Forhåndsversjon av retningslinjer
Denne artikkelen inneholder et sammendrag av nylig kunngjorte endringer.
Vi ønsker å gi brukerne en opplevelse som ivaretar personvernet bedre, og derfor lanserer vi retningslinjene for bilde- og videotillatelser. Målet med disse er å redusere antallet apper som kan be om brede bilde- og videotillatelser (READ_MEDIA_IMAGES og READ_MEDIA_VIDEO). Apper kan bare bruke bilder og videoer for formål som er direkte knyttet til appfunksjonalitet. Apper som har engangsbehov eller sjeldent behov for å bruke slike filer, blir bedt om å bruke en systemvelger, for eksempel bildevelgeren for Android. (trer i kraft 22. januar 2025)
Her finner du den gjeldende versjonen av artikkelen «Tillatelser og API-er som bruker sensitiv informasjon».
Forespørsler om tillatelser og API-er med tilgang til sensitiv informasjon skal være forståelig for brukerne. Du kan bare be om tillatelser og API-er med tilgang til sensitiv informasjon som er nødvendige for å implementere funksjoner eller tjenester i appen din, og som er promotert i Google Play-oppføringen din. Du kan ikke bruke tillatelser eller API-er med tilgang til sensitiv informasjon som gir tilgang til bruker- eller enhetsdata for funksjoner eller formål det ikke opplyses om, som ikke er implementert, eller som ikke er tillatt. Personlige eller sensitive data du får tilgang til via tillatelser eller API-er med tilgang til sensitiv informasjon, skal aldri selges eller deles med formål om å tilrettelegge for salg.
Be om tillatelser og API-er med tilgang til sensitiv informasjon for å få tilgang til data i kontekst (via trinnvise forespørsler), slik at brukerne forstår hvorfor appen ber om dette. Bruk dataene bare til formålene brukerne har gitt samtykke til. Hvis du senere ønsker å bruke dataene til andre formål, må du spørre brukerne og sørge for at de gir uttrykkelig samtykke til tilleggsformålene.
Begrensede tillatelser
I tillegg til det som er nevnt ovenfor, er begrensede tillatelser de tillatelsene vi klassifiserer som farlige, spesielle eller signatur, samt de som er dokumentert nedenfor. Disse tillatelsene er underlagt følgende tilleggskrav og begrensninger:
- Bruker- eller enhetsdata du får tilgang til via begrensede tillatelser, er regnet som personlige og sensitive brukerdata. Kravene i retningslinjene for brukerdata gjelder.
- Respekter brukernes avgjørelse hvis de avslår en forespørsel om en begrenset tillatelse. Brukerne skal ikke manipuleres eller tvinges til å samtykke til tillatelser som ikke er kritiske. Du må legge rimelig innsats i å legge til rette for brukere som ikke gir tilgang til sensitive tillatelser (for eksempel ved å la brukerne oppgi et telefonnummer manuelt hvis de ikke vil gi tilgang til samtaleloggen).
- Bruk av tillatelser i strid med retningslinjene om skadelig programvare for Google Play (inkludert uriktig bruk av overordnede rettigheter) er uttrykkelig forbudt.
Enkelte begrensede tillatelser kan være underlagt tilleggskrav som er beskrevet nedenfor. Målet med disse begrensningene er å sikre brukernes personvern. Vi kan innvilge begrensede unntak for kravene nedenfor i svært sjeldne tilfeller, der apper leverer en svært nyttig eller viktig funksjon og det ikke finnes noen alternativ måte å levere funksjonen på. Vi evaluerer foreslåtte unntak opp mot de potensielle personvern- og sikkerhetsvirkningene for brukerne.
Tillatelser for SMS- og samtaleloggTillatelser for SMS- og samtalelogg anses som personlige og sensitive brukerdata som er underlagt retningslinjene for personligopplysninger og sensitiv informasjon, samt følgende begrensninger:
Apper som ikke har funksjonalitet for SMS-, telefon- eller Assistent-behandling, kan ikke deklarere bruk av de ovennevnte tillatelsene i manifestet. Dette inkluderer plassholdertekst i manifestet. Apper må også være aktivt registrert som standardbehandlere for SMS-, telefon- eller Assistent-funksjonen før de ber brukere om å godta noen av de ovennevnte tillatelsene, og de må umiddelbart slutte å bruke tillatelsen når de ikke er standardbehandlere lenger. Tillatte bruksområder og unntak er tilgjengelige på denne brukerstøttesiden. Apper kan bare bruke tillatelsen (og alle data som er generert på grunnlag av tillatelsen) til å levere godkjent kjerneappfunksjonalitet. Kjernefunksjonalitet er definert som appens hovedformål. Dette kan være et sett med kjernefunksjoner, der alle må være tydelig dokumentert og fremhevet i beskrivelsen av appen. Uten kjernefunksjonene er appen «ødelagt» eller ubrukelig. Overføring, deling eller lisensiert bruk av disse dataene er bare tillatt for å levere kjernefunksjoner eller -tjenester i appen, og bruken av dataene kan aldri utvides til noe annet formål (f.eks. forbedring av andre apper eller tjenester, annonsering eller markedsføringsformål). Du kan ikke bruke alternative metoder (inkludert andre tillatelser, API-er eller tredjepartskilder) til å avlede data tilknyttet tillatelsene for SMS- og samtalelogg. |
PosisjonstillatelserEnhetsposisjon anses som personlige og sensitive brukerdata som er underlagt retningslinjene om personlig og sensitiv informasjon, retningslinjene for bakgrunnsposisjon og de følgende kravene:
Apper kan få tilgang til posisjon ved å bruke forgrunnstjenester (når appen bare har tilgang i forgrunnen, f.eks. «når den er i bruk») hvis bruken
Apper som er utviklet spesifikt for barn, må overholde For hele familien-retningslinjene. Du finner mer informasjon om retningslinjekravene i denne hjelpeartikkelen. |
Tilgang til alle filerFiler og katalogattributter på brukeres enheter regnes som personopplysninger og sensitive brukerdata som er underlagt retningslinjene for personopplysninger og sensitiv informasjon samt følgende krav:
|
Bilde- og videotillatelserBilder og videoer på brukeres enheter regnes som personopplysninger og sensitive brukerdata som er underlagt retningslinjene for brukerdata for Google Play. Apper har bare tilgang til bilder og videoer for formål direkte knyttet til appfunksjonalitet og kan ikke be om tilgang på vegne av tredjeparter for formål som ikke er knyttet til brukerrettet appfunksjonalitet. For en opplevelse som ivaretar personvernet bedre, anbefaler vi bruken av en systemvelger, for eksempel bildevelgeren. Apper som ber om omfattende tilgang til bilder og videofiler i delt lagring på enheter, må bestå en passende tilgangsvurdering og demonstrere et kjernebruksmønster som krever vedvarende eller hyppig bilde-/videotilgang til filer i delt lagring. Apper som har engangsbehov eller sjeldent behov for å bruke disse filene, blir bedt om å bruke en systemvelger, for eksempel bildevelgeren for Android. Omfattende tilgang til bilder og videoer er også underlagt de følgende kravene:
Hvis appen ikke krever eller kvalifiserer for omfattende tilgang til READ_MEDIA_VIDEO- eller READ_MEDIA_IMAGES-tillatelsen, må du fjerne den fra appens manifest for å overholde kravene for gjennomgang i henhold til retningslinjene. I henhold til retningslinjene for begrensede tillatelser må du legge rimelig innsats i å tilrettelegge for brukere som ikke gir omfattende tilgang til mediefiler på enheten sin. Dette inkluderer å tilrettelegge for en tilpasset appopplevelse der brukere fremdeles kan bruke funksjonen eller kjernefunksjonaliteten til appen. Apper som har et legitimt bruksmønster for bilder eller videoer, men ikke kvalifiserer for READ_MEDIA_IMAGES- eller READ_MEDIA_VIDEO-tillatelsen, kan bruke en systemvelger, for eksempel bildevelgeren. Du finner mer informasjon i denne brukerstøtteartikkelen. |
Tillatelse til pakketilgang (app)Når beholdningen av installerte apper er hentet fra en enhet, anses den for å inneholde personlige og sensitive brukerdata som er underlagt retningslinjene for personlig og sensitiv informasjon samt følgende krav: Apper som har som hovedformål å starte, søke gjennom eller være interoperable med andre apper på enheten, kan få tilgang til andre installerte apper på enheten i et hensiktsmessig omfang. Dette er beskrevet mer detaljert nedenfor:
Data om appbeholdning som er hentet fra Play-distribuerte apper, skal aldri selges og heller ikke brukes i analyse eller annonser for å generere inntekter. |
Accessibility APIAccessibility API kan ikke brukes til
Accessibility API er ikke laget for og kan ikke forespørres for fjernstyrt opptak av lyd i samtaler. Bruk av Accessibility API må dokumenteres i Google Play-oppføringen. Retningsinjer for IsAccessibilityToolApper med kjernefunksjonalitet som er ment som direkte støtte for personer med nedsatte funksjonsevner, kan bruke IsAccessibilityTool til å vise offentlig at de er tilgjengelighetsapper. Apper som ikke er kvalifisert for bruk av IsAccessibilityTool, kan ikke bruke dette flagget og må oppfylle krav om fremtredende informasjon og samtykke, som beskrevet i retningslinjene for brukerdata, ettersom funksjonene knyttet til tilgjengelighet ikke er tydelige for brukerne. Du finner mer informasjon i brukerstøtteartikkelen om AccessibilityService API. Der det er mulig, må apper bruke API-er og tillatelser med smalere omfang i stedet for Accessibility API for å oppnå ønsket funksjonalitet. |
Tillatelsen «be om installasjon av pakker»Med tillatelsen REQUEST_INSTALL_PACKAGES kan apper be om at det installeres appakker. For å bruke denne tillatelsen må appens kjernefunksjonalitet omfatte
Tillatt funksjonalitet omfatter
Kjernefunksjonalitet defineres som hovedformålet med appen. All kjernefunksjonalitet, samt alle kjernefunksjoner som utgjør kjernefunksjonaliteten, må være tydelig dokumentert og fremhevet i beskrivelsen av appen. Tillatelsen REQUEST_INSTALL_PACKAGES kan ikke brukes til å utføre selvoppdatering, modifisering eller pakking av andre APK-er i elementfilen, med mindre dette gjøres for enhetsadministrering. All oppdatering og pakkeinstallering må overholde Google Play-retningslinjene om misbruk av enheter og nettverk og må startes og gjennomføres av brukeren. |
Health Connect by Android-tillatelserHealth Connect er en Android-plattform som helse- og treningsapper kan bruke til å lagre og dele samme data på enheten i et forent økosystem. Her får brukere også ett enkelt sted hvor de kan kontrollere hvilke apper som leser og skriver helse- og treningsdata. Health Connect har støtte for lesing og skriving av en rekke datatyper – fra skritt til kroppstemperatur. Data som åpnes via Health Connect-tillatelser, betraktes som personlige og sensitive brukerdata og er underlagt retningslinjene for brukerdata. Hvis appen din er kvalifisert som en helseapp eller har helserelaterte funksjoner og bruker helsedata, deriblant Health Connect-data, må den også overholde retningslinjene for helseapper. Ta en titt på denne veiledningen for Android-utviklere for å se hvordan du kommer i gang med Health Connect. For å be om tilgang til Health Connect-datatyper, gå hit. Apper som distribueres via Google Play, må oppfylle følgende retningslinjekrav for å lese fra og/eller skrive til Health Connect. Egnet tilgang til og bruk av Health ConnectHealth Connect kan bare brukes i samsvar med de gjeldende retningslinjene og vilkårene samt i de godkjente bruksmønstrene som er beskrevet i disse retningslinjene. Dette betyr at du bare kan be om tilgang til tillatelser når appen eller tjenesten din overholder et av de godkjente bruksmønstrene. Godkjente bruksmønstre omfatter trening og velvære, belønninger, treningscoaching, trening på jobb, medisinsk behandling, helserelatert forskning og spill. Apper som får tilgang til disse tillatelsene, kan ikke utvide bruken til formål som ikke er oppgitt eller tillatt. Bare apper eller tjenester som har én eller flere funksjoner som er laget med hovedfokus på å være til gagn for brukernes helse og trening, kan be om tilgang til Health Connect-tillatelsene. Dette omfatter
Tilgangen til Health Connect kan ikke brukes i strid med disse retningslinjene eller andre gjeldende Health Connect-vilkår eller -retningslinjer, deriblant til de følgende formålene:
Det er også du som har ansvaret for å sikre overholdelse av eventuelle forskriftsmessige eller juridiske krav som kan gjelde for den tiltenkte bruken av Health Connect og eventuelle data fra Health Connect. Med unntak av det som er uttrykkelig spesifisert på etikettene eller informasjonen Google gjør tilgjengelig for bestemte Google-produkter eller -tjenester, verken hevder eller garanterer Google at data i Health Connect er nøyaktige for noen som helst type bruk – spesielt ikke for bruk som er tilknyttet forskning, helse eller medisin. Google fraskriver seg alt ansvar tilknyttet bruk av data som anskaffes via Health Connect. Begrenset brukNår du bruker Health Connect, må datatilgangen og -bruken overholde bestemte begrensninger:
MinimumsomfangDu må bare be om tilgang til tillatelsene du trenger for å implementere produktets funksjoner eller tjenester. Slike tilgangsforespørsler skal være spesifikke og begrenset til dataene som trengs. Åpen og nøyaktig varsling og kontrollHealth Connect administrerer helse- og treningsdata, inkludert sensitiv informasjon, og krever at alle apper har omfattende personvernregler. Personvernreglene må være åpne om hvordan appen samler inn, bruker og deler brukerdata. I tillegg til det som må oppgis i henhold til juridiske krav, må utviklere ha følgende informasjon i personvernreglene:
Du finner mer informasjon om kravene til apper som kobles til Health Connect, i denne artikkelen i brukerstøtten. |
VPNServiceVpnService er en basisklasse som apper kan bruke til å utvide og bygge sine egne VPN-løsninger. Bare apper som bruker VpnService og har VPN som kjernefunksjonalitet, kan opprette en sikker tunnel på enhetsnivå til eksterne tjenere. Unntak inkluderer apper som må ha en ekstern tjener for kjernefunksjonalitet, for eksempel
VpnService kan ikke brukes til
Apper som bruker VpnService, må
|
Tillatelse for presis alarmVi lanserer en ny tillatelse, USE_EXACT_ALARM, som gir tilgang til funksjoner for presis alarm i apper fra og med Android 13 (API-målnivå 33). USE_EXACT_ALARM er en begrenset tillatelse. Apper kan kun deklarere denne tillatelsen hvis kjernefunksjonaliteten trenger presise alarmer. Apper som ber om denne begrensede tillatelsen, blir gjennomgått, og de som ikke oppfyller kravene til akseptabel bruk, kan ikke publiseres på Google Play. Akseptabel bruk for tillatelsen for presise alarmer Appen kan kun bruke USE_EXACT_ALARM-funksjonen når appens brukerrettede kjernefunksjon trenger presise, tidsstyrte handlinger, for eksempel
Hvis du har et bruksmønster for presise alarmer som ikke er nevnt ovenfor, bør du vurdere om du heller kan bruke SCHEDULE_EXACT_ALARM. Du finner mer informasjon om funksjonen for presise alarmer i veiledningen for utviklere. |
Intensjonstillatelse for fullskjermFor apper som målrettes mot Android 14 (API-målnivå 34) eller nyere, er USE_FULL_SCREEN_INTENT en spesialtillatelse for apptilgang. Apper kan automatisk bruke tillatelsen USE_FULL_SCREEN_INTENT kun hvis kjernefunksjonaliteten i appen faller under en av kategoriene nedenfor, som krever varsler med høy prioritet:
Apper som ber om denne tillatelsen, blir gjennomgått, og de som ikke oppfyller kriteriene ovenfor, blir ikke automatisk gitt denne tillatelsen. I slike tilfeller må apper be om tillatelse fra brukerne til å bruke USE_FULL_SCREEN_INTENT. Husk at all bruk av tillatelsen USE_FULL_SCREEN_INTENT må overholde alle retningslinjer for utviklere på Google Play, inkludert retningslinjene om uønsket programvare for mobilenheter, misbruk av enheter og nettverk og annonser. Intensjonsvarsler som dekker hele skjermen, skal ikke forstyrre, skade eller bruke brukernes enheter på en uautorisert måte. Apper skal heller ikke forstyrre andre apper eller påvirke enhetens brukervennlighet. Finn ut mer om tillatelsen USE_FULL_SCREEN_INTENT i brukerstøtten. |