Le formulaire Sécurité des données de Google Play et les informations de confidentialité des apps d’Apple posent la même question fondamentale : que fait votre application des données des utilisateurs, selon des définitions différentes. Les deux boutiques considèrent qu’une réponse inexacte constitue une violation de leurs règles, et toutes deux vous tiennent responsable du code que vous n’avez pas écrit : bibliothèques d’analyse, de signalement des plantages, de publicité et de connexion intégrées à votre application. La méthode fiable pour répondre correctement aux deux consiste à établir un seul inventaire des données, associé aux catégories de chaque boutique et mis à jour à chaque version.
Ce que demande chaque boutique
| Google Play : Sécurité des données | App Store : Informations de confidentialité des apps | |
|---|---|---|
| Question principale | Quels types de données sont collectés et lesquels sont partagés | Quels types de données sont collectés et, pour chacun, s’ils sont associés à l’utilisateur et s’ils sont utilisés à des fins de suivi |
| Finalités | Déclarées pour chaque type de données, pour la collecte et le partage | Déclarées pour chaque type de données |
| Sécurité et contrôle | Indiquer si les données sont chiffrées en transit et si les utilisateurs peuvent demander leur suppression | Couverts par la politique de confidentialité et les exigences relatives à la suppression des comptes |
| Exigences connexes | Politique de confidentialité, divulgation bien visible et consentement, suppression du compte par lien web et dans l’application | Manifestes de confidentialité, autorisation App Tracking Transparency pour le suivi, suppression du compte dans l’application |
Les définitions qui posent problème aux équipes
- Collecté signifie quitter l’appareil. Les données traitées uniquement sur l’appareil et jamais envoyées ni à vous ni à quiconque ne sont pas « collectées » au sens de l’une ou l’autre boutique.
- Le partage comporte des exceptions sur Google Play. Les transferts vers un prestataire qui traite les données pour votre compte, les transferts pour des raisons légales et les transferts initiés par l’utilisateur avec une information claire ne constituent pas un « partage » au sens de la section Sécurité des données. Ils comptent néanmoins comme une collecte.
- Le suivi est une catégorie particulière chez Apple. Associer les données de votre application à celles d’applications ou de sites web d’autres entreprises à des fins publicitaires, ou les partager avec des courtiers en données, constitue un suivi et nécessite l’autorisation de l’utilisateur via la demande App Tracking Transparency.
- Associé à l’utilisateur signifie relié à une identité, comme un compte, un identifiant d’appareil ou une adresse e-mail. La plupart des données collectées par les applications disposant de comptes sont associées à l’utilisateur.
Vos bibliothèques constituent vos déclarations
Toute bibliothèque qui envoie des données compte : analyse, signalement des plantages, attribution, publicité, connexion sociale, chat du service client, paiement et cartes. Pour chacune, lisez la déclaration de données publiée par son développeur, vérifiez les fonctionnalités que vous avez activées et consignez ce qu’elle envoie. Un outil de signalement des plantages qui joint des identifiants d’appareil, ou une bibliothèque publicitaire qui collecte la localisation, modifie vos réponses même si votre propre code ne manipule jamais ces données.
Sur iOS, les bibliothèques couramment utilisées doivent fournir leurs propres manifestes de confidentialité, et Xcode peut générer un rapport de confidentialité qui les regroupe. Utilisez-le comme vérification croisée, et non comme réponse : il indique l’utilisation déclarée des API, mais pas tout ce qu’une bibliothèque transmet.
Fonctionnalités d’IA tierces
Envoyer du contenu utilisateur à un service d’IA externe constitue un partage de données personnelles avec un tiers. La directive 5.1.2(i) d’Apple, révisée en novembre 2025, exige une information claire et une autorisation explicite avant cette opération, et la mise à jour de Google Play de juillet 2026 a confirmé que sa politique relative aux données utilisateur s’applique de la même manière aux intégrations d’IA tierces. Reflétez cette fonctionnalité dans les informations des deux boutiques, dans la politique de confidentialité et dans un écran de consentement intégré à l’application.
Un seul inventaire, mis en correspondance avec les deux boutiques
| Ce que l’application traite | Catégorie Google Play | Catégorie App Store |
|---|---|---|
| Adresse e-mail | Informations personnelles : adresse e-mail | Coordonnées : adresse e-mail |
| Nom | Informations personnelles : nom | Coordonnées : nom |
| Localisation précise | Localisation : localisation précise | Localisation : localisation précise |
| Localisation approximative | Localisation : localisation approximative | Localisation : localisation approximative |
| Photos importées par l’utilisateur | Photos et vidéos : photos | Contenu utilisateur : photos ou vidéos |
| Messages de chat | Messages : autres messages intégrés à l’application | Contenu utilisateur : e-mails ou messages texte |
| Historique des achats | Informations financières : historique des achats | Achats : historique des achats |
| Journaux de plantage | Informations et performances de l’application : journaux de plantage | Diagnostics : données de plantage |
| Identifiant d’appareil ou identifiant publicitaire | Identifiant d’appareil ou autres identifiants | Identifiants : identifiant d’appareil |
| Écrans consultés, touchers, fonctionnalités utilisées | Activité dans l’application : interactions avec l’application | Données d’utilisation : interaction avec le produit |
Pour chaque ligne, consignez la source (votre code ou la bibliothèque concernée), la finalité, le lieu de stockage, les destinataires et l’association ou non aux utilisateurs. Ce relevé permet de répondre aux deux formulaires, à la politique de confidentialité et à la plupart des questions qu’un évaluateur ou l’équipe juridique d’un client pourrait poser.
Précision de la localisation
Les deux boutiques distinguent la localisation précise de la localisation approximative, et Google Play a publié des recommandations supplémentaires sur ces informations en juillet 2026. Indiquez la localisation précise uniquement si l’application la collecte, et demandez-vous si une fonctionnalité en a réellement besoin : la localisation approximative suffit souvent pour le contenu régional et constitue une divulgation plus limitée.
La suppression du compte doit aussi figurer dans les informations fournies
Si les utilisateurs peuvent créer un compte, les deux boutiques exigent un parcours de suppression dans l’application. Google Play exige en outre un lien web permettant aux utilisateurs de demander la suppression sans réinstaller l’application et pose une question à ce sujet dans le formulaire Sécurité des données. La suppression du compte doit supprimer ou anonymiser de manière appropriée les données associées, toute conservation légalement requise devant être expliquée.
Maintenir l’exactitude des informations fournies
- Faites de l’inventaire des données un élément de la documentation de la base de code, sous la responsabilité d’une personne nommément désignée.
- Réexaminez-le chaque fois qu’une bibliothèque est ajoutée ou mise à niveau, ou qu’une autorisation est modifiée.
- Vérifiez les informations des deux boutiques avant chaque version qui modifie le traitement des données, et non une fois par an.
- Effectuez des tests avec un inspecteur réseau : ce que l’application envoie en pratique est ce que les évaluateurs et les chercheurs découvriront.
- Veillez à ce que la politique de confidentialité, les informations intégrées à l’application et les informations des deux boutiques indiquent la même chose.
La suite du processus de soumission est présentée dans la publication sur Google Play en 2026 et la soumission à l’App Store en 2026. Les intégrations qui envoient des données à des services externes méritent le même examen avant leur développement : intégrations tierces : ce qu’il faut établir en premier.
Services Manboo associés
- Développement d’applications Android, y compris la configuration de la Play Console, les canaux de publication et les déclarations relatives aux règles.
- Développement d’applications iOS, y compris App Store Connect, TestFlight et la préparation à l’évaluation de l’application.
- Développement d’applications Flutter lorsqu’une seule base de code doit satisfaire aux évaluations des deux boutiques.
- Maintenance logicielle pour les applications existantes nécessitant des mises à jour de l’API cible, du SDK ou des règles.
- Demander une étude du périmètre et une estimation pour le lancement d’une application en boutique ou après un refus de soumission.