Requisitos para los SDKs

Por lo general, los desarrolladores de aplicaciones usan código de terceros (por ejemplo, un SDK) para integrar la funcionalidad y los servicios clave en sus aplicaciones. Cuando incluya un SDK en su aplicación, debe asegurarse de poder mantener la seguridad de sus usuarios y aplicaciones en contra de cualquier tipo de vulnerabilidad. En esta sección, mostramos cómo algunos de nuestros requisitos de privacidad y seguridad se aplican en el contexto de los SDKs y están diseñados para ayudar a los desarrolladores a integrar de manera segura los SDKs en sus aplicaciones.

Si incluye un SDK en su aplicación, es responsable de garantizar que las prácticas y el código de terceros no provoquen una infracción de las Políticas del Programa para Desarrolladores de Google Play. Es importante estar al tanto de cómo los SDKs de su aplicación manejan los datos de los usuarios, además de asegurarse de conocer qué permisos usan, qué datos recopilan y por qué.  Recuerde que la forma de recopilar y manejar los datos de los usuarios de un SDK debe alinearse con el cumplimiento de su aplicación con las políticas relacionadas al uso de esos datos.

Para asegurarse de que su uso del SDK no infrinja los requisitos de las políticas, lea y comprenda las siguientes políticas en su totalidad. A continuación, se incluyen algunos de los requisitos existentes relacionados con los SDKs:

Política de Datos del Usuario

Debe ser transparente en la manera en que maneja los datos de los usuarios (por ejemplo, información recopilada sobre un usuario o de parte de este, incluida la información del dispositivo). Es decir, debe divulgar si su aplicación accede a los datos, así como cuándo los recopila, usa, maneja y comparte, además de limitar su uso a los fines divulgados que satisfagan las políticas.

Si incluye código de terceros (por ejemplo, un SDK) en su aplicación, debe garantizar que tanto ese código como las prácticas de los terceros en cuestión relacionadas con los datos de los usuarios de su aplicación satisfagan las Políticas del Programa para Desarrolladores de Google Play, que incluyen requisitos de uso y divulgación. Por ejemplo, debe garantizar que sus proveedores de SDKs no vendan los datos sensibles y personales de los usuarios recopilados en su aplicación. Este requisito se aplica independientemente de si los datos de los usuarios se transfieren después de enviarse a un servidor o mediante la incorporación de código de terceros en su aplicación.

Datos Sensibles y Personales del Usuario Limite el acceso, la recopilación, la utilización y el uso compartido de los datos sensibles y personales de los usuarios adquiridos desde la aplicación para fines de funcionalidad del servicio y de la aplicación que satisfagan las políticas y las expectativas razonables de los usuarios: Las aplicaciones que extiendan el uso de datos sensibles y personales de los usuarios a la publicación de anuncios deben satisfacer la Política de Anuncios de Google Play. Maneje todos los datos sensibles y personales de los usuarios de forma segura, lo que incluye transmitirlos con criptografía moderna (por ejemplo, a través de HTTPS). Cuando esté disponible, use una solicitud de permisos de tiempo de ejecución antes de acceder a los datos con permisos de Android. Venta de Datos Sensibles y Personales del Usuario No venda datos sensibles ni personales de los usuarios. "Venta" significa el intercambio o la transferencia de datos sensibles y personales de los usuarios con un tercero a cambio de una contraprestación económica. La transferencia de datos sensibles y personales de los usuarios iniciadas por estos (por ejemplo, cuando el usuario usa una función de la aplicación para transferir un archivo a un tercero o casos en los que elige usar una aplicación de estudio de investigación de propósito exclusivo) no se consideran ventas. Requisitos de Divulgación Destacada y Consentimiento En los casos en donde el acceso, la recopilación, la utilización o el uso compartido de los datos sensibles y personales de los usuarios del producto o la función en cuestión puedan no caber dentro de las expectativas razonables de esas personas, deberá cumplir con los requisitos de divulgación destacada y consentimiento de la política de Datos del Usuario. Si su aplicación integra código de terceros (por ejemplo, un SDK) diseñado para recopilar datos sensibles y personales de los usuarios de forma predeterminada, deberá, en un plazo de 2 semanas a partir de recibir la solicitud de Google Play (o bien, si la solicitud de Google Play permite más tiempo, dentro del período correspondiente), proporcionar evidencia suficiente que demuestre que su aplicación cumple con los requisitos de Divulgación Destacada y Consentimiento de esta política, incluso en relación con el acceso, la recopilación, la utilización y el uso compartido de los datos mediante código de terceros. Recuerde asegurarse de que el uso que haga del código de terceros (por ejemplo, un SDK) no provoque que su aplicación infrinja la política de Datos del Usuario. Consulte este artículo del Centro de Ayuda para obtener más información sobre el requisito de Divulgación Destacada y Consentimiento. Ejemplos de infracciones provocadas por SDKs Una aplicación con un SDK que recopila datos sensibles y personales de los usuarios, y no trata esta información como sujeta a la Política de Datos del Usuario en cuestión y a los requisitos de divulgación destacada y consentimiento, acceso y manejo de datos (incluida la venta no permitida) Una aplicación que integra un SDK que recopila datos sensibles y personales del usuario de forma predeterminada, lo cual infringe los requisitos de esta política relacionados con la divulgación destacada y el consentimiento del usuario  Una aplicación con un SDK que declara recopilar datos sensibles y personales de los usuarios solo para proporcionar una funcionalidad antifraude y antiabuso de la aplicación, pero en realidad el SDK también comparte los datos que recopila con terceros para fines de estadísticas o publicidad  Una aplicación que incluye un SDK que transmite información de los paquetes instalados de los usuarios sin cumplir los lineamientos sobre divulgación destacada ni los de la política de privacidad  También se puede consultar el artículo sobre Software No Deseado para Dispositivos Móviles Requisitos Adicionales para el Acceso a los Datos Sensibles y Personales La tabla que se incluye a continuación describe los requisitos para determinadas actividades. Actividad  Requisito Su aplicación recopila o vincula identificadores de dispositivos persistentes (p. ej., IMEI, IMSI, número de serie de SIM, etcétera). Los identificadores de dispositivos persistentes no pueden vincularse a otros datos personales y sensibles de los usuarios ni a identificadores de dispositivos que se puedan restablecer, excepto para los siguientes fines: Telefonía vinculada a una identidad de SIM (p. ej., llamadas mediante Wi-Fi vinculadas a la cuenta del proveedor) Aplicaciones de administración de dispositivos empresariales que usen el modo de propietario del dispositivo Estos usos se deben divulgar de forma destacada para los usuarios según se especifica en la Política de Datos del Usuario. Para conocer identificadores únicos alternativos, consulte este recurso. Si desea consultar otros lineamientos sobre el ID de Publicidad de Android, lea la política de Anuncios. Su aplicación se orienta a niños. Su aplicación solo puede incluir SDKs que tengan autocertificación para usarse en servicios dirigidos a niños. Consulte el Programa del SDK de Anuncios con Autocertificación para Familias para conocer los requisitos y el texto completo de la política.    Ejemplos de infracciones provocadas por SDKs Una aplicación que usa un SDK que vincula el ID de Android a la Ubicación  Una aplicación con un SDK que conecta el AAID a identificadores de dispositivos persistentes para cualquier fin publicitario o estadístico  Una aplicación que usa un SDK que conecta el AAID y la dirección de correo electrónico para fines estadísticos Sección de Seguridad de los datos Para cada aplicación, los desarrolladores deben completar una sección clara y precisa de Seguridad de los datos en la que se detalle la utilización, la recopilación y el uso compartido de datos de los usuarios. Esto incluye los datos recopilados y manejados mediante bibliotecas o SDKs de terceros que se usen en sus aplicaciones. El desarrollador es responsable de la exactitud de la etiqueta, así como de mantener esta información actualizada. Cuando corresponda, la sección debe ser coherente con las divulgaciones que se incluyan en la política de privacidad de la aplicación. Consulte este artículo del Centro de Ayuda para obtener información adicional sobre cómo completar la sección de Seguridad de los datos. Consulte la política de Datos del Usuario en su totalidad.

Política sobre Permisos y APIs que Acceden a Información Sensible

Las solicitudes de permisos y el uso de APIs que accedan a información sensible deben tener un sentido claro para los usuarios. Solo puedes solicitar permisos y usar APIs que accedan a información sensible cuando estos sean necesarios para implementar funciones o servicios existentes en tu aplicación que se promuevan en la ficha de Google Play. Se prohíbe el uso de permisos o APIs que accedan a información sensible que otorgue acceso a los datos del usuario o del dispositivo para funciones o fines no divulgados, no implementados o no autorizados. No se permite vender los datos sensibles o personales que se obtengan mediante permisos o APIs que accedan a información sensible, ni compartirlos para facilitar una venta. Consulte la política de Permisos y APIs que Acceden a Información Sensible en su totalidad. Ejemplos de infracciones provocadas por SDKs Su aplicación incluye un SDK que solicita la ubicación en segundo plano para un fin no permitido o no divulgado.  Su aplicación incluye un SDK que transmite el IMEI derivado del permiso de Android read_phone_state sin el consentimiento del usuario.

Política de Software Malicioso

Nuestra política de Software Malicioso es simple: el ecosistema de Android, incluido Google Play Store, y los dispositivos de los usuarios deben estar libres de comportamientos maliciosos (es decir, software malicioso). A través de este principio fundamental, nos esforzamos por ofrecer un ecosistema de Android seguro para nuestros usuarios y sus dispositivos Android. Software malicioso es cualquier código que pudiera poner en riesgo a un usuario, sus datos o un dispositivo. Se incluyen, entre otros, Aplicaciones Potencialmente Dañinas (APD), objetos binarios o modificaciones de framework, que a su vez se organizan en categorías como troyanos, suplantación de identidad (phishing) y aplicaciones de software espía. (Actualizamos esta lista de manera continua con nuevas categorías). Consulte la política de Software Malicioso en su totalidad. Ejemplos de infracciones provocadas por SDKs Aplicaciones que no cumplen con el modelo de permisos de Android o que roban credenciales (p. ej., tokens de OAuth) de otras aplicaciones Apps que abusan de las funciones para evitar que las desinstalen o las detengan Aplicaciones que inhabilitan SELinux Una aplicación que incluye un SDK que infringe el modelo de permisos de Android al ganar privilegios elevados mediante el acceso de los datos del dispositivo para un fin no divulgado Una aplicación que incluye un SDK con código que engaña a los usuarios para que se suscriban a contenido o lo compren a través de la factura de su teléfono celular Las aplicaciones de elevación de privilegios que otorgan a los dispositivos permisos de administrador sin que el usuario conceda el permiso se clasifican como aplicaciones con permisos de administrador.

Política de Software No Deseado para Dispositivos Móviles

Comportamiento transparente y divulgaciones claras Todo el código debe cumplir con las promesas que se hacen al usuario. Las aplicaciones deben proporcionar toda la funcionalidad comunicada y no deben confundir a los usuarios.  Ejemplos de incumplimiento: Fraude publicitario Ingeniería social Proteja los datos del usuario Sea claro y transparente sobre el acceso, la utilización, la recopilación y el uso compartido de datos sensibles y personales del usuario. Los usos de los datos del usuario deben cumplir con todas las Políticas de Datos del Usuario pertinentes, cuando corresponda, y se deben tomar todas las precauciones necesarias para protegerlos. Ejemplos de incumplimiento: Recopilación de Datos (consulta software espía) Abuso de Permisos Restringidos Consulte la política de Software No Deseado para Dispositivos Móviles en su totalidad.

Política de Abuso de Redes y Dispositivos

No permitimos aplicaciones que interfieran con el dispositivo, lo interrumpan, lo dañen o accedan a él sin autorización, como tampoco a otros dispositivos ni computadoras, servidores, redes, interfaces de programación de aplicaciones (APIs) o servicios (incluidos, sin limitaciones, a otras aplicaciones del dispositivo, cualquier servicio de Google o red de proveedor autorizada). Las aplicaciones o códigos de terceros (p. ej., SDKs) con lenguajes interpretados (JavaScript, Python, Lua, etc.) que se cargan durante el tiempo de ejecución (p. ej., que no se incluyen junto con la aplicación) no deben permitir que se incumplan las políticas de Google Play. No permitimos código que introduzca ni explote vulnerabilidades de seguridad. Consulte el Programa de Mejora de la Seguridad de las Aplicaciones a fin de obtener información sobre los problemas de seguridad más recientes que se marcaron para los desarrolladores. Consulte la política de Abuso de Redes y Dispositivos en su totalidad. Ejemplos de infracciones provocadas por SDKs Aplicaciones que facilitan servicios de proxy a terceros (solo deben hacerlo las aplicaciones que tengan esa finalidad como principal para el usuario) Una aplicación que incluye un SDK que descarga código ejecutable, como archivos dex o código nativo, de una fuente que no sea Google Play Una aplicación que incluye un SDK en el que haya WebViews que contengan la interfaz de JavaScript y carguen contenido web que no sea de confianza (p. ej., URL http://) o URLs sin verificar provenientes de fuentes no confiables (p. ej., URLs obtenidas con intents que no sean de confianza) Una aplicación que incluya un SDK que contenga código usado para actualizar su propio APK Una aplicación que incluya un SDK que exponga a los usuarios a una vulnerabilidad de seguridad por descargar archivos a través de una conexión insegura Una aplicación con un SDK que usa código para descargar o instalar aplicaciones de fuentes desconocidas por fuera de Google Play

Política de Comportamiento Engañoso

No se permiten apps que intenten engañar a los usuarios ni que den lugar a comportamientos deshonestos, lo que incluye, entre otras, aquellas diseñadas para ser funcionalmente imposibles. Las apps deben proporcionar divulgaciones, descripciones, imágenes y videos precisos sobre su funcionalidad en todas las partes de los metadatos. No deben intentar imitar las funciones ni las advertencias del sistema operativo ni de otras apps. Cualquier cambio en la configuración del dispositivo debe realizarse con el conocimiento y el consentimiento del usuario, y este debe poder revertirlo. Consulte la política completa de Comportamiento Engañoso. Comportamiento Transparente La funcionalidad de su aplicación debe estar razonablemente clara para los usuarios. La aplicación no debe incluir funciones ocultas, latentes ni no documentadas. No se permite implementar técnicas para evadir las revisiones de aplicaciones. Se puede exigir que las aplicaciones proporcionen detalles adicionales para garantizar la seguridad de los usuarios, la integridad del sistema y el cumplimiento de las políticas. Ejemplo de un incumplimiento provocado por el SDK Su aplicación incluye un SDK que usa técnicas para evadir revisiones de aplicaciones.

¿Qué Políticas para Desarrolladores de Google Play se asocian por lo general con las infracciones provocadas por SDKs?

Para ayudarlo a asegurarse de que el código de terceros que usa su aplicación satisfaga las Políticas del Programa para Desarrolladores de Google Play, consulte las siguientes políticas en su totalidad:

• Política de Datos del Usuario 
• Permisos y APIs que Acceden a Información Sensible 
• Política de Abuso de Redes y Dispositivos 
• Software Malicioso 
• Software No Deseado para Dispositivos Móviles 
• Programa del SDK de Anuncios con Autocertificación para Familias
• Política de Anuncios 
• Comportamiento engañoso
• Políticas del Programa para Desarrolladores de Google Play 

Aunque estas políticas son las más comunes, es importante que recuerde que un código de SDK erróneo puede provocar que su aplicación infrinja alguna otra política a la que no se haya hecho referencia aquí. Recuerde revisar y estar al tanto de todas las políticas en su totalidad, ya que es su responsabilidad como desarrollador de aplicaciones asegurarse de que los SKDs manejen sus datos de aplicaciones de una manera que satisfaga las políticas.

Para obtener más información, visite nuestro Centro de Ayuda.