Politique de confidentialité de votre app : ce qu'exigent Apple et Google, avec un modèle

Apple et Google ne publient aucune app sans politique de confidentialité. Voici ce qu'elle doit contenir, où la placer, et un modèle pour votre app.

Les deux stores attendent le même socle : ce que votre app collecte, pourquoi, qui d'autre le reçoit, combien de temps vous le conservez et comment les utilisateurs peuvent le faire supprimer. Rédigez votre politique pour cette app, pas pour votre site web, publiez-la à une adresse publique, et placez un lien vers elle sur la fiche du store et dans l'app elle-même. Si vous créez votre app avec GoodBarber, le Privacy Center vous fournit un modèle complet à remplir.

Oui, même une app qui ne collecte rien.

• Apple l'exige de toutes les apps. La directive 5.1.1 des App Store Review Guidelines impose un lien dans App Store Connect et un autre dans l'app.
• Google Play est explicite : selon ses règles relatives aux données utilisateur, les apps qui n'accèdent à aucune donnée personnelle ou sensible doivent quand même fournir une politique de confidentialité.
• Dans l'Union européenne, le RGPD ajoute sa propre liste dès que votre app collecte des données personnelles, ce que font la plupart des apps : une adresse e-mail à l'inscription, un jeton d'appareil pour les notifications push, une position pour une carte. L'article 13 du RGPD précise ce que vous devez dire aux personnes au moment où vous collectez ces données.

Google veut aussi que la politique contienne vos coordonnées de développeur, un contact pour les questions de confidentialité et vos procédures de traitement sécurisé des données. Et chez Apple, une règle accompagne la politique : si les utilisateurs peuvent créer un compte dans votre app, ils doivent pouvoir le supprimer depuis l'app (directive 5.1.1 (v)). Google Play applique la même règle et demande en plus une page web, dont le lien figure dans la Play Console, où les utilisateurs peuvent demander la suppression en dehors de l'app.

Copiez cette structure et remplacez tout ce qui figure entre crochets. Elle suit l'ordre qu'attendent les stores et le RGPD, et couvre l'essentiel. Si vous créez votre app avec GoodBarber, partez plutôt du modèle du Privacy Center, plus complet. Dans les deux cas, c'est un point de départ, pas un conseil juridique : si votre app traite des données de santé ou s'adresse à des enfants, faites vérifier votre texte.

1. Titre et champ d'application. « Politique de confidentialité de [nom de l'app]. Cette politique s'applique à l'app [nom de l'app] pour iPhone et Android, publiée par [raison sociale], [adresse]. »
2. Ce que nous collectons, et quand. Une ligne par type de données, par exemple : « vos nom et adresse e-mail, quand vous créez un compte ; un jeton d'appareil, pour vous envoyer des notifications push ; votre position, uniquement quand vous ouvrez la carte et l'autorisez ; des statistiques d'utilisation, pour savoir quelles sections sont lues ; les messages et les photos que vous envoyez via nos formulaires. »
3. Pourquoi nous les utilisons. « Nous utilisons votre adresse e-mail pour gérer votre compte, et votre position pour vous montrer [les lieux] proches de vous. » Dans l'Union européenne, ajoutez la base légale de chaque usage, le plus souvent le contrat, le consentement ou l'intérêt légitime.
4. Qui les reçoit. « Notre hébergeur [nom, pays], notre prestataire de mesure d'audience [nom], notre partenaire publicitaire [nom]. Ils protègent vos données au même niveau que cette politique. » Apple vous demande de confirmer cette dernière phrase. Si un prestataire stocke des données hors de l'Union européenne, précisez où, et avec quelle garantie : « [Prestataire] stocke les données en [pays], dans le cadre des clauses contractuelles types de la Commission européenne. » Les achats effectués via l'App Store ou Google Play sont traités par Apple ou Google.
5. Combien de temps nous les conservons. « Données du compte : tant que votre compte est ouvert, puis [durée]. Statistiques : [durée]. »
6. Comment nous les protégeons. « Nous protégeons vos données par [le chiffrement en transit, un accès restreint, les mesures de sécurité de notre hébergeur]. » Google Play exige cette partie.
7. Vos droits. « Vous pouvez accéder à vos données, les rectifier ou les supprimer, en limiter le traitement ou vous y opposer, les recevoir dans un format réutilisable, et retirer votre consentement à tout moment. Supprimez votre compte dans [chemin du menu], ou écrivez à [e-mail]. Vous pouvez aussi adresser une réclamation à [votre autorité de protection des données]. »
8. Contact. « [e-mail] » et, si vous en avez un, le contact de votre délégué à la protection des données (DPO).
9. Modifications. « Dernière mise à jour : [date]. Nous vous préviendrons dans l'app si cette politique change. »

• Une politique écrite pour votre site web. Elle doit décrire l'app. Google vérifie qu'elle nomme l'app ou votre entreprise, et les deux stores vérifient qu'elle couvre les données que l'app collecte.
• Une page qui n'est pas publique. Derrière une connexion, supprimée lors d'une refonte ou envoyée en PDF : Google Play veut une page web active et publique.
• Aucun lien dans l'app. Les deux stores en exigent un. Une entrée de menu ou l'écran des réglages suffit.
• Une politique qui en dit moins que ce que fait l'app. Si votre app utilise un outil d'analyse ou une régie publicitaire, la politique doit le dire, tout comme vos réponses au formulaire App Privacy d'Apple et au formulaire Data safety de Google. Marc détaille ces deux formulaires pas à pas dans notre checklist de confidentialité pour application mobile.
• Aucun moyen de supprimer son compte. Si les utilisateurs peuvent s'inscrire, les deux stores exigent qu'ils puissent supprimer leur compte depuis l'app, et Google Play veut aussi une page web pour les demandes de suppression.

Le Privacy Center vous fournit un modèle complet de politique de confidentialité, plus détaillé que celui ci-dessus. Remplacez les passages en bleu par vos propres informations, nommez votre app et ajoutez un e-mail de contact.

Une fois enregistrée, la politique a sa propre page publique sur la version web de votre app (PWA). C'est cette adresse que vous donnez à Apple et à Google. Si la version web n'est pas publiée, le back office vous fournit une adresse HTML dans Paramètres > Autres paramètres > Mes fichiers. Ajoutez ensuite un lien vers cette page dans le menu de votre app.

Deux précisions tirées de notre centre d'aide :

• Sur iOS, si votre app utilise les commentaires, la section Soumission, les achats intégrés ou la connexion, la politique doit être définie avant que vous puissiez générer l'app, comme l'explique notre aide sur l'App Store.
• Si vous avez déjà votre propre politique, vous pouvez garder son adresse. Reportez-y les passages du modèle qui décrivent les fonctions de votre app : Google Play les vérifie, comme l'explique notre aide sur Google Play.

Si GoodBarber Takes Care publie votre app pour vous, indiquez l'adresse dans le brief de votre review.

Une politique de confidentialité ne s'écrit pas une fois pour toutes. Chaque fois que vous ajoutez une fonction qui touche aux données personnelles, comme un formulaire d'inscription, une carte, une régie publicitaire ou un nouvel outil d'analyse, mettez d'abord la politique à jour, puis vos réponses App Privacy et Data safety, avant de soumettre la mise à jour. Apple conserve l'adresse d'une version à l'autre et la vérifie à chaque mise à jour ; vous ne pouvez la modifier que lorsqu'une nouvelle version est en préparation. Google Play examine aussi les apps déjà en ligne, sans nouvelle soumission, et peut retirer une app qui enfreint ses règles, comme l'explique sa page sur l'application de ses règles. Gardez la page en ligne et à jour en permanence, à la même adresse : changez le texte, pas le lien.

Mon app a-t-elle besoin d'une politique de confidentialité si elle ne collecte aucune donnée ?

Oui. Apple en exige une pour toutes les apps, et Google Play précise que les apps qui n'accèdent à aucune donnée personnelle ou sensible doivent quand même en fournir une. Dans ce cas, la politique le dit en termes simples.

Puis-je utiliser la politique de confidentialité de mon site web ?

Oui, si elle couvre l'app : elle nomme l'app, décrit les données que l'app collecte et se trouve à une adresse publique. Sinon, publiez une page distincte pour l'app.

Ma politique de confidentialité peut-elle être un PDF ?

Pas pour Google Play, qui demande une page web active et publique et exclut les PDF. Une page web convient aussi à Apple.

Où la politique de confidentialité doit-elle apparaître dans l'app ?

Là où les utilisateurs la trouvent facilement, par exemple dans le menu ou sur l'écran des réglages. Google Play accepte un lien ou le texte complet dans l'app.

Que se passe-t-il si le lien de la politique de confidentialité ne fonctionne plus ?

Les stores le vérifient lors de l'examen : un lien cassé peut donc bloquer votre prochaine mise à jour, et Google Play examine aussi les apps déjà en ligne, sans nouvelle soumission. Gardez la page en ligne et à jour en permanence, et conservez son adresse quand vous modifiez le texte.

Un générateur de politique de confidentialité suffit-il ?

Il vous donne la structure. Ce que vérifient les stores, c'est que le texte correspond à ce que fait réellement votre app : relisez-le en le comparant aux fonctions de votre app avant de la soumettre.

Le Privacy Center de GoodBarber vous fournit un modèle complet de politique de confidentialité et publie votre politique sur la version web de votre app, avec une adresse prête à coller dans App Store Connect et la Play Console. Créez votre app avec l'essai gratuit de 30 jours, sans carte bancaire.