Zo krijg je een URL voor het privacybeleid van je app

Heb je een domein, dan is dit de sterkste keuze. Een pagina zoals jouwdomein.nl/privacy staat onder jouw controle, gebruikt je merk en blijft werken zolang je het domein verlengt en de site online houdt.

Zo doe je het goed:

1. Maak een aparte pagina met een duidelijke kop, zoals Privacybeleid.
2. Plak de volledige tekst als HTML, niet als ingesloten pdf of afbeelding.
3. Zorg dat geen cookiemuur, login of regionale blokkade de inhoud verbergt.
4. Link ernaar vanuit de footer van je site en vanuit het instellingenscherm van je app.
5. Gebruik in elke storevermelding exact dezelfde URL.

Zelfs een landingssite van één pagina voor je app is genoeg. Met veel websitebouwers voeg je in een paar minuten een pagina toe, en onze gids over privacybeleid voor Wix, Squarespace en Webflow behandelt de stappen op die platforms. Zodra je site meer pagina's heeft, lees je waar je een link naar je privacybeleid plaatst, zodat bezoekers hem altijd kunnen vinden.

Het grootste risico is verwaarlozing: een verlopen domein of een nieuw siteontwerp dat het pad verandert, breekt de link waarop stores vertrouwen.

Ontwikkelaars zonder website grijpen vaak naar gratis hosting. Sommige opties werken; andere veroorzaken problemen bij de review.

• Statische hosting zoals GitHub Pages: werkt als het een echte HTML-pagina serveert. Link niet naar de ruwe bestandsweergave van een repository, en onthoud dat de URL kan veranderen als je de repository of het account hernoemt.
• Google Docs, Notion en vergelijkbare tools: handig, maar riskanter. Deelinstellingen kunnen veranderen, pagina's kunnen bezoekers vragen in te loggen of op zware scripts leunen, en een document dat met bewerkrechten is gedeeld, is niet niet-bewerkbaar, wat Google Play wel eist.
• Pdf-bestanden op welke host dan ook: Google Play sluit ze uitdrukkelijk uit.
• Link-in-bio-diensten of URL-verkorters: een extra doorverwijzing is nog iets dat kan breken, en sommige reviewers volgen die niet.

Gebruik je een van deze opties, open de link dan in een privévenster op een telefoon, bij elk account uitgelogd, en controleer dat de volledige tekst van het privacybeleid als normale pagina verschijnt. Controleer het daarna opnieuw vóór elke release, want gratis diensten veranderen in de loop van de tijd hoe ze delen en weergeven.

Sommige privacybeleid-generators kunnen je privacybeleid voor je hosten. Dat is de snelste route als je geen website hebt. Bij Legal Policy Generator zijn de vragenlijst, het volledige voorbeeld en de eenvoudige HTML- en pdf-download gratis, zonder account. Optionele openbare hosting kost eenmalig $0,99 extra en geeft je een openbare webpagina die je als URL voor je privacybeleid kunt gebruiken in Play Console, App Store Connect of elk ander platformformulier.

Heb je geavanceerde regionale of optionele modules nodig, zoals AVG, Verenigd Koninkrijk, Californië, COPPA of de modules voor Brazilië, Canada, Australië en Nieuw-Zeeland, dan kosten die $5, dus een geavanceerd privacybeleid met hosting kost in totaal $5,99. Er is ook een maandabonnement van $5 dat hosting omvat zolang het actief is.

Welke dienst je ook kiest, controleer een paar dingen voordat je erop vertrouwt:

• de pagina laadt zonder login en is niet regionaal geblokkeerd
• de inhoud is jouw privacybeleid, aangeduid als privacybeleid, met je naam en contactgegevens
• je begrijpt wat er met de pagina gebeurt als je stopt met betalen of je account opheft

Begin met de privacybeleid-generator voor apps als je URL voor een app is.

Een URL voor je privacybeleid is gewoon het webadres waar je privacybeleid staat, bijvoorbeeld een pagina achter je domein met de naam privacy. Platforms vragen erom omdat ze willen dat gebruikers en reviewers je gegevenspraktijken kunnen lezen voordat ze iets installeren of koppelen.

Je wordt er op meer plekken om gevraagd dan je misschien verwacht:

• Google Play Console en App Store Connect
• de Chrome Web Store voor browserextensies
• het OAuth-toestemmingsscherm en de verificatie van Google
• de app-instellingen van Meta voor Facebook Login en andere platformfuncties
• de GPT-builder van OpenAI voor openbare acties, en het Discord Developer Portal voor bots

De pagina zelf moet een echt privacybeleid bevatten dat bij je product past. Een link naar je homepage, een “binnenkort beschikbaar”-pagina of het privacybeleid van iemand anders komt niet door de review. Heb je er een nodig voor een browserextensie of inloggen met Google, dan leggen de gids over het privacybeleid voor Chrome-extensies en de gids over Google OAuth-verificatie die platformspecifieke controles uit.

Het User Data-beleid van Google Play is het meest specifiek van de grote stores, dus het is een goede maatstaf om op te bouwen. Het zegt dat je:

• de link moet plaatsen in het daarvoor bestemde veld in Play Console
• een link naar of de tekst van het privacybeleid moet opnemen in de app zelf
• het privacybeleid beschikbaar moet maken op een actieve, openbaar toegankelijke URL zonder geofencing, en geen pdf's
• ervoor moet zorgen dat het privacybeleid niet bewerkbaar is
• het duidelijk moet aanduiden als privacybeleid

De inhoudelijke eisen gelden ook: ontwikkelaarsinformatie en een contactpunt voor privacy, de soorten gegevens die worden benaderd, verzameld, gebruikt en gedeeld, veilige omgang met gegevens en je beleid voor bewaren en verwijderen. Google vraagt ook dat de entiteit die in de storevermelding staat in het privacybeleid voorkomt, of dat de app erin wordt genoemd.

In de praktijk betekent “zonder geofencing” dat de pagina in geen enkel land geblokkeerd mag zijn, en “niet bewerkbaar” dat je niet moet linken naar een gedeeld document dat bezoekers kunnen wijzigen. De pagina privacybeleid-generator voor Google Play behandelt de bijbehorende stappen voor Data safety en accountverwijdering.

De App Review Guidelines van Apple zeggen dat alle apps een link naar hun privacybeleid moeten opnemen in het metadataveld in App Store Connect en op een gemakkelijk toegankelijke manier in de app. Op de pagina over App Privacy-gegevens van Apple is de Privacy Policy URL als verplicht gemarkeerd en beschreven als een link naar je openbaar toegankelijke privacybeleid, terwijl een aparte Privacy Choices URL, waar gebruikers hun gegevens kunnen beheren, optioneel is.

Apple publiceert geen lijst met verboden formaten zoals Google, maar de veilige aanpak is dezelfde: een normale HTML-pagina via HTTPS die op een iPhone laadt zonder in te loggen. Een reviewer die op een inlogmuur, een kapotte link of een documentdownload stuit, zal dat waarschijnlijk afkeuren.

Richtlijn 5.1.1(i) legt ook vast wat er op de pagina moet staan: welke gegevens je verzamelt, hoe, alle toepassingen, hoe derden ze beschermen, bewaren en verwijderen, en hoe gebruikers hun toestemming kunnen intrekken of om verwijdering kunnen vragen. De pagina privacybeleid-generator voor de Apple App Store legt uit hoe het privacybeleid aansluit op je App Privacy-antwoorden.

Reviewers van stores openen je link vanaf hun eigen apparaten en locaties. Boots dat na voordat zij het doen:

1. Open de URL in een privé- of incognitovenster, overal uitgelogd.
2. Open hem op een telefoon via mobiele data, niet alleen via de wifi op kantoor.
3. Probeer het via een VPN of vraag een vriend in een ander land, om geofencing uit te sluiten.
4. Controleer dat hij als pagina laadt, niet als download, en dat de tekst leesbaar is zonder in te zoomen.
5. Controleer dat hij HTTPS gebruikt en niet doorverwijst naar je homepage.
6. Zoek naar de kop Privacybeleid, je ontwikkelaars- of bedrijfsnaam, de naam van de app en contactgegevens.
7. Vergelijk de inhoud met je antwoorden voor Data safety en App Privacy.

Mislukt een stap, los het dan op voordat je indient; een afgewezen review kost meer tijd dan de test. Bewaar een gedateerde kopie van de versie die je hebt ingediend, zodat je kunt laten zien wat er op een bepaald moment in het privacybeleid stond als een gebruiker of toezichthouder ernaar vraagt. Onze gids over hoe je een privacybeleid voor een app maakt behandelt wat er inhoudelijk in moet staan.

Beide stores willen dat het privacybeleid zowel vanuit de app als vanuit de storevermelding bereikbaar is. Google Play accepteert een link of de tekst van het privacybeleid in de app; Apple vraagt om het op een gemakkelijk toegankelijke manier in de app.

Goede plekken voor de link in de app:

• een scherm Instellingen, Info of Juridisch dat zonder account bereikbaar is
• het aanmeld- of onboardingscherm
• het scherm waarop je een gevoelige permissie uitlegt voordat je erom vraagt

Open de link in de systeembrowser of een browserweergave in de app, zodat gebruikers dezelfde pagina zien als bij de storevermelding. Voeg geen aparte offline kopie toe die verouderd kan raken.

Eén kanttekening: naar het privacybeleid linken vervangt geen meldingen in de context. De regels van Google voor opvallende vermelding (prominent disclosure) eisen een vermelding in de app tijdens normaal gebruik als je persoonlijke en gevoelige gegevens verzamelt op manieren die gebruikers misschien niet verwachten, en ze zeggen dat die niet alleen in een privacybeleid mag staan. Gebruik het privacybeleid voor het volledige beeld en korte uitleg in de app voor de momenten die ertoe doen.

De URL die je vandaag indient, staat jarenlang in storevermeldingen, OAuth-schermen en formulieren van partners. Behandel hem als infrastructuur.

• Verander het pad nooit zomaar. Moet je de pagina verplaatsen, stel dan een permanente doorverwijzing in en werk elk platformveld bij.
• Verleng je domein en houd je betaalgegevens bij elke hostingdienst actueel.
• Werk de inhoud bij, niet de link. Veranderen je gegevenspraktijken, herzie het privacybeleid dan op hetzelfde adres en pas de ingangsdatum aan.
• Bewaar eerdere versies met datum, voor het geval je moet laten zien waarmee gebruikers akkoord gingen.
• Controleer de link elk kwartaal en vóór elke release.

De meeste stores laten je niet weten wanneer een link naar je privacybeleid kapot is; je merkt het bij je volgende review of via een handhavingsmail. Een kleine herinnering in je agenda is goedkoper. Voor een verstandig controleritme, zie hoe vaak je je privacybeleid moet bijwerken.