Google Play a rendu obligatoire la communication aux utilisateurs de certaines informations relatives à la vie privée, conformément au droit applicable. Ces informations sont généralement communiquées aux utilisateurs par le biais d’une déclaration de confidentialité facile d’accès depuis l’application.
En résumé
- Outre les exigences des plateformes, la grande majorité des législations (notamment le RGPD) exigent désormais une déclaration de confidentialité.
- Si votre application traite des données utilisateur personnelles ou sensibles, ou si elle participe au programme « Pour la famille », vous devez ajouter une politique de confidentialité valable à deux endroits : au sein de votre application et sur sa fiche Play Store.
- Si vous traitez des données sensibles sur les utilisateurs ou les appareils, vous êtes tenu de décrire ce traitement.
- Si votre application traite des données personnelles pour tout autre motif que son bon fonctionnement, vous devez – avant la collecte et la transmission des données – informer l’utilisateur de la façon dont ses données seront utilisées et obtenir son consentement.
- Si votre application est susceptible d’être utilisée par des enfants, vous êtes soumis à des exigences supplémentaires en matière de sécurité.
- Avec iubenda, vous pouvez créer une politique de confidentialité (et des Conditions générales) pour votre application Android.
Voici ce qu’indique Google dans les lignes directrices sur les Données utilisateur disponibles dans son Centre d’informations réglementaires pour les développeurs :
Vous devez faire preuve de transparence concernant la façon dont vous gérez les données utilisateur, qu’elles aient été recueillies auprès de lui ou à son sujet, y compris les informations sur l’appareil. Autrement dit, vous devez informer l’utilisateur en cas de collecte, d’utilisation et de partage desdites informations, et les utiliser exclusivement aux fins indiquées. En outre, si votre application gère des données utilisateur sensibles et à caractère personnel, nous vous invitons à vous reporter également aux exigences supplémentaires détaillées dans la section ci-après. Ces règles décrivent les exigences élémentaires de Google Play en matière de protection de la vie privée ; votre application ou vous-même devrez peut-être respecter des limitations ou suivre des procédures supplémentaires si la législation applicable le requiert.
Google Play ne vous demande explicitement d’insérer un lien visible vers une politique de confidentialité au sein de votre application et sur sa fiche Play Store que lorsque :
- votre application traite des données utilisateur personnelles ou sensibles, tel que définies dans les règles relatives aux données utilisateur (y compris les informations permettant d’identifier des personnes, les informations financières, les informations relatives aux paiements, les information d’authentification, les numéros de téléphone, les contacts, les données des capteurs du micro et de l’appareil photo, et les données sensibles sur l’appareil), ou
- votre application participe au programme « Pour la famille » (qu’elle accède ou non à des données ou autorisations sensibles).
Toutefois, vous devez bien comprendre que, outre les exigences des plateformes, la grande majorité des législations (notamment le RGPD) exigent désormais une déclaration de confidentialité.
Toutefois, vous devez bien comprendre que, outre les exigences des plateformes, la grande majorité des législations (notamment le RGPD) exigent désormais une déclaration de confidentialité.
En général, si vous ne respectez pas ces lois, vous vous exposez à de lourdes amendes, des sanctions, des audits ou encore des poursuites en justice.
Exigences applicables aux politiques de confidentialité des applications Android
De nombreuses personnes demandent des exemples de politique de confidentialité pour application. Le contenu exact de votre politique de confidentialité dépend du droit qui vous est applicable et peut même être soumis à des exigences légales à travers divers territoires et pays.
C’est pourquoi il est toujours conseillé d’aborder votre politiques de confidentialité (exigée par la loi) en tenant compte des règles en vigueur les plus strictes. Pour en savoir plus, consultez notre guide sur la façon de déterminer quelle législation vous est applicable ou notre tour d’horizon approfondi des exigences légales.
Commençons par les exigences légales élémentaires. Une politique de confidentialité doit au minimum répondre aux questions suivantes :
- Qui est le propriétaire de l’application ?
- Quels sont les types de données recueillis ? Comment ces données sont-elles recueillies ?
- Quelle est la base juridique de la collecte (p.ex. le consentement, la nécessité aux fins de la prestation du service, une obligation légale, etc.) ? – Cette question se rapporte plus spécifiquement au RGPD et au droit de l’UE. Toutefois, même si vous n’êtes pas soumis aux obligations du RGPD, la plupart des législations à travers le monde vous imposent d’expliquer pourquoi vous traitez les données personnelles des utilisateurs.
- Pour quelles finalités précises recueillez-vous ces données ? à des fins d’analyse ? à des fins de marketing par e-mail ?
- Quels tiers auront accès à ces informations ? Des tiers recueilleront-ils des données par le biais de widgets (p.ex. boutons de réseaux sociaux) ou d’intégrations (p.ex. Facebook Connect) ?
- De quels droits les utilisateurs disposent-ils ? Peuvent-ils demander à voir les données dont vous disposez à leur sujet ? Peuvent-ils demander la correction, l’effacement ou le blocage de leurs données ? (En vertu des règles fixées par l’UE, la plupart de ces droits sont obligatoires.)
- Quel est le processus de notification aux utilisateurs et aux visiteurs des modifications ou mises à jour de la politique de confidentialité ?
- Quelle est la date de prise d’effet de la politique de confidentialité ?
Autorisations sensibles
En plus des informations mentionnées ci-dessus, si vous utilisez des autorisations appartenant aux groupes d’autorisations « dangereuses » suivantes (les données utilisateur personnelles ou sensibles mentionnées plus haut), vous devez le divulguer dans votre politique de confidentialité :
- AGENDA
- APPAREIL PHOTO
- CONTACTS
- LOCALISATION
- MICROPHONE
- TÉLÉPHONE
- CAPTEURS
- SMS
- STOCKAGE
Possibilités
Vous avez deux possibilités :
- retirer toutes les demandes d’autorisations sensibles ou de données utilisateur (auquel cas vous n’aurez pas à ajouter de politique de confidentialité) ; ou
- ajouter une politique de confidentialité valable à deux endroits : au sein de votre application et sur sa fiche Play Store.
Pour en savoir plus, consultez notre guide sur les Autorisations d’accès aux données personnelles présentes sur l’appareil de l’utilisateur dans les applications iOS et Android.
Visibilité des communiqués
Si votre application traite les données personnelles des utilisateurs pour tout autre motif que son bon fonctionnement, vous devez communiquer des informations supplémentaires à ce sujet de façon visible et obtenir le consentement de l’utilisateur si nécessaire.
Si votre application traite des données personnelles pour tout autre motif que son bon fonctionnement, vous devez – avant la collecte et la transmission des données – informer l’utilisateur de la façon dont ses données seront utilisées et obtenir son consentement.
Voici ce qu’indique Google au sujet de la visibilité des communiqués :
Si votre application collecte et transmet des données utilisateur personnelles ou sensibles pour tout autre motif que le bon fonctionnement décrit de façon visible dans l’interface de votre application ou sur sa fiche Play Store, vous devez – avant la collecte et la transmission des données – indiquer de manière évidente comment les données utilisateur seront utilisées et demander à l’utilisateur de consentir (par un acte affirmatif) à cette utilisation.
Les informations à fournir dans votre application :
- doivent bien figurer au sein de l’application, et non sur sa fiche Play Store ou sur un site Web ;
- doivent être affichées durant le cours normal de l’utilisation de l’application, et non lorsque l’utilisateur se rend dans un menu spécifique ou dans ses paramètres ;
- doivent décrire le type de données recueillies ;
- doivent expliquer de quelle façon les données seront utilisées ;
- ne peuvent pas être simplement intégrées à une politique de confidentialité ou à des conditions générales de service ; et
- ne peuvent pas être communiquées en même temps que d’autres informations sans lien avec la collecte de données personnelles ou sensibles.
En ce qui concerne la demande de consentement, votre application :
- doit présenter cette demande dans une boîte de dialogue de façon claire et dénuée d’ambiguïté ;
- doit demander à l’utilisateur d’indiquer son consentement par un acte affirmatif (p.ex. en appuyant sur un bouton, en cochant une case ou par une commande verbale) ;
- ne peut pas commencer la collecte de données personnelles ou sensibles avant l’obtention du consentement par un acte affirmatif ;
- ne peut pas considérer la navigation vers une autre page (y compris le fait d’appuyer hors de la boîte de dialogue ou de presser le bouton retour ou accueil) comme un acte de consentement ; et
- ne peut pas utiliser de messages qui expirent ou qui disparaissent tous seuls.
Il convient de noter que Google semble appliquer cette politique de visibilité des communiqués à toute activité de collecte de données qui n’est pas indiquée de manière évidente sur la fiche ou dans l’interface de votre application.
Par conséquent, vous devez afficher aux utilisateurs une déclaration distincte en plus de votre politique de confidentialité – vers laquelle votre déclaration devrait faire un lien – pour leur fournir des explications complètes sur les données traitées. À nouveau, vous ne pouvez pas traiter les données de l’utilisateur tant qu’il n’y a pas consenti par un acte affirmatif.
Par ailleurs, en vertu de textes juridiques comme le RGPD, vous êtes légalement tenu d’obtenir le consentement éclairé et explicite de l’utilisateur avant de traiter ses données personnelles lorsque le traitement n’est pas nécessaire au bon fonctionnement de votre service.
Possibilités
Par conséquent, vous avez deux possibilités en ce qui concerne ce type de traitement des données. Vous pouvez soit :
- retirer ce type de collecte de données ; soit
- fournir des informations adéquates au sein de l’application par le biais d’une déclaration, faire un lien depuis cette déclaration vers la politique de confidentialité correspondante et recueillir le consentement valable de l’utilisateur.
Par ailleurs, si vous relevez du champ d’application du RGPD, vous devrez probablement tenir un registre des consentements valable.
Exemple de politique de confidentialité pour application Android
Voici un exemple de politique de confidentialité pour application Android, créé à l’aide de notre générateur.
Google Play et la sécurité des enfants
Google a mis à jour sa politique à plusieurs reprises pour mieux adapter le Play Store aux enfants. Si une application est susceptible d’être utilisée par des enfants, ses développeurs sont soumis à des exigences supplémentaires en matière de sécurité, qui ont pris effet le 1er septembre 2019.
Public cible et contenu de l’application
Dans Google Play, les applications sont classées par catégorie (et soumises à des politiques différentes) selon les publics cibles suivants : enfants, enfants et utilisateurs plus âgés, utilisateurs plus âgés. Google indique vérifier que le public cible sélectionné est le bon.
Toutes les applications qui ciblent principalement des enfants doivent respecter les règles relatives aux Familles et les exigences du programme Pour la famille.
En résumé :
- Lorsque le contenu d’une application est accessible aux enfants, il doit être approprié pour ceux-ci.
- Les applications existantes et les nouvelles applications sont désormais soumises au questionnaire sur le public cible. Vous devez répondre correctement aux questions de la Google Play Console et tenir ces réponses à jour pour refléter avec précision toute modification de votre application.
Les API, les SDK et l’écran neutre de vérification de l’âge
Les applications qui ciblent uniquement les enfants ne doivent contenir aucune API ni aucun SDK non approuvé pour une utilisation dans des services destinés aux enfants. Les applications qui ciblent à la fois les enfants et les publics plus âgés ne doivent pas utiliser d’API ni de SDK non approuvés pour une utilisation dans des services destinés aux enfants, sauf s’ils sont utilisés après un écran neutre de vérification de l’âge ou mis en œuvre de manière à ne pas recueillir de données auprès des enfants.
D’après l’Aide Console Play :
Un écran neutre de vérification de l’âge est un mécanisme qui permet de valider l’âge d’un utilisateur, sans l’encourager à mentir, dans le but d’accéder à des sections de votre application qui ne conviennent pas aux enfants. Il peut s’agir, par exemple, d’un système qui demande aux utilisateurs de saisir librement leur jour, mois et année de naissance. Il est déconseillé de prérégler la date de naissance sur l’âge requis (par exemple, 13 ans) ou d’indiquer qu’un âge minimum est exigé pour accéder à certaines sections de l’application.
Annonces
Pour vous assurer que les annonces publicitaires affichées à des enfants (ou à des utilisateurs d’âge inconnu) sont appropriées et conformes aux règles de Google, vous devez utiliser les réseaux publicitaires certifiés conformes aux exigences de Google Play.
Applications attirant involontairement les enfants
Google souhaite également que les développeurs s’assurent que leurs applications n’attirent pas les enfants par inadvertance (par exemple, par la présence d’animations juvéniles ou de jeunes personnages dans les éléments graphiques) si leur contenu est en fait conçu pour les adultes. Pour en savoir plus sur la façon d’afficher le libellé « Ne convient pas aux enfants » sur la fiche Play Store de votre application, cliquez ici.
Conditions générales pour applications mobiles
Les conditions générales (également appelées CGU pour Conditions générales d’utilisation, CGS pour Conditions générales de service ou CLUF pour Contrat de licence d’utilisateur final) définissent les conditions d’utilisation de votre produit, service ou contenu, de façon juridiquement contraignante. En plus d’être essentielles à votre protection contre les situations qui pourraient engager votre responsabilité, elles contiennent souvent des informations exigées par la loi, notamment sur les droits des utilisateurs ou sur les conditions de rétractation et d’annulation. C’est d’autant plus vrai lorsque vous vendez quelque chose à des consommateurs.
De façon générale, vous devrez probablement définir des Conditions générales si votre application vend directement des produits aux utilisateurs ou facilite les échanges commerciaux. Elles peuvent aussi être nécessaires dans certains cas précis, par exemple lorsque :
- vous êtes légalement tenu de divulguer certaines informations relatives aux droits des consommateurs (en particulier, les droits de retrait et d’annulation) ;
- vous avez différents niveaux d’utilisateur (p.ex. des utilisateurs inscrits et non inscrits) ;
- votre plateforme permet aux utilisateurs de vendre ou d’échanger des biens avec d’autres utilisateurs ;
- vous facilitez ou traitez des paiements ou d’autres données utilisateur sensibles ;
- vous souhaitez définir des règles relatives au comportement des utilisateurs et indiquer les motifs de résiliation des comptes ;
- vous participez à des programmes d’affiliation ;
- vous fournissez un logiciel ou un service qui est susceptible de causer un préjudice en cas d’utilisation abusive ;
- vous aimeriez définir des règles d’utilisation de votre application qui aient une valeur contractuelle.
Vous devriez porter une attention particulière aux clauses de résiliation de compte, de conditions de paiement et de limitation (ou dégagement) de responsabilité.
Notre Générateur de Conditions Générales vous permet de générer et de gérer facilement des documents optimisés pour satisfaire précisément les conditions des boutiques d’applications importantes et à jour au regard des principales législations internationales.
Comment ajouter une politique de confidentialité à votre application Android
Avec iubenda, c’est très simple : conçues à partir de centaines de clauses disponibles, nos politiques de confidentialité contiennent tous les éléments couramment exigés dans de nombreuses régions et par de nombreux services, tout en appliquant les normes les plus strictes par défaut, et peuvent être entièrement personnalisées au besoin.
Nos politiques sont créées par des avocats, suivies par nos avocats et hébergées sur nos serveurs pour garantir qu’elles soient constamment à jour au regard des dernières évolutions juridiques et exigences de tiers.
Le processus est simple et intuitif :
- cliquez pour ajouter vos services ;
- renseignez le propriétaire du site ou de l’application et ses coordonnées ;
- intégrez la politique à votre application.
Cliquez ici pour consulter le guide complet sur la façon de générer une politique de confidentialité.
Voici comment utiliser iubenda pour créer une politique de confidentialité pour votre application Android :
1. Ajoutez vos services
- Si vous utilisez Twitter ou d’autres services à délégation d’autorisation (OAuth) pour la gestion des utilisateurs, ajoutez le service concerné en cliquant sur « Ajouter un service » puis commencez à taper le nom du service que vous souhaitez ajouter. Pensez à inclure tous les services qui traitent des informations personnelles. Si vous gérez vous-même l’inscription des utilisateurs, n’oubliez pas d’ajouter le service « Inscription directe ».
- Sélectionnez chaque service applicable à partir de la liste de suggestions qui s’affiche et personnalisez-le en ajoutant simplement les types de données personnelles précis que vous recueillez. Nos clauses rédigées par des avocats incluent automatiquement les informations pertinentes sur les droits des utilisateurs et la définition du service concerné en fonction de votre saisie.
- Ajoutez notre service « Autorisations du dispositif pour accéder aux Données personnelles » si votre application requiert des données utilisateur ou des autorisations sensibles (p.ex. appareil photo, micro, comptes, contacts ou téléphone) :