如何为 App 制作隐私政策

在写下第一句话之前，打开您的 manifest、Info.plist 和后端，记下每一项流动的数据。隐私政策的准确程度取决于这份梳理。

逐个功能地梳理：

• 权限：相机、麦克风、照片、通讯录、精确或大致位置、蓝牙、通知、健康数据，以及操作系统要求用户授权的其他任何内容。
• 用户输入的数据：姓名、电子邮件地址、头像、消息、客服请求、付款信息、自由填写的备注。
• 自动生成的数据：设备标识符、IP 地址、应用内交互、崩溃日志、性能追踪、推送令牌。
• 来自其他地方的数据：登录服务商、支付处理商、合作伙伴或您自己的网站。

对每一项，注明它是留在设备上还是会发送到服务器。两大商店都把仅在本地处理的数据视为未收集：Apple 表示仅在设备上处理的数据不算“收集”，Google 表示设备端处理无需在数据安全部分披露。这一区别后面很重要，所以现在就记录下来。然后注明用途、接收方以及保存期限。

简单来说：没有隐私政策，您就无法在两大应用商店上架。Google Play 的用户数据政策规定，每款应用都必须在 Play Console 的指定字段和应用内发布隐私政策链接，并明确指出即使应用不访问任何个人和敏感用户数据，也必须提交隐私政策。Apple 的应用审核指南要求在 App Store Connect 和应用内提供隐私政策链接。

商店规则只是故事的一半。欧盟和英国 GDPR 等隐私法要求您在收集个人数据时告知用户您会如何处理这些数据，加州的 CalOPPA 则要求从加州居民处收集个人身份信息的商业在线服务发布隐私政策。如果您的应用有多个地区的用户，这些规则中的几条可能同时适用。

好消息是，一份准确、结构清晰的文件可以同时满足商店和法律的要求。如果您仍不确定自己的项目是否适用，请先阅读我需要隐私政策吗？；如果您的应用确实不会把任何数据发送出设备，请阅读不收集数据的应用的隐私政策指南。

大多数 App 隐私政策都是在这里出错的。Google 指出，应用中的库和 SDK 收集的数据必须反映在您的数据安全表单中，无论数据是发送到您的服务器还是第三方的服务器。Apple 的 App 隐私详情同样要求您纳入您所集成代码的第三方合作伙伴的做法。

列出每一个能够联网的依赖项，并查阅其文档：

• 分析工具，例如 Firebase Analytics 或类似的事件追踪工具
• 崩溃报告和性能监控
• 广告和聚合 SDK，它们通常使用广告标识符
• 归因和深度链接工具，用于衡量安装推广活动
• 身份验证服务商，例如“通过 Apple 登录”或 Google 登录
• 支付、订阅、推送通知、聊天和客服插件

许多服务商发布了专门的商店披露页面；Google 也会引导开发者参考 Play SDK Index。我们的 Firebase 隐私披露和分析工具隐私披露指南展示了通常需要写明的内容。移除不再使用的 SDK：每一个闲置的库都是一项您必须保持准确的披露。

梳理完成后，结构几乎自然成形。Google Play 的用户数据政策要求提供开发者信息和隐私联系人、所访问、收集、使用和共享的个人及敏感数据类型、安全的数据处理方式，以及保存和删除政策，且整份文件要清楚地标明为隐私政策。Apple 指南 5.1.1(i) 要求说明您收集什么、如何收集、所有用途、确认第三方提供同等保护、保存和删除，以及用户如何撤回同意或请求删除。

一个实用的大纲如下：

1. 您是谁、应用名称，以及如何就隐私问题联系您
2. 您收集的数据，按来源分组
3. 您为什么使用每一类数据，在适用 GDPR 时附上法律依据
4. 谁会收到数据，包括写明名称的 SDK 服务商和处理者
5. 您保存数据多久以及删除如何进行
6. 用户权利及行使方式
7. 儿童、跨境传输和安全
8. 您如何公告变更，以及生效日期

完整的检查清单及说明，请参阅隐私政策应包含哪些内容。

审核员和用户会把您的政策与商店声明进行比对，所以请把它们当作一套文件来对待。在 Google Play 上，每位开发者都必须填写数据安全表单，而且必须有隐私政策才能完成填写。在 App Store 上，您需要回答 App 隐私问题，包括数据类型、每类数据是否与用户关联，以及是否用于追踪。

两个定义能让它们保持一致：

• Apple 表示，“收集”是指将数据传输出设备，使您或您的合作伙伴能够在超出实时处理请求所需的时间内访问这些数据。
• Google 表示，临时处理的数据（仅为实时请求而保存在内存中）仍必须包含在表单中，但可能不会显示在商店页面上。

一款发送位置以获取天气预报、却什么都不保存的天气应用就是典型例子。您的政策仍然可以提到，位置会被发送给天气服务商以响应请求，这既诚实，又与两个标签保持一致。

每当某个版本新增数据类型或 SDK 时，请同时更新政策、数据安全表单和 App 隐私回答。Google Play 隐私政策生成器和 Apple App Store 隐私政策生成器页面会逐一讲解各商店特有的字段。

如果用户可以在您的应用中创建账户，两大商店都希望他们也能删除账户。

Google Play 要求允许创建账户的应用让用户能够在应用内以及通过一个网页链接申请删除，该链接无需重新安装应用即可使用，并需填写在 Play Console 中。Google 的用户数据政策还规定，当您应用户请求删除账户时，也必须删除相关的用户数据，安全、防范欺诈或法定义务等有限情形除外。Apple 指南 5.1.1(v) 规定，支持创建账户的应用还必须在应用内提供账户删除功能。

您的隐私政策应告诉用户：

• 删除选项在哪里，包括应用内和网页上
• 会删除哪些内容，以及删除多快
• 您会保留什么，例如税法要求的购买记录，以及原因
• 删除如何影响处理者持有的数据

如果备份会把数据保留 30 天，就不要承诺立即删除；请描述真实的时间线。Google Play 隐私政策指南更详细地介绍了 Play Console 中与删除相关的字段。

一份没人能打开的隐私政策等于没有。Google Play 要求政策放在有效、公开可访问且不设地理限制的网址上，不接受 PDF，并且不可编辑。Apple 要求在 App Store Connect 中提供一个可公开访问的隐私政策网址。

在应用内，把链接放在用户实际会看的地方：

• 设置、关于或账户页面
• 注册或新手引导页面，如果有同意勾选框，就放在它旁边
• 敏感功能的权限说明附近

请记住，政策中的链接不能代替即时告知。Google 的显著披露规则规定，当您的应用以用户可能意想不到的方式收集个人和敏感数据时，必须在正常使用过程中于应用内显示披露，不能只放在隐私政策中。

如果您还没有网站，我们关于如何获取隐私政策网址的指南比较了各种托管选项，并说明了如何在提交前测试链接。

隐私法跟着您的用户走，而不是跟着您的办公室走。一位身在布拉格、玩家遍布得克萨斯和多伦多的独立开发者，可能同时受到多套制度的约束。对应用来说最常见的有：

• 欧盟 GDPR 和 UK GDPR：当您向欧洲或英国的人提供应用时适用，包含详细的透明度义务和用户权利
• 加州 CCPA 和 CPRA：适用于达到法定门槛的企业；此外还有 CalOPPA，它要求从加州居民处收集个人信息的在线服务发布政策
• 美国其他州的隐私法，各有门槛和权利
• COPPA：如果您的应用面向 13 岁以下儿童，或您知道自己在收集他们的数据
• 巴西的 LGPD、加拿大的 PIPEDA、澳大利亚的《隐私法》以及新西兰的《2020 年隐私法》

您不必成为所有这些法律的专家。您需要知道哪些法律可能适用于您的受众，并确保政策涵盖它们要求的披露内容。我们的隐私法律指南总结了每部法律对隐私政策内容的要求，可以先从 GDPR 隐私政策指南和 CCPA 和 CPRA 指南看起。

如果您宁愿回答问题，也不想对着空白页起草，App 隐私政策生成器可以把您的数据梳理变成一份文件。您选择应用这一使用场景，然后用通俗语言回答关于账户、权限、SDK 服务商、支付、删除、儿童以及您服务地区的问题。

实际运作方式：

• 运行时不由 AI 撰写您的条款。条款来自带版本号的条款库，并根据您的回答以确定性方式选择，因此相同的回答会生成相同的政策。
• 问卷和完整预览免费，无需账户，简单版 HTML 和 PDF 下载也免费。
• 高级地区模块或可选模块收费 $5，涵盖欧盟和 GDPR、英国、包括 CCPA 和 CPRA 在内的美国法律、CalOPPA、COPPA 和其他州，以及巴西、加拿大、澳大利亚和新西兰。
• 可选的公开托管一次性加收 $0.99，为您提供一个可粘贴到 Play Console 和 App Store Connect 的公开页面。

如果您使用 Codex、Claude Code 或 ChatGPT 等 AI 编程代理进行开发，开发者 MCP 服务器可以让代理检查您的代码库，并创建一份供您审阅的私有草稿。生成的政策反映的是您的回答，不构成法律建议。

每次向商店提交前都核对一遍这份清单，而不只是第一次：

• manifest 和 Info.plist 中的每项权限，都在政策中说明了用途。
• 每个会把数据发送出设备的 SDK 都已写明名称或加以描述，并说明了用途。
• 政策、数据安全表单和 App 隐私回答列出的数据类型相同。
• 只有在实际使用时，才描述广告标识符和追踪。
• 应用内可以删除账户，Google Play 还要求网页端可以删除，并且政策对此作了说明。
• 保存期限真实可信，包括备份和日志。
• 已处理儿童问题：要么应用不面向儿童，要么儿童相关章节完整且经过审阅。
• 联系方式、商店页面上显示的开发者名称以及生效日期都是最新的。
• 网址在手机上未登录状态下即可打开，不会下载 PDF，也不会跳转到您的首页。
• 应用内有用户能找到的政策链接。

随着应用的发展，隐私政策会逐渐偏离实际，所以每当新增涉及数据的功能时，都要安排一次复查。我们关于隐私政策多久更新一次的指南给出了实用的触发条件。