quảng cáo, nhưng nhãn không đánh dấu danh mục này, App Store Connect sẽ đưa ra cảnh báo.

Tuy nhiên, xác minh tự động hoàn toàn vẫn chưa tồn tại. Nhà phát triển phải duy trì cả hai nguồn dữ liệu (nhãn + tệp kê khai) được cập nhật. Sự khác biệt có thể được phát hiện trong quá trình xem xét thủ công, đặc biệt đối với các bản cập nhật lớn hoặc ứng dụng có lượng dữ liệu lớn.

Các loại dữ liệu trong Privacy Nutrition Label

Apple chia dữ liệu thành 14 danh mục được nhóm thành 3 phần: dữ liệu được sử dụng để theo dõi, dữ liệu liên kết với người dùng và dữ liệu không liên kết với người dùng. Hãy xem xét các danh mục chính.

Thông tin liên hệ và mã nhận dạng

Danh mục “Thông tin liên hệ” bao gồm tên, email, điện thoại và địa chỉ vật lý. Danh mục “Mã nhận dạng” bao gồm IDFA, ID người dùng và tên người dùng. Nếu ứng dụng sử dụng đăng nhập mạng xã hội và nhận email của người dùng, danh mục này phải được chỉ định với mục đích “Thực thi chức năng”.

Danh mục “Dữ liệu thanh toán” bao gồm thông tin mua hàng: số thẻ (nếu không sử dụng Apple Pay) và lịch sử mua hàng. Apple Pay không yêu cầu chỉ định danh mục này vì Apple xử lý thanh toán ở phía mình và không truyền dữ liệu cho nhà phát triển.

Dữ liệu sử dụng và chẩn đoán

Danh mục “Dữ liệu sử dụng” bao gồm nhật ký tương tác, nhấp quảng cáo, lượt xem trang và thời gian phiên. Hầu hết các ứng dụng thu thập dữ liệu này cho phân tích. Quan trọng: nếu dữ liệu được chia sẻ với bên thứ ba (Google Analytics, Firebase), mục đích “Phân tích” phải được đánh dấu.

Danh mục “Chẩn đoán” bao gồm nhật ký sự cố, dữ liệu hiệu suất và báo cáo khởi động. Dữ liệu này thường không liên kết với người dùng (not linked) và được thu thập dưới dạng tổng hợp. Mặc dù vậy, dữ liệu phải được phản ánh trong nhãn nếu ứng dụng sử dụng Crashlytics hoặc Sentry.

Nội dung người dùng và mua hàng

Danh mục “Nội dung người dùng” bao gồm ảnh, video, âm thanh, tệp và nội dung do người dùng tạo (tin nhắn, bình luận). Nếu ứng dụng yêu cầu quyền truy cập vào ảnh hoặc tệp, danh mục này là bắt buộc. Ngay cả khi ứng dụng chỉ đọc ảnh, điều này được coi là thu thập dữ liệu.

Danh mục “Lịch sử mua hàng” bao gồm dữ liệu tổng hợp về giao dịch mua trong ứng dụng, đăng ký và thanh toán. Đừng nhầm lẫn với “Thông tin tài chính”. Lịch sử mua hàng là siêu dữ liệu giao dịch, không phải chi tiết thanh toán.

Cách điền nhãn trong App Store Connect

Hướng dẫn từng bước để điền Privacy Nutrition Label trong App Store Connect cho ứng dụng mới hoặc đã cập nhật.

Chuẩn bị

Trước khi điền nhãn, hãy lập danh sách đầy đủ tất cả SDK và dịch vụ thu thập dữ liệu: Firebase, AppsFlyer, Google Ads, Facebook SDK, Sentry, Amplitude. Đối với mỗi SDK, hãy kiểm tra dữ liệu nào nó thu thập và có chia sẻ dữ liệu với bên thứ ba không. Adjust (2024) khuyến nghị duy trì bảng với các loại dữ liệu, mục đích và liên kết cho mỗi SDK.

Xác định dữ liệu nào mã của bạn trực tiếp thu thập. Ví dụ: nếu ứng dụng lưu lịch sử tìm kiếm và liên kết với tài khoản người dùng, đây là “Dữ liệu sử dụng” được liên kết cho mục đích “Phát triển sản phẩm”. Luôn kiểm tra xem dữ liệu có được chia sẻ với bên thứ ba (mạng quảng cáo, phân tích) hay không.

Điền bảng câu hỏi

Trong App Store Connect, chọn ứng dụng → phần “Quyền riêng tư của ứng dụng”. Nhấp “Bắt đầu” và chọn ứng dụng của bạn có thu thập dữ liệu để theo dõi không. Nếu không, hãy chuyển sang bảng câu hỏi. Trả lời từng câu hỏi tuần tự cho tất cả 14 danh mục dữ liệu.

Ví dụ: nếu ứng dụng sử dụng Firebase Analytics, trả lời “Có” cho danh mục “Dữ liệu sử dụng”, chỉ định liên kết (Firebase liên kết dữ liệu với Instance ID) và mục đích “Phân tích”. Nếu bạn cũng sử dụng Firebase Crashlytics, hãy thêm danh mục “Chẩn đoán” với mục đích “Phát triển sản phẩm”.

Sau khi điền, hãy lưu nhãn. Nếu bạn có nhiều ứng dụng, nhãn là duy nhất cho mỗi ứng dụng — không hỗ trợ sao chép. Cập nhật nhãn mỗi khi có thay đổi trong logic thu thập dữ liệu, nếu không nhãn cũ có thể không khớp với chức năng mới.

// Ví dụ: kiểm tra gửi dữ liệu cho phân tích
import FirebaseAnalytics

final class AnalyticsService {
    static func logEvent(_ name: String, params: [String: Any]) {
        Analytics.logEvent(name, parameters: params)
    }

    static func logPurchase(amount: Double, currency: String) {
        Analytics.logEvent(AnalyticsEventPurchase, parameters: [
            AnalyticsParameterValue: amount,
            AnalyticsParameterCurrency: currency
        ])
    }
}

Cập nhật nhãn hiện có

Để cập nhật nhãn cho ứng dụng đã xuất bản, hãy mở phiên bản ứng dụng trong App Store Connect và thực hiện thay đổi trong phần “Quyền riêng tư của ứng dụng”. Các thay đổi có hiệu lực sau khi vượt qua đánh giá. Nhãn mới được hiển thị cho người dùng trong vòng 24 giờ sau khi xuất bản bản cập nhật.

Quan trọng: việc xóa dữ liệu khỏi nhãn (ví dụ: bạn đã ngừng chia sẻ dữ liệu với bên thứ ba) không yêu cầu bản dựng mới — chỉ cần thay đổi nhãn trong App Store Connect. Việc thêm dữ liệu mới yêu cầu cả thay đổi nhãn và cập nhật Privacy Manifest tương ứng trong mã.

Các vấn đề thường gặp với nhãn quyền riêng tư

Các nhà phát triển thường mắc lỗi khi điền nhãn, dẫn đến từ chối cập nhật hoặc khiếu nại của người dùng.

Khai báo SDK không đầy đủ

Lỗi phổ biến nhất là nhà phát triển chỉ điền nhãn dựa trên mã của riêng họ, quên mất SDK của bên thứ ba. Firebase, AppsFlyer, Facebook SDK và các SDK khác thu thập dữ liệu tự động mà không cần mã bổ sung của nhà phát triển. Ví dụ: Firebase Analytics thu thập dữ liệu sử dụng (sự kiện, màn hình) và mã nhận dạng (Instance ID, IDFV).

Khuyến nghị: đối với mỗi SDK được tích hợp, hãy đọc phần “Dữ liệu được thu thập” trong tài liệu và thêm các danh mục tương ứng vào nhãn. AppsFlyer (2024) công bố danh sách dữ liệu được thu thập cho mỗi phiên bản SDK, giúp nhà phát triển đối chiếu nhãn.

Nhầm lẫn giữa linked và not linked

Nhiều nhà phát triển đánh dấu dữ liệu là not linked trong khi thực tế nó được liên kết với tài khoản. Nếu người dùng có tài khoản và bạn lưu tên hoặc email của họ, đó là linked. Nếu bạn thu thập nhật ký sự cố mà không liên kết với tài khoản, đó là not linked. Lỗi trong liên kết có thể bị coi là gây hiểu lầm cho người dùng.

Dữ liệu linked được hiển thị bằng màu vàng và thu hút nhiều sự chú ý của người dùng hơn. Nếu bạn không chắc một loại dữ liệu cụ thể có phải là linked hay không, tốt hơn nên đánh dấu là linked và cung cấp giải thích trong quá trình đánh giá. Apple không phạt việc khai báo quá mức, nhưng có thể từ chối vì khai báo không đầy đủ.

Theo dõi không được đánh dấu là tracking

Nếu dữ liệu được chia sẻ với bên thứ ba và được sử dụng cho quảng cáo được nhắm mục tiêu, nó phải được đánh dấu là “Dữ liệu được sử dụng để theo dõi”. Một số nhà phát triển che giấu theo dõi bằng cách truyền dữ liệu như phân tích — điều này vi phạm quy tắc của Apple và có thể dẫn đến lệnh cấm.

Quy tắc của Apple: nếu dữ liệu được chia sẻ với bên thứ ba và được sử dụng để cá nhân hóa quảng cáo hoặc quy kết, đó là theo dõi. Ngay cả khi ứng dụng không hiển thị quảng cáo nhưng sử dụng Google Ads để quy kết cài đặt, dữ liệu xem được coi là theo dõi.

Nhãn không được cập nhật sau khi thay đổi mã

Nhãn cũ không khớp với logic thu thập dữ liệu hiện tại là vấn đề phổ biến trong bảo trì ứng dụng dài hạn. Các nhà phát triển thay đổi SDK, thêm tính năng mới, nhưng quên cập nhật nhãn. Kết quả là người dùng thấy thông tin lỗi thời, làm giảm niềm tin.

Thực hành tốt nhất: với mỗi thay đổi mã liên quan đến dữ liệu, hãy kiểm tra nhãn và tệp kê khai. Nên thiết lập kiểm tra CI cảnh báo về nhu cầu cập nhật nhãn khi thay đổi tệp PrivacyInfo.xcprivacy hoặc danh sách SDK.