REP27 · Software · Desenvolvedores de aplicativos
Articolo 3(2) · app mobili · App Store e Google Play.
Publicar um aplicativo que pessoas na União podem instalar é a maneira mais rápida para uma pequena empresa cair sob o Artigo 3(2) sem perceber. Raramente são as características do aplicativo que fazem isso: é o SDK de análise, o relatório de falhas e a rede de anúncios que vieram com o modelo. Os formulários da loja que você preencheu não são uma designação, e passar pela verificação de comerciante do DSA satisfaz uma lei completamente diferente. Esta página separa os três.
iOS Android SDK de análises Redes de anúncios Relatório de falhas Segmentação de push
Os desenvolvedores geralmente assumem que o gatilho é vender algo para usuários europeus. Na prática, são os identificadores que viajam para fora do aplicativo, e esses chegam com dependências em vez de decisões.
É aqui que a maior parte da confusão reside. Preencher os formulários da loja cria uma forte sensação de conformidade e não satisfaz nenhum dos requisitos do Artigo 27.
| Formulário | Vem de | Satisfaça o Artigo 27? |
|---|---|---|
| Dados de contato do comerciante da App Store | Ato de Serviços Digitais | Não |
| Endereço de desenvolvedor verificado do Google Play | Política da loja e o DSA | Não |
| Rótulos de nutrição de segurança de dados / privacidade | Política da loja | Não |
| Aviso de privacidade nomeando o representante | Artigo 13(1)(a) RGPD | Sim, com uma designação assinada por trás |
Un mandato accettato da Europe Services, SE a Praha, datato e controfirmato, che è il documento richiesto da un'autorità di controllo.
Il testo esatto dell'Articolo 13(1)(a) che nomina il rappresentante, pronto per essere incollato nell'avviso collegato da entrambe le liste del negozio.
Um usuário alemão escrevendo em alemão recebe uma resposta em alemão. A maioria dos desenvolvedores solo não pode oferecer isso, e é uma fonte comum de reclamações.
O registro das atividades de processamento mantido pelo representante e disponível para as autoridades, que quase nenhum editor de aplicativo de primeira viagem preparou.
Listar todas as dependências que enviam qualquer coisa para fora do dispositivo. Análise, anúncios, relatórios de falhas, push, atribuição. Este é seu mapa de processamento e leva uma tarde.
Un modulo, firmato entro 24 ore, valido per i soggetti interessati in tutti i 27 Stati membri.
Aggiorna l'avviso sulla privacy collegato dalle liste dell'App Store e di Google Play, e la copia all'interno dell'app se ne invii una.
Mantieni i dettagli del commerciante, le risposte sulla sicurezza dei dati e l'avviso sulla privacy coerenti. La divergenza tra di essi è ciò che attiva la revisione.
Esta é a única parte do exercício que exige trabalho real, e se paga porque a mesma lista alimenta o formulário de segurança de dados da loja, o aviso de privacidade e os registros do Artigo 30.
| Dependência | O que ele envia | Onde deve aparecer |
|---|---|---|
| Análises | Identificatore del dispositivo o dell'utente, eventi, durata della sessione. | Aviso de privacidade, formulário de segurança de dados, registros |
| Relatório de falhas | Identificatore del dispositivo, stack traces, a volte log. | Aviso de privacidade, registros |
| Publicidade | Identificador de publicidade, comportamento dentro do aplicativo | Avviso sulla privacy, modulo sulla sicurezza dei dati, flusso di consenso. |
| Atribuição | Fonte de instalação, impressão digital do dispositivo | Aviso de privacidade, registros |
| Push | Token de push, atributos de segmentação | Aviso de privacidade, registros |
| Chat de suporte | Mensagens, endereço de e-mail, dados do dispositivo | Aviso de privacidade, registros, lista de processadores |
A maioria dos desenvolvedores que escrevem para nós são de uma a cinco pessoas, e eles estão procurando uma razão para não fazer isso. Existem duas maneiras honestas de sair e nenhuma é tamanho.
Sem contas, sem análises, sem anúncios, sem relatórios de falhas, nada saindo do dispositivo. Então o Artigo 3(2) não é ativado e nenhuma designação é necessária.
Contagens agregadas irreversivelmente senza identificatore per dispositivo non sono dati personali. Quasi nessun SDK standard funziona in questo modo out of the box.
Se você desenvolver sob um editor que determina propósitos e meios, a obrigação pode recair sobre eles. Verifique o contrato em vez de assumir.
Designa. Costa meno di una settimana di spese pubblicitarie e rimuove completamente una categoria di problemi.
As lojas impõem suas próprias políticas sobre permissão de rastreamento. A União impõe um conjunto diferente de regras sobre consentimento, e passar pelo primeiro nunca satisfez o segundo.
| Camada | Quem a impõe | O que ela rege |
|---|---|---|
| Pergunta de permissão para rastreamento de aplicativos | Política da plataforma | Acesso ao identificador de publicidade do dispositivo |
| Consenso per la memorizzazione e la lettura sul dispositivo. | regras de ePrivacy, lei nacional | SDK che scrivono identificatori, prima che i dati lascino. |
| Base legal para o processamento | Artigo 6 do RGPD | O que você faz com os dados |
| Identidade do representante | Artigo 13(1)(a) do RGPD | Quem um usuário na União pode contatar |
Você está oferecendo serviços e, através dos SDKs, monitorando comportamento. Não há mais argumento sobre se a regulamentação atinge você.
I registri delle transazioni rimangono per anni per motivi contabili, il che trasforma un profilo di trattamento leggero in uno sostanziale.
Provider di pagamento, scoring delle frodi, ricevute, strumenti di supporto. Ognuno appartiene al registro delle attività di trattamento che il rappresentante detiene.
Identificação do comerciante, direitos de retirada e canais de disputa são obrigações separadas, e os campos de comerciante da loja existem por causa delas.
Nada disso muda a designação em si: é o mesmo formulário, as mesmas 24 horas e o mesmo certificado. Muda quanto a designação vale para você quando alguém finalmente escreve.
Não. Esses vêm da Lei de Serviços Digitais e identificam você como comerciante. O Artigo 27 precisa de uma designação escrita de um representante estabelecido na União, publicada em seu aviso de privacidade.
Quando ele atribui um identificador por usuário ou por dispositivo e constrói comportamento ao longo do tempo, sim. Estatísticas agregadas e irreversíveis normalmente não.
Não. Oferecer serviços não requer pagamento, e o monitoramento é um gatilho separado. Aplicativos gratuitos monetizados por anúncios são o caso mais claro de todos.
Não. O Artigo 27 não tem limite de funcionários ou faturamento. A isenção do Artigo 27(2) é para processamento genuinamente ocasional, que um aplicativo com usuários recorrentes não atende.
No aviso de privacidade acessível a partir da listagem da loja e dentro do aplicativo, sob o Artigo 13(1)(a), ao lado de sua própria identidade como controlador.
O representante é o ponto de contato e registra e encaminha tudo para você. A decisão substancial sobre cada pedido permanece com você como controlador.
Solo che stai anche offrendo beni o servizi ai sensi dell'Articolo 3(2), quindi entrambi i rami si applicano piuttosto che uno. La designazione è identica.
Se pessoas na União estão instalando e identificadores estão saindo de seus dispositivos, a análise é a mesma que para um lançamento público. Estar em beta não é uma isenção.
Verifique os SDKs antes de concluir qualquer coisa. Bibliotecas de mediação de anúncios e atribuição em um jogo gratuito são geralmente o sinal de monitoramento mais forte de todos, com ou sem contas.
Ele aparece no aviso de privacidade ao qual a listagem se vincula, que é o que o Artigo 13(1)(a) exige. Os próprios campos de comerciante da loja permanecem como estão.
Un modulo, poi una designazione firmata entro 24 ore, con il paragrafo dell'avviso sulla privacy e un certificato verificabile emesso insieme.
No. La designazione copre il titolare, quindi ogni app che pubblichi sotto la stessa entità legale è coperta da un solo mandato.
Então a questão é quem decide os propósitos do processamento. Se o editor decidir, ele é o controlador e precisa de sua própria designação; se você decidir, a obrigação é sua, independentemente de cujo nome esteja na listagem.
Relacionado: o mesmo problema para SaaS · a redação exata do aviso de privacidade
Um formulário, uma designação assinada dentro de 24 horas, o parágrafo do aviso de privacidade pronto para colar, e um certificado com um código de verificação que qualquer um pode checar.
Veja os planos