REP27 · Software · Sviluppatori di app
Articolo 3(2) · app mobili · App Store e Google Play
Pubblicare un'app che le persone nell'Unione possono installare è il modo più veloce per una piccola azienda di rientrare nell'Articolo 3(2) senza accorgersene. Raramente sono le funzionalità dell'app a farlo: è l'SDK di analisi, il reporter di crash e la rete pubblicitaria che è venuta con il template. I moduli dello store che hai compilato non sono una designazione, e superare la verifica del commerciante DSA soddisfa una legge completamente diversa. Questa pagina separa i tre.
iOS Android SDK di analisi Reti pubblicitarie Segnalazione dei crash Segmentazione delle notifiche push
Gli sviluppatori di solito presumono che l'attivatore sia vendere qualcosa agli utenti europei. In pratica, sono gli identificatori che viaggiano fuori dall'app, e questi arrivano con dipendenze piuttosto che decisioni.
Questo è dove vive la maggior parte della confusione. Compilare i moduli dello store crea una forte sensazione di conformità e non soddisfa nessuno degli Articolo 27.
| Modulo | Proviene da | Soddisfa l'Articolo 27? |
|---|---|---|
| Dettagli di contatto del trader dell'App Store | Digital Services Act | No |
| Indirizzo dello sviluppatore verificato di Google Play | Politica del negozio e il DSA | No |
| Etichette nutrizionali sulla sicurezza dei dati / privacy | Politica del negozio | No |
| Informativa sulla privacy che nomina il rappresentante | Articolo 13(1)(a) GDPR | Sì, con una designazione firmata dietro |
Un mandato accettato da Europe Services, SE a Praga, datato e controfirmato, che è il documento richiesto da un'autorità di vigilanza.
Il testo esatto dell'Articolo 13(1)(a) che nomina il rappresentante, pronto per essere incollato nell'avviso collegato da entrambe le inserzioni del negozio.
Un utente tedesco che scrive in tedesco riceve una risposta in tedesco. La maggior parte degli sviluppatori solisti non può offrire ciò, ed è una fonte comune di lamentele.
Il registro delle attività di trattamento detenuto dal rappresentante e disponibile per le autorità, che quasi nessun editore di app alla prima esperienza ha preparato.
Elenca ogni dipendenza che invia qualcosa fuori dal dispositivo. Analisi, pubblicità, reporting dei crash, push, attribuzione. Questa è la tua mappa di trattamento e richiede un pomeriggio.
Un modulo, firmato entro 24 ore, valido per i soggetti interessati in tutti i 27 Stati membri.
Aggiorna l'informativa sulla privacy collegata dalle inserzioni dell'App Store e di Google Play, e la copia all'interno dell'app se ne distribuisci una.
Mantieni i dettagli del commerciante, le risposte sulla sicurezza dei dati e l'informativa sulla privacy coerenti. La divergenza tra di essi è ciò che attiva la revisione.
Questa è l'unica parte dell'esercizio che richiede un vero lavoro, e si ripaga da sola perché la stessa lista alimenta il modulo di sicurezza dei dati dello store, l'informativa sulla privacy e i registri dell'Articolo 30.
| Dipendenza | Cosa invia | Dove deve apparire |
|---|---|---|
| Analisi | Identificatore del dispositivo o dell'utente, eventi, durata della sessione | Informativa sulla privacy, modulo di sicurezza dei dati, registri |
| Segnalazione dei crash | Identificatore del dispositivo, stack trace, a volte log | Informativa sulla privacy, registrazioni |
| Pubblicità | Identificatore pubblicitario, comportamento in-app | Informativa sulla privacy, modulo sulla sicurezza dei dati, flusso di consenso |
| Attribuzione | Sorgente di installazione, impronta del dispositivo | Informativa sulla privacy, registrazioni |
| Push | Token di push, attributi di segmentazione | Informativa sulla privacy, registrazioni |
| Chat di supporto | Messaggi, indirizzo email, dati del dispositivo | Informativa sulla privacy, registri, elenco dei responsabili |
La maggior parte degli sviluppatori che ci scrivono sono da una a cinque persone, e stanno cercando un motivo per non farlo. Ci sono due modi onesti per uscirne e nessuno è la dimensione.
Niente account, niente analisi, niente pubblicità, niente reporting dei crash, niente che esca dal dispositivo. Allora l'Articolo 3(2) non è coinvolto e non è necessaria alcuna designazione.
I conteggi aggregati in modo irreversibile senza identificatore per dispositivo non sono dati personali. Quasi nessun SDK standard funziona in questo modo direttamente.
Se sviluppi sotto un editore che determina finalità e mezzi, l'obbligo potrebbe ricadere su di loro. Controlla il contratto piuttosto che presumere.
Designa. Costa meno di una settimana di spese pubblicitarie e rimuove completamente una categoria di problemi.
Gli store applicano le proprie politiche riguardo al permesso di tracciamento. L'Unione applica un insieme diverso di regole riguardo al consenso, e superare il primo non ha mai soddisfatto il secondo.
| Strato | Chi lo impone | Cosa regola |
|---|---|---|
| Avviso di autorizzazione al tracciamento dell'app | Politica della piattaforma | Accesso all'identificatore pubblicitario del dispositivo |
| Consenso per la memorizzazione e la lettura sul dispositivo | Regole ePrivacy, legge nazionale | SDK che scrivono identificatori, prima che i dati lascino |
| Basis giuridica per il trattamento | Articolo 6 del GDPR | Cosa fai poi con i dati |
| Identità del rappresentante | GDPR Articolo 13(1)(a) | Chi può contattare un utente nell'Unione |
Stai offrendo servizi e, attraverso gli SDK, monitorando il comportamento. Non c'è più argomento su se il regolamento ti raggiunga.
I registri delle transazioni rimangono per anni per motivi contabili, il che trasforma un profilo di trattamento leggero in uno sostanziale.
Fornitori di pagamento, punteggi di frode, ricevute, strumenti di supporto. Ognuno appartiene al registro delle attività di trattamento che il rappresentante detiene.
Identificazione del commerciante, diritti di revoca e canali di contenzioso sono obblighi separati, e i campi del commerciante dello store esistono a causa di essi.
Niente di tutto ciò cambia la designazione stessa: è lo stesso modulo, le stesse 24 ore e lo stesso certificato. Cambia quanto vale la designazione per te quando qualcuno finalmente scrive.
No. Questi provengono dalla Digital Services Act e ti identificano come commerciante. L'Articolo 27 richiede una designazione scritta di un rappresentante stabilito nell'Unione, pubblicata nella tua informativa sulla privacy.
Quando assegna un identificatore per utente o per dispositivo e costruisce comportamenti nel tempo, sì. Le statistiche aggregate e irreversibili normalmente non lo fanno.
No. Offrire servizi non richiede pagamento, e il monitoraggio è un attivatore separato. Le app gratuite monetizzate tramite pubblicità sono il caso più chiaro di tutti.
No. L'Articolo 27 non ha soglie di dipendenti o fatturato. L'esenzione di cui all'Articolo 27(2) è per un trattamento genuinamente occasionale, che un'app con utenti di ritorno non soddisfa.
Nell'informativa sulla privacy raggiungibile dalla scheda dello store e all'interno dell'app, ai sensi dell'Articolo 13(1)(a), accanto alla tua identità come titolare del trattamento.
Il rappresentante è il punto di contatto e registra e inoltra tutto a te. La decisione sostanziale su ogni richiesta rimane con te come titolare del trattamento.
Solo che stai anche offrendo beni o servizi ai sensi dell'Articolo 3(2), quindi si applicano entrambe le parti piuttosto che una sola. La designazione è identica.
Se le persone nell'Unione lo stanno installando e gli identificatori stanno lasciando i loro dispositivi, l'analisi è la stessa di una versione pubblica. Essere in beta non è un'esenzione.
Controlla gli SDK prima di concludere qualsiasi cosa. Le librerie di mediazione pubblicitaria e attribuzione in un gioco gratuito sono di solito il segnale di monitoraggio più forte di tutti, con o senza account.
Appare nell'informativa sulla privacy a cui la scheda si collega, che è ciò che richiede l'Articolo 13(1)(a). I campi del commerciante dello store rimangono come sono.
Un modulo, poi una designazione firmata entro 24 ore, con il paragrafo dell'informativa sulla privacy e un certificato verificabile emesso insieme.
No. La designazione copre il titolare del trattamento, quindi ogni app che pubblichi sotto la stessa entità legale è coperta da un solo mandato.
Allora la domanda è chi decide le finalità del trattamento. Se l'editore decide, è il titolare del trattamento e ha bisogno della propria designazione; se decidi tu, l'obbligo è tuo indipendentemente da chi è il nome sulla scheda.
Correlati: lo stesso problema per SaaS · la formulazione esatta dell'informativa sulla privacy
Un modulo, una designazione firmata entro 24 ore, il paragrafo dell'informativa sulla privacy pronto da incollare, e un certificato con un codice di verifica che chiunque può controllare.
Guarda i piani