Privacybeleid voor een app die geen gegevens verzamelt

Een privacybeleid zonder dataverzameling kan kort zijn, maar het moet niet uit één zin bestaan. Behandel deze punten in gewone taal:

1. Wie je bent: je naam of bedrijf, de naam van de app en een e-mailadres voor privacyvragen.
2. De kernverklaring: de app verzamelt geen persoonsgegevens, slaat ze niet op onze servers op en deelt ze niet.
3. Wat op het apparaat blijft: lokaal opgeslagen instellingen, bestanden of content, en dat het verwijderen van de app ze wist, behalve eventuele apparaatback-ups die de gebruiker bij Apple of Google heeft ingeschakeld.
4. Permissies: elke permissie die de app vraagt, waarvoor die wordt gebruikt en dat de gegevens alleen op het apparaat worden verwerkt.
5. Contact met jou: mailt een gebruiker je, dan ontvang je zijn e-mailadres en bericht en gebruik je die alleen om te antwoorden.
6. Exploitanten van stores: downloads en aankopen worden door de store afgehandeld onder zijn eigen privacybeleid.
7. Kinderen: of de app op kinderen is gericht.
8. Wijzigingen: hoe je het privacybeleid bijwerkt als je functies toevoegt die gegevens verzamelen, met een ingangsdatum.

Een zin als “Foto's die je in de app bewerkt, worden op je apparaat verwerkt en nooit naar ons geüpload” is veel overtuigender dan “we respecteren je privacy”. Voor een volledige opzet vergelijk je met wat een privacybeleid moet bevatten.

Het antwoord hangt af van wie het vraagt, en het verschil doet ertoe.

Apple definieert “verzamelen” als het versturen van gegevens van het apparaat op een manier waardoor jij of je externe partners er langer toegang toe hebben dan nodig is om het verzonden verzoek in realtime af te handelen. Gegevens die alleen op het apparaat worden verwerkt, zijn niet verzameld. Wordt een authenticatietoken of IP-adres met een serveraanroep meegestuurd en niet bewaard, dan hoef je dat volgens Apple niet in App Store Connect te vermelden.

Google zegt dat gegevens die alleen op het apparaat worden benaderd en verwerkt, niet in Data safety hoeven te worden vermeld. Gegevens die van het apparaat worden verstuurd en kortstondig worden verwerkt, in het geheugen en alleen voor een realtime verzoek, moeten nog steeds in je formulierantwoorden staan, al worden ze mogelijk niet op je storevermelding getoond.

De privacywet is ruimer. Onder de AVG omvat “verwerking” elke handeling met persoonsgegevens, ook het simpelweg ontvangen ervan. Roept je app je server aan, dan ziet die server het IP-adres van de gebruiker, en dat kan een persoonsgegeven zijn, ook als je het nooit opslaat.

Een app kan dus eerlijk “Data Not Collected” op een storelabel tonen, terwijl het privacybeleid toch een kortstondig serververzoek uitlegt. Precies zijn op dit punt maakt een privacybeleid zonder dataverzameling geloofwaardig.

De meeste claims dat “we niets verzamelen” mislukken door een dependency, niet door de eigen code van de ontwikkelaar. Controleer elk van deze punten voordat je een woord schrijft:

• Crashrapportage: crashlogs en stacktraces die naar een provider worden gestuurd, zijn een Data safety-gegevenstype op Google Play en een diagnostiekcategorie bij Apple.
• Analytics: ook SDK's voor events die anoniem klinken, versturen meestal apparaat- en gebruiksgegevens.
• Advertentie-SDK's: bij advertenties zijn bijna altijd apparaat-ID's en IP-adressen betrokken.
• Remote config-, feature flag- en A/B-testtools die bij het opstarten contact zoeken met hun server.
• Webviews die je eigen pagina's laden met analytics of lettertypen van servers van derden. Google zegt dat gegevens die via een webview onder jouw controle worden verzameld meetellen; webviews waarin gebruikers op het open web surfen, tellen niet mee.
• Pushmeldingen, waarvoor een apparaattoken op een server moet worden opgeslagen.
• Inloggen, cloudsynchronisatie of back-upfuncties die je later hebt toegevoegd.

Google stelt dat gegevens die bibliotheken en SDK's in je app van het apparaat versturen meetellen, of ze nu naar jou of naar een derde partij gaan. Vind je een van deze, dan verzamelt je app gegevens, en moeten het privacybeleid en de storeformulieren dat vermelden. De gids over privacyvermeldingen voor Firebase laat zien wat veelgebruikte SDK's van Google versturen.

Gebruikers vragen soms hoe een app kan beweren niets te verzamelen terwijl ze bij de store moesten inloggen om hem te downloaden. Het antwoord: de exploitant van de store verwerkt bepaalde gegevens onder zijn eigen privacybeleid, en dat is niet jouw verzameling.

Apple zegt dit rechtstreeks in zijn App Privacy-richtlijnen: verzamel je gegevens over je app uit frameworks of diensten van Apple, geef dan aan wat je verzamelt en hoe je het gebruikt, maar je bent niet verantwoordelijk voor het vermelden van gegevens die Apple verzamelt. Apple merkt ook op dat als betalingen via een betaaldienst buiten je app worden ingevoerd en je nooit toegang hebt tot de betaalgegevens, je ze niet hebt verzameld. Google Play regelt op vergelijkbare wijze storeaccounts, downloads en facturering.

Je privacybeleid kan dit in een of twee zinnen zeggen: downloads, aankopen en reviews in de store worden door Apple of Google afgehandeld onder hun eigen privacybeleid, en je ontvangt alleen de informatie die deze platforms aan ontwikkelaars verstrekken. Bekijk je geaggregeerde statistieken in Play Console of App Store Connect, beschrijf die dan als geaggregeerde rapporten van de store.

Pas op dat je niet de andere kant op doorschiet. Valideer je aankoopbonnen op je eigen server of gebruik je een dienst van Apple zoals CloudKit om gegevens te synchroniseren, beschrijf dan wat je met die gegevens doet.

Nee. Het label “Data Not Collected” in de App Store is het resultaat van je App Privacy-antwoorden, geen vervanging van het privacybeleid. Apple eist een link naar een privacybeleid voor alle apps, en de pagina over App Privacy-gegevens noemt de Privacy Policy URL verplicht.

Het label heeft ook strengere randen dan veel ontwikkelaars denken. Apple laat je een gegevenstype alleen weglaten als het aan alle criteria voor optionele vermelding voldoet: het wordt niet gebruikt voor tracking, niet gebruikt voor advertenties van derden of je eigen advertenties en marketing, alleen in zeldzame gevallen verzameld die geen deel uitmaken van de kernfunctionaliteit van de app en optioneel zijn voor de gebruiker, en door de gebruiker verstrekt via een duidelijk aangeduide interface waarin hij elke keer bewust kiest om het in te dienen. Een optioneel feedbackformulier in de app kan daaraan voldoen; een crashrapporteur die bij elke start draait, niet.

Twee andere opmerkingen van Apple zijn de moeite waard. Gegevens die na een eerste toestemmingsvraag doorlopend worden verzameld, moeten worden vermeld. En verzamel je een precieze locatie maar maak je die direct grover voordat je hem opslaat, dan geef je een globale locatie op. De gids over het privacybeleid voor de Apple App Store behandelt de rest van de App Privacy-vragen.

Dit zijn de fouten die een geruststellend privacybeleid misleidend maken:

• Een crashrapporteur of analytics-SDK vergeten die een sjabloonproject of engine standaard heeft ingeschakeld.
• Het privacybeleid hosten op een pagina met analytics, terwijl het beleid beweert dat je nooit enige trackingtechnologie gebruikt. Het privacybeleid gaat over de app; zeg dat, of beschrijf de website apart.
• Supportkanalen negeren: een contactformulier in de app of een support-e-mailadres betekent dat je persoonsgegevens ontvangt.
• Later een functie toevoegen zoals inloggen, cloudsynchronisatie, advertenties of een AI-functie die tekst naar een API stuurt, zonder het privacybeleid en de storeformulieren bij te werken.
• Absolute beloftes zoals “we zullen nooit gegevens verzamelen”. Je kunt toekomstige versies niet vastleggen; beschrijf de huidige app en hoe je wijzigingen aankondigt.
• Het privacybeleid zonder dataverzameling van een andere app kopiëren dat een andere set functies beschrijft.

Een snelle controle vóór elke release voorkomt bijna al deze fouten. Wil je een uitgebreidere uitleg over de risico's van het hergebruiken van andermans tekst, lees dan mag ik een privacybeleid kopiëren?.

Verwerkt je app echt geen persoonsgegevens, dan hebben veel verplichtingen onder wetten zoals de AVG simpelweg niets om zich aan te hechten. Maar “echt” draagt in die zin veel gewicht.

Persoonsgegevens duiken op op plekken die een app zonder dataverzameling toch raakt. Een support-e-mail bevat een naam en adres. Een serververzoek draagt een IP-adres mee. Een crashlog kan een apparaat-ID bevatten. Elk daarvan is verwerking in juridische zin, ook als die kort duurt, en de transparantieregels van de AVG verwachten dat je het uitlegt.

In de Verenigde Staten eist de Californische CalOPPA een duidelijk zichtbaar geplaatst privacybeleid van exploitanten van commerciële onlinediensten die persoonlijk identificeerbare informatie van inwoners van Californië verzamelen. Verzamel je helemaal niets, dan geldt de kernvoorwaarde misschien niet, maar de stores eisen je privacybeleid hoe dan ook.

De praktische aanpak is het privacybeleid zo te schrijven alsof zowel een toezichthouder als een nieuwsgierige gebruiker het gaat lezen: beschrijf de kortstondige en uitzonderlijke verwerking eerlijk en houd de hoofdboodschap eenvoudig. De gids heb ik een privacybeleid nodig? vat samen welke wetten en platforms de verplichting in gang zetten.

Het voelt als papierwerk om het papierwerk, maar de regel is expliciet. Het User Data-beleid van Google Play zegt dat apps die geen persoonlijke en gevoelige gebruikersgegevens benaderen toch een privacybeleid moeten indienen. De Data safety-richtlijnen voegen eraan toe dat zelfs ontwikkelaars van apps die geen gebruikersgegevens verzamelen het Data safety-formulier moeten invullen en een link naar een privacybeleid moeten geven; in dat geval mogen het formulier en het privacybeleid zeggen dat er geen gebruikersgegevens worden verzameld of gedeeld. De App Review Guidelines van Apple eisen dat elke app een link naar een privacybeleid opneemt in App Store Connect en in de app.

Daar zit een goede reden achter. Gebruikers kunnen je code niet inzien, dus het privacybeleid is je openbare verklaring, waarop je kunt worden aangesproken, dat er niets van hun apparaat vertrekt. Het geeft gebruikers ook een manier om contact met je op te nemen en vertelt hen wat er zou veranderen als je later functies toevoegt.

De vraag is dus niet of je er een nodig hebt, maar hoe je er een schrijft die kort en nauwkeurig is en niet per ongeluk meer belooft dan je kunt waarmaken. De gids over het privacybeleid voor Google Play legt de kant van Play Console uitgebreider uit.

Een generator is hier juist nuttig omdat hij geen dingen hoort toe te voegen die je niet doet. Kies in de privacybeleid-generator voor apps het gebruiksscenario applicatie en beantwoord de vragen eerlijk: geen accounts, geen analytics- of advertentieproviders, geen betalingen die jij afhandelt, en welke contactmethode je ook aanbiedt.

Legal Policy Generator kiest clausules deterministisch uit een bibliotheek met versiebeheer op basis van die antwoorden, dus een app zonder dataverzameling krijgt een kort document in plaats van alinea's over advertentiepartners die hij niet heeft. De vragenlijst, het volledige voorbeeld en de eenvoudige HTML- en pdf-download zijn gratis zonder account, en optionele openbare hosting kost eenmalig $0,99 extra als je een openbare URL nodig hebt voor Play Console of App Store Connect. Geavanceerde regionale modules kosten $5 als je regiospecifieke onderdelen wilt.

Lees het voorbeeld voordat je publiceert regel voor regel naast je build. Beschrijft een zin iets wat je app niet doet, pas dan je antwoorden aan in plaats van hem te laten staan. Volg daarna onze gids over hoe je een URL voor je privacybeleid krijgt om het te publiceren en de link te testen.