Tilladelser og API'er, som har adgang til følsomme oplysninger

Denne artikel ændres snart

Denne artikel vil blive opdateret med de nyligt offentliggjorte ændringer.

For en mere privatlivssikrende brugeroplevelse indfører vi politikken Billed- og videotilladelser med henblik på at reducere antallet af apps, der har tilladelse til at anmode om omfattende billed-/videotilladelser (READ_MEDIA_IMAGES og READ_MEDIA_VIDEO). Apps må kun tilgå billeder og videoer med henblik på formål, der er direkte relateret til appfunktionalitet. Apps, der har brug for engangsadgang eller sjælden adgang til disse filer, skal anvende en systemvælger såsom Androids billedvælger. (træder i kraft den 22. januar 2025)

Gå til denne side for at se en forhåndsvisning af den opdaterede artikel "Tilladelser og API'er, som har adgang til følsomme oplysninger".

Anmodninger om tilladelse og API'er, der tilgår følsomme oplysninger, skal give mening for brugerne. Du må kun anmode om tilladelser og API'er, der tilgår følsomme oplysninger, som er nødvendige for at implementere de aktuelle funktioner eller tjenester i din app, der promoveres på din profilside i Google Play. Du må ikke bruge tilladelser eller API'er, der tilgår følsomme oplysninger, som giver adgang til bruger- eller enhedsdata med henblik på ikke-oplyste, ikke-implementerede eller ikke-tilladte funktioner eller formål. Personlige eller følsomme data, der gives adgang til via tilladelser eller API'er, som tilgår følsomme oplysninger, må aldrig sælges eller deles med henblik på at muliggøre salg.

Anmod om tilladelser og API'er, der tilgår følsomme oplysninger med henblik på at få adgang til data i den rette sammenhæng (via trinvise anmodninger), så brugerne forstår, hvorfor din app anmoder om tilladelsen. Brug kun dataene til formål, som brugeren har givet sit samtykke til. Hvis du senere vil bruge dataene til andre formål, skal du spørge brugerne og sørge for, at de giver bekræftende samtykke til den yderligere brug.

Begrænsede tilladelser

Begrænsede tilladelser er, ud over ovenstående, tilladelser, der er angivet som Farlig, Særlig, Signatur eller som dokumenteret nedenfor. Disse tilladelser er underlagt følgende yderligere krav og begrænsninger:

• Bruger- eller enhedsdata, der tilgås via begrænsede tilladelser, anses som personlige og følsomme brugerdata. Kravene i politikken for brugerdata er gældende.
• Respekter brugernes beslutninger, hvis de afviser en anmodning om en begrænset tilladelse. Brugerne må ikke manipuleres eller tvinges til at give samtykke til ikke-kritiske tilladelser. Du skal gøre et rimeligt forsøg på at imødekomme brugere, der ikke giver adgang til følsomme tilladelser (f.eks. give brugeren mulighed for at angive et telefonnummer manuelt, hvis vedkommende har begrænset adgangen til Opkaldshistorik).
• Det er under ingen omstændigheder tilladt at bruge tilladelser, der overtræder Google Plays politikker vedrørende malware (herunder misbrug via øgede rettigheder).

Visse begrænsede tilladelser kan være underlagt yderligere krav som beskrevet nedenfor. Formålet med disse begrænsninger er at beskytte brugernes personlige oplysninger. Vi kan gøre begrænsede undtagelser til nedenstående krav i meget sjældne tilfælde, hvor apps leverer en særdeles interessant eller kritisk funktion, og hvor der ikke findes alternative metoder til at levere funktionen. Vi evaluerer foreslåede undtagelser i forhold til den potentielle påvirkning af brugernes privatliv eller sikkerhed.

 

Tilladelser til sms- og opkaldsliste Tilladelser til sms- og opkaldslister anses som personlige og følsomme brugerdata, der er underlagt politikken om personlige og følsomme oplysninger og de følgende begrænsninger: Begrænset tilladelse Krav Tilladelsesgruppen Opkaldsliste (f.eks. READ_CALL_LOG, WRITE_CALL_LOG, PROCESS_OUTGOING_CALLS) Den skal være aktivt registreret som standardprogram til opkald eller Assistent på enheden. Tilladelsesgruppen Sms (f.eks. READ_SMS, SEND_SMS, WRITE_SMS, RECEIVE_SMS, RECEIVE_WAP_PUSH, RECEIVE_MMS) Den skal være aktivt registreret som standardprogram til sms eller Assistent på enheden.   Apps, der ikke kan være standardprogram til sms, opkald eller Assistent, må ikke angive brug af ovenstående tilladelser i manifestet. Dette gælder også pladsholdertekst i manifestet. Apps skal desuden være aktivt registreret som standardprogram til sms, opkald eller Assistent, inden de anmoder brugerne om at acceptere nogen af ovenstående tilladelser, og de skal straks stoppe med at anvende tilladelserne, når de ikke længere fungerer som standardprogram. De tilladte anvendelser og undtagelser kan findes på denne side i Hjælp. Apps må kun bruge tilladelsen (og data, der er afledt af tilladelsen) til at levere godkendt kernefunktionalitet for appen. Kernefunktionalitet defineres som hovedformålet med appen. Dette kan omfatte en række primære funktioner, som alle skal være tydeligt dokumenteret og promoveret i appens beskrivelse. Uden kernefunktionerne er appen "defekt" eller ubrugelig. Overførsel, deling eller licenseret brug af disse data må kun ske med henblik på at levere kernefunktioner eller tjenester i appen, og brugen heraf må ikke udvides til andre formål (f.eks. forbedring af andre apps eller tjenester, reklame eller markedsføring). Du må ikke bruge alternative metoder (herunder andre tilladelser, API'er eller tredjepartskilder) til at udlede data, der er tilskrevet tilladelser, som er relateret til Opkaldsliste eller Sms.

 

Adgangstilladelser til placering Data om enhedslokation betragtes som personlige og følsomme brugerdata, der er underlagt politikken om personlige og følsomme oplysninger, politikken om lokation i baggrunden og følgende krav: Apps må ikke have adgang til data, der beskyttes af adgangstilladelser til lokation (f.eks. ACCESS_FINE_LOCATION, ACCESS_COARSE_LOCATION, ACCESS_BACKGROUND_LOCATION), når de ikke længere er nødvendige for at levere eksisterende funktioner eller tjenester i din app. Du må ikke anmode brugerne om adgangstilladelser til lokation udelukkende med henblik på annoncering eller dataanalyse. Apps, der udvider den tilladte brug af disse data til annoncevisning, skal overholde vores annoncepolitik. Apps skal anmode om det laveste omfang, der er nødvendigt (dvs. omtrentligt i stedet for nøjagtigt og forgrund i stedet for baggrund) for at levere den aktuelle funktion eller tjeneste, der kræver oplysninger om lokationen, og brugerne kan med rimelighed forvente, at funktionen eller tjenesten har brug for det lokationsniveau, der anmodes om. Vi kan f.eks. afvise apps, der anmoder om eller har adgang til lokation i baggrunden uden overbevisende begrundelse. Lokation i baggrunden må kun bruges til at levere funktioner, der er til gavn for brugeren og relevante for appens kernefunktionalitet. Apps må have adgang til lokation via tilladelsen til tjenesten i forgrunden (når appen kun har adgang i forgrunden, f.eks. "mens den er i brug"), hvis brugen: Er påbegyndt som en fortsættelse af en handling, som brugeren har påbegyndt i appen Afsluttes, straks efter den tiltænkte brug af den brugerindledte handling er udført af appen. Apps, der er udviklet specielt til børn, skal overholde politikken For hele familien. Du kan få flere oplysninger om politikkravene i denne artikel i Hjælp.

 

Adgangstilladelse til alle filer Filer og mappeattributter på en brugers enhed betragtes som personlige og følsomme brugerdata, der er underlagt politikken om personlige og følsomme oplysninger og følgende krav: Apps må kun anmode om adgang til enhedens lagerplads i det omfang, det er nødvendigt for, at appen kan fungere, og må ikke anmode om adgang til enhedens lager på vegne af tredjeparter til noget formål, der ikke er relateret til vigtige brugerrettede appfunktioner. Android-enheder, der kører R eller nyere, kræver tilladelsen MANAGE_EXTERNAL_STORAGE for at administrere adgangen til delt hukommelse. Alle apps, der er målrettet mod R og anmoder om bred adgang til delt hukommelse ("Adgang til alle filer"), skal bestå en passende adgangsgennemgang inden udgivelse. Apps, der må anvende denne tilladelse, skal tydeligt bede brugerne om at aktivere "Adgang til alle filer" for deres app under indstillingerne for "Særlig appadgang". Du kan få flere oplysninger om R-kravene i denne artikel i Hjælp.

 

Tilladelse for pakkesynlighed (app) Beholdningen af installerede apps, der søges efter på en enhed, anses som personlige og følsomme brugerdata, der er underlagt politikken om personlige og følsomme oplysninger og følgende krav: Apps, der har som hovedformål at åbne, søge efter eller interagere med andre apps på enheden, kan få omfangsrelevant adgang til at se andre installerede apps på enheden som beskrevet nedenfor: Bred appsynlighed: Bred synlighed er en apps mulighed for at få omfattende (eller "bred") adgang til at se de installerede apps ("pakker") på en enhed. For apps, der er målrettet mod API-niveau 30 eller nyere, er bred synlighed for installerede apps via tilladelsen QUERY_ALL_PACKAGES begrænset til specifikke eksempler på brug, hvor registrering af og/eller interoperabilitet med enhver app på enheden er påkrævet, før appen kan fungere.  Du må ikke bruge QUERY_ALL_PACKAGES, hvis din app kan fungere sammen med en målrettet erklæring om pakkesynlighed(f.eks. forespørgsler om og interaktion med bestemte pakker i stedet for anmodninger om bred synlighed). Brugen af alternative metoder til at tilnærme dig det brede synlighedsniveau, som er tilknyttet tilladelsen QUERY_ALL_PACKAGES, er også begrænset til brugerorienterede kernefunktioner i appen og interoperabilitet med alle apps, der registreres via denne metode. Gå til denne artikel i Hjælp for at se de tilladte eksempler på brug for tilladelsen QUERY_ALL_PACKAGES. Begrænset appsynlighed: Begrænset synlighed er, når en app begrænser adgangen til data ved at søge efter bestemte apps ved hjælp af mere målrettede (i modsætning til "brede") metoder (f.eks. forespørgsler vedrørende bestemte apps, der overholder din apps manifesterklæring). Du kan bruge denne metode til at søge efter apps i tilfælde, hvor din app har kompatibilitet, der overholder politikkerne, eller i forbindelse med administration af disse apps.  Adgang til synligheden af beholdningen af installerede apps på en enhed skal være direkte relateret til det hovedformål eller de kernefunktioner, som brugerne får adgang til i din app.  De data om appbeholdningen, der søges efter via Play-distribuerede apps, må hverken sælges eller deles med henblik på analyse eller indtægtsintegrering fra annoncer.

 

Accessibility API Accessibility API kan ikke bruges til følgende: Ændre brugerindstillinger uden brugerens tilladelse eller fjerne brugernes mulighed for at deaktivere eller afinstallere en app eller tjeneste, medmindre det er blevet godkendt af en forælder eller værge via en app til børnesikring eller af en autoriseret administrator via software til virksomhedsadministration.  Omgå indbyggede Android-privatlivsindstillinger og -notifikationer. Ændre eller udnytte brugerfladen på en måde, der vildleder eller på anden vis overtræder udviklerpolitikkerne i Google Play.  Accessibility API er ikke udviklet til og kan ikke anmodes om at understøtte fjernopkald med optagelse af lyd.  Brug af Accessibility API skal dokumenteres på profilsiden i Google Play. Retningslinjer for IsAccessibilityTool Apps, hvis kernefunktioner er direkte beregnet til at hjælpe personer med nedsat funktionsevne, er kvalificeret til at anvende IsAccessibilityTool, så de offentligt og på behørig vis kan betegne sig selv som hjælpefunktionsapps. Apps, som ikke er kvalificeret til at anvende IsAccessibilityTool, må ikke anvende flaget, og de skal overholde kravene om tydelig erklæring og samtykke, som er beskrevet i politikken vedrørende brugerdata, da det ikke er indlysende for brugeren, at appen har hjælpefunktioner. Du kan få flere oplysninger i artiklen AccessibilityService API i Hjælp. Apps skal anvende mere afgrænsede API'er og tilladelser i stedet for Accessibility API, når det er muligt for at opnå den ønskede funktion.

 

Anmod om tilladelse til installation af pakker Tilladelsen REQUEST_INSTALL_PACKAGES giver en app mulighed for at anmode om installation af app-pakker.​​ For at anvende denne tilladelse skal appens kernefunktion omfatte: Afsendelse eller modtagelse af app-pakker Mulighed for brugerindledt installation af app-pakker Tilladte funktioner omfatter: Webbrowsing eller søgning Kommunikationstjenester, som understøtter vedhæftede filer Deling, overførsel eller administration af filer Virksomhedsadministration af enheder Sikkerhedskopiering og gendannelse Enhedsmigrering/telefonoverførsel Medfølgende app til synkronisering af telefon til wearables eller IoT-enheder (f.eks. et smart-ur eller smart-tv) Kernefunktionen defineres som hovedformålet med appen. Kernefunktionen samt de primære funktioner, der udgør denne kernefunktion, skal alle være dokumenteret og promoveret i beskrivelsen af appen. Tilladelsen REQUEST_INSTALL_PACKAGES kan muligvis ikke anvendes til selv at foretage opdateringer, ændringer eller pakkesamlinger af andre APK-filer i indholdsfilen, medmindre formålet er relateret til enhedsadministration. Alle opdateringer eller installationer af pakker skal overholde Google Plays politik om enheds- og netværkmisbrug og skal indledes og udføres af brugeren.

 

Tilladelser for Health Connect fra Android Passende adgang til og brug af Health Connect Health Connect må kun bruges i overensstemmelse med de gældende politikker, vilkår og betingelser samt til godkendte eksempler på brug som anført i denne politik. Dette betyder, at du kun må anmode om adgang til tilladelser, når din app eller tjeneste opfylder et af de godkendte eksempler på brug. Godkendte eksempler på brug omfatter: fitness og sundhed, bonusser, fitnesscoaching, sundhed på arbejdspladsen, lægehjælp, sundhedsforskning og spil. Kun apps eller tjenester med én eller flere funktioner, der er udviklet til at forbedre brugernes sundhed og fitness, må anmode om adgang til Health Connect-tilladelser. Disse omfatter: Apps eller tjenester, der giver brugerne mulighed for at registrere, rapportere, overvåge og/eller analysere fysisk aktivitet, søvn, mental sundhed, ernæring, sundhedsmålinger, fysiske beskrivelser og/eller andre sundheds- eller fitnessrelaterede beskrivelser og målinger. Apps eller tjenester, der giver brugerne mulighed for at gemme fysisk aktivitet, søvn, mental sundhed, ernæring, sundhedsmålinger, fysiske beskrivelser og/eller andre sundheds- eller motionsrelaterede beskrivelser og målinger på deres enhed. Adgangen til Health Connect må ikke bruges i strid med denne politik eller andre gældende vilkår og betingelser eller politikker for Health Connect, herunder følgende formål: Brug ikke Health Connect til udvikling af eller inkorporering i apps, miljøer eller aktiviteter, hvor brugen af eller fejl i Health Connect med rimelig forventning kan føre til dødsfald, personskade, miljømæssig eller materiel skade (såsom oprettelse eller drift af atomkraftværker, flyveledelse, hjerte-lungemaskiner eller våben). Tilgå ikke data, som er indhentet via Health Connect, ved hjælp af apps uden grafisk brugerflade. Apps skal vise et tydeligt identificerbart ikon i appoversigten, enhedens appindstillinger, notifikationsikoner osv. Brug ikke Health Connect med apps, der synkroniserer data mellem inkompatible enheder eller platforme. Brug ikke Health Connect til at tilknytte apps, tjenester eller funktioner, der udelukkende er målrettet mod børn. Træf rimelige og passende foranstaltninger for at beskytte alle apps eller systemer, der gør brug af Health Connect, mod uautoriseret eller ulovlig adgang, brug, ødelæggelse, tab, ændring eller offentliggørelse. Det er også dit ansvar at sikre overholdelse af lovmæssige eller juridiske krav, som kan være gældende afhængigt af din tiltænkte brug af Health Connect og data fra Health Connect. Medmindre andet er udtrykkeligt angivet på etiketten eller i oplysningerne fra Google for bestemte Google-produkter eller -tjenester, anbefaler Google ikke brugen af og garanterer ikke nøjagtigheden af data i Health Connect til nogen brug eller formål og særligt med henblik på forskning, sundhed eller medicinsk brug. Google fraskriver sig ethvert ansvar i forbindelse med brugen af data, der er indhentet via Health Connect. Begrænset brug Ved brug af Health Connect skal adgangen til og brugen af data være underlagt specifikke begrænsninger: Brugen af data skal være begrænset til at levere eller forbedre det relevante eksempel på brug eller de funktioner, der er synlige i appens brugerflade. Brugerdata må kun overføres til tredjeparter med udtrykkeligt samtykke fra brugeren til følgende formål: sikkerhedshensyn (f.eks. for at undersøge misbrug), overholdelse af gældende love og regler eller som en del af fusioner/opkøb. Menneskelig adgang til brugerdata er begrænset, medmindre brugeren har givet udtrykkeligt samtykke til dette, eller det er nødvendigt af hensyn til sikkerheden, med henblik på at overholde loven eller ved sammenlægning til intern drift i henhold til juridiske krav. Al anden overførsel, brug og salg af Health Connect-data er forbudt, herunder: Overførsel eller salg af brugerdata til tredjeparter som f.eks. annonceplatforme, dataformidlere eller forhandlere af information. Overførsel, salg eller brug af brugerdata til visning af annoncer, herunder personligt tilpasset eller interessebaseret annoncering. Overførsel, salg eller brug af brugerdata for at fastslå kreditværdighed eller i forbindelse med lån. Overførsel, salg eller brug af brugerdata med et produkt eller en tjeneste, der kan kvalificeres som medicinsk udstyr, medmindre appen til det medicinske udstyr overholder alle relevante forordninger, herunder ved at indhente alle nødvendige clearinger eller godkendelser fra de relevante myndigheder (f.eks. FDA i USA) i forbindelse med den tilsigtede brug af Health Connect-data, og brugeren har givet udtrykkeligt samtykke til denne brug. Overførsel, salg eller brug af brugerdata med ethvert formål eller på enhver måde, der involverer beskyttede sundhedsoplysninger (PHI, Protected Health Information som defineret af HIPAA), medmindre du modtager forudgående skriftligt samtykke til en sådan brug fra Google. Minimumsomfang Du må kun anmode om adgang til de tilladelser, der er nødvendige for at implementere dit produkts funktioner eller tjenester. Sådanne adgangsanmodninger skal være specifikke og begrænset til de data, der er nødvendige. Gennemsigtig og nøjagtig meddelelse og kontrol Health Connect administrerer sundheds- og træningsdata, herunder følsomme oplysninger, og kræver, at alle apps har en omfattende privatlivspolitik. I privatlivspolitikken skal det tydeligt fremgå, hvordan appen indsamler, anvender og deler brugerdata. Foruden at overholde de juridiske krav skal udviklerne angive følgende oplysninger i privatlivspolitikken: En nøjagtig skildring af appens identitet, som beskriver, hvilke data der tilgås, og dataenes forbindelse til fremtrædende appfunktioner og anbefalinger. En praksis for dataopbevaring og -sletning Procedurer for datahåndtering. Eksempelvis overførsel via moderne kryptografi (f.eks. HTTPS) Du kan få flere oplysninger om krav til apps, der tilknyttes Health Connect, i denne artikel i Hjælp.

 

VPN-tjeneste VpnService er en grundlæggende klasse, som apps kan bruge til at udvide og udvikle deres egne VPN-løsninger. Det er kun apps, der bruger VpnService og har VPN som kernefunktion, der kan oprette en sikker tunnel på enhedsniveau til en ekstern server. Dette gælder dog bl.a. ikke apps, hvis kernefunktion kræver en ekstern server, f.eks.: Apps til børnesikring og virksomhedsadministration. Sporing af appbrug. Apps til beskyttelse af enheder (f.eks. antivirus, administration af mobilenheder, firewall). Netværksrelaterede værktøjer (f.eks. fjernadgang). Webbrowserapps. Apps fra mobilselskaber, som kræver brugen af VPN-funktioner for at levere telefon- eller forbindelsestjenester. VpnService kan ikke bruges til følgende: Indsamling af personlige og følsomme brugerdata uden tydelig erklæring og samtykke. Omdirigering af eller manipulering med brugertrafik fra andre apps på en enhed med henblik på indtægtsgenerering (f.eks. omdirigering af annoncetrafik via et andet land end brugerens). Apps, der bruger VpnService, skal gøre følgende: Dokumentere brugen af VpnService på profilsiden i Google Play. Kryptere data fra enheden til VPN-tunnellens slutpunkt. Overholde alle programpolitikker for udviklere, herunder politikkerne vedrørende annoncesvindel, tilladelser og malware.

 

Tilladelse til nøjagtig alarm Der introduceres en ny tilladelse ved navn USE_EXACT_ALARM, som giver adgang til en nøjagtig alarmfunktion i apps fra og med Android 13 (API-niveau, der målrettes mod: 33).  USE_EXACT_ALARM er en begrænset tilladelse, og apps må kun deklarere denne tilladelse, hvis deres kernefunktion understøtter behovet for en nøjagtig alarm. Apps, der anmoder om denne begrænsede tilladelse, er underlagt gennemgang. Apps, som ikke opfylder kriterierne for acceptable eksempler på brug, må ikke udgives i Google Play. Acceptable eksempler på brug af tilladelsen til nøjagtige alarmer Din app må kun bruge funktionen USE_EXACT_ALARM, når appens brugerrettede kernefunktion kræver nøjagtigt timede handlinger som f.eks.: Appen er en alarm- eller timerapp. Appen er en kalenderapp, der viser notifikationer om begivenheder. Hvis du har et eksempel på brug af den nøjagtige alarmfunktion, som ikke er nævnt ovenfor, bør du evaluere, om det er muligt at bruge SCHEDULE_EXACT_ALARM som alternativ. Du kan få flere oplysninger om den nøjagtige alarmfunktion i denne vejledning til udviklere.

 

Tilladelse til hensigt om visning i fuld skærm I forbindelse med apps, der er målrettet mod Android 14 (API-målretningsniveau 34) eller nyere, har USE_FULL_SCREEN_INTENT en særlig appadgang. Apps får kun automatisk tilladelse til at anvende tilladelsen USE_FULL_SCREEN_INTENT, hvis deres kernefunktionalitet tilhører en af nedenstående kategorier, der kræver notifikationer med høj prioritet: Oprettelse af en alarm Modtagelse af telefon- eller videoopkald Apps, der kræver denne tilladelse, er underlagt gennemgang, og de apps, der ikke opfylder ovenstående krav, får ikke automatisk denne tilladelse. Hvis dette er tilfældet, skal de pågældende apps anmode brugeren om tilladelse til at anvende USE_FULL_SCREEN_INTENT. Husk, at al brug af tilladelsen USE_FULL_SCREEN_INTENT skal overholde alle Google Play-udviklerpolitikker, herunder vores politikker vedrørende uønsket software til mobil, enheds- og netværksmisbrug og annoncer. Notifikationer om hensigter i fuld skærm må ikke forstyrre, afbryde, beskadige eller tilgå brugerens enhed på en uautoriseret måde. Apps må derudover ikke forstyrre andre apps eller enhedens anvendelighed. Få flere oplysninger om tilladelsen USE_FULL_SCREEN_INTENT i Hjælp.