Apple App Store에 프라이버시 상세 정보 제출
Apple은 사용자가 앱을 다운로드하기 전에 앱의 개인정보 보호 방침을 이해할 수 있도록 지원하고자 합니다. 이를 위해 앱 스토어의 모든 앱 제품 페이지는 개인정보 취급 개요표(Privacy Nutirion Labels)에서 앱이 수집하는 데이터 유형과 해당 데이터가 개별 사용자에 연결되는지 또는 사용자를 트래킹하는지 여부를 명시해야 합니다.
또한 App Store Connect에 앱 제출시, 개발자들은 Apple의 앱 프라이버시 준수 관련 질문에 답하여야 합니다. 이 질문에는 Adjust와 같이 SDK 코드가 앱에 연동된 서드파티 파트너에 대한 내용 또한 포함됩니다.
2024년 5월 1일부터는 앱에서 흔히 사용되는 서드파티 SDK를 사용하는 경우, 앱의 제출 승인 시 다음의 추가 세부 정보를 Apple에 제출해야 합니다.
- 명시된 각 API에 대한 사용 이유
- 개인정보 보호 매니페스트
- SDK가 바이너리 디펜던시로 추가된 경우 유효한 서명
Adjust의 SDK는 Apple의 서드파티 SDK 목록에 포함되지 않았으나, Adjust의 SDK는 Apple이 명시한 API 중 일부에 액세스하여 별도의 명시가 필요한 데이터 포인트를 수집합니다. Adjust SDK의 v4.38.0 이상 버전은 명시된 모든 요건을 포함하고 있습니다. 본 가이드는Adjust SDK와 관련한 Apple의 필수 요건을 이해하는 데 도움이 될 것입니다.
앱 스토어 커넥트에 앱을 제출 시 다음을 수행해야 합니다.
- 앱이 사용하는 모든 서드파티 SDK가 개인정보 보호 매니페스트 파일을 포함하도록 하거나, 서드파티 SDK의 데이터 사용에 대한 세부 정보를 포함하도록 앱의 개인정보 보호 매니페스트를 업데이트하시기 바랍니다.
- 앱이 수집하는 민감한 데이터 포인트를 명시합니다(이를 기반으로 개인정보 취급 개요표 적용).
- 앱에서 특정 API를 사용하는 경우 해당 API에 액세스하는 이유를 명시합니다.
- 모든 트래킹 도메인을 나열합니다.
- 사용하는 모든 서드파티 SDK가 서명된 SDK인지 확인합니다.
개인정보 보호 매니페스트란 무엇인가요?
iOS 17에는 앱 스토어에 앱의 개인정보 보호 필수 요건을 알리는 메커니즘인 개인정보 보호 매니페스트(Privacy Manifest)가 도입되었습니다. 여기에는 다음의 내용이 포함됩니다.
- 데이터가 트래킹 목적으로 사용되는지 여부에 관한 정보.
- 트래킹 목적으로 사용되는 도메인.
- 명시된 민감한 API를 사용하는 경우, 각 API에 대한 필수 사유.
- 앱이 사용하는 개인정보 취급 개요표의 목록.
개인정보 보호 매니페스트는 앱 수준과 SDK수준(서드파티 SDK의 개별 파일)이라는 두 가지 수준으로 나뉩니다. 서드파티 SDK에 개인정보 보호 매니페스트 파일이 포함되어 있지 않은 경우, 앱 개발자는 서드파티 SDK의 세부 정보를 포함하도록 앱 수준의 개인정보 보호 매니페스트를 업데이트해야 합니다.
Adjust SDK는 위에 나열된 세부 정보를 포함하는 개인정보 보호 매니페스트 파일을 포함하고 있습니다. Adjust SDK의 개인정보 보호 매니페스트는 앱의 매니페스트와 함께 나열되어, 앱의 개인정보 보호 필수 요건에 대한 전체 개요를 제공합니다. 개발자가 빌드를 제출하면 앱 스토어는 합쳐진 매니페스트를 읽습니다. 단, Apple의 앱 제출 인터페이스에 개인정보 취급 개요표도 추가해야 합니다. 개인정보 보호 매니페스트에 의해 생성된 리포트는 본 태스크의 효율성을 높여줄 것입니다.
시작에 앞서
시작하기 전에 알아야 할 사항은 다음과 같습니다.
- Adjust SDK v4.38.0 이상을 연동하시기 바랍니다. 본 버전은 필수 요건인 개인정보 보호 매니페스트 파일을 포함하고 있습니다.
- 사용자는 최신의 정확한 정보만을 제공할 책임이 있습니다.
- Adjust SDK뿐만 아니라 고객사와 서드파티에 의한 가능한 모든 데이터 수집과 사용을 규명해야 합니다. 여기에 설명된 상황 외에도 제한적인 상황에서만 수집되고 사용되는 데이터가 있을 수 있습니다.
App Store Connect에 대한 답변은 App Store 심사 지침과 준거법을 모두 준수해야 하며,
1. Adjust SDK에 의한 데이터 수집
Adjust의 SDK에서는 Adjust가 전송하는 데이터와 해당 데이터의 사용 방법을 설정할 수 있습니다. 앱에서 Adjust SDK를 설정하고 도입된 방식에 따라 Adjust가 액세스하는 앱 데이터를 결정할 수 있습니다. SDK는 기본 설정에 따라 일부 데이터를 기본적으로 수집하지만, 언제든지 해당 데이터를 Adjust에 전송하거나 Apple의 명시 요건에 해당하는 카테고리의 추가 세부 정보를 전송하는 것을 차단 또는 제한할 수 있습니다.
예를 들어, Adjust SDK는 기본 설정에 따라 "연락처" 정보를 수집하지 않습니다. 그러나 앱이 email addresses 를 수집하고 커스텀 파라미터를 통해 해당 데이터를 Adjust에 전송하는 경우, 이는 Adjust가 앱에 대한 "연락처"를 수집한다는 것을 의미합니다.
다음의 표는 Adjust가 기본값 설정에 따라 수집하는 데이터를 보여줍니다. 이를 Adjust SDK의 현재 설정 및 기존 데이터 수집 관행과 반드시 비교해보시기 바랍니다.
| 데이터 유형 | Adjust의 데이터 수집 여부 |
|---|---|
연락처 정보
| 아니요 |
건강 및 피트니스
| 아니요 |
재무 정보
| 아니요 |
위치 정보
| 아니요 |
| 민감한 정보 | 아니요 |
| 연락처 | 아니요 |
사용자 콘텐츠
| 아니요 |
| 방문 기록 | 아니요 |
| 히스토리 검색 | 아니요 |
식별자
| 네, Adjust는 Apple의 가이드라인을 준수하며 측정 목적으로 고객사를 대신하여 기기 ID 데이터를 수집합니다. |
구매 항목
| 선택사항 - Adjust는 사용자의 설정에 따라 사용자를 대신하여 해당 정보를 수집할 수 있습니다. |
사용 데이터
|
|
진단
| 아니요 |
기타 데이터
| 네, Adjust는 사용자를 대신하여 해당 데이터를 수집합니다. 예: OS 버전이나 Adjust SDK 버전과 같은 기기 메타데이터. |
1.1 Adjust가 사용하는 데이터
다음의 표는 Adjust가 데이터를 사용하는 목적을 보여줍니다.
| 목적 | Adjust의 데이터 사용 여부 |
|---|---|
| 서드파티 광고 | 선택 사항 - 연동을 설정한 경우, Adjust는 앱에 서드파티 광고를 게시하는 주체와 데이터를 공유할 수 있습니다. Adjust는 대부분의 클라이언트가 이 설정을 구성할 것으로 예상하기 때문에 이 값은 Adjust의 프라이버시 매니페스트에서 "Yes"로 설정되어 있습니다. |
| 개발자의 광고 | 선택사항 - 사용자가 연동을 설정한 경우, Adjust는 앱에 퍼스트파티 광고를 게시하는 퍼스트파티 또는 사용자와 데이터를 공유할 수 있습니다. |
| 애널리틱스 | 네 |
| 제품 맞춤화 | 선택 사항 - 사용자가 관련 데이터 내보내기를 선택한 경우, Adjust는 제품 맞춤화에 사용되는 데이터를 사용자와 공유할 수 있습니다. |
| 앱 기능 | 아니요 |
| 기타 목적 | 아니요 |
1.2 사용자에게 연결된 데이터
Adjust는 Apple의 정책을 준수하는 방식으로 기기 식별자를 수집하고 저장합니다. Adjust는 해시 처리된 식별자를 사용하여 애널리틱스 데이터를 구성합니다. Adjust의 일부 기능(예: 오디언스 빌더)에는 해시 처리되지 않은 IDFA의 수집과 저장이 필요합니다.
Apple의 가이드라인에서 허용하는 경우, Adjust는 수집한 데이터를 광고 ID 또는 기타 기기 식별자와 연결하는 기능을 제공할 수 있습니다. 사용자 ID나 계정 ID와 같은 고유한 사용자 식별자에 Adjust 데이터를 연결하는 것은 고객사의 관행에 따라 다르며 고객사 재량에 달려 있습니다.
2. 사용 이유를 명시해야 하는 API
Apple은 사용에 대한 정당성을 명시해야 하는 API 목록을 공유했습니다. 이러한 API를 사용하는 앱과 SDK는 개인정보 보호 매니페스트의 "필수 사유 API" 섹션에서 사용 이유를 명시해야 합니다. API는 기능과 액세스하는 데이터 및 Apple의 주제 기준에 따라 분류됩니다. Adjust SDK의 개인정보 보호 매니페스트에 명시된 Adjust SDK API는 다음과 같습니다.
3. 트래킹 도메인
Apple은 사용자가 ATT 프레임워크를 통해 동의하지 않은 경우, 명시된 모든 트래킹 도메인을 차단합니다. Adjust SDK는 요청을 하기 전에 사용자가 ATT 프레임워크를 통해 동의했는지 우선 확인합니다. 사용자가 동의한 경우, Adjust SDK는 요청을 트래킹 도메인으로 전송합니다. 사용자가 동의하지 않은 경우, Adjust SDK는 사용자의 동의가 필요한 데이터 포인트를 생략하고 별도의 도메인으로 요청을 전송합니다. Adjust가 사용하는 트래킹 도메인은 Adjust SDK의 개인정보 보호 매니페스트 파일에 명시되어 있습니다.
4. SDK 서명
Apple의 규정을 준수하려면 서드파티 SDK의 서명이 필요합니다. SDK 서명은 앱 개발자가 Adjust와 같은 서드파티 SDK가 변경되지 않고 공식적으로 검증된 버전임을 확인함으로써 신뢰성과 무결성을 보장하기 위해 사용하는 방법입니다.
Adjust SDK는 필수 서명을 포함하고 있습니다.
5. 앱 설정
최신 Adjust SDK를 사용하는 경우, 개인정보 보호 매니페스트는 기본 설정에 따라 SDK와 함께 제공됩니다.
Adjust의 개인정보 보호 매니페스트는 수정이 불가합니다. 그러나 다음 중 하나에 해당하는 경우 앱 수준 개인정보 보호 매니페스트에서 변경이 필요할 수 있습니다.
- 앱의 데이터 수집 범위가 Adjust의 기본 기능 수집 범위를 벗어나거나, Apple의 정책에 별도로 명시된 데이터 포인트를 수집하도록 Adjust SDK를 설정한 경우.
- 기타 목적으로 민감한 데이터를 다른 트래킹 도메인으로 전송하는 경우.
- 앱에서 Apple의 '필수 사유 API' 목록에 해당하는 API에 액세스하는 경우.
데이터 포인트나 기타 상세 정보를 추가했더라도 Adjust 트래킹 도메인을 앱 수준의 개인정보 보호 매니페스트 파일에 추가하지 마시기 바랍니다. 이러한 도메인은 이미 SDK 수준의 개인정보 보호매니페스트 파일에 명시되어 있습니다. 그 외 기타 트래킹 도메인을 사용하는 경우, 앱 수준의 개인정보 보호 매니페스트에서 이를 반드시 명시해야 합니다.
개인정보 보호 매니페스트 리포트를 받으셨다면, 리포트 내용이 정확한지 확인하고, 제출 인터페이스에서 올바른 개인정보 취급 개요표를 적용하시기 바랍니다.