Aller au contenu

Missing privacy manifest file

Fichier Privacy Manifest manquant

Description

Un Privacy Manifest est une déclaration formelle décrivant les types de données qu'une application et ses SDK tiers collectent auprès des utilisateurs, les finalités de cette collecte, et les API spécifiques utilisées à ces fins.

Qu'est-ce qu'un Privacy Manifest ?

De manière générale, un Privacy Manifest peut être considéré comme un document exhaustif ou un fichier au sein du projet d'une application qui : Liste les types de données collectées par l'application (ex. : localisation, identifiants personnels, données d'utilisation). Explique la finalité de la collecte pour chaque type de données (ex. : amélioration de l'expérience utilisateur, fourniture de contenu personnalisé). Détaille les API et les SDK tiers utilisés qui acceden ou collectent ces données. Assure la conformité avec les lois sur la vie privée et les directives des plateformes (ex. : RGPD, CCPA, directives de l'App Store d'Apple).

Importance du Privacy Manifest

  1. Conformité réglementaire : De nombreuses juridictions à travers le monde disposent de lois strictes sur la protection des données et de la vie privée. Un Privacy Manifest aide à garantir que l'application respecte ces lois en déclarant de manière transparente ses pratiques d'utilisation des données.

  2. Exigences des plateformes : Apple a des directives et exigences spécifiques concernant la vie privée. Un Privacy Manifest détaillé aide à satisfaire ces exigences, particulièrement pour réussir le processus de validation de l'App Store.

  3. Confiance des utilisateurs : La transparence sur la manière dont une application collecte, utilise et gère les données des utilisateurs peut considérablement renforcer leur confiance. Un Privacy Manifest est une étape vers cette transparence, prouvant aux utilisateurs que l'application respecte leur vie privée.

  4. Minimisation des données et limitation des finalités : En obligeant les développeurs à lister et justifier explicitement les données qu'ils collectent, un Privacy Manifest encourage les principes de minimisation des données et de limitation des finalités. Ces principes sont au cœur des pratiques de privacy-by-design, garantissant que les applications ne collectent pas plus de données que nécessaire et ne les utilisent qu'aux fins déclarées.

Pourquoi l'ajouter pour des raisons de confidentialité

  1. Améliore la transparence : Il fournit aux utilisateurs des informations claires sur les données collectées et pourquoi, leur permettant de prendre des décisions éclairées concernant l'utilisation de l'application.

  2. Renforce la confiance des utilisateurs : Démontrer un engagement envers la vie privée peut différencier une application dans un marché saturé, augmentant potentiellement son attrait pour les utilisateurs soucieux de la confidentialité.

  3. Anticipe les futures réglementations : Le paysage réglementaire évolue rapidement, avec une importance croissante accordée à la vie privée des utilisateurs et à la protection des données. Adopter de manière proactive des mesures comme un Privacy Manifest positionne favorablement l'application face aux futurs besoins de conformité.

  4. Évite les risques juridiques et réputationnels : Le non-respect des lois et directives sur la vie privée peut entraîner des amendes significatives, des poursuites judiciaires et des dommages à la réputation de l'application. Un Privacy Manifest est une étape pour atténuer ces risques.

Recommandation

Pour répondre à l'exigence de déclaration d'un fichier Privacy Manifest (PrivacyInfo.xcprivacy) pour votre application iOS et ses SDK tiers, vous devez créer et configurer ce fichier pour détailler les types de données que votre application collecte, la raison de cette collecte, et les API spécifiques qui nécessitent ces déclarations. Cette étape est cruciale pour assurer la conformité de votre application avec les directives de confidentialité, améliorer la transparence, et bâtir la confiance de vos utilisateurs.

Voici un aperçu des étapes et un exemple pour vous guider dans la configuration du fichier PrivacyInfo.xcprivacy :

Étape 1 : Créer le fichier Privacy Manifest

  1. Choisissez File > New File.
  2. Faites défiler jusqu'à la section Resource, et sélectionnez le type de fichier App Privacy.
  3. Cliquez sur Next.
  4. Cochez la cible de votre application ou de votre SDK tiers dans la liste des Targets.
  5. Cliquez sur Create.

Étape 2 : Ajouter des entrées pour les API requises

À l'intérieur de votre fichier PrivacyInfo.xcprivacy, vous devrez ajouter des paires clé-valeur représentant les API utilisées par votre application ou ses SDK tiers, accompagnées des raisons de leur utilisation. Les clés doivent être les noms des API, et les valeurs doivent être des chaînes de caractères décrivant l'objectif de l'utilisation de ces API dans votre application.

Voici un exemple de structure de ce à quoi votre PrivacyInfo.xcprivacy pourrait ressembler. Cet exemple suppose l'utilisation de "File timestamp APIs" et de "User defaults APIs" :

  <?xml version="1.0" encoding="UTF-8"?>
  <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
  <plist version="1.0">
    <dict>
        <key>NSPrivacyAccessedAPITypes</key>
        <array>
            <dict>
                <key>NSPrivacyAccessedAPIType</key>
                <string>NSPrivacyAccessedAPICategoryDiskSpace</string>
                <key>NSPrivacyAccessedAPITypeReasons</key>
                <array>
                    <string>E174.1</string>
                </array>
            </dict>
            <dict>
                <key>NSPrivacyAccessedAPIType</key>
                <string>NSPrivacyAccessedAPICategoryUserDefaults</string>
                <key>NSPrivacyAccessedAPITypeReasons</key>
                <array>
                    <string>CA92.1</string>
                </array>
            </dict>
        </array>
    </dict>
  </plist>

Étape 3 : Assurer l'exactitude et la conformité

Refléter les fonctionnalités de l'application : Assurez-vous que les raisons listées reflètent fidèlement la manière dont votre application utilise les données issues de ces API. Pas de pistage (Tracking) : Confirmez que vous n'utilisez pas les API ou les données dérivées à des fins de pistage, sauf si cela est explicitement déclaré et nécessaire à la fonctionnalité de l'application. Réviser et mettre à jour selon les besoins : À mesure que votre application évolue, révisez et mettez à jour régulièrement votre fichier PrivacyInfo.xcprivacy pour refléter toute nouvelle collecte de données ou utilisation d'API.

Étape 4 : Documentation et vérification

Avant la soumission, vérifiez la documentation de votre application et les divulgations intégrées à l'application pour vous assurer qu'elles sont alignées avec les déclarations faites dans votre fichier PrivacyInfo.xcprivacy. Cette cohérence est vitale pour passer les App Store Review Guidelines, particulièrement celles liées à la vie privée.

Le respect de ces étapes aidera à garantir que votre application répond aux normes requises en matière de confidentialité et de transparence sur l'utilisation des données, facilitant ainsi un processus de validation plus fluide et renforçant la confiance des utilisateurs.

Liens

Normes

  • OWASP_MASVS_L1:
    • MSTG_ARCH_12
  • OWASP_MASVS_L2:
    • MSTG_ARCH_12
  • GDPR:
    • ART_5
    • ART_25
    • ART_32
    • ART_35
  • PCI_STANDARDS:
    • REQ_2_2
    • REQ_6_2
    • REQ_6_3
    • REQ_7_3
  • OWASP_MASVS_v2_1:
    • MASVS_PRIVACY_3
  • CNIL_FOR_EDITORS:
    • EDITORS_1_1_1
    • EDITORS_2_2_1
    • EDITORS_2_2_2