Política de privacidade para o seu app: o que a Apple e o Google exigem, com modelo

A Apple e o Google não publicam nenhum app sem política de privacidade. Veja o que ela deve dizer, onde colocá-la e um modelo para o seu app.

As duas lojas querem a mesma base: o que seu app coleta, por quê, quem mais recebe esses dados, por quanto tempo você os mantém e como os usuários podem pedir a exclusão. Escreva a política para este app, não para o seu site, publique em um endereço público e coloque um link para ela na página do app na loja e dentro do próprio app. Se você criar seu app com a GoodBarber, o Privacy Center oferece um modelo completo para você preencher.

Sim, até um app que não coleta nada.

• A Apple exige uma de todos os apps. A diretriz 5.1.1 das App Store Review Guidelines pede um link no App Store Connect e outro dentro do app.
• O Google Play é explícito: segundo sua política de Dados do usuário, os apps que não acessam nenhum dado pessoal ou sensível também precisam enviar uma política de privacidade.
• Na União Europeia, o GDPR acrescenta sua própria lista assim que seu app coleta dados pessoais, e a maioria dos apps coleta: um endereço de e-mail no cadastro, um token do dispositivo para as notificações push, uma localização para um mapa. O artigo 13 do GDPR diz o que você tem que informar às pessoas quando coleta esses dados.

O Google também quer que a política inclua seus dados de desenvolvedor, um contato para questões de privacidade e seus procedimentos de tratamento seguro dos dados. E, na Apple, uma regra acompanha a política: se os usuários puderem criar uma conta no seu app, eles precisam poder excluí-la dentro do próprio app (diretriz 5.1.1 (v)). O Google Play tem a mesma regra e também pede uma página da web, com link no Play Console, onde os usuários possam solicitar a exclusão fora do app.

Copie esta estrutura e substitua tudo o que está entre colchetes. Ela segue a ordem que as lojas e o GDPR esperam e cobre o essencial. Se você criar seu app com a GoodBarber, prefira partir do modelo do Privacy Center, que é mais completo. De qualquer forma, é um ponto de partida, não uma orientação jurídica: se o seu app trata dados de saúde ou é feito para crianças, peça uma revisão do texto.

1. Título e escopo. “Política de privacidade do [nome do app]. Esta política se aplica ao app [nome do app] para iPhone e Android, publicado por [razão social], [endereço].”
2. O que coletamos, e quando. Uma linha por tipo de dado, por exemplo: “seu nome e seu endereço de e-mail, quando você cria uma conta; um token do dispositivo, para te enviar notificações push; sua localização, somente quando você abre o mapa e permite; estatísticas de uso, para saber quais seções são lidas; as mensagens e fotos que você envia pelos nossos formulários.”
3. Por que usamos esses dados. “Usamos seu e-mail para gerenciar sua conta, e sua localização para te mostrar [lugares] perto de você.” Na União Europeia, acrescente a base legal de cada uso, que geralmente é o contrato, o consentimento ou o interesse legítimo.
4. Quem recebe esses dados. “Nosso provedor de hospedagem [nome, país], nosso provedor de análise [nome], nosso parceiro de publicidade [nome]. Eles protegem seus dados no mesmo nível desta política.” A Apple pede que você confirme esta última frase. Se um provedor armazenar dados fora da União Europeia, diga onde e com qual garantia: “[Provedor] armazena os dados em [país], com base nas cláusulas contratuais padrão da Comissão Europeia.” As compras feitas pela App Store ou pelo Google Play são processadas pela Apple ou pelo Google.
5. Por quanto tempo mantemos esses dados. “Dados da conta: enquanto sua conta estiver aberta, depois [período]. Estatísticas: [período].”
6. Como protegemos esses dados. “Protegemos seus dados com [criptografia em trânsito, acesso restrito, as medidas de segurança do nosso provedor de hospedagem].” O Google Play exige esta parte.
7. Seus direitos. “Você pode acessar, corrigir ou excluir seus dados, limitar o tratamento deles ou se opor a ele, recebê-los em um formato reutilizável e retirar seu consentimento a qualquer momento. Exclua sua conta em [caminho do menu] ou escreva para [e-mail]. Você também pode apresentar uma reclamação à [sua autoridade de proteção de dados].”
8. Contato. “[e-mail]” e, se você tiver um, o contato do seu encarregado de proteção de dados (DPO).
9. Alterações. “Última atualização: [data]. Vamos avisar você no app se esta política mudar.”

• Uma política escrita para o seu site. Ela precisa descrever o app. O Google verifica se ela menciona o app ou a sua empresa, e as duas lojas verificam se ela cobre os dados que o app coleta.
• Uma página que não é pública. Atrás de um login, apagada durante uma reformulação do site ou enviada como PDF: o Google Play quer uma página da web ativa e pública.
• Nenhum link dentro do app. As duas lojas exigem um. Um item no menu ou a tela de configurações já basta.
• Uma política que diz menos do que o app faz. Se o seu app usa uma ferramenta de análise ou uma rede de anúncios, a política tem que dizer isso, assim como suas respostas no formulário App Privacy da Apple e no formulário Data safety do Google. Marc explica esses dois formulários passo a passo no nosso checklist de privacidade para apps.
• Nenhuma forma de excluir a conta. Se os usuários puderem se cadastrar, as duas lojas exigem que eles possam excluir a conta dentro do app, e o Google Play também quer uma página da web para as solicitações de exclusão.

O Privacy Center oferece um modelo completo de política de privacidade, mais detalhado que o apresentado acima. Substitua as partes em azul pelas suas próprias informações, coloque o nome do seu app e adicione um e-mail de contato.

Depois de salva, a política ganha uma página pública própria na versão web do seu app (PWA). É esse endereço que você informa à Apple e ao Google. Se a versão web não estiver publicada, o back office fornece um endereço HTML em Configurações > Outras configurações > Meus arquivos. Em seguida, adicione um link para essa página no menu do seu app.

Dois detalhes da nossa central de ajuda:

• No iOS, se o seu app usa comentários, a seção Envio, compras no app ou login, a política precisa estar configurada antes que você possa gerar o app, como explica nossa ajuda sobre a App Store.
• Se você já tem sua própria política, pode manter o endereço dela. Copie para ela as partes do modelo que descrevem os recursos do seu app: o Google Play verifica esses pontos, como explica nossa ajuda sobre o Google Play.

Se o GoodBarber Takes Care publicar o app para você, informe o endereço no brief da revisão.

Uma política de privacidade não se escreve uma vez só. Sempre que você adicionar um recurso que envolva dados pessoais, como um formulário de cadastro, um mapa, uma rede de anúncios ou uma nova ferramenta de análise, atualize primeiro a política, depois suas respostas de App Privacy e Data safety, antes de enviar a atualização. A Apple mantém o endereço de uma versão para outra e o verifica a cada atualização; você só pode alterá-lo enquanto uma nova versão estiver em preparação. O Google Play também analisa os apps já publicados, sem um novo envio, e pode remover um app que viole as regras, como explica a página sobre a aplicação das políticas. Mantenha a página no ar e sempre atualizada, no mesmo endereço: mude o texto, não o link.

Meu app precisa de uma política de privacidade se não coleta nenhum dado?

Sim. A Apple exige uma para todos os apps, e o Google Play afirma que os apps que não acessam nenhum dado pessoal ou sensível também precisam enviar uma. Nesse caso, a política diz isso em palavras simples.

Posso usar a política de privacidade do meu site?

Sim, se ela cobrir o app: se mencionar o app, descrever os dados que o app coleta e estiver em um endereço público. Caso contrário, publique uma página separada para o app.

Minha política de privacidade pode ser um PDF?

Não para o Google Play, que pede uma página da web ativa e pública e exclui PDFs. Uma página da web também serve para a Apple.

Onde a política de privacidade deve aparecer no app?

Onde os usuários a encontrem facilmente, como no menu ou na tela de configurações. O Google Play aceita um link ou o texto completo dentro do app.

O que acontece se o link da política de privacidade parar de funcionar?

As lojas verificam o link na revisão, então um link quebrado pode bloquear sua próxima atualização, e o Google Play também analisa os apps já publicados, sem um novo envio. Mantenha a página no ar e sempre atualizada, e conserve o endereço dela quando mudar o texto.

Um gerador de política de privacidade é suficiente?

Ele dá a estrutura. O que as lojas verificam é se o texto corresponde ao que seu app realmente faz, então compare o texto com os recursos do app antes de enviá-lo.

O Privacy Center da GoodBarber oferece um modelo completo de política de privacidade e publica sua política na versão web do app, com um endereço pronto para colar no App Store Connect e no Play Console. Crie seu app com o teste gratuito de 30 dias, sem cartão de crédito.