Datos de usuario

Este artículo se modificará próximamente

Este artículo se actualizará para reflejar los cambios que se han anunciado recientemente.

Vamos a añadir una nueva política de aplicaciones de salud en "Contenido y servicios relacionados con la salud" con el fin de añadir nuevos requisitos para las aplicaciones pertenecientes a la categoría de aplicaciones de salud. También vamos a actualizar la política para reflejar las directrices actuales sobre salud pública. (en vigor a partir del 31 de mayo del 2024)

Si quieres acceder a la vista previa actualizada del artículo "Datos de usuario", visita esta página.

Debes ser transparente en lo relativo a cómo tratas los datos de los usuarios (por ejemplo, la información que proporcionan o que se recoge sobre ellos, incluida la información de los dispositivos). Para ello, debes informar sobre cómo tu aplicación accede, recoge, usa, trata y comparte los datos de los usuarios, así como limitar el uso de los datos a los fines declarados que cumplan las políticas. Ten en cuenta que cualquier tratamiento de los datos personales y sensibles de los usuarios también está sujeto a los requisitos adicionales descritos en la sección sobre datos de usuario personales y sensibles, que se incluye más abajo. Estos requisitos de Google Play se suman a los requisitos prescritos en la legislación aplicable sobre privacidad y protección de datos.

Si incluyes en tu aplicación código de terceros (por ejemplo, un SDK), debes asegurarte de que dicho código, así como las prácticas de los terceros en cuestión que estén relacionadas con los datos de usuario de tu aplicación, cumplan las Políticas del Programa para Desarrolladores de Google Play, que incluyen requisitos de uso y de divulgación. Por ejemplo, debes asegurarte de que tus proveedores de SDKs no vendan datos de usuario personales y sensibles procedentes de tu aplicación. Este requisito se aplica con independencia de si los datos de usuario se transfieren después de enviarlos a un servidor o mediante la inserción de código de terceros en tu aplicación.

OCULTAR TODO MOSTRAR TODO

 

Datos de usuario personales y sensibles Se consideran datos de usuario sensibles y personales, entre otros, la información personal identificable, los datos de pago y financieros, la información de autenticación, la agenda de contactos, los contactos, la ubicación del dispositivo, los datos relacionados con los SMS y las llamadas, los datos de salud, los datos de Health Connect, el inventario del resto de las aplicaciones del dispositivo, el micrófono, la cámara y otros datos sensibles de uso o de los dispositivos. Si tu aplicación trata datos personales y sensibles de los usuarios, debes hacer lo siguiente: Recoger, usar, compartir y acceder a los datos de usuario personales y sensibles que se adquieran a través de la aplicación únicamente para proporcionar las funciones y el servicio de la aplicación, así como para fines que los usuarios puedan deducir de forma razonable y que cumplan las políticas: Las aplicaciones que amplíen el uso de los datos de usuario personales y sensibles para publicar anuncios deben cumplir la política de anuncios de Google Play. También puedes transferir los datos que necesiten los proveedores de servicios o que se requieran por motivos legales, como cumplir una solicitud gubernamental válida o la legislación aplicable, o como parte de una fusión o adquisición siempre que hayas informado a los usuarios de forma legalmente pertinente. Tratar todos los datos de usuario personales y sensibles de forma segura, y transmitirlos usando un sistema moderno de cifrado, como el protocolo HTTPS. Usar una solicitud de permiso de ejecución siempre que sea posible antes de acceder a los datos que tienes disponibles mediante los permisos de Android. No vender datos de usuario personales ni sensibles. "Venta" hace referencia al intercambio o la transferencia de datos de usuario personales y sensibles a un tercero a cambio de una contraprestación económica. Las transferencias de datos de usuario personales y sensibles iniciadas por el usuario (por ejemplo, cuando el usuario usa una función de la aplicación para transferir un archivo a un tercero o cuando el usuario decide utilizar una aplicación para fines específicos relacionados con estudios de investigación) no se consideran ventas. Requisito de aviso destacado y consentimiento En los casos en que tu aplicación recoja, use, comparta o acceda a datos de usuario personales y sensibles de un modo que el usuario del producto o función en cuestión no pueda deducir de forma razonable (por ejemplo, si se recogen datos en segundo plano cuando el usuario no está interactuando con tu aplicación), debes cumplir los siguientes requisitos: Aviso destacado: debes incluir un aviso en la aplicación en el que se indique cómo recoges, usas, compartes y accedes a los datos. El aviso de la aplicación: Debe incluirse dentro de la aplicación y no solo en la descripción o en un sitio web. Debe mostrarse durante el uso normal de la aplicación y no debe requerir que los usuarios accedan a un menú o a los ajustes. Debe describir los datos a los que accedes y que recoges. Debe explicar cómo se usarán y se compartirán los datos. No se puede incluir únicamente en una política de privacidad o en los términos del servicio. No se puede incluir con otros avisos que no estén relacionados con la recogida de datos personales y sensibles de los usuarios. Consentimiento y permisos de ejecución: las solicitudes de consentimiento del usuario en la aplicación y las solicitudes de permiso de ejecución deben ir inmediatamente precedidas de un aviso en la aplicación que cumpla los requisitos de esta política. La solicitud de consentimiento de la aplicación: Debe presentar la ventana de consentimiento de forma clara e inequívoca. Debe solicitar una acción de confirmación del usuario (por ejemplo, tocar la opción de aceptar o marcar una casilla). No debe interpretar las acciones para salir del aviso (por ejemplo, tocar otra parte de la pantalla o pulsar el botón para volver o el botón de inicio) como un consentimiento. No debe usar mensajes que se cierren automáticamente o que caduquen para obtener el consentimiento del usuario. Debe ser aceptada por el usuario antes de que tu aplicación pueda empezar a recoger o acceder a datos de usuario personales y sensibles. Las aplicaciones que dependen de otros fundamentos jurídicos para tratar los datos de usuario personales y sensibles sin consentimiento (como un interés legítimo de conformidad con el RGPD de la UE) deben cumplir todos los requisitos legales aplicables y proporcionar los avisos adecuados a los usuarios, incluidos los avisos en la aplicación requeridos en virtud de esta política. Para cumplir los requisitos de la política, se recomienda tomar como modelo el siguiente formato de ejemplo de aviso destacado (cuando sea necesario): "[Esta aplicación] recoge/transmite/sincroniza/almacena [tipo de datos] para habilitar ['función'] [en qué circunstancias]". Ejemplo: "Fitness Funds recoge datos de ubicación para habilitar la función de monitorización de tu actividad física, aunque la aplicación esté cerrada o no se esté usando. Los datos también se usan para mostrar anuncios".  Ejemplo: "CallBuddy recoge datos de registros de llamadas para habilitar la función de organización de los contactos, aunque la aplicación no se esté usando". Si tu aplicación incluye código de terceros (por ejemplo, un SDK) que está diseñado para recoger datos de usuario personales y sensibles de forma predeterminada, debes, en el plazo de 2 semanas desde la fecha en que recibas una solicitud por parte de Google Play (o, si la solicitud de Google Play establece un periodo mayor, dentro de ese periodo), proporcionar pruebas suficientes que demuestren que tu aplicación cumple los requisitos de aviso destacado y consentimiento de esta política, incluidos los relacionados con la forma de recoger, usar, compartir o acceder a los datos mediante el código de terceros. Ejemplos de infracciones habituales Una aplicación que recoja la ubicación del dispositivo, pero que no incluya un aviso destacado para explicar qué función usa estos datos y/o informe sobre el uso de la aplicación en segundo plano. Una aplicación que incluya un permiso de ejecución para solicitar acceso a los datos antes de mostrar el aviso destacado donde se especifica para qué se usan dichos datos. Una aplicación que acceda al inventario de aplicaciones instaladas de un usuario y no trate estos datos como información personal o sensible sujeta a los requisitos de la Política de Privacidad, tratamiento de datos y visibilidad de los avisos de divulgación y consentimiento que se mencionan más arriba. Una aplicación que acceda a los datos del teléfono o la agenda de contactos de un usuario y no los trate como información sensible o personal sujeta a los requisitos de la Política de Privacidad, tratamiento de datos y aviso destacado y consentimiento que se mencionan más arriba. Una aplicación que grabe la pantalla del usuario y no trate esta información como datos personales o sensibles sujetos a esta política. Una aplicación que recoja la ubicación del dispositivo y no cumpla con la obligación de explicar de forma exhaustiva su uso y obtener el consentimiento de acuerdo con los requisitos anteriores. Una aplicación que use permisos restringidos en segundo plano, incluyendo si los fines son de seguimiento, investigación o marketing, y no cumpla con la obligación de explicar de forma exhaustiva su uso y obtener el consentimiento de acuerdo con los requisitos anteriores.  Una aplicación con un SDK que recoja datos de usuario personales y sensibles y no los trate de conformidad con esta Política de Datos de Usuario ni con los requisitos de acceso, tratamiento de datos (incluida la venta no permitida) y aviso destacado y consentimiento. Consulta este artículo para obtener más información sobre el requisito de aviso destacado y consentimiento. Restricciones de acceso a datos personales y sensibles Además de los requisitos anteriores, esta tabla describe los requisitos para actividades específicas. Actividad  Requisito Tu aplicación gestiona datos de pago, información financiera o números de identificación emitidos por el gobierno de un país. Tu aplicación no debe revelar públicamente datos de usuario personales ni sensibles que contengan información financiera, datos de pago o números de documentos de identificación oficial. Tu aplicación gestiona agendas telefónicas o información de contacto que no son públicos. No se permite la divulgación o la publicación de información de los contactos privados de los usuarios sin autorización. Tu aplicación incluye funciones de seguridad, como funciones antivirus o de eliminación de software malicioso. Tu aplicación debe publicar una política de privacidad y avisos en la aplicación para explicar qué datos de usuario recoge y transmite, cómo se utilizan y con quién se comparten. Tu aplicación va dirigida a niños. Tu aplicación no debe incluir ningún SDK que no esté aprobado para su uso en servicios dirigidos a niños. Consulta el texto completo de la política y los requisitos en el artículo Crear aplicaciones para niños y familias.  Tu aplicación recoge o vincula identificadores de dispositivos persistentes (por ejemplo, IMEI, IMSI, número de serie de SIM, etc.). Los identificadores de dispositivos persistentes no deben vincularse a otros datos de usuario personales ni sensibles o identificadores de dispositivo que se puedan cambiar, salvo en los siguientes casos:  Telefonía asociada a una SIM (por ejemplo, llamadas por Wi‑Fi vinculadas a una cuenta de operador). Aplicaciones de gestión de dispositivos empresariales que usen el modo de propietario del dispositivo. Estos usos deben indicarse a los usuarios de forma destacada tal como se especifica en la Política de Datos de Usuario. Consulta este artículo para obtener más información sobre los identificadores únicos alternativos. Lee la Política de Anuncios para consultar más directrices sobre el ID de publicidad de Android.

 

Sección Seguridad de los datos Todos los desarrolladores deben incluir en todas las aplicaciones una sección "Seguridad de los datos" clara y precisa, donde se explique cómo se recogen, se usan y se comparten los datos de usuario. El desarrollador es responsable de la precisión de la etiqueta y de que esta información esté actualizada. Si procede, esta sección debe estar en consonancia con los avisos incluidos en la política de privacidad de la aplicación.  Consulta este artículo para ver más información sobre cómo completar la sección Seguridad de los datos. Política de privacidad Todas las aplicaciones deben publicar un enlace a su política de privacidad en el campo correspondiente de Play Console, así como un enlace a la política de privacidad o el texto en sí dentro de la propia aplicación. La política de privacidad y los avisos que aparezcan en la aplicación deben explicar de forma exhaustiva cómo tu aplicación accede, recoge, usa y comparte los datos de usuario, sin limitarse a los datos incluidos en la sección Seguridad de los datos. Esta información debe incluir lo siguiente: Información del desarrollador y un punto de contacto para informarse sobre temas de privacidad o un mecanismo para enviar consultas. Los tipos de datos de usuario personales y sensibles a los que tu aplicación accede, recoge, utiliza y comparte, y los terceros con los que se comparten datos de usuario personales o sensibles. Los procedimientos seguros que se utilizan para tratar los datos de usuario personales y sensibles. La política de conservación y eliminación de datos que aplica el desarrollador. Un nombre que indique claramente que se trata de una política de privacidad (por ejemplo, utilizando la expresión "política de privacidad" en el título). La entidad (por ejemplo, el desarrollador o la empresa) especificada en la ficha de Google Play Store de la aplicación debe figurar en la política de privacidad, o la política de privacidad debe nombrar la aplicación. Las aplicaciones que no accedan a datos de usuario personales ni sensibles también deben enviar una política de privacidad.  Tu política de privacidad debe estar disponible en una URL activa, accesible públicamente y sin geoperimetraje (no se admite el formato PDF), y no debe ser modificable. Requisito de eliminación de cuentas Si tu aplicación permite a los usuarios crear una cuenta desde dentro de la aplicación, también debe permitirles solicitar la eliminación de su cuenta. Los usuarios deben disponer de una opción claramente visible para iniciar el proceso de eliminación de la cuenta desde dentro y fuera de la aplicación (por ejemplo, en tu sitio web). Debes introducir un enlace a este recurso web en el campo de URL del formulario correspondiente de Play Console. Cuando elimines una cuenta de la aplicación a petición de un usuario, también deberás eliminar los datos de usuario asociados a esa cuenta de la aplicación. La desactivación temporal, la inhabilitación o la "congelación" de la cuenta de la aplicación no equivale a eliminar la cuenta. Si necesitas conservar algunos datos por motivos legítimos (como razones relacionadas con la seguridad, la prevención de fraudes o el cumplimiento normativo), debes informar con claridad a los usuarios sobre tus prácticas de conservación de datos (por ejemplo, en tu política de privacidad). Para obtener más información sobre los requisitos de eliminación de cuentas, consulta este artículo del Centro de Ayuda. Para obtener información adicional sobre cómo actualizar tu formulario de seguridad de los datos, consulta este artículo.

 

Uso del ID definido en las aplicaciones Android introducirá un nuevo ID para cubrir casos de uso esenciales, como analíticas y prevención de fraudes. A continuación se indican los términos de uso de este ID. Uso: el ID definido en las aplicaciones no se debe usar para personalizar ni medir anuncios.  Asociación a información personal identificable u otros identificadores: el ID definido en las aplicaciones no debe estar conectado a ningún identificador de Android (por ejemplo, AAID), ni a otros datos personales y sensibles, con fines publicitarios. Transparencia y consentimiento: los usuarios deben estar informados sobre la recogida del identificador definido en las aplicaciones y su uso, así como sobre el cumplimiento de estos términos, a través de un aviso de privacidad adecuado de carácter legal que incluya tu política de privacidad. Debes obtener un consentimiento con validez legal de los usuarios cuando sea necesario. Para obtener más información sobre nuestros estándares de privacidad, consulta nuestra Política de Datos de Usuario.

 

EU-U.S. Privacy Shield (Escudo de la privacidad UE-EE. UU.) y Swiss-U.S. Privacy Shield (Escudo de la privacidad Suiza-EE. UU.) Si utilizas o procesas información personal facilitada por Google, o accedes a ella, y esta información identifica de forma directa o indirecta a un individuo y tiene su origen en la Unión Europea o Suiza (en adelante, "Información Personal de la UE"), deberás: Cumplir todas las normativas, leyes, directivas y reglas aplicables sobre privacidad, seguridad y protección de datos. Utilizar, procesar o acceder a la Información Personal de la UE únicamente con los fines que se incluyen en el consentimiento otorgado por el usuario en cuestión. Implementar las medidas técnicas y de organización adecuadas para evitar la pérdida, el uso inadecuado, la divulgación, la alteración o la destrucción de la Información Personal de la UE, así como el acceso ilegítimo o no autorizado a dicha información. Proporcionar el mismo nivel de protección que se exige en los principios del marco Privacy Shield (Escudo de la privacidad). Debes comprobar periódicamente que se cumplen estas condiciones. Si en algún momento no puedes cumplirlas (o si existe un riesgo significativo de que no puedas hacerlo en el futuro), debes avisarnos inmediatamente enviando un correo a la dirección data‑protection‑[e-mail]. Además, debes dejar de procesar la Información Personal de la UE o tomar las medidas apropiadas y razonables para recuperar un nivel de protección adecuado de inmediato. Desde el 16 de julio del 2020, Google ya no se basa en el marco EU-U.S. Privacy Shield (Escudo de la privacidad UE-EE. UU.) para transferir datos personales procedentes del Espacio Económico Europeo o del Reino Unido a Estados Unidos. Consulta más información.  Puedes obtener más información en la sección 9 de la atribución basada en datos.