Exigences en matière de trousse SDK

Les développeurs d'applications s'appuient souvent sur du code tiers (par exemple une trousse SDK) pour intégrer les principaux services et fonctionnalités de leurs applications. Lors de l'inclusion d'une trousse SDK dans votre application, vous voulez assurer la sécurité de vos utilisateurs et de votre application en les gardant à l'abri de toute vulnérabilité. Dans cette section, nous démontrons comment certaines de nos exigences de confidentialité et de sécurité existantes s'appliquent dans le contexte d'une trousse SDK, et comment ces exigences sont conçues pour aider les développeurs à intégrer les trousses SDK dans leurs applications en toute sécurité.

La responsabilité vous incombe de vous assurer que le code tiers et les pratiques d'une trousse SDK incluse dans votre application n'entraînent pas le non-respect des politiques du programme pour les développeurs de Google Play par votre application. Il est important de connaître la façon dont les trousses SDK incluses dans votre application gèrent les données de l'utilisateur et de vous assurer de bien connaître les autorisations qu'elles utilisent, les données qu'elles collectent, et à quelles fins.  N'oubliez pas que la collecte et la gestion des données de l'utilisateur par une trousse SDK doivent correspondre à l'utilisation conforme aux politiques desdites données de votre application.

Pour vous assurer que votre utilisation d'une trousse SDK n'enfreint pas les exigences des politiques, lisez et assurez-vous de comprendre les politiques suivantes dans leur intégralité, puis notez certaines des exigences existantes concernant les trousses SDK ci-dessous :

Politique relative aux données de l'utilisateur

Vous devez gérer les données de l'utilisateur (par exemple les renseignements collectés d'un utilisateur ou le concernant, y compris les renseignements sur l'appareil) de manière transparente. Cela signifie qu'il vous faut divulguer les modalités d'accès, de collecte, d'utilisation, de traitement et de partage en ce qui concerne les données des utilisateurs de votre application, ainsi que limiter l'utilisation de ces données aux fins divulguées et conformes aux politiques.

Si vous utilisez du code tiers (par exemple une trousse SDK) dans votre application, vous devez vous assurer que ledit code, de même que les pratiques du tiers en question concernant les données des utilisateurs de votre application, est conforme aux politiques du programme pour les développeurs de Google Play, lesquelles comprennent des exigences relatives à l'utilisation et aux divulgations. Par exemple, vous devez vous assurer que vos fournisseurs de trousses SDK ne vendent pas les données personnelles et confidentielles des utilisateurs de votre application. Cette exigence s'applique, que les données des utilisateurs soient transférées après avoir été envoyées à un serveur ou par intégration d'un code tiers dans votre application.

Données personnelles et confidentielles des utilisateurs Limitez la consultation, la collecte, l'utilisation et le partage des données personnelles et confidentielles des utilisateurs acquises par l'intermédiaire de l'application aux besoins fonctionnels de l'application pour la prestation de services et aux fins conformes aux politiques correspondant aux attentes raisonnables de l'utilisateur : Les applications qui élargissent l'utilisation des données personnelles et confidentielles des utilisateurs dans le but de diffuser des annonces doivent respecter la politique en matière d'annonces de Google Play. Gérez les données personnelles et confidentielles des utilisateurs en toute sécurité, y compris leur transmission à l'aide d'une cryptographie moderne (par exemple sur HTTPS). Utilisez une demande d'autorisations d'exécution lorsqu'elle est disponible, avant d'accéder aux données gérées par les autorisations Android. Vente de données personnelles et confidentielles des utilisateurs Vous devez vous abstenir de vendre les données personnelles et confidentielles des utilisateurs. L'on entend par « Vente » l'échange ou le transfert de données personnelles et confidentielles des utilisateurs à un tiers contre une contrepartie monétaire. Lorsqu'un utilisateur décide de transférer ses données personnelles et confidentielles, par exemple lorsqu'il utilise une fonctionnalité de l'application pour transférer un fichier à un tiers ou qu'il choisit d'utiliser une application spécialisée dans les études de recherche, ce transfert n'est pas considéré comme une vente. Obligations de divulgation bien visible et de consentement Dans les cas où les modalités de consultation, de collecte, d'utilisation ou de partage des données personnelles et confidentielles des utilisateurs de votre application ne correspondent pas aux attentes raisonnables de ces derniers, vous devez respecter les obligations de divulgation bien visible et de consentement de la politique relative aux données de l'utilisateur. Si votre application intègre du code tiers (par exemple une trousse SDK) conçu pour collecter par défaut les données personnelles et confidentielles des utilisateurs, vous devez, dans les deux semaines suivant la réception d'une demande de Google Play (ou dans un délai plus long si la demande de Google Play le prévoit), fournir des preuves suffisantes démontrant que votre application respecte les obligations de divulgation bien visible et de consentement de la présente politique, y compris en ce qui concerne la consultation, la collecte, l'utilisation ou le partage des données au moyen du code tiers. Assurez-vous que votre utilisation de code tiers (par exemple une trousse SDK) n'entraîne pas le non-respect de la politique relative aux données de l'utilisateur par votre application. Consultez cet article du centre d'aide pour obtenir plus de renseignements sur l'obligation de divulgation bien visible et de consentement. Exemples de non-respects causés par une trousse SDK Une application qui intègre une trousse SDK qui collecte les données personnelles et confidentielles des utilisateurs, et qui ne traite pas ces données comme étant soumises à la présente politique relative aux données de l'utilisateur et aux exigences en matière d'accès aux données, de traitement des données (y compris la vente non autorisée), et d'obligations de divulgation bien visible et de consentement Une application qui intègre une trousse SDK qui collecte par défaut les données personnelles et confidentielles des utilisateurs, et qui ne respecte pas les exigences de cette politique concernant les obligations de divulgation bien visible et de consentement  Une application avec une trousse SDK qui prétend collecter les données personnelles et confidentielles des utilisateurs uniquement pour fournir des fonctionnalités de lutte contre la fraude et les abus pour l'application, mais dont la trousse partage également les données collectées avec des tiers à des fins de publicité ou d'analyse  Une application avec une trousse SDK qui transmet des renseignements sur les ensembles installés des utilisateurs sans se conformer aux directives de divulgation bien visible ni aux directives de la politique de confidentialité  Consulter aussi la politique relative aux logiciels mobiles indésirables Exigences supplémentaires relatives à l'accès aux données personnelles et confidentielles Le tableau ci-dessous décrit les exigences requises pour des activités précises. Activité  Exigence Votre application collecte ou associe des identifiants d'appareils permanents (p. ex. IIEM, IMSI, numéro de série SIM, etc.) Les identifiants d'appareils permanents ne peuvent pas être liés à d'autres données personnelles et confidentielles des utilisateurs ni à des identifiants d'appareils pouvant être réinitialisés, sauf aux fins : de téléphonie liée à une identité SIM (p. ex. appels Wi-Fi associés à un compte de fournisseur); et d'applications de gestion des appareils d'entreprise utilisant le mode propriétaire. Ces utilisations doivent être divulguées de manière bien visible aux utilisateurs, comme l'indique la politique relative aux données de l'utilisateur. Veuillez consulter cette ressource pour connaître des identifiants uniques différents. Veuillez lire la politique en matière d'annonces pour obtenir des directives supplémentaires concernant l'identifiant publicitaire Android. Votre application cible les enfants Votre application peut uniquement inclure des trousses SDK possédant une autocertification pour une utilisation dans des services destinés aux enfants. Consultez le programme de trousses SDK publicitaires autocertifiées pour les familles pour connaître le libellé complet de la politique et ses exigences.    Exemples de non-respects causés par une trousse SDK Une application qui utilise une trousse SDK pour lier un identifiant Android et une localisation  Une application avec une trousse SDK qui associe un identifiant publicitaire Android à des identifiants permanents de l'appareil à des fins de publicité ou d'analyse  Une application avec une trousse SDK qui associe un identifiant publicitaire Android et des adresses de courriel à des fins d'analyse Section relative à la sécurité des données Tous les développeurs doivent remplir une section claire et exacte relative à la sécurité des données pour chaque application, détaillant la collecte, l'utilisation et le partage des données des utilisateurs. Il s'agit entre autres des données collectées et traitées par les bibliothèques ou les trousses SDK de tiers utilisées dans leurs applications. Le développeur est responsable de l'exactitude de l'étiquette et de la mise à jour de ces renseignements. Le cas échéant, la section doit être cohérente avec les renseignements fournis dans la politique de confidentialité de l'application. Veuillez consulter cet article du centre d'aide pour en savoir plus à propos de la façon de remplir la section relative à la sécurité des données. Consultez la politique relative aux données de l'utilisateur dans son intégralité.

Politique relative aux autorisations et aux API qui accèdent à des informations confidentielles

Les demandes d'autorisations et les API qui accèdent à des informations confidentielles doivent être logiques pour les utilisateurs. Vous pouvez uniquement demander des autorisations et des API qui accèdent à des informations confidentielles si elles sont nécessaires à la mise en œuvre des fonctionnalités ou des services déjà proposés dans votre application ou promus dans votre fiche Google Play. Vous ne devez pas utiliser d'autorisations ni d'API qui accèdent à des informations confidentielles donnant accès à des données des utilisateurs ou des appareils à des fins ou pour des fonctionnalités non divulguées, non mises en œuvre ou non autorisées. Les données personnelles ou confidentielles auxquelles vous accédez par l'intermédiaire d'autorisations ou d'API permettant d'accéder à des informations confidentielles ne doivent jamais être vendues ni partagées à des fins de vente. Consulter la politique relative aux autorisations et aux API qui accèdent à des informations confidentielles dans son intégralité. Exemples de non-respects causés par une trousse SDK Votre application inclut une trousse SDK qui demande la localisation en arrière-plan à des fins non autorisées ou non divulguées.  Votre application inclut une trousse SDK qui transmet un code IIEM dérivé de l'autorisation Android read_phone_state sans le consentement de l'utilisateur.

Politique relative aux logiciels malveillants

Notre politique relative aux logiciels malveillants est simple : l'écosystème Android, y compris la boutique Google Play Store, et les appareils de l'utilisateur doivent être exempts de comportements malveillants (p. ex. les logiciels malveillants). Grâce à ce principe fondamental, nous nous efforçons de fournir un écosystème Android sécuritaire pour nos utilisateurs et leurs appareils Android. Un logiciel malveillant est tout code qui pourrait mettre en danger un utilisateur, les données d'un utilisateur ou un appareil. Les logiciels malveillants comprennent, mais sans s'y limiter, les applications potentiellement nuisibles (APN), les fichiers binaires ou les modifications du cadre, composés de catégories comme les chevaux de Troie, l'hameçonnage et les espiogiciels. En outre, nous travaillons continuellement à mettre à jour les catégories et à en ajouter de nouvelles. Consultez la politique relative aux logiciels malveillants dans son intégralité. Exemples de non-respects causés par une trousse SDK Une application qui enfreint le modèle d'autorisations Android ou qui vole les authentifiants (comme les jetons OAuth) des autres applications Des applications qui abusent des fonctionnalités pour empêcher qu'elles soient désinstallées ou arrêtées Une application qui désactive SELinux Votre application incluant une trousse SDK qui enfreint le modèle d'autorisations Android en obtenant des privilèges élevés par l'accès aux données de l'appareil à des fins non divulguées Votre application incluant une trousse SDK avec un code qui incite les utilisateurs à s'abonner ou à acheter du contenu par le biais de leur facture de téléphone mobile Les applications d'élévation de privilèges qui accèdent à la racine des appareils sans l'autorisation de l'utilisateur sont classées comme des applications d'accès racine.

Politique relative aux logiciels mobiles indésirables

Comportement transparent et divulgations claires Tout code doit tenir les promesses faites à l'utilisateur. Les applications doivent fournir toutes les fonctionnalités communiquées. Les applications ne doivent pas déconcerter les utilisateurs.  Exemples de non-respects : Fraude publicitaire Ingénierie sociale Protéger les données de l'utilisateur Soyez clair et transparent concernant la consultation, l'utilisation, la collecte et le partage des données personnelles et confidentielles de l'utilisateur. Les utilisations des données de l'utilisateur doivent respecter toutes les politiques relatives aux données de l'utilisateur, le cas échéant, et prendre toutes les précautions nécessaires pour protéger les données. Exemples de non-respects : Collecte de données (cf. espiogiciels) Abus d'autorisations limitées Consultez la politique relative aux logiciels mobiles indésirables dans son intégralité.

Politique relative à l'utilisation abusive de l'appareil et du réseau

Nous n'autorisons pas les applications qui causent des interférences, des perturbations ou des dommages à l'appareil de l'utilisateur, à d'autres appareils ou ordinateurs, serveurs, réseaux, interfaces de programmation d'applications (API), ou services, y compris, mais sans s'y limiter, à d'autres applications sur l'appareil ou sur tout service de Google ou tout réseau d'un fournisseur de services agréé, ni les applications qui y accèdent d'une manière non autorisée. Les applications ou le code tiers (p. ex. des trousses SDK) dotés de langages interprétés (JavaScript, Python, Lua, etc.) chargés au moment de l'exécution (p. ex. qui ne sont pas fournis avec l'application) ne doivent pas autoriser le non-respect potentiel des politiques de Google Play. Nous n'autorisons pas le code qui introduit ou qui exploite des vulnérabilités. Consultez le programme d'amélioration de la sécurité des applications pour connaître les problèmes de sécurité les plus récents signalés aux développeurs. Consultez la politique relative à l'utilisation abusive de l'appareil et du réseau dans son intégralité. Exemples de non-respects causés par une trousse SDK Les applications qui encouragent les tiers à utiliser des services mandataires peuvent le faire uniquement dans les applications qui ont ce principal objectif de base orienté vers l'utilisateur de l'application. Votre application inclut une trousse SDK qui télécharge du code exécutable, comme des fichiers dex ou du code natif, à partir d'une source autre que Google Play. Votre application inclut une trousse SDK contenant un composant WebView auquel est ajoutée une interface JavaScript qui charge du contenu Web non fiable (p. ex. une URL http://) ou des URL non vérifiées obtenues à partir de sources non fiables (p. ex. des URL obtenues avec des intentions non fiables). Votre application inclut une trousse SDK qui contient du code utilisé pour mettre à jour son propre fichier APK. Votre application inclut une trousse SDK qui expose les utilisateurs à une vulnérabilité de sécurité en téléchargeant des fichiers par l'intermédiaire d'une connexion non sécurisée. Votre application utilise une trousse SDK qui contient du code permettant de télécharger ou d'installer des applications à partir de sources inconnues en dehors de Google Play.

Deceptive Behavior Policy

Nous n'autorisons pas les applications qui essayent de tromper les utilisateurs ou d'activer un comportement malhonnête, y compris, mais sans s'y limiter, les applications jugées fonctionnellement impossibles. Les applications doivent fournir une divulgation, une description et des images/vidéos précises de leurs fonctionnalités dans toutes les parties des métadonnées. Les applications ne doivent pas tenter d'imiter les fonctionnalités ni les avertissements du système d'exploitation ou d'autres applications. Toute modification des paramètres de l'appareil doit être faite avec la connaissance et le consentement de l'utilisateur et être réversible par l'utilisateur. Consultez la politique relative aux comportements trompeurs dans son intégralité. Transparence du comportement La fonctionnalité de votre application doit être raisonnablement claire pour les utilisateurs; n'incluez pas de fonctionnalités cachées, inactives ni non documentées dans votre application. Les techniques visant à contourner les examens relatifs aux applications ne sont pas autorisées. Vous pourriez être tenu de fournir des détails supplémentaires sur vos applications afin de garantir la sécurité des utilisateurs, l'intégrité du système et le respect de la politique. Exemple d'une violation causée par une trousse SDK Votre application comprend une trousse SDK qui utilise des techniques permettant de contourner les analyses d'applications.

Quelles politiques pour développeurs de Google Play sont généralement associées à des non-respects causés par une trousse SDK?

Pour vous permettre de vous assurer que tout code tiers utilisé par votre application est conforme aux politiques du programme pour les développeurs de Google Play, veuillez consulter les politiques suivantes dans leur intégralité :

• Politique relative aux données de l'utilisateur 
• Autorisations et API qui accèdent à des informations confidentielles 
• Politique relative à l'utilisation abusive de l'appareil et du réseau 
• Logiciels malveillants 
• Logiciels mobiles indésirables 
• Programme de trousses SDK publicitaires autocertifiées pour les familles
• Politique en matière d'annonces 
• Comportement trompeur
• Politiques du programme pour les développeurs de Google Play 

Bien que ces politiques soient celles dont il est question le plus souvent, il est important de vous rappeler qu'une trousse SDK contenant un code incorrect peut pousser votre application à enfreindre une politique différente non référencée ci-dessus. N'oubliez pas de consulter toutes les politiques dans leur intégralité et de rester au courant des changements. En tant que développeur d'applications, votre responsabilité est de vous assurer que vos trousses SDK gèrent les données de votre application conformément à toutes les politiques.

Pour en savoir plus, veuillez consulter notre centre d'aide.