Розробники часто використовують сторонній код (наприклад, SDK) для реалізації основних функцій і сервісів у своїх додатках. Інтегруючи SDK у свій додаток, ви повинні переконатися, що зможете вбезпечити свій додаток і його користувачів від будь-яких вразливостей. У цьому розділі ми розкажемо, як деякі з наших актуальних вимог до конфіденційності й безпеки застосовуються до SDK і як вони мають допомагати розробникам безпечно інтегрувати SDK у свої додатки.
Якщо ви включаєте SDK у додаток, то повинні подбати про те, щоб через використання стороннього коду й методів роботи з даними ваш додаток не почав порушувати Правила програми для розробників додатків у Google Play. Важливо знати, як пакети SDK у додатку обробляють дані користувачів. Крім того, потрібно переконатися, що ви розумієте, які дозволи при цьому застосовуються, які дані збираються і чому це потрібно. Пам’ятайте, що збирання і обробка даних користувачів пакетом SDK має відповідати правилам вашого додатка щодо роботи з такими даними.
Щоб переконатися, що ваш SDK не порушує вимог, ознайомтеся з усіма наведеними нижче правилами й зверніть увагу на перелічені актуальні вимоги до SDK.
Правила щодо даних користувачівВи повинні надати чіткі відомості про те, як обробляєте дані користувачів (наприклад, отримані від них або про них, включно з відомостями про їхні пристрої). Тобто ви повинні пояснити, як ваш додаток отримує, збирає, використовує і передає дані, а також обмежити їх використання вказаними в такому поясненні потребами.
Якщо у вашому додатку є сторонній код (наприклад, SDK), переконайтеся, що цей код і пов’язані методи роботи з даними користувачів, отриманими з вашого додатка, відповідають Правилам програми для розробників додатків у Google Play, включно з вимогами до використання і розголошення інформації. Наприклад, ви повинні переконатися, що постачальники SDK не продають персональні й чутливі дані, отримані з вашого додатка. Ця вимога застосовується незалежно від того, коли було передано дані користувачів: після надсилання на сервер чи вставлення стороннього коду в додаток.
Персональні й чутливі дані користувачів
Продаж персональних і чутливих даних користувачівНе продавайте персональні й чутливі дані користувачів.
Вимоги до повідомлення про використання особистих даних і отримання згодиУ випадках, коли отримання, збирання, використання та передавання персональних і чутливих даних вашим додатком може не відповідати обґрунтованим очікуванням користувачів від продукту або функції, ви повинні дотримуватися вимог до повідомлення про використання особистих даних і отримання згоди, наведених у правилах щодо даних користувачів. Якщо у вашому додатку використовується сторонній код (наприклад, SDK) для збирання персональних і чутливих даних, протягом 2 тижнів (або довшого терміну, якщо його зазначено) після отримання запиту від Google Play ви повинні надати достатні докази того, що ваш додаток відповідає вимогам до повідомлення про використання особистих даних і отримання згоди, які описано в цих правилах, зокрема вимогам до отримання, збирання, використання і передавання даних за допомогою стороннього коду. Переконайтеся, що використання стороннього коду (наприклад, SDK) не призводить до порушення вашим додатком правил щодо даних користувачів. Щоб дізнатися більше про вимоги до повідомлення про використання особистих даних і отримання згоди, прочитайте цю статтю Довідкового центру. Приклади порушень, пов’язаних з SDK
Додаткові вимоги щодо отримання доступу до персональних і чутливих данихУ таблиці нижче наведено вимоги до певних завдань, які виконує додаток.
Приклади порушень, пов’язаних з SDK
Розділ "Безпека даних"Усі розробники мають чітко й вичерпно описати порядок збирання, використання і передавання даних користувачів для кожного додатка в розділі "Безпека даних". Це стосується також даних, які збираються і обробляються в додатках розробників за допомогою сторонніх бібліотек або SDK. Розробник несе відповідальність за точність опису й актуальність доступної інформації. Якщо це можливо, вміст розділу "Безпека даних" має узгоджуватися з політикою конфіденційності додатка. Щоб дізнатися більше про заповнення розділу "Безпека даних", прочитайте цю статтю Довідкового центру. Ознайомтеся з усіма правилами щодо даних користувачів. |
||||||
|
Запити на дозволи й інтерфейси API із доступом до чутливої інформації мають бути зрозумілі користувачам. Запитувати такі дозволи й інтерфейси можна, лише якщо вони потрібні для роботи функцій або сервісів додатка, описаних на його сторінці в Google Play. Не можна застосовувати дозволи й інтерфейси API із доступом до чутливої інформації, які надають доступ до даних про користувачів і пристрої, для прихованих, непідтримуваних або заборонених функцій чи цілей. Персональні або чутливі дані, отримані за допомогою дозволів чи інтерфейсів API, за жодних обставин не можна продавати або передавати з метою подальшого продажу. Ознайомтеся з усіма правилами щодо дозволів і інтерфейсів API із доступом до чутливої інформації. Приклади порушень, пов’язаних з SDK
|
Зловмисне програмне забезпечення – це будь-який код, що може поставити під загрозу користувача, його дані чи пристрій. До зловмисного програмного забезпечення належать, зокрема, потенційно шкідливі додатки, двійкові коди й модифікації фреймворків, серед яких можна виокремити категорії троянських, фішингових і шпигунських програм. Ми постійно оновлюємо категорії і додаємо нові.
Ознайомтеся з усіма правилами щодо зловмисного програмного забезпечення.
Приклади порушень, пов’язаних з SDK
- Додаток, що містить бібліотеки SDK, постачальники яких розповсюджують зловмисне програмне забезпечення.
- Додаток, що порушує модель дозволів Android або викрадає облікові дані (як-от маркери OAuth) з інших додатків.
- Додатки, що неправомірно використовують функції, які запобігають їх видаленню чи зупинці.
- Додаток, що деактивує SELinux.
- Додаток, що містить пакет SDK, який порушує модель дозволів Android, отримуючи розширені повноваження для незадекларованої цілі через доступ до даних пристрою.
- Додаток, що містить пакет SDK, який вводить користувачів в оману, спонукаючи їх оформлювати підписки або купувати контент через оператора мобільного зв’язку.
Додатки для розширення повноважень, які отримують кореневий доступ до пристроїв без дозволу користувачів, належать до категорії додатків для використання пристроїв на кореневому рівні.
Шпигунські програми
Шпигунські програми – це шкідливі додатки, код чи дії, які збирають, розкривають або передають третім особам дані користувачів чи пристроїв усупереч правилам.
До шпигунських програм також належить шкідливий код чи дії, які можуть вважатися шпигуванням за користувачем або які призводять до розкриття даних користувача без отримання його згоди чи повідомлення про це.
Ознайомтеся з усіма правилами щодо шпигунських програм.
Шпигунські дії, спричинені пакетом SDK, зокрема, включають:
- передавання аудіоданих або записів дзвінків за допомогою пакета SDK, не пов’язане з функціями додатка, що відповідають правилам;
- передавання даних із пристрою за допомогою стороннього коду (наприклад, SDK) неочікуваним для користувача способом без отримання його згоди чи повідомлення про це.
Прозора поведінка й чіткі повідомленняВесь код має виконувати надані користувачу обіцянки. Додатки мають надавати всі заявлені функції. Додатки не мають спантеличувати користувачів. Приклади порушень:
Захист даних користувачівНадавайте чітку й повну інформацію отримання, збирання, використання та передавання персональних і чутливих даних користувачів. Використовуйте ці дані відповідно до всіх застосовних правил. Якщо це можливо, вживіть усіх заходів для захисту даних. Приклади порушень:
Ознайомтеся з усіма правилами щодо небажаного програмного забезпечення для мобільних пристроїв. |
|
Заборонено публікувати додатки, які перешкоджають роботі чи переривають її, отримують несанкціонований доступ до пристроїв користувачів, інших пристроїв або комп’ютерів, серверів, мереж, інтерфейсів програмування (API) чи сервісів, зокрема, але не виключно, інших додатків на пристроях, будь-яких сервісів Google або мереж авторизованих операторів мобільного зв’язку, або пошкоджують їх. Додатки або сторонній код (наприклад, SDK) з інтерпретованими мовами (JavaScript, Python, Lua тощо), які завантажуються під час виконання (тобто не належать до пакета додатка), мають унеможливлювати ймовірні порушення правил Google Play. Заборонено розміщувати код, що створює вразливості системи безпеки чи використовує їх. Щоб дізнатися про нещодавні проблеми з безпекою, на які ми звертаємо увагу розробників, ознайомтеся з нашою Програмою підвищення безпеки додатків. Ознайомтеся з усіма правилами щодо зловживання пристроєм і мережею. Приклади порушень, пов’язаних з SDK
|
|
Заборонено розміщувати додатки, які намагаються ввести користувачів в оману або сприяють непорядній поведінці, зокрема ті, заявлені функції яких неможливо виконати. У всіх розділах метаданих додатка має міститися точний перелік і опис його функцій та зображення/відео для демонстрації. Додатки не можуть імітувати функції чи застереження операційної системи або інших додатків. Будь-які зміни налаштувань пристрою мають здійснюватися з відома й дозволу користувача та легко скасовуватися ним. Ознайомтеся з усіма правилами щодо оманливої поведінки. Прозорість поведінкиКористувачам має бути відомо про всі функції вашого додатка. Не включайте в додаток приховані, неактивні чи незадокументовані функції. Заборонено використовувати методи уникнення перевірки додатків. Задля безпеки користувачів, цілісності системи й відповідності правилам вам, можливо, знадобиться надати більше інформації про свій додаток.
Приклад порушення, спричиненого пакетом SDK
|
Які правила для розробників додатків у Google Play зазвичай порушуються через використання SDK?
Переконайтеся, що сторонній код у вашому додатку відповідає Правилам програми для розробників додатків у Google Play. Для цього ознайомтеся з наведеними нижче правилами.
- Правила щодо даних користувачів
- Дозволи й інтерфейси API із доступом до чутливої інформації
- Зловживання пристроєм і мережею
- Зловмисне програмне забезпечення
- Небажане програмне забезпечення для мобільних пристроїв
- Програма самостійної сертифікації рекламних SDK у додатках для всієї сім’ї
- Правила розміщення реклами
- Оманлива поведінка
- Правила програми для розробників додатків у Google Play
Проблеми найчастіше виникають із дотриманням перелічених вище правил, однак пам’ятайте, що через використання ненадійного коду SDK додаток може порушити інше правило, не згадане вище. Не забувайте регулярно переглядати всі правила, адже ви зобов’язані подбати про те, щоб пакети SDK, що використовуються у вашому додатку, обробляли його дані відповідно до вимог.
Щоб дізнатися більше, відвідайте наш Довідковий центр.