Aplicativos móveis e jogos nas lojas da UE

• Regulation (EU) 2016/679 — GDPR, Article 27
• Directive 2002/58/EC — ePrivacy, for device storage and tracking
• Regulation (EU) 2022/2065 — DSA where user content is hosted
• Regulation (EU) 2023/2854 — Data Act, for connected products
• Directive 2011/83/EU — Consumer rights

Quem tem de designar

Qualquer desenvolvedor ou editor estabelecido fora da União cujo aplicativo esteja disponível para usuários na UE e que processe seus dados pessoais. Oferecer o aplicativo em lojas da UE, precificar em euros, localizá-lo ou veicular anúncios para usuários da UE indicam direcionamento. Um provedor de SDK que determina seus próprios propósitos — uma rede de anúncios, um fornecedor de análises — é um controlador por direito próprio e precisa de seu próprio representante.

Limiares e isenções

Sem limite de receita ou download. A isenção estreita do Artigo 27(2) para processamento ocasional não se aplica a um aplicativo com uma base de instalação, identificadores persistentes e análises. Aplicativos gratuitos estão totalmente abrangidos: monetização através de publicidade é processamento, não uma isenção.

O que deve constar do rótulo

Não físico. A identidade e os detalhes de contato do representante da UE devem aparecer na política de privacidade vinculada à listagem da loja e dentro do aplicativo, em um lugar que um usuário possa realmente encontrar. A Apple e o Google exigem um URL de política de privacidade funcional e divulgações precisas sobre segurança de dados, e inconsistências entre a coleta de dados declarada e os SDKs realmente presentes são verificadas.

Campos nos marketplaces

App Store e Google Play exigem rótulos de privacidade ou declarações de segurança de dados que correspondam à realidade. O Google Play adicionalmente exige que desenvolvedores fora da UE publiquem informações comerciais para aplicativos voltados ao consumidor na UE sob as regras de transparência adjacentes ao DSA, e remove aplicativos cujas declarações estão incompletas. SDKs de anúncios que transmitem identificadores sem consentimento são a razão mais comum pela qual um aplicativo falha em uma revisão de privacidade da loja.

Documentação a conservar

A designação escrita do Artigo 27. Os registros de processamento do Artigo 30, listando cada SDK, seu propósito e suas transferências. Um fluxo de gerenciamento de consentimento para armazenamento e rastreamento não essenciais, com prova de consentimento por usuário. Avaliação de impacto sobre a proteção de dados onde o perfilamento, dados de crianças ou rastreamento em larga escala estão envolvidos. Cláusulas contratuais padrão e uma avaliação de impacto de transferência para dados que vão para os Estados Unidos ou outros lugares. Acordos de processamento de dados com cada fornecedor de SDK que é um processador.

Normas e ensaios

Não aplicável no sentido de teste. O que é examinado é o fluxo de consentimento: se identificadores são lidos ou escritos antes do consentimento, se recusar é tão fácil quanto aceitar, e se as declarações da loja correspondem ao tráfego da rede. Reguladores e ONGs realizam análises de tráfego, e é assim que a maioria das ações de fiscalização nesta categoria começa.

Requisitos linguísticos

Informações de privacidade na língua dos usuários alvo. Um aplicativo localizado em alemão ou francês com um fluxo de consentimento apenas em inglês é uma falha de transparência sob o Artigo 12.

A partir de quando

A designação deve existir antes que o aplicativo seja disponibilizado nas lojas da UE. O consentimento deve ser obtido antes de qualquer leitura ou gravação não essencial do SDK no dispositivo, o que significa na primeira inicialização e antes da chamada de análises, não depois.

Prazo de conservação

Registros de processamento durante a vida do aplicativo mais evidências de períodos passados. Registros de consentimento enquanto o processamento continuar, uma vez que o ônus de provar o consentimento recai sobre o controlador.

Em caso de incumprimento

Até €10 milhões ou 2% do faturamento por falhar em designar um representante, e até €20 milhões ou 4% por processamento ilegal. Multas nacionais de ePrivacy são separadas e são impostas por algumas autoridades sem necessidade de provar dano ao RGPD. A remoção da loja é o risco comercial mais rápido: Apple e Google agem sobre discrepâncias nas declarações de privacidade em poucos dias.

Quem fiscaliza

Qualquer autoridade supervisora da UE onde os usuários estão localizados, uma vez que não há uma única parada para controladores fora da União. A fiscalização nacional de ePrivacy está a cargo da autoridade de proteção de dados na maioria dos Estados-Membros e do regulador de telecomunicações em alguns.

Onde está a fronteira

Aplicativos para crianças trazem regras mais rigorosas: o perfilamento para publicidade é efetivamente proibido sob o DSA para menores em plataformas, e o consentimento de uma criança abaixo da idade nacional de consentimento digital — entre 13 e 16 anos, dependendo do Estado-Membro — requer autorização dos pais. Aplicativos que hospedam conteúdo gerado pelo usuário também estão sob o DSA e precisam de um representante legal do Artigo 13, que é uma nomeação separada do Artigo 27.

Perguntas frequentes

Nós só usamos Firebase e AdMob — ainda precisamos de um representante?

Sim. Esses SDKs processam dados pessoais de usuários da UE em seu nome e para seus próprios propósitos, e você está direcionando a UE ao publicar em lojas da UE.

A App Store é nosso controlador de dados?

Não. A loja é um canal de distribuição e um controlador para seu próprio processamento. Você permanece como o controlador do que seu aplicativo coleta.

Um editor baseado na UE resolve isso?

Se uma empresa estabelecida na União é o controlador real para o processamento, o Artigo 27 não se aplica a ela. Um editor nominal que não determina propósitos e meios não sobreviverá à análise.