REP27 · Logiciel · Développeurs d'applications
Article 3(2) · applications mobiles · App Store et Google Play
Publier une application que des personnes dans l'Union peuvent installer est le moyen le plus rapide pour une petite entreprise de tomber sous l'article 3(2) sans s'en rendre compte. Ce ne sont généralement pas les fonctionnalités de l'application qui le font : c'est le SDK d'analyse, le rapport de crash et le réseau publicitaire qui sont venus avec le modèle. Les formulaires du magasin que vous avez remplis ne constituent pas une désignation, et passer la vérification des commerçants DSA satisfait une loi complètement différente. Cette page sépare les trois.
iOS Android SDK d'analyse Réseaux publicitaires Rapport de crash Ségmentation des notifications
Les développeurs supposent généralement que le déclencheur est de vendre quelque chose à des utilisateurs européens. En pratique, ce sont les identifiants qui sortent de l'application, et ceux-ci arrivent avec des dépendances plutôt qu'avec des décisions.
C'est là que se trouve la plupart de la confusion. Remplir les formulaires du magasin crée un fort sentiment de conformité et ne satisfait aucun des articles 27.
| Formulaire | Vient de | Satisfait l'article 27 ? |
|---|---|---|
| Détails de contact du commerçant de l'App Store | Loi sur les services numériques | Non |
| Adresse de développeur vérifiée Google Play | Politique du magasin et le DSA | Non |
| Labels nutritionnels de sécurité des données / confidentialité | Politique de stockage | Non |
| Avis de confidentialité nommant le représentant | Article 13(1)(a) RGPD | Oui, avec une désignation signée derrière |
Un mandat accepté par Europe Services, SE à Prague, daté et contresigné, qui est le document demandé par une autorité de contrôle.
Le texte exact de l'article 13(1)(a) nommant le représentant, prêt à être collé dans l'avis lié à partir des deux listes de magasins.
Un utilisateur allemand écrivant en allemand reçoit une réponse en allemand. La plupart des développeurs solo ne peuvent pas offrir cela, et c'est une source commune de plaintes.
Le registre des activités de traitement détenu par le représentant et disponible pour les autorités, que presque aucun éditeur d'application novice n'a préparé.
Listez chaque dépendance qui envoie quoi que ce soit hors de l'appareil. Analytique, publicités, rapport de crash, push, attribution. C'est votre carte de traitement et cela prend un après-midi.
Un formulaire, signé dans les 24 heures, valable pour les sujets de données dans les 27 États membres.
Mettez à jour l'avis de confidentialité lié aux listes de l'App Store et de Google Play, et la copie à l'intérieur de l'application si vous en expédiez une.
Gardez les détails du commerçant, les réponses sur la sécurité des données et l'avis de confidentialité cohérents. La divergence entre eux est ce qui déclenche l'examen.
C'est la seule partie de l'exercice qui demande un véritable travail, et cela se rembourse car la même liste alimente le formulaire de sécurité des données du magasin, l'avis de confidentialité et les enregistrements de l'article 30.
| Dépendance | Ce qu'il envoie | Où cela doit-il apparaître |
|---|---|---|
| Analyse | Identifiant d'appareil ou d'utilisateur, événements, durée de session | Avis de confidentialité, formulaire de sécurité des données, dossiers |
| Rapport de crash | Identifiant d'appareil, traces de pile, parfois journaux | Avis de confidentialité, dossiers |
| Publicité | Identifiant publicitaire, comportement dans l'application | Avis de confidentialité, formulaire de sécurité des données, flux de consentement |
| Attribution | Source d'installation, empreinte de l'appareil | Avis de confidentialité, dossiers |
| Pousser | Token de notification, attributs de segmentation | Avis de confidentialité, dossiers |
| Chat de support | Messages, adresse e-mail, données de l'appareil | Avis de confidentialité, dossiers, liste des sous-traitants |
La plupart des développeurs qui nous écrivent sont de une à cinq personnes, et ils cherchent une raison de ne pas faire cela. Il y a deux façons honnêtes de sortir et aucune n'est la taille.
Pas de comptes, pas d'analytique, pas de publicités, pas de rapport de crash, rien qui quitte l'appareil. Alors l'article 3(2) n'est pas engagé et aucune désignation n'est nécessaire.
Les comptes agrégés de manière irréversible sans identifiant par appareil ne sont pas des données personnelles. Presque aucun SDK standard ne fonctionne de cette manière dès le départ.
Si vous développez sous un éditeur qui détermine les finalités et les moyens, l'obligation peut incomber à eux. Vérifiez le contrat plutôt que de supposer.
Désignez. Cela coûte moins d'une semaine de dépenses publicitaires et élimine entièrement une catégorie de problème.
Les magasins appliquent leurs propres politiques concernant la permission de suivi. L'Union applique un ensemble de règles différent concernant le consentement, et passer le premier n'a jamais satisfait le second.
| Couche | Qui l'impose | Ce qu'elle régit |
|---|---|---|
| Invite de permission de suivi d'application | Politique de la plateforme | Accès à l'identifiant publicitaire de l'appareil |
| Consentement pour le stockage et la lecture sur l'appareil | Règles d'ePrivacy, droit national | SDK écrivant des identifiants, avant que des données ne sortent |
| Base légale pour le traitement | Article 6 du RGPD | Que faites-vous ensuite avec les données |
| Identité du représentant | RGPD Article 13(1)(a) | À qui un utilisateur dans l'Union peut-il s'adresser |
Vous offrez des services et, à travers les SDK, surveillez le comportement. Il n'y a plus d'argument sur le fait que la réglementation vous atteint.
Les enregistrements de transaction vivent pendant des années pour des raisons comptables, ce qui transforme un profil de traitement léger en un profil substantiel.
Fournisseurs de paiement, scoring de fraude, reçus, outils de support. Chacun appartient au registre des activités de traitement que détient le représentant.
L'identification des commerçants, les droits de retrait et les canaux de litige sont des obligations séparées, et les champs de commerçant du magasin existent à cause d'eux.
Aucune de cela ne change la désignation elle-même : c'est le même formulaire, les mêmes 24 heures et le même certificat. Cela change combien la désignation vaut pour vous lorsque quelqu'un finit par écrire.
Non. Ceux-ci proviennent de la Loi sur les Services Numériques et vous identifient en tant que commerçant. L'article 27 nécessite une désignation écrite d'un représentant établi dans l'Union, publiée dans votre avis de confidentialité.
Lorsqu'il attribue un identifiant par utilisateur ou par appareil et construit un comportement au fil du temps, oui. Les statistiques agrégées et irréversibles ne le font normalement pas.
Non. Offrir des services ne nécessite pas de paiement, et la surveillance est un déclencheur séparé. Les applications gratuites monétisées par des publicités sont le cas le plus clair de tous.
Non. L'article 27 n'a pas de seuil d'employés ou de chiffre d'affaires. L'exemption de l'article 27(2) est pour un traitement réellement occasionnel, ce qu'une application avec des utilisateurs récurrents ne respecte pas.
Dans l'avis de confidentialité accessible depuis la liste du magasin et à l'intérieur de l'application, en vertu de l'article 13(1)(a), à côté de votre propre identité en tant que responsable.
Le représentant est le point de contact et enregistre et transmet tout à vous. La décision substantielle sur chaque demande reste avec vous en tant que responsable.
Seulement que vous offrez également des biens ou des services en vertu de l'article 3(2), donc les deux volets s'appliquent plutôt qu'un seul. La désignation est identique.
Si des personnes dans l'Union l'installent et que des identifiants quittent leurs appareils, l'analyse est la même que pour une version publique. Être en version bêta n'est pas une exemption.
Vérifiez les SDK avant de conclure quoi que ce soit. Les bibliothèques de médiation publicitaire et d'attribution dans un jeu gratuit sont généralement le signal de surveillance le plus fort de tous, avec ou sans comptes.
Il apparaît dans l'avis de confidentialité auquel la liste fait référence, ce que l'article 13(1)(a) exige. Les propres champs de commerçant du magasin restent tels quels.
Un formulaire, puis une désignation signée dans les 24 heures, avec le paragraphe de l'avis de confidentialité et un certificat vérifiable émis ensemble.
Non. La désignation couvre le responsable, donc chaque application que vous publiez sous la même entité juridique est couverte par un seul mandat.
Alors la question est de savoir qui décide des finalités du traitement. Si l'éditeur décide, il est le responsable et a besoin de sa propre désignation ; si vous décidez, l'obligation vous incombe, peu importe le nom qui figure sur la liste.
Connexe : même problème pour le SaaS · la formulation exacte de l'avis de confidentialité
Un formulaire, une désignation signée dans les 24 heures, le paragraphe de l'avis de confidentialité prêt à coller, et un certificat avec un code de vérification que tout le monde peut vérifier.
Voir les plans