AB mağazalarındaki mobil uygulamalar ve oyunlar

• Regulation (EU) 2016/679 — GDPR, Article 27
• Directive 2002/58/EC — ePrivacy, for device storage and tracking
• Regulation (EU) 2022/2065 — DSA where user content is hosted
• Regulation (EU) 2023/2854 — Data Act, for connected products
• Directive 2011/83/EU — Consumer rights

Kimin ataması gerekir

AB dışında kurulmuş ve uygulaması AB'deki kullanıcılara sunulan, kişisel verilerini işleyen herhangi bir geliştirici veya yayıncı. Uygulamayı AB vitrinlerinde sunmak, euro cinsinden fiyatlandırmak, yerelleştirmek veya AB kullanıcılarına reklam sunmak hedefleme anlamına gelir. Kendi amaçlarını belirleyen bir SDK sağlayıcısı — bir reklam ağı, bir analiz satıcısı — kendi başına bir veri denetleyicisidir ve kendi temsilcisine ihtiyaç duyar.

Eşikler ve muafiyetler

Gelir veya indirme eşiği yoktur. Ara sıra işleme için dar Madde 27(2) muafiyeti, bir kurulum tabanına, sürekli tanımlayıcılara ve analizlere sahip bir uygulama için geçerli değildir. Ücretsiz uygulamalar tamamen kapsam içindedir: reklam yoluyla para kazanma, işleme anlamına gelir, muafiyet değil.

Etikette ne bulunmalı

Fiziksel değil. AB temsilcisinin kimliği ve iletişim bilgileri, mağaza listesinden ve uygulamanın içinde, bir kullanıcının gerçekten bulabileceği bir yerde gizlilik politikasında yer almalıdır. Apple ve Google, çalışır durumda bir gizlilik politikası URL'si ve doğru veri güvenliği açıklamaları talep eder ve beyan edilen veri toplama ile mevcut SDK'lar arasındaki tutarsızlıklar kontrol edilir.

Pazar yeri alanları

App Store ve Google Play, gerçekliği yansıtan gizlilik etiketleri veya veri güvenliği beyanları gerektirir. Google Play ayrıca, AB dışındaki geliştiricilerin DSA'ya bağlı şeffaflık kuralları uyarınca AB'deki tüketici odaklı uygulamalar için ticari bilgileri yayınlamasını talep eder ve beyanları eksik olan uygulamaları kaldırır. İzin olmadan tanımlayıcıları ileten reklam SDK'ları, bir uygulamanın mağaza gizlilik incelemesini geçememesinin en yaygın nedenidir.

Saklamanız gereken belgeler

Yazılı Madde 27 ataması. Her SDK'yı, amacını ve transferlerini listeleyen Madde 30 işleme kayıtları. Zorunlu olmayan depolama ve izleme için bir onay yönetim akışı, her kullanıcı için onay kanıtı ile. Profil oluşturma, çocuk verileri veya büyük ölçekli izleme içeren veri koruma etki değerlendirmesi. Amerika Birleşik Devletleri'ne veya başka bir yere giden veriler için standart sözleşme maddeleri ve bir transfer etki değerlendirmesi. Her bir işlemci olan SDK satıcısıyla veri işleme anlaşmaları.

Standartlar ve testler

Test anlamında geçerli değil. İncelenen şey onay akışıdır: tanımlayıcıların onaydan önce okunup okunmadığı, reddetmenin kabul etmek kadar kolay olup olmadığı ve mağaza beyanlarının ağ trafiğiyle eşleşip eşleşmediği. Düzenleyiciler ve STK'lar trafik analizleri yapar ve bu, bu kategorideki çoğu yaptırımın nasıl başladığıdır.

Dil gereklilikleri

Hedeflenen kullanıcıların dilinde gizlilik bilgileri. Almanca veya Fransızcaya yerelleştirilmiş bir uygulamanın yalnızca İngilizce onay akışı, Madde 12 uyarınca bir şeffaflık başarısızlığıdır.

Ne zamandan itibaren

Atama, uygulama AB vitrinlerinde sunulmadan önce var olmalıdır. Zorunlu olmayan herhangi bir SDK'nın cihaza okuma veya yazma işlemi için onay alınmalıdır; bu, ilk açılışta ve analiz çağrısından önce, değil sonra olmalıdır.

Belgeler ne kadar saklanır

Uygulamanın ömrü boyunca işleme kayıtları ve geçmiş dönemlere dair kanıt. İşleme devam ettiği sürece onay kayıtları, çünkü onay kanıtı yükümlülüğü veri denetleyicisindedir.

Uymazsanız ne olur

Temsilci atamamak için 10 milyon €'ya kadar veya cironun %2'sine kadar, yasadışı işleme için ise 20 milyon €'ya kadar veya cironun %4'üne kadar ceza. Ulusal ePrivacy cezaları ayrı olup, bazı otoriteler tarafından GDPR zararını kanıtlamaya gerek olmaksızın uygulanır. Mağaza kaldırma, daha hızlı ticari bir risk: Apple ve Google, gizlilik beyanı tutarsızlıklarına birkaç gün içinde müdahale eder.

Kim denetler

Kullanıcıların bulunduğu herhangi bir AB denetleyici otoritesi, çünkü Birlik dışındaki denetleyiciler için tek durak noktası yoktur. Ulusal ePrivacy uygulamaları, çoğu üye devlette veri koruma otoritesine ve birkaçında telekom düzenleyicisine aittir.

Sınır nerede

Çocuklar için uygulamalar daha sıkı kurallar getirir: DSA uyarınca reklam için profil oluşturma, platformlarda reşit olmayanlar için etkili bir şekilde yasaktır ve ulusal dijital onay yaşının altındaki bir çocuktan — üye devlete bağlı olarak 13 ile 16 arasında — onay almak ebeveyn izni gerektirir. Kullanıcı tarafından oluşturulan içeriği barındıran uygulamalar da DSA kapsamına girer ve Madde 13 uyarınca yasal bir temsilciye ihtiyaç duyar, bu da Madde 27'den ayrı bir atamadır.

Bize sorulan sorular

Sadece Firebase ve AdMob kullanıyoruz — yine de bir temsilciye ihtiyacımız var mı?

Evet. Bu SDK'lar, sizin adınıza AB kullanıcılarının kişisel verilerini işler ve kendi amaçları için kullanır ve AB vitrinlerinde yayın yaparak AB'yi hedefliyorsunuz.

App Store bizim veri denetleyicimiz mi?

Hayır. Mağaza bir dağıtım kanalıdır ve kendi işleme için bir denetleyicidir. Uygulamanızın topladığı veriler için denetleyici siz kalırsınız.

AB merkezli bir yayıncı bunu çözer mi?

Eğer Birlikte kurulmuş bir şirket, işlemenin gerçek denetleyicisi ise, Madde 27 ona uygulanmaz. Amaçları ve araçları belirlemeyen nominal bir yayıncı, incelemeyi geçemez.