Manifeste de confidentialité pour les applications iOS

À partir du 1er mai 2024, Apple exige que toutes les applications iOS sur l'App Store incluent des Manifestes de confidentialité. Ces fichiers, appelés PrivacyInfo.xcprivacyComprenez comment les applications et leurs dépendances gèrent les données utilisateur. Le non-respect de ces règles peut entraîner le rejet ou la suppression de l'application. Voici ce qu'il faut savoir :

• Qu'est-ce qu'un manifeste de confidentialité ?
  Un fichier structuré qui documente :

  • Les données collectées par votre application et les SDK tiers.
  • Les API utilisées pour les données sensibles ou la traçabilité.
  • Les domaines accédés par l'application.

• Pourquoi cela compte-t-il ?

  • Assure la transparence dans les pratiques de données.
  • Conserve les étiquettes de confidentialité de l'App Store à jour.
  • Évite les retards ou les rejets lors de la revue de l'application.

• Étapes clés de conformité :

  1. Utilisez Xcode 15 ou plus récent pour créer et configurer le PrivacyInfo.xcprivacy fichier.
  2. Documentez tous les APIs, les types de données et les domaines de suivi.
  3. Obtenez les manifestes de confidentialité auprès de fournisseurs tiers SDK.
  4. Validez à l'aide du rapport de confidentialité de Xcode.

• Échéances :

  • 1er mai 2024 : La mise en œuvre a commencé.
  • Les applications doivent désormais inclure les manifestes de confidentialité pour être approuvées.

Les risques de non-conformité incluent le rejet de l'App Store, les problèmes juridiques et la perte de confiance des utilisateurs. Les outils comme les scanners automatisés et les générateurs de confidentialité peuvent simplifier le processus. Restez proactif pour vous assurer que votre application répond aux normes de confidentialité d'Apple.

WWDC23 : Commencez avec les manifestes de confidentialité | Apple

Règles du manifeste de confidentialité d'Apple

Le manifeste de confidentialité d'Apple introduit une exigence de divulgation transparente de la collecte de données et de l'utilisation de API dans tous les composants des applications iOS.

Pour se conformer, les développeurs doivent inclure un fichier xcprivacy nommé PrivacyInfo qui décrit trois éléments critiques :

• Déclarations de raisons obligatoires API : Déclarer clairement pourquoi des API spécifiques sont utilisées.
• Catégories d'utilisation des données : Spécifier les types de données collectées et leur utilisation.
• Documentation de l'utilisation des domaines : Détaillez les domaines accessibles par l'application [3].

Échéances de conformité

Apple a fixé des délais fermes pour satisfaire ces exigences :

Ces dates mettent en évidence l'urgence pour les développeurs de s'aligner sur les nouvelles règles pour éviter les perturbations.

Risques de non-conformité

Le fait de ne pas se conformer à ces lignes directrices peut entraîner des conséquences graves, notamment :

• Rejet immédiat de l'application sur l'App StoreLes applications non conformes ne seront pas approuvées pour la distribution.
• Exposition juridiqueLa non-divulgation des pratiques de données pourrait entraîner une action réglementaire.
• Dommages à l'imageLes utilisateurs peuvent perdre confiance dans les applications qui ne répondent pas aux normes de transparence. [2].

“Les applications utilisant des APIs spécifiques doivent déclarer leur utilisation prévue dans un fichier de manifeste de confidentialité, à compter du 1er mai 2024.” – Apple [6]

Pour les développeurs utilisant des solutions d'actualisation en ligne (OTA) comme CapgoLa conformité est d'autant plus importante. Ces mécanismes d'actualisation, ainsi que les pratiques de gestion des données, doivent être explicitement documentées.

Additionally, every SDK and framework integrated into your app must include its own privacy manifest, outlining its data collection and API usage. During the App Store submission process, Xcode will compile these individual manifests into a unified Privacy Report [3].

__CAPGO_KEEP_0__

et cadre intégré dans votre application doit inclure son propre manifeste de confidentialité, décrivant sa collecte de données et son utilisation de . Lors du processus de soumission de l'App Store, Xcode compilera ces manifestes individuels en un rapport de confidentialité unifié Informations sur la vie privée.xcprivacy fichier.

Exigences système

Veuillez vous assurer d'avoir les éléments suivants installés et configurés :

• Xcode 15 ou une version ultérieure: Cette est la version minimale qui prend en charge les manifestes de confidentialité [1].
  • Disponible sur l'App Store Mac (version stable).
  • Les versions bêta peuvent être téléchargées depuis le portail du développeur Apple [16].
• macOS: Utilisez une version stable pour vous assurer de la compatibilité avec Xcode.

Informations de développeur

Pour travailler avec les manifestes de confidentialité et soumettre votre application à l'App Store, vous aurez besoin des informations de développeur suivantes :

Pour créer votre Fichier PrivacyInfo.xcprivacy ouvrir Xcode et aller à Nouveau > Fichier > iOS > Ressource > Confidentialité de l'application [1]. Placez ce fichier dans le répertoire racine des ressources de bundle de votre application pour vous assurer qu'il est reconnu lors du processus de compilation.

À partir du printemps 2024, Apple exigera que toutes les applications soumises à App Store Connect incluent des raisons approuvées pour toute utilisation listée API [7].

Une fois que vos outils et vos informations d'identification sont prêts, vous pouvez passer à la création du fichier de manifeste de confidentialité directement dans Xcode.

Élaboration du Fichier de Manifeste de Confidentialité

La création d'un fichier de manifeste de confidentialité dans Xcode peut être simple avec les bonnes étapes et les bons outils. Voici comment vous pouvez le configurer et rationaliser le processus en utilisant l'automatisation.

Xcode Étapes de configuration

1. Créer le fichier de manifeste de confidentialité

   Ouvrez Xcode, puis naviguez vers Fichier > Nouveau > Fichier, et sélectionnez "Fichier de confidentialité de l'application" dans la section Ressources. Assurez-vous que votre cible d'application est sélectionnée lors de ce processus [8].

2. Configurer les clés requises

   Ajoutez les clés suivantes à votre fichier créé récemment : PrivacyInfo.xcprivacy Clé

   Description	Clé	Valeur requise
   NSPrivacyTracking	Indique si l'application utilise les données pour le suivi	Boolean (vrai/faux)
   NSPrivacyTrackingDomains	Liste des domaines utilisés pour le suivi	Tableau de domaines
   NSPrivacyCollectedDataTypes	Types de données collectées	Tableau de dictionnaires
   NSPrivacyAccessedAPITypes	API détails d'accès	Tableau de dictionnaires

3. Valider la configuration

   Après avoir configuré le fichier, vérifiez votre installation en générant un rapport de confidentialité dans Xcode. Pour ce faire :

   • Créez un archive en allant à Produit > Archive.
   • Cliquez avec le bouton droit sur l'archive générée.
   • Sélectionnez Générer le Rapport de Confidentialité [8].

L'utilisation d'outils d'automatisation peut aider à réduire les tâches répétitives et à garantir la cohérence.

Méthodes d'automatisation

Privado.ai Intégration
Le générateur de manifeste de confidentialité de Privado, introduit en juin 2024, simplifie le processus en automatisant l'code analyse et la génération de rapports. Cette outil :

• Scanne vos code et vos SDK dépendances.
• Cartographie les pratiques de collecte de données.
• Remplit automatiquement les rapports de confidentialité.
• Lié les réponses directement aux sections correspondantes de votre source code [10].

Fixateur de manifeste de confidentialité d'application
Lancé en avril 2025, cet outil utilise des scripts shell pour :

• Analyser votre manifeste et résoudre automatiquement les problèmes de conformité.
• Intégrer de manière fluide avec vos processus de construction existants.
• Supporter des modèles personnalisés pour différents types de projet [11].

Pour des résultats cohérents, incluez ces outils dans votre répertoire de projet. Cela garantit une génération manifeste lisse à travers votre équipe et vos pipelines CI/CD.

Lorsque vous utilisez Mises à jour en ligne à travers les plateformes comme CapgoPour soumettre un PR à Capgo, veillez à ce que votre manifeste de confidentialité reflète toute collecte de données ou utilisation de API liée à la fonctionnalité de mise à jour. Maintenir la transparence ici est essentielle pour rester conforme aux exigences de l'App Store tout en bénéficiant des fonctionnalités de mise à jour modernes.

Documentation de la collecte de données et de l'utilisation de API

Une fois que vous avez créé votre fichier de manifeste dans Xcode, l'étape suivante consiste à documenter les pratiques d'utilisation de API et de collecte de données de votre application. Cela est essentiel non seulement pour satisfaire aux exigences de conformité d'Apple, mais aussi pour établir la confiance avec vos utilisateurs.

Documentation de l'utilisation de API

Votre Fichier PrivacyInfo.xcprivacy doit lister toutes les API qui accèdent à des informations sensibles. Lorsque vous documentez l'utilisation de API dans votre manifeste de confidentialité, incluez les deux catégories de API et les raisons approuvées pour leur utilisation.

Voici un aperçu rapide de ce qui doit être documenté :

Ce niveau de détail garantit une connexion fluide entre votre fichier de manifeste et vos pratiques de collecte de données.

“Vous êtes responsables de tous les code inclus dans vos applications, conformément aux lignes directrices de la revue des applications de l'App Store. Cela inclut toutes les pratiques de collecte et de suivi de données.” - Tony, Ingénierie de la vie privée, Apple [5]

Lors de la mise en œuvre de mises à jour hors ligne, veillez particulièrement à les déclarations de API de l'espace disque. Par exemple, la version 10.24.0 d'Analytics Firebase a résolu les erreurs ITMS-91053 en avril 2024 en s'attaquant aux problèmes liés à NSPrivacyAccessedAPICategoryDiskSpace et NSPrivacyAccessedAPICategoryUserDefaults [12].

Types de données et catégories

Votre manifeste de confidentialité doit clairement décrire tous les types de données collectés et les catégoriser en conséquence. En particulier, vous devez documenter les éléments suivants :

• Si les données sont liées à l'identité de l'utilisateur.
• Si les données sont utilisées à des fins de suivi.
• Si les deux s'appliquent, spécifiez la finalité approuvée de la liste préétablie d'Apple.

Pour les applications utilisant des kits de développement tiers, assurez-vous que chaque SDK inclut son propre manifeste de confidentialité. Par exemple, Persona SDK v2.18.0+ déclare automatiquement les types de données suivants :

• Localisation grossière (par exemple, adresse IP)
• ID de l'appareil (identification à niveau d'appareil)
• ID d'utilisateur (identification à niveau de compte)
• Données de diagnostic (par exemple, journaux d'erreurs)
• Interaction avec le produit (par exemple, événements de flux)

Pour rester conforme, auditez régulièrement votre codebase pour identifier les API qui nécessitent inclusion dans votre Manifeste de confidentialité [13]Ce type d'examen préventif peut aider à éviter les retards de soumission et maintenir votre application alignée sur les normes de confidentialité d'Apple en évolution.

Third-Party SDK Management

Les SDK tiers doivent s'aligner sur les normes du manifeste de confidentialité d'Apple pour se conformer aux réglementations et maintenir la confiance des utilisateurs. Ces normes, discutées plus tôt, sont également importantes pour les SDK tiers. En dessous, vous trouverez des informations sur la gestion des mises à jour OTA dans les applications Capacitor et l'assurance de la conformité à SDK.

Capacitor et les mises à jour OTA

Lors de l'utilisation des mises à jour en ligne (OTA) dans les applications Capacitor, il est crucial de configurer votre manifeste de confidentialité avec précision. Pour les applications qui utilisent des solutions de mise à jour en direct, vous devez déclarer l'utilisation spécifique de API dans le manifeste de confidentialité:

Capgo simplifie ce processus en intégrant la conformité à la déclaration de confidentialité dans son système d'actualisation OTA. Il déclare automatiquement les API et les accès aux données requis, vous assurant que votre application reste conforme tout en bénéficiant de mises à jour en temps réel.

Explorons maintenant les étapes clés pour vérifier la conformité à SDK.

Conformité à SDK

Après avoir traité les déclarations d'actualisation OTA, il est essentiel de s'assurer que tous les SDK intégrés répondent aux normes nécessaires. Avec 88 % des organisations utilisant des milliers d'applications cloud [16], des contrôles de conformité à SDK robustes sont obligatoires.

• Scannez automatiquement
  Utilisez des outils comme Ostorlab.co scanner votre fichier IPA d'application [1]Ce complète les informations fournies par votre rapport de confidentialité Xcode, offrant une analyse approfondie de la conformité de votre application.

• Gestion de version
  Si un SDK n'a pas de manifeste de confidentialité, vous devrez déclarer manuellement son utilisation des données dans votre fichier d'application PrivacyInfo.xcprivacy Ce pas garantit la transparence et le respect des lignes directrices d'Apple. [14]Implémentation de sécurité

• Les SDK mal gérés peuvent entraîner des conséquences importantes. Par exemple, Tilting Point Media a reçu un règlement de 500 000 $ le 18 juin 2024, en raison de violations de CCPA et de COPPA dues à des SDK mal configurés.
  Tilting Point Media $500,000 18 juin 2024 [15]pour éviter des pièges similaires :

  • Chiffrer les données sensibles avant qu'elles soient gérées par les SDK.
  • Appliquer les principes d'accès à la moindre privilège pour limiter les permissions inutiles.
  • Surveiller en continu l'utilisation de SDK dans votre application.
  • Effectuer régulièrement des audits des politiques de SDK pour vous assurer qu'elles restent conformes.

Procédure de test et de soumission

Avant de soumettre votre application, vous devrez tester votre mise en œuvre de la déclaration de confidentialité en suivant les procédures requises par Apple, en vigueur à compter du 1er mai 2024. [9].

Rapport de confidentialité Xcode

Une fois que vous avez configuré votre déclaration de confidentialité, la prochaine étape consiste à tester son exactitude. En utilisant Xcode 15, archivez votre projet et générez un Rapport de confidentialité [8]. Ce rapport fournit un aperçu des types de données déclarés par votre application, des pratiques de SDK , de l'utilisation de API et des domaines de suivi.

“Xcode 15 peut agréger tous les manuels de confidentialité de votre projet d'application et produire un rapport de confidentialité qui résume les utilisations de données déclarées… Cela vous permet de passer en revue, de comprendre et de décrire les pratiques de confidentialité de votre application et de ses dépendances.” - Tony, Ingénieur en confidentialité, Apple [5]

Pour une validation supplémentaire, vous pouvez utiliser l'instrument Points of Interest dans Xcode 15 pour détecter toute connexion aux domaines de suivi [5].

Exigences de soumission

Après avoir examiné le Rapport sur la vie privée, assurez-vous que les composants clés suivants sont prêts à la soumission :

Étapes importantes à suivre :

• Lier le manifeste de confidentialité à votre cible d'application [17].
• Confirmer que les SDK tiers incluent leurs ensembles de confidentialité [17].
• Documenter et déclarer avec précision tous les domaines de suivi [5].

« Vérifiez que le manifeste de confidentialité correspond à votre compréhension de la fonctionnalité des tiers SDK » - Tony, Ingénieur en confidentialité chez Apple [5]

Pour un exemple pratique, prenez l'équipe CodeWithChris. En octobre 2023, ils ont réussi à mettre en œuvre les exigences de confidentialité d'Apple tout en construisant leur application de suivi de l'humeur. Ils ont compté sur le rapport de confidentialité de Xcode pour s'assurer que chaque aspect de leur application répondait aux nouveaux standards d'Apple avant la soumission [18].

Actualités et Maintenance

Mettre à jour votre manifeste de confidentialité est aussi important que de maintenir votre base de code de l'application. Puisque les politiques de confidentialité évoluent, des mises à jour régulières assurent le respect des normes et simplifient le processus d'approbation. Politiques de confidentialité Suivi des mises à jour de la politique

Restez alignés avec les politiques de confidentialité d'Apple pour maintenir la conformité de l'App Store. Depuis la date limite de mise en œuvre du 1er mai 2024, les développeurs doivent garder un œil attentif aux changements des réglementations de confidentialité et des spécifications __CAPGO_KEEP_0__.

Staying aligned with Apple’s privacy policies is critical for maintaining App Store compliance. Since the May 1, 2024 enforcement deadline, developers have been required to keep a close eye on changes to privacy regulations and API specifications.

Par exemple, InMobisa version SDK 10.7.2 incluait un manifeste de confidentialité détaillé, qui constitue un exemple fort de documentation tiers [4].

“Les développeurs sont responsables de tous les code inclus dans leurs applications” - Apple [4]

Contrôle de version

Context : Page/zone : Site web de marketing Capgo. Rôle : Étiquette de navigation ou élément UI court. Clé de message `version_control` (Contrôle de version).

• Vérification Automatisée
  Les vérifications automatiques peuvent améliorer les taux de réussite des déploiements en identifiant les problèmes de conformité en temps réel. Elles permettent également des retours rapides si des problèmes surgissent, réduisant ainsi les temps d'arrêt.

• SDK Intégration de suivi
  Considérez un journal détaillé des versions de SDK et de leurs manifestes de confidentialité associés. Par exemple, l'équipe mobile de Spotify a réduit les crashes d'applications de 15% en 30 jours grâce à un suivi précis de SDK et à des corrections ciblées en août 2024 [20].

• Gestion des Changements
  Documentez chaque changement de manière détaillée :

  • Enregistrez les raisons des mises à jour
  • Notez les API et les types de données affectés
  • Conserviez un journal d'audit pour simplifier les examens de conformité

En utilisant des outils de contrôle de version avec des capacités de build et de gestion de version automatiques, ce processus peut être plus fluide. Par exemple, Appcircle's système de versionnage permet aux développeurs de gérer les numéros de build et de suivre les versions à l'aide de variables d'environnement ou d'intégration Xcode [20].

Résumé et Ressources

Pour rester conforme aux normes de confidentialité d'Apple, il faut une attention continue et les bons outils. Gérer un manifeste de confidentialité n'est pas une tâche à accomplir une fois pour toutes - elle nécessite de l'exactitude et des mises à jour régulières. Des découvertes récentes révèlent que beaucoup de développeurs sont encore loin de la conformité [1].

Ici sont présentés quelques outils et ressources essentiels pour faciliter l'implémentation :

Ces outils simplifient le processus de maintien de la conformité, en particulier lorsqu'il s'agit de la validation et de la documentation. Les développeurs peuvent également explorer des solutions automatisées pour la gestion du manifeste de confidentialité. Par exemple, Capgo Propose une mise à jour en temps réel pour les applications Capacitor, permettant des mises à jour rapides tout en respectant les exigences de l'App Store.

À partir du printemps 2024, Apple exigera que les applications résolvent tous les problèmes de manifeste de confidentialité et de raisons requises API avant de pouvoir être soumises ou mises à jour sur l'App Store. [5]Pour rester en tête, les développeurs devraient :

• Collecter les manifestes de confidentialité des fournisseurs de tiers SDK.
• Documentez tous les domaines de suivi et l'utilisation obligatoire de API.
• Vérifiez régulièrement les manifestes à l'aide du rapport de confidentialité d'Xcode.
• Consacrez des dossiers détaillés aux pratiques de collecte de données.

Pour plus d'informations, ces ressources sont incontournables :

• Site Web du Développeur Apple: Consultez les mises à jour sur les exigences et les changements de politique de confidentialité [19].
• App Store Connect: Examinez les lignes directrices et les exigences de soumission [19].
• Vidéos WWDC: Regardez les sessions techniques pour des informations sur la confidentialité [21].

FAQs

: faq

Quels sont les conséquences si les développeurs d'applications iOS ne respectent pas les exigences du manifeste de confidentialité d'Apple d'ici le 1er mai 2024 ?

Le fait de ne pas respecter les exigences du manifeste de confidentialité d'Apple d'ici le 1er mai 2024 pourrait avoir des conséquences graves pour les développeurs d'applications iOS. Votre application pourrait faire face à un refus lors du processus de revue de l'App Store, perdre certaines fonctionnalités ou même être retirée de la boutique entièrement. Au-delà de cela, le non-respect pourrait soumettre les soumissions d'applications futures à une plus grande vigilance

potentiellement retardant les délais d'approbation. Ces retards ne touchent pas seulement la disponibilité de votre application - ils peuvent également éroder la confiance des utilisateurs et diminuer la présence de votre application sur le marché. Restez à l'avant-garde de la date butoir pour vous assurer que votre application reste conforme et accessible à votre public. FAQComment les développeurs peuvent-ils s'assurer que les bibliothèques SDK tierces dans leurs applications iOS répondent aux exigences du manifeste de confidentialité d'Apple ?

Pour répondre aux exigences du

manifeste de confidentialité

d'Apple, les développeurs doivent inclure un __CAPGO_KEEP_0__ __CAPGO_KEEP_1__ PrivacyInfo.xcprivacy les fichiers dans leur application ou SDK. Ce fichier doit détailler clairement les types de données collectées et expliquer l'objectif de l'utilisation de certaines API. De plus, les développeurs doivent confirmer si les SDK tiers sur lesquels ils s'appuient entrent dans les directives d'Apple pour exiger un manifeste de confidentialité et une signature.

À partir du 1er mai 2024, chaque application soumise sur l'App Store doit se conformer à ces règles. Il est important pour les développeurs de travailler étroitement avec leurs SDK pour s'assurer d'une mise en œuvre précise de la collecte de données, ce qui facilite l'alignement avec le manifeste de confidentialité de l'application. En suivant ces étapes, non seulement on évite les rejets de l'App Store, mais on favorise également la confiance des utilisateurs en promouvant la transparence dans la gestion des données.

:::

Comment les développeurs peuvent-ils créer et maintenir un manifeste de confidentialité pour leurs applications iOS pour se conformer aux politiques d'Apple ?

Les développeurs travaillant sur des applications iOS peuvent créer et gérer un manifeste de confidentialité en se conformant aux directives d'Apple et en utilisant les outils disponibles. La documentation officielle d'Apple fournit des instructions détaillées sur la mise en place d'un fichier PrivacyInfo.xcprivacy qui spécifie les données collectées par votre application et les SDK tiers utilisés. Pour une assistance étape par étape, la vidéo de WWDC23 d'Apple sur les manifestes de confidentialité est un excellent ressource, couvrant la manière de identifier les pratiques de confidentialité et de générer des rapports de confidentialité à l'aide de Xcode 15 ou ultérieur.

To faciliter le respect des normes, les outils comme le logiciel de consentement pour les applications mobiles peuvent aider à gérer les SDK et à s'assurer que le consentement des utilisateurs est obtenu de manière appropriée. Ces outils facilitent la mise en conformité avec les politiques de partage de données d'Apple tout en favorisant la transparence avec les utilisateurs. Pour les développeurs utilisant des applications Capacitor, les plateformes comme Capgo offrent des capacités d'actualisation en temps réel tout en respectant les exigences de conformité en matière de confidentialité.

Continuez de la Privacy Manifest for iOS Apps

Si vous utilisez Privacy Manifest for iOS Apps pour planifier la sécurité et la conformité, connectez-l’à Chiffrement pour le détail d'implémentation dans Chiffrement, Conformité pour le détail d'implémentation dans Conformité, Capgo Scanner de sécurité pour le flux de travail du produit dans Capgo Scanner de sécurité, Capgo Sécurité pour le flux de travail du produit dans le centre de sécurité Capgo le centre de confiance Capgo pour le flux de travail du produit dans le centre de confiance Capgo