Liste de contrôle pour la divulgation des autorisations d'application sur iOS et Google Play

Les boutiques d'applications examinent désormais de près les divulgations d'autorisations. Des réponses incomplètes ou incohérentes peuvent entraîner des refus ou des retraits. Ce guide propose une liste de contrôle complète pour cartographier les types de données, remplir correctement les formulaires des boutiques et aligner chaque divulgation sur votre politique de confidentialité, votre politique de cookies et vos conditions.

Réutilisez vos bannières CTA et ajoutez des liens vers le Générateur de politique de confidentialité, le Générateur de politique de cookies et le Générateur de conditions d'utilisation dans la fiche de votre boutique d'applications, l'intégration et les paramètres.

Pourquoi la transparence des autorisations est importante

Examen réglementaire et des plateformes

Le GDPR, le CPRA et les politiques des plateformes exigent des descriptions exactes de la collecte, de l'usage et du partage des données. Les régulateurs et les boutiques d'applications sanctionnent les invites trompeuses, le suivi caché ou les divulgations incohérentes.

Confiance et conversion

Des explications claires sur les autorisations réduisent les taux de désinstallation et soutiennent les ventes aux entreprises. Les équipes d'approvisionnement attendent des politiques de confidentialité alignées et des contrôles de sécurité.

Rappels relatifs à l'application des règles

Plusieurs applications ont été retirées des listes pour de fausses déclarations sur la sécurité des données. Le règlement CPRA de 1,2 M$ de Sephora (2022, procureur général de Californie) et l'amende GDPR d'environ 1,2 milliard d'euros de Meta (2023, Reuters) soulignent le coût des pratiques opaques.

Cartographiez chaque type de données

Identifiez les autorisations et les données dérivées

Listez l'appareil photo, le microphone, les photos, la localisation (approximative/précise), les contacts, les calendriers, la santé, le mouvement et les notifications. Incluez les données dérivées comme les événements d'analyse, les journaux de plantage, les identifiants d'appareil et les identifiants publicitaires.

Séparez l'obligatoire du facultatif

Indiquez quelles autorisations sont essentielles aux fonctionnalités principales et lesquelles sont des améliorations facultatives. Proposez des chemins alternatifs lorsque c'est possible.

Reliez aux finalités et aux bases légales

Associez chaque type de données à sa finalité (fourniture de fonctionnalité, analyse, publicité, sécurité) et à sa base légale (contrat, consentement, intérêt légitime). Consultez les orientations du GDPR pour les bases licites et les orientations commerciales de la FTC pour les attentes en matière d'équité.

Alignez les divulgations des boutiques sur vos politiques

Synchronisez le langage

Utilisez les mêmes catégories de données et finalités dans l'étiquette nutritionnelle de confidentialité de l'App Store, le formulaire de sécurité des données de Play et votre politique de confidentialité. Évitez les différences de jargon qui suscitent des questions lors de la validation.

Liez vers les politiques principales

Incluez des CTA vers votre Générateur de politique de confidentialité, votre Générateur de politique de cookies et votre Générateur de conditions d'utilisation dans les paramètres, l'intégration et les invites.

Tenez un journal des versions

Suivez les versions de politique, les soumissions de formulaires aux boutiques et les mises à jour des SDK. Mettez à jour les divulgations avant de livrer des versions qui modifient la collecte de données.

Exigences de l'Apple App Store

Étiquettes nutritionnelles de confidentialité et manifestes

Complétez les détails de confidentialité de l'application dans App Store Connect. Utilisez le manifeste de confidentialité pour déclarer les API à raison requise (appareil photo, microphone, localisation, valeurs par défaut de l'utilisateur, horodatages de fichiers) et assurez-vous que vos justifications d'usage sont exactes.

Invites à l'exécution

Expliquez pourquoi vous demandez une autorisation dans un langage simple et indiquez comment les données seront utilisées. Proposez des liens vers votre politique depuis les écrans d'information sur les autorisations.

Sécurité des enfants et minimisation des données

Si votre application peut atteindre des mineurs, évitez le suivi inutile et respectez les règles de la plateforme. Gardez une conservation des données courte et documentez-la dans votre politique.

Exigences de Google Play

Exactitude du formulaire de sécurité des données

Listez chaque type de données collecté, partagé, chiffré, conservé et supprimable. Maintenez le formulaire aligné sur votre comportement à l'exécution et les mises à jour des SDK.

Familles et considérations liées à l'âge

Si vous servez des enfants ou des publics mixtes, respectez la politique relative aux familles. Évitez les publicités personnalisées et limitez la collecte de données au strict nécessaire.

Liens de la fiche de la boutique

Fournissez une URL de politique de confidentialité fonctionnelle dans la fiche et dans les paramètres de l'application. Incluez un lien vers vos conditions et votre politique de cookies si vous utilisez des vues web avec suivi.

Tableau pratique pour les autorisations et les divulgations

Autorisation/donnée	Finalité	Emplacement de divulgation	Contrôles	Conservation
Appareil photo	Photos de profil, reçus	Texte d'invite, politique, formulaires de boutique	Bascule dans les paramètres	Jusqu'à la suppression par l'utilisateur ou du compte
Localisation (approximative/précise)	Offres à proximité, livraison	Invite, politique, formulaires de boutique	Demander en contexte, autoriser à ignorer	30-90 days, puis purge
Contacts	Inviter des amis	Invite, politique	Autoriser à ignorer, supprimer les invitations	Ne pas conserver à long terme
Notifications	Alertes, rappels	Invite, paramètres	Bascule dans l'application	Jusqu'à désactivation par l'utilisateur
SDK d'analyse	Analyse d'utilisation	Politique, bannière si requise	Bannière de consentement aux cookies	13 months
Identifiant publicitaire	Attribution/publicités	Politique, bannière CMP	Désinscription ou limitation du suivi publicitaire	Valeur par défaut du fournisseur

Liste de contrôle d'implémentation étape par étape

1) Inventoriez et documentez

Auditez toutes les autorisations, SDK, API et flux de données. Capturez les finalités, le partage et la conservation pour chacun.

2) Rédigez les mises à jour de politique

Mettez à jour vos politiques de confidentialité et de cookies pour refléter l'inventaire. Liez vers le Générateur de politique de confidentialité et le Générateur de politique de cookies pour assurer la cohérence.

3) Mettez à jour les soumissions aux boutiques

Complétez les détails de confidentialité de l'App Store, le manifeste de confidentialité et le formulaire de sécurité des données de Play en utilisant les mêmes catégories. Conservez des captures d'écran des soumissions pour référence.

4) Mettez en place l'information dans l'application

Ajoutez des écrans pré-autorisation qui expliquent l'avantage et lient vers votre politique. Demandez les autorisations au moment du besoin, et non au premier lancement.

5) Configurez le consentement et les désinscriptions

Pour l'analyse et les publicités, affichez une bannière de consentement là où c'est requis. Respectez le GPC et fournissez des bascules pour le suivi publicitaire et le partage de données.

6) Testez et surveillez

Testez les flux sur iOS et Android. Vérifiez que les autorisations refusées ne cassent pas les expériences principales. Retestez après les mises à jour des SDK.

Erreurs courantes à éviter

Divulgations incohérentes

Si votre politique de confidentialité liste des types de données absents des formulaires de boutique (ou inversement), les équipes de validation peuvent refuser. Maintenez la formulation synchronisée.

Demander trop tôt

Demander la localisation ou l'appareil photo au premier lancement sans contexte augmente les taux de refus. Demandez lorsque la fonctionnalité est sur le point d'être utilisée.

Aucun chemin alternatif

Ne pas fournir d'option à ignorer pour les fonctionnalités facultatives crée des frictions et peut enfreindre les directives de la boutique.

Ignorer le retrait

Les utilisateurs ont besoin d'un moyen de révoquer les autorisations. Fournissez des bascules dans les paramètres et un chemin clair pour supprimer les données collectées.

Collecte non listée par les SDK

Les SDK tiers peuvent collecter des données même si vous ne les utilisez pas. Auditez le comportement des SDK et reflétez-le dans les formulaires et les politiques.

Exemples d'application des règles et enseignements

• Affaires liées aux données de localisation : des applications retirées des boutiques pour collecte non divulguée de localisation en arrière-plan (rapports de presse). Divulguez toujours explicitement l'usage en arrière-plan.
• Sephora (2022) : règlement CPRA de 1,2 M$ pour suivi non divulgué et défaillances de désinscription (procureur général de Californie). Assurez la transparence et la gestion de la désinscription.
• Meta (2023) : amende GDPR d'environ 1,2 milliard d'euros (Reuters) qui souligne l'importance du transfert licite et de la clarté sur l'usage des données.

Liste de contrôle de lancement et de maintenance

• Inventoriez les autorisations, les SDK et les données dérivées ; associez-les aux finalités et aux bases légales.
• Mettez à jour les pages de confidentialité, de cookies et de conditions avec des catégories correspondantes ; liez via des CTA.
• Complétez les détails de confidentialité de l'App Store, le manifeste de confidentialité et la sécurité des données de Play avec une formulation cohérente.
• Ajoutez des invites en contexte et autorisez à ignorer les autorisations facultatives.
• Respectez le consentement, le GPC et les désinscriptions pour l'analyse et les publicités.
• Révisez chaque trimestre et après chaque modification de SDK ou de fonctionnalité.

Exemple de formulation d'invite d'autorisation

• Appareil photo : « Nous utilisons l'appareil photo pour scanner les reçus et les associer à votre compte. Les images restent liées à votre profil et ne sont pas utilisées à des fins publicitaires. »
• Localisation : « Autorisez la localisation pour trouver des services à proximité. Vous pouvez continuer sans partager votre localisation et ajouter votre ville manuellement. »
• Contacts : « Nous accédons aux contacts uniquement pour envoyer les invitations que vous choisissez. Nous ne conservons pas votre carnet d'adresses après l'envoi. »

Plan de déploiement sur 30 jours

• Semaine 1 : auditez toutes les autorisations, SDK et flux de données ; associez-les aux divulgations des boutiques.
• Semaine 2 : réécrivez les sections de politique et les formulaires de boutique ; ajoutez des écrans pré-autorisation et des options à ignorer.
• Semaine 3 : mettez en place le consentement pour l'analyse et les publicités ; ajoutez des bascules dans les paramètres ; testez les chemins de refus.
• Semaine 4 : effectuez l'assurance qualité, les captures d'écran pour la validation, la révision juridique, et publiez les mises à jour sur les deux boutiques. Programmez des rappels d'agenda pour les révisions trimestrielles.

Indicateurs et assurance qualité

• Taux d'octroi vs refus des autorisations par plateforme et par écran.
• Résultats de la validation de l'application et délai d'approbation.
• Taux de plantage ou d'erreur lorsque les autorisations sont refusées.
• Respect du SLA des demandes de confidentialité pour l'accès et la suppression.
• Journal des modifications des SDK et mises à jour des divulgations associées.

Plan de test étendu

• Refusez chaque autorisation au premier lancement pour confirmer une dégradation maîtrisée et l'absence de plantage.
• Approuvez les autorisations en cours de session et confirmez que l'application se met à jour sans redémarrage lorsque c'est possible.
• Révoquez les autorisations dans les paramètres du système d'exploitation et vérifiez que l'application gère le changement.
• Vérifiez que les SDK d'analyse et de publicité respectent les bascules de consentement et les paramètres régionaux.
• Prenez de nouvelles captures d'écran pour chaque invite et chaque emplacement de divulgation pour les dossiers de validation des boutiques.

Exemple de cas

• Problème : l'application demandait la localisation en arrière-plan au premier lancement sans explication ; la validation de la boutique a refusé et les utilisateurs ont refusé l'autorisation.
• Correction : ajout d'une information pré-autorisation, demande en contexte, fourniture d'une option à ignorer, et mise à jour de la politique de confidentialité et des formulaires de boutique pour correspondre. Le taux d'octroi s'est amélioré et la validation a réussi.

Cahier d'audit

• Listez chaque autorisation avec sa justification, son statut facultatif ou obligatoire, et son emplacement dans l'application.
• Capturez les SDK qui accèdent aux mêmes données et confirmez que les divulgations les couvrent.
• Vérifiez que la politique, les manifestes et les formulaires de boutique utilisent tous une formulation identique pour chaque type de données.
• Notez le comportement de conservation et de suppression pour chaque type de données et testez-le.
• Suivez les captures d'écran pour chaque invite et chaque emplacement de divulgation pour les dossiers de soumission.

Conclusion

La transparence des autorisations protège les utilisateurs et maintient votre application active dans les boutiques. En alignant les divulgations entre les politiques, les invites et les formulaires de boutique, et en respectant le consentement et la révocation, vous réduisez le risque de refus et bâtissez la confiance. Conservez des CTA vers le Générateur de politique de confidentialité, le Générateur de politique de cookies et le Générateur de conditions d'utilisation dans chaque flux afin que votre socle juridique reste cohérent à mesure que vous livrez des mises à jour.

Liste de contrôle de test avant soumission

• Testez le premier lancement sur iOS et Android avec des installations neuves.
• Confirmez que les invites d'autorisation correspondent aux fonctionnalités qui les déclenchent.
• Vérifiez que le lien de la politique de confidentialité s'ouvre dans l'application et dans la fiche de la boutique d'applications.
• Vérifiez que l'analyse et les SDK sont couverts dans vos divulgations.

Maintenez les divulgations à jour

• Mettez à jour votre politique de confidentialité et les formulaires de boutique lorsque vous ajoutez des SDK, des publicités ou de l'analyse.
• Réauditez les autorisations à chaque version.
• Tenez un journal des modifications des pratiques de données à des fins d'audit.

Des divulgations d'autorisations claires améliorent les taux d'approbation et bâtissent la confiance des utilisateurs. Cartographiez vos données, alignez votre politique et maintenez les formulaires de boutique à jour à chaque version.

Points clés à retenir

• Alignez les divulgations des boutiques, les manifestes et votre politique de confidentialité sur les données et autorisations exactes que votre application utilise.
• Demandez les autorisations en contexte avec des avantages clairs et autorisez à ignorer les fonctionnalités facultatives.
• Auditez les SDK, la gestion du consentement et les captures d'écran à chaque version pour éviter les retards de validation.
• Fournissez des chemins faciles de révocation, de suppression et d'accès pour maintenir un haut niveau de confiance.

Ressources

• Manifestes de confidentialité d'Apple et API à raison requise : consultez la dernière documentation développeur d'Apple avant la sortie.
• Centre d'aide sur la sécurité des données de Google Play pour les exigences actuelles du formulaire.
• Orientations commerciales de la FTC pour les principes d'équité et de transparence.